Ein Eigentümer, vier Firmen. Für das Datenschutzgesetz sind das vier Fremde

Aktenordner in einem Büroregal. Foto: Shixart1985 / Wikimedia Commons, CC BY 2.0 · Foto: Shixart1985 / Wikimedia Commons, CC BY 2.0 (Lizenz)

Die Holding gehört dem Patron. Die Betriebs-AG auch, ebenso die Immobilien-AG und die kleine Service-Gesellschaft, die Löhne und IT für alle erledigt. Ein Eigentümer, ein Verwaltungsrat, oft ein einziges Büro. Für das Datenschutzgesetz sind es trotzdem vier Fremde.

Warum ist die Holding datenschutzrechtlich ein Dritter?

Weil das Gesetz auf die einzelne Gesellschaft schaut, nicht auf den Eigentümer. Verantwortlich ist laut Art. 5 DSG, wer «allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet». Jede Aktiengesellschaft ist eine eigene Person. Eine Bearbeitung innerhalb derselben juristischen Person ist grundsätzlich keine Auftragsbearbeitung, hält der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte EDÖB fest. Zwischen zwei Gesellschaften derselben Gruppe ist es dagegen eine Bearbeitung über die Grenze einer juristischen Person hinweg.

Ganz ohne Konzern kommt das Schweizer Gesetz allerdings nicht aus. An drei eng begrenzten Stellen gelten Gesellschaften derselben Gruppe ausdrücklich nicht als Dritte: bei einer Ausnahme von der Informationspflicht (Art. 20 Abs. 4), bei einer Einschränkung des Auskunftsrechts (Art. 26 Abs. 3) und bei Daten, die eine Firma für den wirtschaftlichen Wettbewerb bearbeitet (Art. 31 Abs. 2 Bst. b). Ein Freipass für den Datenaustausch in der Gruppe ist das nicht. Wer welche Daten bekommen darf, regeln diese Stellen nicht.

Wie viele Firmen in der Schweiz sind davon betroffen?

Mehr, als man denkt. 66 293 Unternehmen gehörten 2024 zu einer Unternehmensgruppe, dort arbeiteten 2 136 580 Menschen. Das sind mehr als zwei von fünf Arbeitsplätzen im marktwirtschaftlichen Sektor. Knapp drei Viertel dieser Tochterfirmen gehören zu Schweizer Gruppen, meldet das Bundesamt für Statistik.

Die Grafik zeigt die Grössenordnung. Gemeint sind nicht nur Konzerne. Auch für einen Malerbetrieb mit Holding und eigener Liegenschaftsgesellschaft gelten dieselben Regeln.

Wann darf eine Gruppengesellschaft die Daten einer anderen bearbeiten?

Wenn klar ist, in welcher Rolle sie das tut. Drei Rollen sind möglich:

Rolle	Typisches Beispiel	Was es braucht
Auftragsbearbeitung (Art. 9 DSG)	Die Service AG rechnet die Löhne der Betriebs AG ab, nach deren Weisung.	Vertragliche Grundlage, Datensicherheit, keine eigenen Zwecke
Bekanntgabe an einen Dritten	Die Holding wertet Personaldaten aller Töchter für eigene Planung aus.	Einhaltung der Grundsätze, Information der Betroffenen, bei heiklen Daten ein Rechtfertigungsgrund
Gemeinsame Verantwortung	Holding und Tochter betreiben zusammen ein HR-System und legen Zweck und Mittel gemeinsam fest.	Empfohlen: eine klare Abmachung, wer welche Pflicht übernimmt

Die erste Rolle ist die häufigste und die schärfste. Der Verantwortliche bleibt für den Datenschutz verantwortlich, auch wenn er die Arbeit abgibt. Und der Auftragsbearbeiter darf die Daten grundsätzlich nicht für eigene Zwecke nutzen, schreibt der EDÖB. Wer der Service AG die Lohnabrechnung überträgt, braucht also eine vertragliche Grundlage. Auch wenn beide Firmen derselben Person gehören. Anders als die europäische DSGVO schreibt das Schweizer Gesetz weder eine Form noch einen Mindestinhalt für diesen Vertrag vor. Schriftlich festhalten sollte man ihn trotzdem, schon als Beweis.

Was gilt für Lohn- und Personaldaten?

Hier wird es streng. Nach Art. 328b OR darf ein Arbeitgeber nur Daten bearbeiten, die die Eignung für die Stelle betreffen oder für den Arbeitsvertrag nötig sind. Davon darf nicht zum Nachteil der Angestellten abgewichen werden, betont der EDÖB. Eine Rechtfertigung brauche eine Bearbeitung zwar weiterhin nicht, wohl aber jedes Abweichen von solchen Grundsätzen, schreibt der Datenschutzanwalt David Rosenthal. Er rät, die Weitergabe innerhalb der Gruppe in der Datenschutzerklärung für Mitarbeitende zu nennen und im Arbeitsvertrag zu regeln.

Besonders heikel sind Arztzeugnisse und andere Gesundheitsdaten. Gibt eine Gesellschaft solche Daten einer anderen für deren eigene Zwecke bekannt, liegt laut Art. 30 DSG grundsätzlich eine Persönlichkeitsverletzung vor. Dann braucht es einen Rechtfertigungsgrund, etwa die Einwilligung oder ein überwiegendes Interesse.

