Juristische Unterstützung im Datenschutzprojekt: Aufgaben, Rollen und Ablauf

Kurzantwort: Ein Datenschutzprojekt umfasst juristisch vor allem fünf Aufgaben: das Verzeichnis der Bearbeitungs- bzw. Verarbeitungstätigkeiten (Art. 12 DSG, Art. 30 DSGVO), Datenschutz-Folgenabschätzungen bei hohem Risiko (Art. 22 DSG, Art. 35 DSGVO), Verträge mit Auftragsbearbeitern (Art. 9 DSG, Art. 28 DSGVO), Datenbekanntgaben ins Ausland (Art. 16 f. DSG, Art. 44 ff. DSGVO) sowie Prozesse für Betroffenenanfragen und Datenpannen. Datenschutzjuristen klären Rechtsgrundlagen, Risiken und Verträge, Privacy Analysts erheben Daten und Prozesse. Eine formal benannte Funktion als Datenschutzbeauftragter oder Datenschutzberater ist davon getrennt zu regeln.

Dieser Beitrag richtet sich an General Counsel, Datenschutzverantwortliche und Projektleitungen in der Schweiz und in Deutschland, die ein DSGVO- oder revDSG-Projekt aufsetzen oder nachholen. Er zeigt die typischen Datenschutzprojekt-Aufgaben, die Rollen, einen Ablauf in Phasen und die Unterschiede zwischen DSGVO und revDSG, die den Aufwand bestimmen.

Typische Aufgaben im Datenschutzprojekt

Die meisten Datenschutzprojekte bestehen aus fünf Arbeitspaketen, die je ein klares Ergebnis und ein passendes Profil haben. Die Tabelle gibt den Überblick; die Abschnitte darunter nennen die Normen.

Verzeichnis der Bearbeitungstätigkeiten

Verantwortliche und Auftragsbearbeiter führen in beiden Rechtsordnungen ein Verzeichnis. Nach Art. 12 Abs. 2 DSG enthält es mindestens die Identität des Verantwortlichen, den Zweck, die Kategorien betroffener Personen und Daten, die Empfänger, wenn möglich Aufbewahrungsdauer und Sicherheitsmassnahmen sowie bei Auslandsbekanntgabe den Staat und die Garantien. In der Schweiz sind Unternehmen mit weniger als 250 Mitarbeitenden ausgenommen, wenn ihre Bearbeitung ein geringes Risiko birgt (Art. 12 Abs. 5 DSG). Die DSGVO kennt eine eigene Ausnahme in Art. 30 Abs. 5.

Datenschutz-Folgenabschätzung

Eine DSFA ist vorab nötig, wenn eine Bearbeitung ein hohes Risiko für die betroffenen Personen mit sich bringen kann, insbesondere bei neuen Technologien (Art. 22 DSG, Art. 35 DSGVO). Sie beschreibt die Bearbeitung, bewertet die Risiken und legt Massnahmen fest. Bleibt trotz Massnahmen ein hohes Risiko, ist vorgängig der EDÖB (Art. 23 DSG) bzw. die Aufsichtsbehörde (Art. 36 DSGVO) zu konsultieren.

Auftragsbearbeitung

Wer Personendaten durch Dienstleister bearbeiten lässt, überträgt die Bearbeitung durch Vertrag oder Gesetz und muss sich vergewissern, dass der Dienstleister die Datensicherheit gewährleistet; Unterauftragnehmer brauchen eine vorgängige Genehmigung (Art. 9 DSG). Die DSGVO schreibt für den Vertrag zusätzlich einen festen Mindestinhalt vor, etwa Weisungsbindung und Vertraulichkeit (Art. 28 Abs. 3 DSGVO).

Bekanntgabe ins Ausland

Aus der Schweiz dürfen Personendaten in Staaten bekanntgegeben werden, deren Gesetzgebung nach Feststellung des Bundesrats einen angemessenen Schutz gewährleistet; sonst braucht es Garantien wie vom EDÖB genehmigte oder anerkannte Standarddatenschutzklauseln (Art. 16 Abs. 2 DSG). Seit dem 15. September 2024 gelten die USA für Unternehmen, die nach dem Swiss-US Data Privacy Framework zertifiziert sind, als angemessen. Für die EU regelt Kapitel V DSGVO (Art. 44 ff.) die Übermittlung in Drittländer.

Betroffenenanfragen und Datenpannen

Auskunft ist in der Schweiz in der Regel innerhalb von 30 Tagen und kostenlos zu erteilen (Art. 25 Abs. 6 und 7 DSG), nach DSGVO innerhalb eines Monats, verlängerbar um zwei Monate (Art. 12 Abs. 3 DSGVO). Datenpannen meldet der Verantwortliche nach DSGVO binnen 72 Stunden der Aufsichtsbehörde (Art. 33), nach DSG dem EDÖB so rasch als möglich, wenn voraussichtlich ein hohes Risiko besteht (Art. 24).

