nDSG-Checkliste für Formulare und Umfragen

Die meisten nDSG-Beiträge erklären das Gesetz. Dieser hier setzt voraus, dass Sie diese gelesen haben und nun etwas belegen müssen. Es ist die Liste, die eine Prüfstelle abarbeitet, wenn sie sich eines Ihrer Online-Formulare vornimmt — dreizehn Prüfpunkte, die jeweilige Bestimmung und der konkrete Nachweis, den Sie vorlegen müssen. Wer alle dreizehn mit einem Dokument statt mit einer Meinung beantwortet, erlebt in einer Datenschutzprüfung keine Überraschungen.

Die erklärende Ergänzung dazu ist unser Leitfaden zur nDSG-Konformität von Online-Formularen, der begründet, weshalb es jede dieser Pflichten gibt. Hier geht es ausschliesslich darum, was Sie zeigen können müssen.

Gilt das nDSG für Ihr Formular überhaupt?

Mit grosser Sicherheit ja — womöglich auch dann, wenn Sie nicht in der Schweiz sitzen. Das revidierte Datenschutzgesetz (nDSG, SR 235.1) regelt die Bearbeitung von Personendaten natürlicher Personen durch private Verantwortliche und Bundesorgane. Zwei Punkte zum Geltungsbereich werden regelmässig übersehen. Erstens erfasst es Sachverhalte, die sich in der Schweiz auswirken, unabhängig vom Sitz des Verantwortlichen — ein deutsches oder österreichisches Unternehmen mit einem Formular für Schweizer Teilnehmende fällt darunter. Zweitens verlangt Art. 14 von privaten Verantwortlichen mit Sitz im Ausland eine Vertretung in der Schweiz, wenn die Bearbeitung im Zusammenhang mit dem Angebot von Waren und Dienstleistungen oder der Beobachtung des Verhaltens von Personen in der Schweiz steht, umfangreich und regelmässig ist und ein hohes Risiko mit sich bringt. Nach Art. 15 führt diese Vertretung das Verzeichnis der Bearbeitungstätigkeiten und ist Anlaufstelle für EDÖB und betroffene Personen.

Punkte 1–4: Bevor das Formular online geht

1. Der Zweck ist bestimmt, und jedes Feld dient ihm

Art. 6 verlangt eine rechtmässige, nach Treu und Glauben erfolgende und verhältnismässige Bearbeitung; Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft und nur zweckvereinbar bearbeitet werden. Für Formulare heisst das: Prüfung Feld für Feld — nennen Sie zu jeder Frage den Zweck, dem sie dient. Das Geburtsdatum auf einer Veranstaltungsanmeldung besteht diesen Test meist nicht, ebenso wenig die Telefonnummer, die Sie noch nie gewählt haben. Nachweis, den eine Prüfstelle verlangt: die Feldliste mit Zweckangabe je Feld — und die Streichung derjenigen ohne.

2. Sie können die Rechtfertigung benennen — und es ist selten die Einwilligung

Das Schweizer Recht verlangt von privaten Verantwortlichen keine Rechtsgrundlage im Sinne der DSGVO, sondern dass eine Persönlichkeitsverletzung nach Art. 31 gerechtfertigt ist — durch Einwilligung, ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz. Vertragsabwicklung und ein echtes Geschäftsinteresse tragen die meisten gewöhnlichen Formulare. Stützen Sie sich auf die Einwilligung, muss diese nach Art. 6 Abs. 6 freiwillig für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information erfolgen und nach Art. 6 Abs. 7 ausdrücklich sein bei besonders schützenswerten Personendaten und bei Profiling mit hohem Risiko. Nachweis: eine einzeilige, je Formular festgehaltene Rechtfertigung; bei Einwilligung zusätzlich der genaue Wortlaut, die Erfassung und der Widerrufsweg.

3. Folgenabschätzung, wo das Risiko hoch ist

Art. 22 verlangt vorgängig eine Datenschutz-Folgenabschätzung, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte mit sich bringen kann, und nennt als solche namentlich die umfangreiche Bearbeitung besonders schützenswerter Personendaten sowie die systematische umfangreiche Überwachung öffentlicher Bereiche. Ein Patientenaufnahmebogen, ein Hinweisgeberkanal oder eine grosse Gesundheitsbefragung liegt mitten darin. Art. 23 regelt, wann der EDÖB zu konsultieren ist. Nachweis: die Abschätzung selbst — geplante Bearbeitung, Risikobewertung, Schutzmassnahmen — datiert vor dem Start und nicht nachträglich rekonstruiert.

