nDSG-Konformität für Online-Formulare

Am 1. September 2023 trat das revidierte Schweizer Datenschutzgesetz — bekannt als nDSG (revDSG) — in Kraft. Das Gesetz modernisiert die Schweizer Datenschutzvorschriften, nähert viele Konzepte an die EU-DSGVO an und erhöht die Anforderungen für jede Organisation, die personenbezogene Daten von Personen in der Schweiz erfasst, erheblich.

Online-Formulare stehen im Zentrum dieses Wandels. Egal ob Sie eine Zahnarztpraxis führen, die Patientengeschichten erfasst, eine Anwaltskanzlei mit Mandantenaufnahme oder einen Webshop mit Kontaktformular — das nDSG gilt für Sie. Dieser Leitfaden erklärt, was das Gesetz verlangt, was sich geändert hat und wie Sie Ihre Formulare in der Praxis konform machen.

Was das nDSG ist — und was sich geändert hat

Das nDSG ist eine vollständige Revision des Schweizer Datenschutzgesetzes von 1992. Es wurde vom Parlament im September 2020 verabschiedet und trat am 1. September 2023 ohne weitere Übergangsfrist in Kraft. Seither ist die Einhaltung obligatorisch.

Die Revision verfolgt zwei Ziele: das Gesetz an das digitale Zeitalter anzupassen und die Angemessenheit des Schweizer Datenschutzregimes aus Sicht der Europäischen Kommission aufrechtzuerhalten — ein entscheidender Punkt für den freien Datenverkehr zwischen der Schweiz und der EU.

Wichtige Änderungen auf einen Blick

• Der Schutz beschränkt sich jetzt auf personenbezogene Daten natürlicher Personen — Daten juristischer Personen sind nicht mehr erfasst
• "Besonders schützenswerte Personendaten" umfassen neu auch genetische und biometrische Daten, die eine Person eindeutig identifizieren
• Privacy by Design und Privacy by Default sind nun ausdrückliche gesetzliche Pflichten
• Datenschutz-Folgenabschätzungen (DSFA) sind bei risikoreicher Bearbeitung obligatorisch
• Meldungen an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) sind bei Verletzungen mit hohem Risiko "so rasch als möglich" erforderlich
• Verantwortliche müssen ein Verzeichnis der Bearbeitungstätigkeiten führen (KMU unter 250 Mitarbeitenden mit risikoarmer Bearbeitung sind ausgenommen)
• Betroffene Personen haben gestärkte Rechte auf Information, Auskunft und Datenportabilität
• Strafbussen von bis zu CHF 250'000 können verantwortliche Personen treffen — nicht nur Unternehmen

Warum Online-Formulare im Fokus der Compliance stehen

Formulare sind der häufigste Einstiegspunkt für personenbezogene Daten in jede Organisation. Sie sind auch meist am wenigsten geprüft. Ein typisches Unternehmen verfügt über Dutzende von Formularen, verteilt auf Websites, Kundenportale und Intranets — jedes davon sammelt im Stillen Namen, Kontaktdaten, Gesundheitsinformationen, Finanzdaten oder andere geschützte Kategorien.

Unter dem nDSG muss jedes dieser Formulare sämtliche gesetzlichen Pflichten erfüllen: eine rechtmässige Grundlage, klare und vollständige Information der betroffenen Person, Verhältnismässigkeit der erhobenen Daten, angemessene Sicherheit und definierte Aufbewahrungsfristen. Der EDÖB hat angedeutet, dass Online-Formulare ein praktischer Prüfungsschwerpunkt sein werden — sie sind sichtbar, testbar und erfüllen häufig nicht einmal die Grundanforderungen.

Sieben zentrale Pflichten für Online-Formulare

1. Rechtsgrundlage und Zweckbindung

Jedes Formular muss Daten zu einem spezifischen, identifizierbaren Zweck erheben. Sie dürfen keine Informationen "auf Vorrat" sammeln oder sie für einen Zweck wiederverwenden, den die betroffene Person nicht erwartet hat. Der Grundsatz der Verhältnismässigkeit verlangt, dass nur Daten erhoben werden, die für den angegebenen Zweck strikt notwendig sind.

2. Informationspflicht

Artikel 19 nDSG erweitert die Informationspflicht. Zum Zeitpunkt der Datenerhebung muss die betroffene Person über Identität und Kontaktangaben des Verantwortlichen, den Zweck der Bearbeitung, die Empfängerkategorien (einschliesslich Auftragsbearbeiter) und die Empfängerstaaten informiert werden. Diese Information muss direkt vom Formular aus zugänglich sein — ein Link zur Datenschutzerklärung ist der übliche Weg.

3. Einwilligung — aber nur wo nötig

Eine Einwilligung ist nicht immer erforderlich, aber wenn doch (z.B. bei besonders schützenswerten Daten oder risikoreichem Profiling), muss sie ausdrücklich, spezifisch, informiert und freiwillig erfolgen. Vorangekreuzte Kästchen, versteckte Checkboxen oder "Mit der Einreichung stimmen Sie allem zu"-Klauseln sind nicht konform.