Rollen: Datenschutzjurist, Privacy Analyst, Datenschutzbeauftragte bzw. -berater

Ein Datenschutzprojekt braucht juristische und operative Rollen; die formal benannte Datenschutzfunktion berät und überwacht, ersetzt aber nicht das Projektteam.

• Datenschutzjurist: Rechtsgrundlagen, Interessenabwägungen, DSFA-Bewertung, Verträge, Transfers, Richtlinien und Datenschutzerklärungen.
• Privacy Analyst oder Datenschutzkoordinator: Interviews mit Fachbereichen, Dateninventar, Pflege des Verzeichnisses, Vorlagen und Fristenkontrolle.
• Informationssicherheit und IT: technische und organisatorische Massnahmen zur Datensicherheit (Art. 8 DSG, Art. 32 DSGVO).
• Datenschutzbeauftragter (DE) bzw. Datenschutzberater (CH): formale Funktion nach Art. 37–39 DSGVO und § 38 BDSG bzw. freiwillig nach Art. 10 DSG. Bei einer DSFA holt der Verantwortliche den Rat des Datenschutzbeauftragten ein (Art. 35 Abs. 2 DSGVO).

Projektunterstützung ersetzt nicht automatisch einen Datenschutzbeauftragten. Operative Mitarbeit und eine benannte Funktion sind unterschiedliche Rollen. Zu klären ist, welche Tätigkeit gebraucht wird, welche Qualifikation sie voraussetzt und welche Verantwortung intern bleibt. Was bei einer Vakanz der Funktion gilt, beschreibt der Beitrag Datenschutzbeauftragte: Vakanz überbrücken.

Alpinum Solutions stellt Datenschutzjuristen und Privacy Analysts über Staff Leasing oder Freelancing bereit, in der Schweiz und in Deutschland, in Teilzeit oder Vollzeit, einzeln oder als Projektteam. Das Unternehmen steuert den Einsatz: Im Staff Leasing gibt es die fachlichen Weisungen, im Freelancing arbeitet die Fachkraft eigenverantwortlich im Rahmen des vereinbarten Mandats.

Ablauf eines Datenschutzprojekts in Phasen

Ein Datenschutzprojekt verläuft in sechs Phasen, die sich teilweise überlappen.

1. Auftrag klären: Gesellschaften, Länder, Systeme, Zieltermine und interne fachliche Leitung festlegen. Den Aufgabenbestand mit Fristen und internen Verantwortlichen erfassen.
2. Bestand erheben: Bearbeitungen je Fachbereich aufnehmen, Dienstleister und Auslandstransfers identifizieren. Wiederkehrende Dokumentenarbeit von komplexen Einzelfragen trennen.
3. Bewerten: Rechtsgrundlagen, Informationspflichten, DSFA-Bedarf und Transfergarantien prüfen; Lücken priorisieren.
4. Umsetzen: Verzeichnis fertigstellen, Verträge nachverhandeln, Datenschutzerklärungen anpassen, DSFA durchführen. Vorlagen, Prüfkriterien und bisherige Entscheidungen zentral bereitstellen.
5. Prozesse verankern: Abläufe für Auskunftsbegehren, Datenpannen und neue Bearbeitungen einführen; Rückfragen an Fachbereiche und interne Freigaben verbindlich organisieren.
6. Schulen und übergeben: Ergebnisse mit Quellen, Bearbeitungsstand und offenen Punkten dokumentieren, damit das interne Team die Arbeit fortsetzen kann.

Was ins Briefing gehört

Ein gutes Briefing beschreibt die konkreten Dokumente und Prozesse, betroffene Länder, Sprachen, Systeme, Zieltermine und die interne fachliche Leitung. Für eine Aufwandsschätzung helfen anonymisierte Mengen- und Komplexitätsangaben, etwa die Zahl der Fachbereiche, Dienstleister und Länder. Eine Vorlage bietet der Beitrag Interim-Juristen richtig briefen.

Unterschiede zwischen DSGVO und revDSG, die das Projekt beeinflussen

Das revidierte DSG ist seit dem 1. September 2023 in Kraft und folgt in vielen Punkten der DSGVO. Einige Unterschiede verändern aber Umfang und Prioritäten eines Projekts:

• Begriffe: Das DSG spricht von Bearbeitung und besonders schützenswerten Personendaten, die DSGVO von Verarbeitung und besonderen Kategorien personenbezogener Daten.
• Sanktionen: Die DSGVO sieht Bussgelder gegen Unternehmen bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes vor. Das DSG sieht Bussen bis CHF 250'000 vor, die sich grundsätzlich gegen verantwortliche natürliche Personen richten. Schulungen für Führungskräfte haben in der Schweiz deshalb hohe Priorität.
• Datenpannen: 72 Stunden nach DSGVO gegenüber «so rasch als möglich» und nur bei voraussichtlich hohem Risiko nach DSG.
• Datenschutzfunktion: In Deutschland ist ein Datenschutzbeauftragter ab in der Regel 20 Personen Pflicht, die ständig mit automatisierter Verarbeitung beschäftigt sind (§ 38 BDSG, Stand Oktober 2026). In der Schweiz ist der Datenschutzberater freiwillig (Art. 10 DSG).
• Auskunft: 30 Tage nach DSG, ein Monat nach DSGVO.
• Vertretung: Ausländische Verantwortliche brauchen unter bestimmten Voraussetzungen eine Vertretung in der Schweiz (Art. 14 DSG) bzw. in der EU (Art. 27 DSGVO).

