nDSG und Datenschutz bei der Verarbeitung von Kontoauszügen in der Schweiz
Kontoauszüge enthalten hochsensible Finanzdaten: Kontostände, Transaktionsdetails, Zahlungspartner und IBAN-Nummern. Wer diese Daten digital verarbeitet – sei es durch Umwandlung, Speicherung oder Weitergabe – muss die Anforderungen des neuen Schweizer Datenschutzgesetzes (nDSG) kennen und einhalten.
Das neue Datenschutzgesetz (nDSG) im Überblick
Das revidierte Bundesgesetz über den Datenschutz (nDSG) ist am 1. September 2023 in Kraft getreten und ersetzt das bisherige DSG von 1992. Es bringt die Schweizer Datenschutzgesetzgebung auf den Stand der europäischen DSGVO und stärkt den Schutz persönlicher Daten erheblich.
Die wichtigsten Neuerungen
| Bereich | Alte Regelung (DSG 1992) | Neue Regelung (nDSG 2023) |
|---|---|---|
| Geltungsbereich | Daten juristischer und natürlicher Personen | Nur noch Daten natürlicher Personen |
| Informationspflicht | Eingeschränkt | Erweiterte Pflicht zur Information bei Datenerhebung |
| Datenschutz-Folgenabschätzung | Nicht vorgesehen | Pflicht bei risikoreicher Datenbearbeitung |
| Meldepflicht bei Datenschutzverletzungen | Keine | Pflicht zur Meldung an den EDÖB |
| Sanktionen | Maximal CHF 10'000 | Bis zu CHF 250'000 (gegen verantwortliche Personen) |
| Privacy by Design | Nicht explizit geregelt | Gesetzlich vorgeschrieben |
| Profiling | Nicht spezifisch geregelt | Klare Regelungen und Einwilligungspflicht |
Was sind «besonders schützenswerte Personendaten»?
Das nDSG definiert bestimmte Datenkategorien als besonders schützenswert. Finanzdaten fallen zwar nicht explizit in diese Kategorie, gelten aber aufgrund ihrer Sensibilität als besonders schutzwürdig. Kontoauszüge enthalten:
- Persönliche Identifikationsdaten: Name, IBAN, Kontonummer
- Finanzielle Transaktionsdaten: Beträge, Zahlungspartner, Verwendungszwecke
- Verhaltensprofile: Aus Transaktionsmustern lassen sich Rückschlüsse auf Lebensstil, Gesundheit, politische Haltung etc. ziehen
nDSG-Anforderungen an die Verarbeitung von Kontoauszügen
1. Zweckbindung
Kontoauszugsdaten dürfen nur für den angegebenen Zweck verarbeitet werden. Bei SmartKontoauszug ist der Zweck klar definiert: Umwandlung von PDF-Kontoauszügen in strukturierte Formate (CSV, Excel). Eine Weiterverwendung der Daten für andere Zwecke findet nicht statt.
2. Datensparsamkeit
Es dürfen nur die Daten erhoben und verarbeitet werden, die für den Zweck tatsächlich erforderlich sind. SmartKontoauszug verarbeitet ausschliesslich die im PDF enthaltenen Transaktionsdaten – keine zusätzlichen persönlichen Informationen.
3. Datensicherheit
Das nDSG verlangt angemessene technische und organisatorische Massnahmen (TOM) zum Schutz personenbezogener Daten. Dazu gehören:
- Verschlüsselung bei der Übertragung und Speicherung
- Zugriffskontrollen
- Regelmässige Sicherheitsüberprüfungen
- Protokollierung von Datenzugriffen
4. Informationspflicht
Betroffene Personen müssen über die Datenverarbeitung informiert werden. Dies umfasst:
- Welche Daten erhoben werden
- Zu welchem Zweck die Verarbeitung erfolgt
- Wie lange die Daten gespeichert werden
- An wen die Daten weitergegeben werden
5. Löschpflicht
Personenbezogene Daten müssen gelöscht werden, sobald sie für den Verarbeitungszweck nicht mehr benötigt werden.
Wie SmartKontoauszug das nDSG umsetzt
SmartKontoauszug wurde von Grund auf mit Datenschutz im Mittelpunkt entwickelt – «Privacy by Design», wie es das nDSG verlangt.