Was riskiert die Geschäftsleitung?

Eine Busse bis 250 000 Franken. Sie trifft nicht die Firma, sondern nach Art. 61 DSG private Personen, die vorsätzlich handeln, etwa wer «die Datenbearbeitung einem Auftragsbearbeiter übergeben, ohne dass die Voraussetzungen nach Artikel 9 Absätze 1 und 2 erfüllt sind». Bestraft wird nur auf Antrag. Die Firma statt der Person kann die Behörde nur verurteilen, wenn die Busse höchstens 50 000 Franken beträgt und die Suche nach der verantwortlichen Person unverhältnismässig wäre. Wie aktiv die Aufsicht ist, zeigt der jüngste Jahresbericht: Über 2000 Meldungen möglicher Datenschutzverletzungen gingen beim EDÖB ein, berichtete die Netzwoche.

Wie bringt eine KMU-Gruppe ihre Datenflüsse in Ordnung?

1. Datenflüsse aufzeichnen. Welche Gesellschaft schickt welche Personendaten an welche andere? Ein Blatt Papier reicht für den Anfang. Ein formelles Verzeichnis der Bearbeitungstätigkeiten verlangt das Gesetz von Unternehmen erst ab 250 Mitarbeitenden, ausser sie bearbeiten in grossem Umfang besonders schützenswerte Daten oder betreiben Profiling mit hohem Risiko (Art. 24 DSV).
2. Rolle je Fluss bestimmen. Auftrag, Bekanntgabe oder gemeinsame Verantwortung.
3. Einen Rahmenvertrag für die Gruppe abschliessen. Er regelt die Auftragsbearbeitungen auf einmal, statt für jede Kombination einen eigenen Vertrag.
4. Zugriffe nach Aufgabe vergeben. Die Lohnbuchhaltung braucht den Lohn, nicht das Bewerbungsdossier.
5. Mitarbeitende informieren. Die Datenschutzerklärung nennt die Gruppengesellschaften als Empfänger.
6. Ausland prüfen. Sitzt eine Gesellschaft der Gruppe im Ausland, gelten zusätzlich die Regeln für die Bekanntgabe ins Ausland nach Art. 16 DSG.

Unsere Einschätzung: Viele KMU-Gruppen sind aus guten Gründen entstanden, wegen der Haftung, der Liegenschaften oder einer späteren Nachfolge. Die Struktur, die das Vermögen trennt, trennt aber auch die Daten. Das macht den Alltag nicht kompliziert, wenn es einmal sauber geregelt ist. Ein Rahmenvertrag und eine klare Zugriffsliste lösen die meisten Fälle. Wer eine Holding für den Firmenkauf plant, findet die steuerliche Seite in unserem Beitrag zum Management-Buy-out. Welche Wege es bei der Nachfolge gibt, zeigt dieser Vergleich. Warum gerade Schweizer KMU Ziel von Cyberangriffen sind, steht in unserer Titelgeschichte.

Dieser Beitrag ersetzt keine Rechtsberatung.

Häufige Fragen

Gibt es im Schweizer Datenschutzrecht ein Konzernprivileg?

Kein allgemeines. Jede Gesellschaft einer Gruppe ist datenschutzrechtlich eigene Verantwortliche. Nur an drei eng begrenzten Stellen gelten Gruppengesellschaften nicht als Dritte (Art. 20 Abs. 4, Art. 26 Abs. 3 und Art. 31 Abs. 2 Bst. b DSG). Für den Austausch von Daten muss die Rolle geklärt sein: Auftragsbearbeitung nach Art. 9 DSG, Bekanntgabe an einen Dritten oder gemeinsame Verantwortung.

Braucht es zwischen Holding und Tochter einen Auftragsbearbeitungsvertrag?

Ja, wenn die eine Gesellschaft Personendaten im Auftrag der anderen bearbeitet, zum Beispiel die Lohnabrechnung. Nach Art. 9 DSG wird eine Auftragsbearbeitung durch Vertrag oder Gesetz übertragen, und der Verantwortliche muss sich vergewissern, dass die Datensicherheit gewährleistet ist. Eine bestimmte Form verlangt das Schweizer Recht nicht, schriftlich ist aber zu empfehlen.

Darf die Holding Arztzeugnisse der Mitarbeitenden einer Tochter sehen?

In der Regel nicht ohne Weiteres. Gesundheitsdaten sind besonders schützenswert. Ihre Bekanntgabe an eine andere Gesellschaft ist grundsätzlich eine Persönlichkeitsverletzung und braucht einen Rechtfertigungsgrund. Zudem erlaubt Art. 328b OR nur Daten mit Bezug zum Arbeitsverhältnis.

Wie hoch ist die Busse bei Verstössen gegen das DSG?

Bis 250 000 Franken für die verantwortliche natürliche Person, wenn sie vorsätzlich handelt und Strafantrag gestellt wird (Art. 61 DSG). Bei Bussen bis 50 000 Franken kann statt der Person die Firma verurteilt werden, wenn die Suche nach der verantwortlichen Person unverhältnismässig wäre (Art. 64 DSG).

Sie lesen Leitgrad öfter? Bei Google als bevorzugte Quelle markieren