Bearbeitungsverzeichnis (Verzeichnis der Datenbearbeitungstätigkeiten)
Ein Bearbeitungsverzeichnis ist Ihre schriftliche Übersicht darüber, wie Sie Mitarbeiter- und Kandidatendaten verarbeiten: wie Sie sie sammeln, wo Sie sie speichern, wer sie nutzt, wie lange Sie sie aufbewahren. Das revidierte Bundesgesetz über den Datenschutz (revDSG) macht dies für die meisten Arbeitgeber in der Schweiz verpflichtend. Es ist Ihr Nachweis, dass Sie Datenschutz ernst nehmen.
Das Bearbeitungsverzeichnis ist eine gesetzliche Pflicht gemäss revDSG und dokumentiert jede Art, wie Ihr Unternehmen Personendaten von Mitarbeitern und Bewerbern erfasst, speichert, nutzt oder löscht.
Sie brauchen dafür keine teure Software. Eine schlichte Tabelle oder ein Dokument, das jeden Datenprozess auflistet, genügt. Entscheidend ist Ehrlichkeit: Wenn Sie Lohndaten sammeln, CVs speichern, Arbeitszeiten erfassen oder Referenzen prüfen, gehört das ins Verzeichnis.
Wann Sie eins brauchen und was rein gehört
Unter der revDSG müssen Arbeitgeber, die Personendaten verarbeiten, ein Bearbeitungsverzeichnis führen – ausser Sie sind Mikrounternehmen mit minimal Datenverwaltung. Die meisten KMU in der Schweiz erfüllen diese Voraussetzung.
Ihr Verzeichnis sollte auflistet: Datentypen (Name, Gehalt, E-Mail), Zweck (Lohnabrechnung, Rekrutierung, Leistungsbewertung), Speicherort (Server, Cloud), Aufbewahrungsdauer und wer Zugriff hat. Erfassen Sie auch Datenflüsse zu Dienstleistern – Personalvermittler, Lohnabrechner, Cloud-Anbieter.
- Mitarbeiterdaten: Lohn, Arbeitszeiten, Absenzen, Personaldossier
- Bewerberdaten: Lebenslauf, Bewerbungsformulare, Gesprächsnotizen, Referenzen
- Externe Partner: Personalvermittler, Hintergrundcheck-Anbieter, Pensionskasse
- Aufbewahrungsfristen: Wie lange Sie jede Kategorie speichern (Arbeitsvertrag 5 Jahre; abgelehnte CVs typisch 3 Monate)
- Zugriffskontrolle: Wer in Ihrer Firma darf welche Daten sehen
- Technische Massnahmen: Verschlüsselung, Passwortschutz, Backup-Standort
Ihre Arbeitgeberpflicht
Ein Bearbeitungsverzeichnis ist nach revDSG nicht optional – es ist gesetzlich vorgeschrieben. Es beweist Sorgfalt gegenüber Behörden und schützt Sie, falls ein Mitarbeiter oder Kandidat einen Datenschutzbeschwerde einreicht.
Sie müssen es aktuell halten. Wenn Sie ein neues Lohnsystem einführen, einen Personalvermittler engagieren oder den Speicherort ändern, aktualisieren Sie das Verzeichnis innert Wochen. Ein veraltetes Verzeichnis ist fast so problematisch wie gar keins.
- Erstellen Sie es proaktiv, nicht erst bei einer Kontrolle
- Überprüfen und aktualisieren Sie es mindestens jährlich
- Halten Sie es zugänglich für Ihr Team, nicht in einer Schublade
- Seien Sie ehrlich über das, was Sie tatsächlich tun, nicht über Ideale
- Dokumentieren Sie Datensicherheitsvorfälle, die es gab
- Auf Anfrage von Kanton oder EDÖB müssen Sie es sofort liefern
Der häufigste Fehler
Die meisten KMU-Arbeitgeber behandeln das Bearbeitungsverzeichnis als einmalige Compliance-Aufgabe. Sie erstellen es, archivieren es und schauen nie wieder hin. Dann engagieren sie einen neuen Recruiter oder wechseln zu einem Cloud-HR-System und vergessen, das Verzeichnis zu aktualisieren.
Der zweite Fehler ist Ungenauigkeit. ‚Wir speichern Mitarbeiterdaten' reicht nicht. Nennen Sie konkrete Datentypen, die Systeme, die Nutzer, die Aufbewahrungsdauer. Ungenauigkeit signalisiert Behörden, dass Sie nicht wissen, was Sie mit den Daten tun.
- Veraltetes Verzeichnis, das nicht mit Ihrer Praxis übereinstimmt
- Externe Partner vergessen (Lohnabrechner, Personalvermittler)
- Keine Aufbewahrungsfristen – ‚solange nötig' ohne Konkretheit
- Technische Sicherheitsmassnahmen nicht dokumentiert
- In Englisch erstellt, wenn Ihr Unternehmen auf Deutsch oder Französisch arbeitet
- Annahme, dass nur Grossunternehmen davon betroffen sind
Häufige Fragen
- Brauche ich wirklich ein Bearbeitungsverzeichnis bei fünf Mitarbeitern?
- Ja, sehr wahrscheinlich. Auch kleine Arbeitgeber verarbeiten Lohndaten, speichern CVs und erfassen Absenzen. Die revDSG gilt für Sie, ausser Sie sind winzig und verarbeiten Daten nur zufällig. Im Zweifelsfall fragen Sie die EDÖB-Richtlinien oder einen Datenschutzanwalt. Ein einfaches Verzeichnis kostet nichts; eine Geldbusse für Nichtbefolgung kostet viel.
- Kann ich eine Vorlage aus dem Internet nutzen?
- Vorlagen sind ein guter Ausgangspunkt, müssen aber zu Ihrem Geschäft passen. Eine Vorlage für eine Einzelhandelskette passt nicht zu einer Beratungsfirma. Nutzen Sie die Vorlage als Checkliste, passen Sie sie dann an das an, was *Sie* tatsächlich mit Mitarbeiter- und Bewerberdaten tun.
- Wenn ich einen Personalvermittler beauftrage, listet sich auch deren Datenverarbeitung auf?
- Ja. Wenn ein Recruiter CVs oder Hintergrundchecks in Ihrem Namen bearbeitet, gehört das zu Ihrem Daten-Ökosystem. Dokumentieren Sie, welche Daten Sie senden, wo sie gespeichert werden und wie lange sie aufbewahrt bleiben. Ihr Vertrag mit dem Vermittler sollte dies regeln; Ihr Verzeichnis sollte es zusammenfassen.
Allgemeine Informationen für Schweizer Arbeitgeber, keine Rechtsberatung. Lassen Sie alles mit rechtlichen Folgen von einer Juristin prüfen.