Bearbeitungsverzeichnis: Anleitung für Schweizer KMU
Was nach Artikel 12 revDSG hineingehört, wie fein Sie schneiden und in welcher Reihenfolge Sie vorgehen — mit ausgefülltem Beispieleintrag aus der Praxis.
Kurz beantwortet
Das Verzeichnis der Bearbeitungstätigkeiten nach Artikel 12 revDSG listet jede Bearbeitung von Personendaten mit Zweck, Datenkategorien, betroffenen Personen, Empfängern, Aufbewahrungsdauer, Sicherheitsmassnahmen und allfälliger Auslandbekanntgabe. Ein Format schreibt das Gesetz nicht vor — eine Tabelle genügt. Ein typisches KMU kommt auf 12 bis 25 Einträge und braucht dafür ein bis zwei Arbeitstage. Melden müssen private Unternehmen das Verzeichnis nicht, aber auf Verlangen des EDÖB vorlegen.
Warum dieses eine Dokument den Ausschlag gibt
Von den sieben Pflichten des revidierten Datenschutzgesetzes ist das Verzeichnis der Bearbeitungstätigkeiten die einzige, die alle anderen trägt. Das klingt nach einer Behauptung, ist aber eine schlichte Reihenfolgefrage.
Sie können keine Datenschutzerklärung schreiben, ohne zu wissen, welche Daten Sie an wen weitergeben. Sie können kein Auskunftsbegehren innert 30 Tagen beantworten, wenn niemand weiss, in welchen Systemen die Person überhaupt vorkommt. Sie können bei einer Datenpanne nicht beurteilen, ob ein hohes Risiko besteht, wenn unklar ist, welche Datenkategorien betroffen sind. Und Sie können keine Löschfrist einhalten, die nie jemand festgelegt hat.
Wer aus dem DSGVO-Umfeld kommt, kennt dasselbe Dokument unter einem anderen Namen: Dort heisst es Verarbeitungsverzeichnis, geregelt in Artikel 30 DSGVO. Inhalt und Zweck sind weitgehend deckungsgleich, die Begriffe unterscheiden sich, weil das Schweizer Recht von „Bearbeitung" spricht, wo die DSGVO „Verarbeitung" sagt.
Jede dieser Pflichten greift auf dieselbe Grundlage zu. Wer das Verzeichnis überspringt und direkt mit der Datenschutzerklärung anfängt — der häufigste Einstieg, weil sie sichtbar ist — schreibt eine Erklärung über einen Zustand, den er nicht kennt.
Wer es führen muss
Grundsätzlich jedes Unternehmen, das Personendaten bearbeitet. Artikel 12 verpflichtet sowohl den Verantwortlichen — das Unternehmen, das über Zweck und Mittel der Bearbeitung entscheidet — als auch den Auftragsbearbeiter, der im fremden Auftrag bearbeitet. Beide führen ihr eigenes Verzeichnis, mit unterschiedlichem Inhalt.
Ein IT-Dienstleister, der Server für Kunden betreibt, ist für die Kundendaten auf diesen Servern Auftragsbearbeiter — und gleichzeitig Verantwortlicher für die eigenen Personal- und Kundendaten. Er braucht also beides. In der Praxis führen die meisten das in einer Datei mit zwei Registern.
Die Ausnahme für Unternehmen unter 250 Mitarbeitenden
Artikel 12 Absatz 5 sieht eine Erleichterung vor, und sie wird regelmässig zu weit ausgelegt. Befreit ist nicht, wer klein ist, sondern wer klein ist und dessen Datenbearbeitung ein geringes Risiko von Persönlichkeitsverletzungen mit sich bringt. Die Verordnung nimmt zwei Fälle ausdrücklich aus: die umfangreiche Bearbeitung besonders schützenswerter Personendaten und Profiling mit hohem Risiko.
Massgebend ist zudem ein Stichtag, den viele übersehen: Artikel 24 der Datenschutzverordnung stellt auf Unternehmen ab, die am 1. Januar eines Jahres weniger als 250 Mitarbeitende beschäftigen. Wer im März die Schwelle überschreitet, bleibt für das laufende Jahr befreit und fällt erst am nächsten 1. Januar unter die Pflicht. Umgekehrt hilft ein Personalabbau im Juli für dieses Jahr nicht mehr.
Damit fällt ein grosser Teil der KMU wieder hinein. Wer eine eigene Lohnbuchhaltung führt, bearbeitet Angaben zu Krankheit und Absenzen. Wer Zeiterfassung per Fingerabdruck einsetzt, bearbeitet biometrische Daten. Beides sind besonders schützenswerte Personendaten.
Unabhängig davon ist unser Rat unverändert: Führen Sie das Verzeichnis. Nicht wegen der Pflicht, sondern weil die Alternative bedeutet, dass Sie bei jedem Auskunftsbegehren und jedem Zwischenfall von vorn anfangen. Die Ausnahme befreit von der Dokumentation, nicht von den Fragen, die die Dokumentation beantwortet.
