Die versteckten Kosten manueller DSGVO- und DSG-Compliance für Schweizer KMU

Fragen Sie eine Büroleiterin oder einen Büroleiter in einem Schweizer KMU, wie viel Zeit sie für den Datenschutz aufwenden, erhalten Sie wahrscheinlich erst ein Achselzucken – gefolgt von einem tiefen Seufzer. Niemand budgetiert eine eigene Position für «DSGVO-Admin», und trotzdem ist die Arbeit immer da: das Verarbeitungsverzeichnis nach der Einführung eines neuen Tools aktualisieren, einem Auftragsverarbeiter hinterherlaufen, weil die aktuelle Auftragsverarbeitungsvereinbarung fehlt, unter Zeitdruck eine Meldung zu einer Datenschutzverletzung formulieren – oder sich zu merken, ob die Daten eines bestimmten Kunden unter die EU-DSGVO oder das revidierte Schweizer DSG fallen, und welche Frist entsprechend gilt.

All das ist nicht optional. Seit das revidierte DSG in Kraft getreten ist, müssen Schweizer Unternehmen, die Personendaten bearbeiten – darunter auch viele, die EU-Kunden bedienen oder Personen mit Wohnsitz in der EU beschäftigen – weitgehend dieselbe Dokumentation führen wie unter der DSGVO: ein Verantwortlichenverzeichnis, ein Verarbeitungsverzeichnis, die Kontrolle von Auftragsverarbeitern, ein Vorfallsprotokoll sowie technische und organisatorische Massnahmen (TOM). Das Problem liegt nicht darin, dass die Vorschriften unverhältnismässig wären. Das Problem ist, dass man all das manuell in Excel-Tabellen und E-Mail-Verläufen erledigt – langsam, repetitiv und leicht zu vernachlässigen.

Wo die Stunden tatsächlich hingehen

Für ein kleines Team ohne eigene Compliance-Verantwortliche sieht der realistische wöchentliche Zeitaufwand ungefähr so aus:

• Pflege des Verarbeitungsverzeichnisses (Art. 30): Jedes neue Tool, jeder neue Lieferant, jede Prozessänderung bedeutet, Rechtsgrundlage, Aufbewahrungsfristen und Empfänger von Hand nachzutragen.
• Unterlagen von Auftragsverarbeitern nachverfolgen (Art. 28): PDFs öffnen, Daten manuell ins Verzeichnis übertragen, Lieferanten nachfassen, die ihre Vereinbarung noch nicht geschickt haben.
• Betroffenenanfragen nachverfolgen: die 30-Tage-Frist manuell zählen, sich an die Verlängerungsregeln erinnern, einen Export nach Art. 15 von Hand zusammenstellen.
• TOM und Richtlinien ausarbeiten: von einer generischen Vorlage ausgehen und sie Kategorie für Kategorie an das eigene Geschäft anpassen.
• Schulungsbestätigungen der Mitarbeitenden einholen: Erinnerungs-E-Mails verschicken, nachverfolgen, wer die Richtlinie tatsächlich gelesen und verstanden hat.

Für sich genommen wirkt keiner dieser Punkte gross. Zusammengenommen ergeben sie für ein kleines Unternehmen aber regelmässig drei bis sechs Stunden pro Woche – oft übernommen von jener Person, die am wenigsten Nein sagen kann: eine Büroleitung, eine Gründerperson oder ein externes Treuhandbüro, das nach Stundensatz abrechnet.

Stunden in Franken umgerechnet

Drei bis sechs Stunden pro Woche ergeben etwa 150 bis 300 Stunden im Jahr. Bei internen Vollkosten von CHF 60–90 pro Stunde – oder deutlich mehr, wenn ein externes Treuhandbüro oder eine Anwaltskanzlei die Arbeit übernimmt – kommen so zwischen CHF 9'000 und CHF 27'000 pro Jahr zusammen. Geld, das in administrative Routinearbeit fliesst, die keinen Umsatz generiert und schlimmer noch: genau jene Art von repetitiver Aufgabe ist, bei der sich manuelle Fehler einschleichen – eine verpasste 72-Stunden-Frist für die Meldung eines Datenschutzvorfalls, eine veraltete Liste der Auftragsverarbeiter, eine Datenschutz-Folgenabschätzung, die nie geschrieben wurde, weil niemand einen freien Nachmittag hatte.