4. Die Datenschutzerklärung enthält, was Art. 19 verlangt

Art. 19 verpflichtet Sie, die betroffene Person angemessen über die Beschaffung zu informieren, mindestens über Identität und Kontaktdaten des Verantwortlichen, den Bearbeitungszweck und gegebenenfalls die Empfängerinnen und Empfänger oder deren Kategorien. Art. 19 Abs. 4 ergänzt die Pflicht, die fast alle übersehen: Werden Daten ins Ausland bekanntgegeben, ist auch der Staat zu nennen sowie gegebenenfalls die Garantien nach Art. 16 Abs. 2 oder die Anwendung einer Ausnahme nach Art. 17. Nachweis: die vom Formular selbst verlinkte Erklärung — nicht drei Klicks entfernt auf der Firmenseite —, die den Sitzstaat Ihres Formularanbieters nennt. Die Verletzung der Informationspflicht ist nach Art. 60 mit Busse bis 250'000 Franken bedroht.

Punkte 5–7: Die Unterlagen, die Sie auf Verlangen vorlegen müssen

5. Bearbeitungsverzeichnis — und die KMU-Ausnahme, die Sie vermutlich nicht haben

Art. 12 verlangt von Verantwortlichen und Auftragsbearbeitern je ein Verzeichnis ihrer Bearbeitungstätigkeiten, mindestens mit Identität des Verantwortlichen, Bearbeitungszweck, Beschreibung der Kategorien betroffener Personen und bearbeiteter Personendaten, Kategorien der Empfängerinnen und Empfänger, wenn möglich der Aufbewahrungsdauer oder den Kriterien dafür, wenn möglich einer allgemeinen Beschreibung der Sicherheitsmassnahmen nach Art. 8 und — bei Auslandbekanntgabe — dem Staat samt Garantien nach Art. 16 Abs. 2.

6. Ein Auftragsbearbeitungsvertrag für jeden Anbieter in der Kette

Art. 9 erlaubt die Übertragung an einen Auftragsbearbeiter vertraglich oder durch die Gesetzgebung, sofern die Daten nur so bearbeitet werden, wie Sie selbst es dürften, und keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet; zudem müssen Sie sich vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Art. 9 Abs. 3 verlangt Ihre vorgängige Genehmigung für die Weiterübertragung. Nachweis: der Vertrag, die Liste der Unterauftragsbearbeiter im Stand Ihrer Zustimmung — und dasselbe für den E-Mail-Dienst, die Dateiablage und jede KI-Funktion. Die Details stehen in unserem Leitfaden zum Auftragsverarbeitungsvertrag für Formular-Tools.

7. Eine benannte Grundlage für jede Auslandbekanntgabe

Art. 16 Abs. 1 erlaubt die Bekanntgabe ins Ausland, wenn der Bundesrat einen angemessenen Schutz festgestellt hat — Anhang 1 der Datenschutzverordnung. Andernfalls greifen die Garantien nach Art. 16 Abs. 2 oder, im Einzelfall, die Ausnahmen nach Art. 17. Art. 61 lit. a stellt die unzulässige Bekanntgabe unter Busse bis 250'000 Franken gegen die verantwortliche Person. Nachweis: je Anbieter der Staat und das herangezogene Instrument, deckungsgleich mit Ihrer Datenschutzerklärung. Unser Leitfaden zur Auslandbekanntgabe arbeitet den Test ab.

Punkte 8–10: Datensicherheit und die Dokumentationspflichten dahinter

Art. 8 verpflichtet Verantwortlichen und Auftragsbearbeiter zu einer dem Risiko angemessenen Datensicherheit durch technische und organisatorische Massnahmen, und Art. 7 verlangt Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen ab der Planung. Die Datenschutzverordnung macht beides konkret — und hier verbringt eine technisch versierte Prüfstelle ihre Zeit.

