Die Datenschutzbusse trifft in der Schweiz nicht die Firma. Sie trifft einen Menschen.

Stellen Sie sich vor: Eine Mitarbeiterin Ihrer Klinik entdeckt ein praktisches Online-Werkzeug, das Anfragen aus dem Kontaktformular zusammenfasst und beantwortet. Sie richtet es an einem Nachmittag ein, ohne jemanden zu fragen. Mit dem Anbieter schliesst niemand einen Vertrag. Seit Monaten fliessen die Anfragen von Patientinnen und Patienten durch ein System, von dem in der Geschäftsleitung niemand weiss.

Wer bei Datenschutz an die DSGVO denkt, denkt an Millionenbussen gegen Konzerne. Das Schweizer Gesetz funktioniert anders. Es richtet sich in erster Linie an Menschen, und genau deshalb gehört dieses Werkzeug auf den Tisch der Geschäftsleitung.

Was im Gesetz steht.

Die Artikel 60 bis 63 des Datenschutzgesetzes drohen «privaten Personen» Bussen bis zu CHF 250’000 an. Bestraft wird, wer vorsätzlich falsch oder unvollständig Auskunft gibt oder die betroffene Person bei der Beschaffung ihrer Daten nicht informiert. Ebenso, wer vorsätzlich Personendaten ins Ausland bekanntgibt, ohne dass die Voraussetzungen erfüllt sind, die Bearbeitung einem Auftragsbearbeiter übergibt, ohne dass die Bedingungen von Artikel 9 erfüllt sind, oder die Mindestanforderungen an die Datensicherheit nicht einhält. Dazu kommen das vorsätzliche Offenbaren geheimer Personendaten, die man im Beruf erfahren hat, und das Missachten einer Verfügung des EDÖB.

Die meisten dieser Delikte werden nur auf Antrag verfolgt, also zum Beispiel, wenn eine betroffene Person Strafantrag stellt. Zuständig sind die Kantone, nicht der EDÖB. Er kann aber Anzeige erstatten und im Verfahren die Rechte einer Privatklägerschaft wahrnehmen. Die Strafverfolgung verjährt nach fünf Jahren.

Und die Firma?

Die Firma zahlt nur ausnahmsweise. Nach Artikel 64 kann die Behörde das Unternehmen anstelle der verantwortlichen Personen verurteilen, wenn eine Busse von höchstens CHF 50’000 in Betracht fällt und die Suche nach diesen Personen unverhältnismässige Untersuchungen erfordern würde. Sonst gelten die Regeln des Verwaltungsstrafrechts, und bestraft werden die natürlichen Personen, die gehandelt haben.

Der Onlinekommentar zu Artikel 64 beschreibt genau die Szene vom Anfang als Beispiel. Eine Mitarbeitende, die ohne Erlaubnis ein Werkzeug eines Online-Anbieters nutzt, in dem Personendaten bearbeitet werden, und sich nicht um einen genügenden Auftragsbearbeitungsvertrag kümmert, macht sich nach Artikel 61 strafbar. Der Artikel führt ausserdem eine Art Geschäftsherrenhaftung ein: Unter Umständen haftet auch, wer als Vorgesetzte oder Vorgesetzter die Tat hätte verhindern können. Wie weit das bei reinen Vorsatzdelikten reicht, ist laut dem Kommentar umstritten.

Der blinde Fleck: Vorsatz.

Strafbar ist nur der Vorsatz. Das klingt beruhigend. Nach der allgemeinen Begriffsbestimmung im Strafgesetzbuch handelt aber bereits vorsätzlich, wer die Verwirklichung der Tat für möglich hält und in Kauf nimmt. Ich bin kein Jurist und beurteile keinen Einzelfall. Ich würde mich aber nicht darauf verlassen, dass «wir wussten es nicht» noch trägt, wenn jemand im Team das Problem schon angesprochen hat und nichts passiert ist.

Genau hier treffen sich Datenschutz und digitale Werkzeuge. Jedes Formular, jeder Chat, jede Automatisierung und jedes KI-Werkzeug, das Ihr Team selbst einrichtet, ist eine Datenbearbeitung mit einem Anbieter, einem Ort und einem Vertrag oder eben keinem. Die Frage ist nicht, ob Ihr Team solche Werkzeuge nutzt. Die Frage ist, ob jemand weiss, welche.

Das Werkzeug richtet eine Mitarbeiterin an einem Nachmittag ein. Die Verantwortung bleibt bei Menschen.

Meine Position.

Ich halte nichts davon, Werkzeuge zu verbieten. Teams, die schneller arbeiten wollen, finden sie ohnehin. Ich würde stattdessen dafür sorgen, dass jedes Werkzeug, das Personendaten berührt, über einen einzigen geprüften Weg eingeführt wird, mit Vertrag, Standort und Zuständigkeit. Ein Verzeichnis der Werkzeuge schützt Ihr Team besser als jedes Verbot.

Was ich prüfen würde.

• Das Verzeichnis der Werkzeuge. Jedes System, das Daten aus Website, Formular, Chat oder E-Mail erhält, mit Anbieter, Standort und verantwortlicher Person.
• Die Verträge. Für jeden Anbieter ein Auftragsbearbeitungsvertrag, der die Anforderungen von Artikel 9 erfüllt.
• Die Datenschutzerklärung. Wer Sie sind, wozu Sie die Daten bearbeiten und an wen Sie sie weitergeben, so wie es Artikel 19 verlangt.
• Der Weg für neue Werkzeuge. Eine einfache Regel, wie Mitarbeitende ein Werkzeug vorschlagen und wer es freigibt.
• Die Auskunft. Wer eine Anfrage einer betroffenen Person beantwortet, und zwar vollständig und in der Regel innert 30 Tagen.

Wo Sie anfangen.

1. Diese Woche

   Das Team fragen

   Welche Online-Werkzeuge nutzt jede und jeder im Alltag, ohne Schuldzuweisung und mit dem Ziel einer vollständigen Liste.

2. Diesen Monat

   Verträge und Standorte klären

   Für jedes Werkzeug den Vertrag, den Ort der Bearbeitung und die Bekanntgabe ins Ausland prüfen.

3. Dieses Quartal

   Den Freigabeweg festlegen

   Eine verantwortliche Person, eine kurze Prüfliste und eine Antwortfrist, damit niemand Umwege sucht.

4. Jedes Jahr

   Neu prüfen

   Werkzeuge, Verträge und Datenschutzerklärung, mit Ihrer Rechtsberatung.

Schreiben Sie den Namen der Person in Ihrem Unternehmen auf, die das letzte Werkzeug genehmigt hat, das Kundendaten bearbeitet. Fragen Sie sich jetzt, ob diese Person weiss, dass die Busse in der Schweiz ihren Namen tragen könnte und nicht den des Unternehmens.

Und wenn es niemand genehmigt hat, weil jemand es einfach installiert hat, wird die Frage noch interessanter: Wer steht für eine Entscheidung ein, die niemand getroffen hat?

Wenn Sie möchten, dass ich prüfe, wohin die Daten Ihrer Website und Ihrer Automati­sierungen heute gehen, beginnen Sie mit der Strategischen Diagnose. Ob Ihr Fall ein strafrechtliches Risiko birgt, beurteilt Ihre Rechtsberatung, nicht ein Designer.