Was hineingehört
Artikel 12 Absatz 2 nennt für Verantwortliche sieben Mindestangaben, die Buchstaben a bis g. In der Tabelle unten stehen acht Zeilen, und das ist Absicht: Buchstabe c fasst die betroffenen Personen und die Datenkategorien in einer einzigen Bestimmung zusammen — ausgefüllt werden sie getrennt. Die Buchstaben stehen deshalb in jeder Zeile, damit die Zuordnung zum Gesetzestext nachvollziehbar bleibt. In der rechten Spalte haben wir ergänzt, woran die Angabe in der Praxis scheitert.
| Pflichtangabe | Was gemeint ist | Woran es meist hakt |
|---|---|---|
| a Identität des Verantwortlichen | Firma, Adresse, Kontaktstelle für Datenschutzfragen | Steht einmal oben, nicht in jeder Zeile |
| b Bearbeitungszweck | Wozu Sie die Daten brauchen, konkret | „Geschäftsabwicklung" ist kein Zweck |
| c Kategorien betroffener Personen | Mitarbeitende, Bewerbende, Kundinnen, Lieferanten | Bewerbende werden fast immer vergessen |
| c Kategorien der Personendaten | Stammdaten, Lohndaten, Gesundheitsdaten, Nutzungsdaten | Besonders schützenswerte Daten nicht markiert |
| d Kategorien der Empfänger | AHV-Ausgleichskasse, Treuhand, Cloud-Anbieter, Versicherer | Interne Empfänger und Dienstleister fehlen |
| e Aufbewahrungsdauer | Frist oder das Kriterium, nach dem sie sich bemisst | „Solange nötig" ist kein Kriterium |
| f Massnahmen zur Datensicherheit | Allgemeine Beschreibung nach Artikel 8 | Verweis auf ein Konzept, das es nicht gibt |
| g Bekanntgabe ins Ausland | Staat und Garantie nach Artikel 16 Absatz 2 | Fehlt, weil niemand die Cloud als Ausland zählt |
Buchstabe g macht in der Praxis die meiste Arbeit — und wird am häufigsten übersehen. Betroffen ist jedes Unternehmen mit Microsoft 365, Google Workspace, einem amerikanischen Newsletter-Werkzeug oder einem Support-System, dessen Server nicht in der Schweiz stehen.
Zwei Angaben relativiert das Gesetz ausdrücklich: Aufbewahrungsdauer und Datensicherheitsmassnahmen sind „wenn möglich" zu machen. Wer sich auf den Wortlaut beruft, hat dort also Spielraum. Wir raten davon ab, ihn zu nutzen. Beide Angaben brauchen Sie ohnehin — die Aufbewahrungsdauer für jede Löschroutine, die Sicherheitsmassnahmen für die Beurteilung einer Datenpanne. Was man weglässt, muss man im Ernstfall unter Zeitdruck rekonstruieren.
Ein Auftragsbearbeiter-Verzeichnis ist kürzer: Identität von Auftragsbearbeiter und Verantwortlichem, die Kategorien der im Auftrag durchgeführten Bearbeitungen sowie Datensicherheit und Auslandbekanntgabe.
Ein Format schreibt das Gesetz nicht vor. Eine Tabellenkalkulation erfüllt die Anforderung vollständig. Sie muss nur gepflegt und im Bedarfsfall vorlegbar sein — melden müssen private Unternehmen ihr Verzeichnis nicht, aber der EDÖB kann es im Rahmen einer Untersuchung verlangen.
In vier Schritten zum ersten Verzeichnis
Schritt 1: Nach Prozessen suchen, nicht nach Systemen
Der verbreitete Einstieg ist eine Liste der eingesetzten Software. Er führt in die Irre, weil dieselbe Software mehrere Zwecke bedient und ein Zweck über mehrere Systeme läuft.
Fragen Sie stattdessen entlang des Betriebsablaufs: Was passiert, wenn jemand bei uns anfängt? Wenn jemand kündigt? Wenn ein Auftrag hereinkommt, ausgeführt und verrechnet wird? Wenn sich jemand bewirbt? Wenn eine Kundin reklamiert? Jede Antwort beschreibt eine Bearbeitungstätigkeit.
Diese Liste kommt in einem typischen KMU vor: Personaladministration, Lohnbuchhaltung, Zeiterfassung, Bewerbungen, Kundenverwaltung, Auftrags- und Projektabwicklung, Debitoren und Buchhaltung, Support-Anfragen, Newsletter-Versand, Website-Statistik, Telefonanlage, Videoüberwachung, Zutrittssystem, Datensicherung. Nach unserer Erfahrung landen die meisten KMU bei 12 bis 25 Einträgen.
Schritt 2: Pro Tätigkeit eine Zeile ausfüllen
Nehmen Sie sich die Person vor, die den Prozess tatsächlich ausführt — die Lohnbuchhalterin, nicht die Geschäftsführung. Zwanzig Minuten pro Tätigkeit reichen in der Regel, wenn Sie die Fragen der Reihe nach durchgehen.