Unternehmen, die in beiden Märkten tätig sind, bauen ihr Projekt meist auf dem strengeren Standard auf und ergänzen die Schweizer Besonderheiten. Einen ausführlichen Vergleich enthält der Beitrag DSGVO und revDSG im Vergleich. Für neue Produkte und KI-Funktionen gelten zusätzliche Prüfschritte, die im Beitrag zu Datenschutz bei Produktlaunches beschrieben sind.

Grenzen und Risiken

• Verantwortung bleibt beim Unternehmen: Das Unternehmen ist Verantwortlicher im Sinne von DSG und DSGVO. Externe Fachkräfte bereiten vor und setzen um; Entscheide trifft das Unternehmen.
• Keine Rechtsberatung: Alpinum ist keine Kanzlei. Für Verfahren vor Behörden oder Gerichten braucht es gegebenenfalls eine Kanzlei.
• Formale Funktion klar trennen: Soll eine eingesetzte Person zugleich Datenschutzbeauftragte oder -berater werden, sind Unabhängigkeit und Interessenkonflikte vorab zu prüfen.
• Zugriffe begrenzen: Projektmitarbeitende sehen oft sensible Daten. Zugriffe nach dem Need-to-know-Prinzip vergeben und dokumentieren.
• Kein Projekt ohne Betrieb: Ein Verzeichnis ohne Pflegeprozess veraltet schnell. Zuständigkeiten nach Projektende gehören in die Übergabe.

Häufige Fragen zum Datenschutzprojekt

Braucht es für ein Datenschutzprojekt Juristen?

Für die Erhebung von Daten und Prozessen nicht zwingend, für die Bewertung ja. Rechtsgrundlagen, Interessenabwägungen, DSFA, Auftragsbearbeitungsverträge und Auslandstransfers verlangen juristisches Urteil. Praktikabel ist ein Tandem: Privacy Analysts erheben und dokumentieren, Datenschutzjuristen prüfen, entscheiden über Eskalationen und formulieren Verträge und Richtlinien.

Wie lange dauert ein Verzeichnis der Bearbeitungstätigkeiten?

Eine feste Dauer gibt es nicht. Den Aufwand bestimmen die Zahl der Gesellschaften, Fachbereiche, Systeme und Dienstleister sowie die Verfügbarkeit der Ansprechpersonen in den Fachbereichen. Ein Pilot mit einem Fachbereich liefert eine belastbare Schätzung für den Rest. Danach braucht das Verzeichnis einen festen Pflegeprozess, damit es aktuell bleibt.

Muss jedes Unternehmen in der Schweiz ein Verzeichnis führen?

Grundsätzlich ja. Art. 12 DSG verpflichtet Verantwortliche und Auftragsbearbeiter, ein Verzeichnis zu führen. Ausgenommen sind Unternehmen mit weniger als 250 Mitarbeitenden, deren Datenbearbeitung ein geringes Risiko von Persönlichkeitsverletzungen mit sich bringt (Art. 12 Abs. 5 DSG, Ausführung in der DSV). Wer besonders schützenswerte Daten in grossem Umfang bearbeitet, sollte von einer Pflicht ausgehen.

Ersetzt ein Projektteam den Datenschutzbeauftragten?

Nein. Der Datenschutzbeauftragte nach DSGVO und BDSG ist eine benannte Funktion mit eigener Stellung: Er ist bei der Erfüllung seiner Aufgaben weisungsfrei und berichtet der höchsten Managementebene (Art. 38 DSGVO). Ein Projektteam arbeitet dagegen im Auftrag des Unternehmens. Beides lässt sich kombinieren, wenn Rollen und Interessenkonflikte sauber geklärt sind.

Wer wird in der Schweiz bei Datenschutzverstössen gebüsst?

Nach dem DSG richten sich Bussen bis CHF 250'000 grundsätzlich gegen die verantwortlichen natürlichen Personen, nicht gegen das Unternehmen (Art. 60–63 DSG). In der EU richten sich Bussgelder nach Art. 83 DSGVO gegen das Unternehmen, bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes. Für Schweizer Projekte sind klare Zuständigkeiten und Schulungen deshalb besonders wichtig.

Nächster Schritt

Wenn ein DSGVO- oder revDSG-Projekt zusätzliche Kapazität braucht, stellt Alpinum Datenschutzjuristen, Privacy Analysts und Projektteams bereit. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

• Datenschutz- und IT-Recht: Projektjuristen
• DSGVO und revDSG im Vergleich
• Datenschutzbeauftragte: Vakanz überbrücken
• Bedarf besprechen

Stand: 30. Oktober 2026.