4. Datensicherheit

Artikel 8 nDSG verpflichtet Verantwortliche und Auftragsbearbeiter, ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Die dazugehörige Verordnung (DSV) und die Leitfäden des EDÖB nennen explizit Verschlüsselung, Pseudonymisierung, Zugriffskontrollen und regelmässige Tests. Für Formulare mit sensiblen Daten wird Ende-zu-Ende-Verschlüsselung rasch zum erwarteten Standard.

5. Datenminimierung und Aufbewahrung

Erheben Sie nur, was Sie benötigen, behalten Sie es nur so lange, wie Sie es brauchen, und löschen oder anonymisieren Sie es danach. Ihr Formular-Tool sollte Ihnen ermöglichen, Aufbewahrungsrichtlinien festzulegen und Eingaben zu löschen, sobald sie für den ursprünglichen Zweck nicht mehr notwendig sind.

6. Rechte der betroffenen Personen

Befragte haben das Recht zu wissen, welche Daten Sie über sie führen, eine Kopie zu verlangen (Datenportabilität), Unrichtigkeiten zu korrigieren und in vielen Fällen die Löschung zu verlangen. Ihre Prozesse und Ihr Formular-Tool müssen es Ihnen ermöglichen, diese Anfragen innerhalb von 30 Tagen zu bearbeiten.

7. Grenzüberschreitende Datenübermittlungen

Die Übermittlung personenbezogener Daten in ein Land ohne angemessenes Datenschutzniveau — was unter Schweizer Recht in vielen Konstellationen die USA einschliesst — erfordert spezifische Garantien: Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften oder ausdrückliche Einwilligung. Für viele Organisationen ist die einfachste Antwort das Hosting der Formulardaten in der Schweiz oder in der EU.

Sanktionen — Warum dies nicht nur "DSGVO light" ist

Ein weit verbreiteter Irrtum ist, das nDSG sei eine abgeschwächte Version der DSGVO. In einem entscheidenden Punkt ist es strenger: Strafrechtliche Sanktionen können verantwortliche natürliche Personen direkt treffen, nicht nur das Unternehmen.

Anders als bei der DSGVO, wo Bussen administrativ sind und gegen Organisationen verhängt werden, sind die Bussen des nDSG strafrechtlich und können gegen Geschäftsleitungsmitglieder, Datenschutzbeauftragte oder andere natürliche Personen verhängt werden, die den Verstoss begangen haben. Das macht persönliche Verantwortung zu einem sehr realen Faktor.

Wie Schweizerform Ihnen bei der Einhaltung hilft

Schweizerform wurde von Anfang an vor dem Hintergrund des nDSG entwickelt. Die Plattform übernimmt viele der technischen Pflichten standardmässig, sodass sich Ihre Compliance-Arbeit auf Richtlinien und Prozesse konzentriert — und nicht darauf, ein Tool nachzurüsten, das für ein anderes regulatorisches Umfeld gebaut wurde.

Ihre nDSG-Compliance-Checkliste für Formulare

Verwenden Sie die folgende Checkliste als Ausgangspunkt. Jeder Punkt entspricht einer der oben besprochenen Kernpflichten.

1. Jedes Formular hat einen dokumentierten Zweck und erhebt nur die dafür strikt notwendigen Daten
2. Eine Datenschutzerklärung ist von jedem Formular direkt verlinkt — mit Verantwortlichem, Zwecken, Empfängern und Empfängerstaaten
3. Wo eine Einwilligung eingeholt wird, erfolgt sie über ein ausdrückliches, klar beschriftetes Kontrollkästchen, das nicht vorangekreuzt ist
4. Besonders schützenswerte Daten werden niemals im Klartext übertragen oder gespeichert — es wird Ende-zu-Ende-Verschlüsselung eingesetzt
5. Formular-Eingaben werden in der Schweiz oder einem Land mit angemessenem Schutz gehostet
6. Für jedes Formular ist eine Aufbewahrungsfrist definiert und wird in der Praxis eingehalten
7. Sie verfügen über einen dokumentierten Prozess, um Auskunfts-, Berichtigungs- und Löschungsanfragen innerhalb von 30 Tagen zu beantworten
8. Ein Prozess zur Meldung von Datenschutzverletzungen existiert und benennt die für die Meldung an den EDÖB verantwortliche Person
9. Das Verzeichnis der Bearbeitungstätigkeiten führt jedes Formular und die erhobenen Daten auf (falls erforderlich)
10. Für risikoreiche Formulare wurde eine Datenschutz-Folgenabschätzung durchgeführt

Das Fazit

Das nDSG ist keine Zukunftsfrage — es ist seit September 2023 in Kraft. Für die meisten Schweizer Organisationen ist der schnellste und nachhaltigste Weg zur Compliance die Kombination guter interner Prozesse mit einer Formular-Plattform, die von Grund auf konform gebaut ist.

Wenn Ihr aktuelles Formular-Tool Eingaben im Klartext speichert, in einer nicht angemessenen Jurisdiktion liegt oder Ihnen keine echte Kontrolle über die Aufbewahrung gibt, tragen Sie ein Compliance-Risiko, das sich leicht beseitigen lässt. Schweizer Hosting und Zero-Knowledge-Verschlüsselung sind keine Premium-Features mehr — sie entsprechen dem, was das Gesetz erwartet.