Das sind die wahren Kosten manueller Compliance: nicht nur die Stunden, sondern das Risiko, das sich darunter verbirgt.

Was sich ändert, wenn Compliance im selben Workspace läuft

Dem DSGVO- und Schweizer DSG-Compliance-Modul von Flitz liegt eine einfache Idee zugrunde: Datenschutz sollte kein separates System sein, das zusätzlich zur Buchhaltung aufgesetzt wird. Es läuft im selben Workspace, und jeder Eintrag weiss bereits, welcher Rechtsordnung er unterliegt – die Frist für Meldungen wechselt also automatisch zwischen den strikten 72 Stunden der DSGVO und dem flexibleren «so rasch als möglich» des DSG, ohne dass jemand prüfen muss, welches Gesetz greift.

Die Zeitersparnis entsteht dadurch, dass manuelle Schritte wegfallen – nicht dadurch, dass ein weiteres Tool verwaltet werden muss:

• Das Verantwortlichenverzeichnis und das Profil der/des Datenschutzbeauftragten entstehen durch ein KI-Interview – keine leeren Formulare, die von Grund auf ausgefüllt werden müssen.
• Das Verarbeitungsverzeichnis nach Art. 30 wird durch dasselbe KI-Interview vorausgefüllt, inklusive Rechtsgrundlage, Aufbewahrungsfristen und Empfängern.
• Auftragsverarbeiter nach Art. 28 werden automatisch aus Ihrer Umgebung erkannt, und beim Hochladen einer Vereinbarung als PDF werden die strukturierten Angaben automatisch extrahiert – kein manuelles Übertragen von Lieferantenunterlagen mehr.
• Eine Schwellenwertprüfung für die Datenschutz-Folgenabschätzung nach Art. 35 läuft mit einem Klick, wobei die KI die vollständige Abschätzung zur Prüfung durch die Datenschutzbeauftragte oder den Datenschutzbeauftragten entwirft.
• Betroffenenanfragen verwalten ihre eigene 30-Tage-Frist, bieten eine Verlängerung um 60 Tage per Klick und exportieren ein fertiges Paket nach Art. 15.
• Meldungen von Datenschutzverletzungen an Behörden und betroffene Personen werden von der KI entworfen, sobald ein Vorfall erfasst wird.
• Eine TOM-Grundlage über 12 Kategorien wird spezifisch für Ihr Unternehmen generiert, statt aus einer generischen Vorlage kopiert zu werden.
• Mitarbeiterschulungen werden mit E-Mail-Einladungen, Bestätigungs-Tokens und Erinnerungen verschickt, die keine manuelle Nachverfolgung erfordern.

Mehr Fokus statt nur mehr Zeit

Der eigentliche Mehrwert liegt nicht nur in den gewonnenen Stunden – sondern darin, wofür ein kleines Team die Aufmerksamkeit nutzen kann, die bisher über Excel-Tabellen, Erinnerungs-E-Mails und PDF-Ordner verstreut war. Eine Dokumentenbibliothek mit «Als geprüft markieren»-Funktion sowie ein passwortgeschütztes, zeitlich befristetes öffentliches Auditor-Dossier sorgen dafür, dass ein Nachweis der Compliance für Kunden, Partner oder Prüfer nur einen Link entfernt ist – statt hektischer Last-Minute-Arbeit.

Alles, was die KI entwirft, geht weiterhin über den Tisch Ihrer Datenschutzbeauftragten oder Ihres Datenschutzbeauftragten, bevor es endgültig ist – Flitz bietet keine Rechtsberatung, und das steht auf jeder Seite. Das Ziel ist nicht, das fachliche Urteilsvermögen zu ersetzen, sondern die Stunden manueller Vorarbeit zu beseitigen, die zwischen einem kleinen Schweizer Unternehmen und einem tatsächlich aktuell gehaltenen Compliance-Programm stehen.

Compliance-Arbeit verschwindet nicht, wenn man sie ignoriert – sie wird später nur teurer. Der günstigste Zeitpunkt, sich darum zu kümmern, ist jetzt, mit weniger manuellem Aufwand, als die meisten Teams für möglich halten.