1. 8. Schutzbedarf bestimmt, Massnahmen darauf abgestimmt. Art. 1 DSV verlangt, den Schutzbedarf der Personendaten zu bestimmen und die im Hinblick auf das Risiko geeigneten Massnahmen festzulegen, beurteilt nach Art der Daten sowie Zweck, Art, Umfang und Umständen der Bearbeitung. Art. 2 DSV nennt die vier Ziele: Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit. Art. 3 DSV benennt die Kontrollen — Zugriffskontrolle, Zugangskontrolle, Benutzerkontrolle sowie Massnahmen für Verfügbarkeit und Integrität. Nachweis: eine kurze schriftliche Beurteilung je Formularkategorie und eine Sicherheitsbeschreibung, die sich auf Art. 3 abbilden lässt.
2. 9. Protokollierung, wo Art. 4 DSV sie verlangt. Werden besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeitet oder wird ein Profiling mit hohem Risiko durchgeführt und können präventive Massnahmen den Datenschutz nicht gewährleisten, sind Speichern, Verändern, Lesen, Bekanntgeben, Löschen und Vernichten zu protokollieren. Nachweis: die Protokollkonfiguration, ihre Aufbewahrungsdauer und die Person, die sie auswertet.
3. 10. Bearbeitungsreglement, wo Art. 5 DSV es verlangt. Der private Verantwortliche und sein privater Auftragsbearbeiter müssen für automatisierte Bearbeitungen ein Reglement erstellen, wenn sie besonders schützenswerte Personendaten in grossem Umfang bearbeiten oder ein Profiling mit hohem Risiko durchführen — mit Angaben zur internen Organisation, zum Bearbeitungs- und Kontrollverfahren und zu den Sicherheitsmassnahmen, regelmässig aktualisiert und einer nach Art. 10 ernannten Datenschutzberatung zur Verfügung gestellt. Nachweis: das Dokument mit einem Revisionsdatum aus dem letzten Jahr.

Punkte 11–13: Solange das Formular läuft

11. Aufbewahrung ist ein Entscheid, Löschung ist belegt

Art. 6 Abs. 4 verlangt, Personendaten zu vernichten oder zu anonymisieren, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind. Diese Pflicht kennt keine Schonfrist und keine Ausnahme „vielleicht brauchen wir es noch“ — und an ihr scheitern am häufigsten Organisationen, deren übrige Unterlagen tadellos sind. Antworten sammeln sich in der Plattform, in der verknüpften Tabelle, in E-Mail-Benachrichtigungen und in Exporten auf Notebooks. Nachweis: eine Aufbewahrungsdauer je Formularkategorie, der Mechanismus, der sie durchsetzt, und der Beleg, dass ein früherer Jahrgang tatsächlich gelöscht wurde — einschliesslich der Sicherungen, mit genannter Backup-Frist. Wie man die Fristen festlegt, zeigt unser Beitrag zur Aufbewahrung von Formulardaten.

12. Sie beantworten ein Auskunftsbegehren innert 30 Tagen

Art. 25 gibt jeder Person das Recht zu erfahren, ob Personendaten über sie bearbeitet werden, und die zur Rechtsausübung erforderlichen Informationen zu erhalten — die bearbeiteten Daten als solche, den Zweck, die Aufbewahrungsdauer oder deren Kriterien, die Herkunft, die Empfängerinnen und Empfänger sowie die Angaben nach Art. 19 Abs. 4 zur Auslandbekanntgabe. Die Auskunft ist kostenlos (Art. 25 Abs. 6), auf das Recht kann nicht im Voraus verzichtet werden (Art. 25 Abs. 5), und die Einschaltung eines Auftragsbearbeiters entbindet Sie nicht (Art. 25 Abs. 4). Art. 25 Abs. 7 setzt in der Regel 30 Tage, und Art. 18 DSV präzisiert: 30 Tage seit Eingang des Begehrens, mit der Pflicht, die Person zu informieren und eine neue Frist zu nennen, wenn das nicht möglich ist. Art. 28 ergänzt das Recht auf Herausgabe in einem gängigen elektronischen Format oder Übertragung, wenn automatisiert und gestützt auf Einwilligung oder Vertrag bearbeitet wird. Nachweis: eine zuständige Person, ein schriftliches Verfahren und das Protokoll früherer Begehren mit Daten, die die Fristeinhaltung zeigen.

13. Ein Meldeprozess, der vor dem Vorfall beginnt

Art. 24 Abs. 1 verlangt vom Verantwortlichen, dem EDÖB so rasch als möglich eine Verletzung der Datensicherheit zu melden, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte führt, mindestens unter Angabe der Art der Verletzung, ihrer Folgen und der ergriffenen oder vorgesehenen Massnahmen. Art. 24 Abs. 3 verpflichtet Ihren Auftragsbearbeiter, Ihnen eine Verletzung so rasch als möglich zu melden — gesetzlich, nicht bloss vertraglich. Art. 24 Abs. 4 regelt die Information der betroffenen Person. Nachweis: das schriftliche Verfahren mit Namen und Kontakten ausserhalb der Bürozeiten, die Meldezusage Ihres Anbieters und die Beurteilungsvorlage, die Sie in der ersten Stunde ausfüllen würden. Das Zusammenspiel mit Verschlüsselung behandelt unser Beitrag zur Meldepflicht und Verschlüsselung.

