Broker und Treuhänder verwalten laufend Kundendaten, die weit über Name und Adresse hinausgehen: Einkommensverhältnisse, Gesundheitsangaben in Versicherungsdossiers, Vermögenswerte, teils auch Betreibungsauszüge. Seit das revidierte Datenschutzgesetz (revDSG) in Kraft ist, stellen sich viele kleine und mittlere Büros dieselben Fragen: Welche Daten gelten überhaupt als besonders schützenswert? Was bedeutet «angemessene Datensicherheit» im Alltag eines Broker- oder Treuhandbüros? Und wo beginnt die eigene Verantwortung im Umgang mit Personendaten? Dieser Beitrag ordnet die wichtigsten Punkte ein – als Orientierungshilfe, nicht als Rechtsberatung im Einzelfall.
Welche Kundendaten besonders schützenswert sind
Das Datenschutzgesetz unterscheidet zwischen «gewöhnlichen» Personendaten und besonders schützenswerten Personendaten. Zur zweiten Kategorie zählen unter anderem Angaben zur Gesundheit – etwa bei Krankentaggeld-, Lebens- oder Zusatzversicherungen. Weitere Angaben wie Betreibungsauszüge oder detaillierte Vermögensverhältnisse gehören zwar nicht zwingend in diese gesetzliche Kategorie, verlangen in der Praxis aber ebenfalls erhöhte Sorgfalt. Wo besonders schützenswerte Daten bearbeitet werden, gelten strengere Anforderungen an Zugriffsbeschränkung, Datensicherheit und Dokumentation als bei gewöhnlichen Kontaktdaten.
In der Praxis heisst das: Nicht jede Mitarbeiterin braucht Zugriff auf jedes Dossier, und ein loser E-Mail-Anhang mit einem Gesundheitsfragebogen ist selten die geeignete Ablageform. Wer seine Dossiers klar strukturiert und den Zugriff pro Kunde nachvollziehbar regelt, hat bereits einen wichtigen Schritt gemacht.
Die Grundprinzipien in Kürze: Zweckbindung, Sicherheit, Aufbewahrung
- Zweckbindung: Daten dürfen nur für den Zweck bearbeitet werden, für den sie erhoben wurden. Ein Dossier für eine Krankenversicherung ist kein Freibrief, dieselben Angaben ungefragt für ein unabhängiges Cross-Selling-Angebot zu nutzen.
- Datensicherheit: Das Gesetz verlangt angemessene technische und organisatorische Massnahmen – angepasst an das Risiko der bearbeiteten Daten. Dazu gehören typischerweise Verschlüsselung, kontrollierter Zugriff und die Möglichkeit, Zugriffe im Nachhinein nachzuvollziehen.
- Aufbewahrung und Löschung: Personendaten sollten nicht länger aufbewahrt werden als nötig. Branchenübliche und gesetzliche Aufbewahrungsfristen sind zu beachten, danach gehören Unterlagen konsequent gelöscht oder korrekt archiviert.
- Transparenz: Kundinnen und Kunden müssen erkennen können, wer ihre Daten bearbeitet und wofür – eine verständliche Datenschutzerklärung gehört dazu.
Ihre Verantwortung – auch bei externen Dienstleistern
Für die eigenen Mandate treten Broker und Treuhänder in aller Regel selbst als Verantwortliche auf: Sie entscheiden, welche Daten zu welchem Zweck erhoben werden. Gleichzeitig setzen die meisten Büros externe Werkzeuge ein – vom Mailprogramm bis zum Kundenportal –, die in ihrem Auftrag Daten bearbeiten. Wer solche Dienstleister beizieht, bleibt gegenüber den eigenen Kunden verantwortlich und sollte darauf achten, dass die eingesetzten Systeme in der Schweiz gehostet sind, Daten verschlüsseln und Mandate sauber voneinander trennen. Ob im konkreten Fall zusätzlich ein Auftragsbearbeitungsvertrag nötig ist und wie die eigene Situation genau einzuordnen ist, hängt von den Details ab – im Zweifel lohnt sich hier die Rücksprache mit einer Fachperson.
Wie ein sicheres Kundenportal die Umsetzung erleichtert
Viele der oben genannten Anforderungen lassen sich mit organisatorischen Regeln allein nur schwer konsequent einhalten – zu leicht landet ein sensibles Dokument doch im falschen E-Mail-Postfach oder auf einem privaten Gerät. Ein sicheres Kundenportal nimmt hier einiges an Last ab: Kunden reichen Unterlagen direkt über eine Anforderungs-Checkliste ein statt per E-Mail-Anhang, jede Dossier-Freigabe erfolgt digital und nachvollziehbar, und ein Zugriffsprotokoll zeigt im Nachhinein, wer wann auf welches Dossier zugegriffen hat.
Ebenso wichtig ist die technische Trennung zwischen Mandaten: Jeder Kunde sieht ausschliesslich seine eigenen Unterlagen, jede Mitarbeiterin nur die Dossiers, für die sie zuständig ist. Kombiniert mit Hosting ausschliesslich in der Schweiz und durchgehender Verschlüsselung lässt sich damit ein grosser Teil der Datensicherheits-Anforderungen des revDSG im Alltag abdecken, ohne dass jede Mitarbeiterin die Details des Gesetzestexts kennen muss.
Ein gut strukturiertes Kundenportal ersetzt keine rechtliche Beratung – es macht aber die technische Umsetzung der Sorgfaltspflichten spürbar einfacher.
Ein erster Schritt für Ihr Büro
finra ist ein Schweizer Kundenportal für Broker- und Treuhandbüros, das Dossiers, Kontakte, Verträge und Fristen an einem Ort bündelt – gehostet ausschliesslich in der Schweiz, mit Mandantentrennung, Verschlüsselung und einem Zugriffsprotokoll pro Dossier. Wenn Sie prüfen möchten, wie sich das in Ihrem Büro umsetzen liesse, können Sie finra 30 Tage kostenlos testen – ohne Kreditkarte, mit Tarifen ab CHF 29 pro Monat.