Technische Massnahmen
| Massnahme | Umsetzung |
|---|---|
| Verschlüsselung | TLS 1.3 für alle Datenübertragungen |
| PDF-Löschung | Original-PDFs werden unmittelbar nach der Extraktion gelöscht |
| Daten-Löschung | Extrahierte Transaktionsdaten werden nach 7 Tagen automatisch entfernt |
| Zugriffsschutz | Nur der Kontoinhaber hat Zugriff auf seine extrahierten Daten |
| Keine Weitergabe | Bankdaten werden nicht an Dritte weitergegeben |
Organisatorische Massnahmen
- Keine Profilbildung: SmartKontoauszug analysiert keine Transaktionsmuster und erstellt keine Nutzerprofile
- Keine Werbenutzung: Bankdaten werden nicht für Werbezwecke verwendet
- Transparente Datenschutzerklärung: Alle Verarbeitungsschritte sind in der Datenschutzerklärung dokumentiert
- Schweizer Recht: Für SmartKontoauszug gilt Schweizer Recht (OR und nDSG)
Worauf Sie als Nutzer achten sollten
Bei der Umwandlung von Kontoauszügen
- Sichere Verbindung prüfen: Achten Sie auf HTTPS (Schloss-Symbol im Browser) bei der Übertragung Ihrer Bankdaten
- Anbieter prüfen: Wählen Sie einen Anbieter, der transparent über seine Datenschutzmassnahmen informiert
- Daten lokal sichern: Speichern Sie die exportierten Dateien an einem sicheren Ort auf Ihrem Gerät
- Geteilte Geräte: Laden Sie keine Kontoauszüge an öffentlichen oder geteilten Computern hoch
Bei der Weitergabe an Dritte
Wenn Sie konvertierte Kontoauszüge an Ihren Treuhänder, Steuerberater oder Geschäftspartner weitergeben:
- Nutzen Sie verschlüsselte Kanäle (z.B. verschlüsselte E-Mails, sichere Cloud-Speicher)
- Senden Sie Bankdaten nicht als unverschlüsselten E-Mail-Anhang
- Informieren Sie den Empfänger über den vertraulichen Charakter der Daten
- Löschen Sie lokale Kopien, wenn sie nicht mehr benötigt werden
Für Treuhänder und Buchhalter
Als Treuhänder verarbeiten Sie Kontoauszüge im Auftrag Ihrer Mandanten. Das nDSG verlangt:
- Eine Auftragsbearbeitungsvereinbarung mit Ihren Mandanten
- Die Einhaltung der gleichen Datenschutzstandards wie der Auftraggeber
- Die Löschung der Daten nach Abschluss des Auftrags (sofern keine Aufbewahrungspflicht besteht)
Weitere Tipps für Treuhänder finden Sie im Artikel Kontoauszüge automatisieren für Treuhänder und Buchhalter.
nDSG vs. DSGVO: Unterschiede für Schweizer Unternehmen
| Aspekt | nDSG (Schweiz) | DSGVO (EU) |
|---|---|---|
| Geltungsbereich | Schweizer Recht | EU-Recht (kann auch Schweizer Firmen betreffen) |
| Aufsichtsbehörde | EDÖB (Eidg. Datenschutzbeauftragter) | Nationale Datenschutzbehörden der EU-Staaten |
| Bussen | Bis CHF 250'000 (natürliche Personen) | Bis EUR 20 Mio. oder 4% des Jahresumsatzes |
| Einwilligung | Stillschweigende Einwilligung möglich | Ausdrückliche Einwilligung erforderlich |
| Datenschutzbeauftragter | Empfohlen, nicht Pflicht | Pflicht ab bestimmter Grösse/Tätigkeit |
Für Schweizer Unternehmen, die auch EU-Kunden bedienen, gelten beide Gesetze. SmartKontoauszug erfüllt die Anforderungen beider Regelwerke.
Aufbewahrungspflichten in der Schweiz
Unabhängig vom Datenschutz gelten in der Schweiz gesetzliche Aufbewahrungspflichten für Geschäftsunterlagen:
- 10 Jahre: Buchungsbelege, Geschäftsbücher und Geschäftskorrespondenz (Art. 958f OR)
- 10 Jahre: Steuerrelevante Unterlagen (kantonale Steuergesetze)
- Kontoauszüge: Gelten als Buchungsbelege und müssen entsprechend aufbewahrt werden
Das bedeutet: Auch wenn das nDSG die Löschung nicht mehr benötigter Daten verlangt, bestehen Aufbewahrungspflichten, die Vorrang haben. Bewahren Sie konvertierte Kontoauszüge für Ihre Buchhaltung sicher auf.
Häufige Fragen
Ist die Umwandlung von Kontoauszügen nDSG-konform?
Ja, sofern der Anbieter angemessene Datenschutzmassnahmen umsetzt. SmartKontoauszug erfüllt alle Anforderungen des nDSG: Verschlüsselung, Datensparsamkeit, automatische Löschung und transparente Informationspflicht.
Darf mein Treuhänder meine Kontoauszüge digital verarbeiten?
Ja, im Rahmen des Auftragsverhältnisses. Der Treuhänder muss die Datenschutzanforderungen des nDSG einhalten und eine Auftragsbearbeitungsvereinbarung haben. Die digitale Verarbeitung ist sogar sicherer als der Versand von Papier-Kontoauszügen per Post.
Was passiert bei einer Datenschutzverletzung?
Das nDSG verlangt, dass Datenschutzverletzungen dem EDÖB gemeldet werden, wenn ein hohes Risiko für die betroffenen Personen besteht. SmartKontoauszug minimiert das Risiko durch automatische Datenlöschung nach 7 Tagen.
Werden meine Bankdaten an Dritte weitergegeben?
Nein. SmartKontoauszug gibt keine Bankdaten an Dritte weiter. Die Verarbeitung dient ausschliesslich der Konvertierung – die Daten gehören Ihnen.
Wo werden meine Daten verarbeitet?
Die Verarbeitung erfolgt auf Servern in der EU. Alle Daten werden verschlüsselt übertragen und nach der Verarbeitung bzw. nach 7 Tagen automatisch gelöscht.
Fazit
Das neue Datenschutzgesetz (nDSG) stellt klare Anforderungen an die Verarbeitung personenbezogener Daten – und Kontoauszüge enthalten besonders sensible Informationen. SmartKontoauszug wurde von Anfang an mit «Privacy by Design» entwickelt und erfüllt alle nDSG-Anforderungen: verschlüsselte Übertragung, automatische Löschung, Datensparsamkeit und vollständige Transparenz.
Ob als Privatperson, KMU oder Treuhänder – Sie können Ihre Kontoauszüge sicher umwandeln, ohne Kompromisse beim Datenschutz einzugehen.