Wer muss ein Verzeichnis führen?
In der Schweiz führen Verantwortliche und Auftragsbearbeiter je ein Verzeichnis ihrer Bearbeitungstätigkeiten (Art. 12 Abs. 1 DSG). Befreit sind nach Art. 24 DSV Unternehmen, die am 1. Januar eines Jahres weniger als 250 Mitarbeitende beschäftigen, sowie natürliche Personen – es sei denn, sie bearbeiten umfangreich besonders schützenswerte Personendaten oder führen ein Profiling mit hohem Risiko durch.
In der EU gilt Art. 30 DSGVO. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten (Art. 30 Abs. 5 DSGVO) ist eng: Sie greift nicht, wenn die Verarbeitung ein Risiko birgt, nicht nur gelegentlich erfolgt oder besondere Kategorien von Daten betrifft. Wer regelmässig Kunden- oder Personaldaten verarbeitet, ist deshalb in aller Regel verpflichtet. Die EU will diese Ausnahme ausweiten; eine entsprechende Änderung ist im Gesetzgebungsverfahren, aber noch nicht in Kraft (Stand: Oktober 2026).
Was gehört ins Verzeichnis?
DSG und DSGVO verlangen fast dieselben Angaben:
| Angabe | DSG (Art. 12 Abs. 2) | DSGVO (Art. 30 Abs. 1) |
|---|---|---|
| Identität des Verantwortlichen | ja | ja, mit Kontaktdaten und Datenschutzbeauftragten |
| Zweck der Bearbeitung | ja | ja |
| Kategorien betroffener Personen und Personendaten | ja | ja |
| Kategorien der Empfänger | ja | ja |
| Aufbewahrungsdauer oder Kriterien dafür | wenn möglich | wenn möglich |
| Beschreibung der Sicherheitsmassnahmen | wenn möglich | wenn möglich |
| Bekanntgabe ins Ausland mit Staat und Garantien | ja | ja |
Warum veraltet das Verzeichnis so schnell?
Viele Verzeichnisse entstehen einmal aus Interviews und Fragebögen und leben danach in einer Tabelle. Neue Anwendungen, Cloud-Dienste und KI-Werkzeuge kommen dazu, Exporte entstehen, Verantwortliche wechseln – und niemand trägt die Änderungen nach.
Dazu kommt ein zweites Problem: Die Aufbewahrungsfristen stehen zwar im Verzeichnis, aber in den Systemen wird trotzdem nicht gelöscht. Das Dokument beschreibt dann eine Ordnung, die es in der Wirklichkeit nicht gibt.
Von der Excel-Liste zum lebenden Verzeichnis
Ein Verzeichnis bleibt aktuell, wenn es mit den Systemen verbunden ist statt nur mit den Menschen, die es pflegen:
- 1Systeme mit verantwortlichen Personen, Kritikalität und Status führen.
- 2Funde aus einer technischen Suche abgleichen, damit auch unbekannte Ablagen auftauchen.
- 3Die Orte mit Personendaten von den Fachverantwortlichen bestätigen lassen.
- 4Aufbewahrungsfristen mit Begründung und Rechtsgrundlage im Vier-Augen-Prinzip freigeben.
- 5Freigegebene Fristen an die Löschung übergeben, damit sie in den Systemen gelten.
- 6Lücken sichtbar machen: Systeme ohne Verantwortliche, unbestätigte Einträge, Fristen ohne Grundlage.