Der wichtigste Fehler an dieser Stelle ist der falsche Detailgrad. Eine Zeile pro Zweck ist richtig. Eine Zeile pro Datenfeld ist ein Verzeichnis, das niemand pflegt, und ein Verzeichnis, das niemand pflegt, ist nach einem Jahr schlechter als keines: Es weckt Vertrauen, das es nicht mehr verdient.
Schritt 3: Die Dienstleister nachziehen
Jeder Empfänger, den Sie eingetragen haben, wirft eine Folgefrage auf. Bearbeitet er die Daten in Ihrem Auftrag, braucht es einen Auftragsbearbeitungsvertrag. Sitzt er im Ausland, braucht es eine Grundlage nach Artikel 16 oder 17 — bei Staaten ohne Angemessenheitsbeschluss des Bundesrats in aller Regel die Standarddatenschutzklauseln, wie Artikel 16 Absatz 2 Buchstabe d sie nennt (geläufiger, aber nicht der Gesetzesbegriff: Standardvertragsklauseln).
Diesen Schritt aus dem Verzeichnis heraus zu machen, spart Doppelarbeit: Sie haben die Empfängerliste ohnehin gerade erstellt.
Schritt 4: Löschfristen festlegen, nicht abschreiben
„Gemäss gesetzlicher Aufbewahrungspflicht" ist die häufigste Angabe und in den meisten Zeilen falsch. Die zehnjährige Aufbewahrungspflicht des Obligationenrechts gilt für Geschäftsbücher und Buchungsbelege — nicht für abgelehnte Bewerbungsunterlagen, nicht für Videoaufzeichnungen, nicht für Newsletter-Empfänger.
Wo eine Frist wirklich unbestimmt ist, nennt das Gesetz eine Alternative: das Kriterium, nach dem sich die Dauer bemisst. „Bis drei Monate nach Abschluss des Bewerbungsverfahrens" ist ein solches Kriterium. „So lange wie nötig" ist keines.
Ein ausgefüllter Eintrag
So sieht eine einzelne Zeile aus, wenn sie fertig ist. Das Beispiel ist die Bearbeitung, bei der die meisten KMU besonders schützenswerte Daten übersehen.
| Feld | Eintrag |
|---|---|
| Bearbeitungstätigkeit | Lohnbuchhaltung |
| Zweck | Erfüllung des Arbeitsvertrags, Lohnzahlung, Sozialversicherungs- und Quellensteuerabrechnung |
| Betroffene Personen | Mitarbeitende, ehemalige Mitarbeitende |
| Datenkategorien | Stammdaten, Bankverbindung, AHV-Nummer, Lohndaten, Absenzen und Arztzeugnisse (besonders schützenswert: Gesundheitsdaten) |
| Empfänger | Treuhandbüro (Auftragsbearbeiter), AHV-Ausgleichskasse, Pensionskasse, Unfall- und Krankentaggeldversicherer, Steuerbehörde |
| Aufbewahrung | Lohnbuchhaltung 10 Jahre (Art. 958f OR); Arztzeugnisse 1 Jahr nach Austritt |
| Datensicherheit | Zugriff auf HR und Geschäftsleitung beschränkt, Zwei-Faktor-Anmeldung, verschlüsselte Übermittlung an die Treuhand, tägliche Sicherung |
| Auslandbekanntgabe | keine |
Eine Zeile dieser Art beantwortet nebenbei drei weitere Pflichten: Sie liefert den Text für die Datenschutzerklärung, den Prüfpunkt für den Auftragsbearbeitungsvertrag mit der Treuhand und die Grundlage für die Risikobeurteilung, falls diese Daten je abfliessen.
Was danach kommt
Ein Verzeichnis ist kein Projekt mit Enddatum. Es veraltet an genau drei Stellen: bei einem neuen Werkzeug, bei einem neuen Dienstleister und bei einem neuen Prozess.
Bewährt hat sich eine Kombination aus einem festen Termin und einem Auslöser. Der Termin ist eine jährliche Durchsicht, sinnvollerweise zusammen mit der Prüfung der Dienstleisterverträge. Der Auslöser ist eine kurze Regel, die in der Beschaffung verankert wird: Bevor ein neues System eingeführt wird, das Personendaten bearbeitet, wird der Eintrag ergänzt. Nicht danach.
Wer parallel ein Informationssicherheits-Managementsystem aufbaut, sollte beides verbinden. Bestandsaufnahme, Zugriffskonzept, Dienstleisterprüfung und Löschfristen verlangt ISO 27001 ebenfalls — in dieser Reihenfolge und mit demselben Inhalt. Zweimal dieselbe Arbeit zu machen, ist der häufigste vermeidbare Aufwand in diesem Bereich.
Den rechtlichen Rahmen rund um das Verzeichnis — Bussen, Meldepflichten, das Verhältnis zur DSGVO — haben wir im Beitrag Datenschutzgesetz Schweiz: Pflichten für KMU zusammengefasst.
Dieser Beitrag gibt den Stand von September 2026 wieder und ersetzt keine Rechtsberatung. Massgebend ist der Gesetzestext; für die Beurteilung eines konkreten Sachverhalts ziehen Sie bitte eine Fachperson bei.