Die Nachweistabelle

Die verdichtete Fassung. Ausdrucken, in der dritten Spalte einen Ablageort eintragen — und die Lücken springen ins Auge.

Die fünf Fehler, an denen Prüfungen wirklich scheitern

• Dokumente, die ein System beschreiben, das Sie nicht mehr betreiben. Ein Verzeichnis, das ein vor achtzehn Monaten abgelöstes Formular-Tool aufführt, ist schlimmer als keines: Es belegt, dass der Prozess nicht gepflegt wird.
• Antworten auf Firmenebene zu Fragen auf Formularebene. „Wir haben eine Datenschutzerklärung“ beantwortet nicht, was das Bewerbungsformular erhebt, wer es erhält und wie lange es aufbewahrt wird.
• Aufbewahrung als Absichtserklärung. Eine genannte Frist, die niemand durchsetzt, während vier Jahrgänge Antworten im Konto und in einer verknüpften Tabelle liegen.
• Freitextfelder, die die Risikoklasse still erhöhen. Ein einziges Feld „Gibt es sonst etwas, das wir wissen sollten?“ auf einem Anmeldeformular macht aus einer gewöhnlichen Bearbeitung eine mit Gesundheitsdaten — und ändert damit gleichzeitig die Antworten zu Folgenabschätzung, Verzeichnispflicht und Bearbeitungsreglement.
• Die Annahme, die KMU-Ausnahme gelte. Art. 24 DSV ist eine bedingte Ausnahme, und besonders schützenswerte Daten in grossem Umfang heben sie auf. Das ist der häufigste falsche Negativbefund in Schweizer KMU-Selbsteinschätzungen.

Ein erster Durchgang in 90 Minuten

Wenn die vollständige Liste heute zu viel ist, bringt Sie diese Abfolge an einem Nachmittag von „keine Ahnung“ zu einem belastbaren Arbeitsplan.

Verkürzt eine Zero-Knowledge-Plattform diese Liste?

Sie verkürzt einzelne Punkte und streicht keinen. Zweckprüfung, Rechtfertigung, Datenschutzerklärung, Bearbeitungsverzeichnis, Auftragsbearbeitungsvertrag, Aufbewahrungsentscheid und Auskunftsverfahren schulden Sie weiterhin — Ende-zu-Ende-Verschlüsselung ist keine Befreiung, und wer etwas anderes andeutet, verkauft zu viel.

Was sie ändert, ist das Gewicht dreier Punkte. Die Sicherheitsbeurteilung wird kürzer, weil das Ziel der Vertraulichkeit aus Art. 2 DSV architektonisch erfüllt wird statt durch Vertrauen in die Zugriffskontrollen des Anbieters. Die Transferprüfung wird einfacher, weil Ihren Herrschaftsbereich Geheimtext verlässt statt lesbarer Inhalte. Und der Meldeprozess ändert seine Gestalt, weil ein Vorfall beim Anbieter Daten offenlegt, die niemand lesen kann — was nach Art. 24 ein anderes Gespräch ergibt. Nicht helfen kann Ihnen die Plattform bei der Aufbewahrungsdisziplin und bei der Beantwortung von Auskunftsbegehren: Das bleibt bei Ihnen, und keine Architektur nimmt es Ihnen ab.

Fazit

nDSG-Konformität von Formularen ist kein Zertifikat, und es gibt keine „Konformitätserklärung“, die man einreicht — für gewöhnliche Formularbearbeitungen kennt die Schweiz keine solche Registrierung. Es gibt eine Beweislage: dreizehn Fragen, jede mit einem Dokument beantwortbar, je Bearbeitungstätigkeit. Wer eine Prüfung nicht besteht, ist selten an der Auslegung eines Artikels gescheitert, sondern daran, dass niemand das Verzeichnis, den Löschnachweis oder die datierte Abschätzung vorlegen konnte.

Beginnen Sie also mit dem Formular, das Ihnen am meisten Unbehagen bereitet, arbeiten Sie die dreizehn Punkte ab und halten Sie fest, was fehlt. Und streichen Sie danach die Felder, die Sie nie gebraucht haben — der schnellste Weg durch eine Compliance-Checkliste besteht darin, weniger zu haben, wofür man konform sein muss.