Ratgeber · 8 Min. Lesezeit

DSG und CRM: was Schweizer KMU 2026 wirklich wissen müssen

Katia Ryze, eine KI-generierte Figur. Artikel mit KI vorbereitet und vom Team von Ryze Systems geprüft·6. Juni 2026

Stellen Sie sich eine einfache Frage. Die Kontaktdaten Ihrer Kunden, ihre Korrespondenz mit Ihnen, ihre Dokumente: Auf welchem Server liegen sie heute Abend, während Sie diese Zeilen lesen? Die meisten Unternehmer, denen wir begegnen, können das nicht beantworten. Und genau dieses Problem hat das neue Datenschutzgesetz auf den Tisch gebracht.

Dieser Artikel ist keine Rechtsberatung: Dafür bleibt Ihre Anwältin, Ihr Anwalt oder Ihre Datenschutzberatung die richtige Ansprechperson. Er ist eine praktische Orientierung, geschrieben für eilige Unternehmer, zu dem, was sich wirklich ändert, wenn man sein CRM genau ansieht.

Das DSG in einem nützlichen Satz

Die im September 2023 in Kraft getretene Revision des Schweizer Bundesgesetzes über den Datenschutz (DSG, französisch nLPD) gleicht die Schweiz an die europäischen Standards der DSGVO an. Für ein KMU lässt sich der Geist in wenigen Worten fassen: Sie sind für die Personendaten verantwortlich, die Sie erheben, Sie müssen wissen, wo sie sind und wer darauf zugreift, und es dokumentieren können. Unklarheit ist keine zulässige Ausrede mehr.

Geändert hat sich weniger die Liste der Pflichten als das Erwartungsniveau. Verlangt werden Transparenz über die Bearbeitungen, ein Verzeichnis der Tätigkeiten, wenn Sie bestimmte Schwellen überschreiten, und besondere Wachsamkeit, sobald Daten die Schweiz verlassen. Diesen letzten Punkt unterschätzt fast jeder.

Ein Punkt, den nur wenige Unternehmer wahrnehmen, verdient eine klare Aussage: Unter dem DSG können Sanktionen eine natürliche Person treffen, nicht nur das Unternehmen. Die Bussen (bis zu 250’000 Franken in den schwersten Fällen) treffen in erster Linie die verantwortliche Person, die ihre Pflichten verletzt hat, also oft den Unternehmer selbst. Das soll keine Angst machen, sondern die Prioritäten zurechtrücken: Es ist nicht mehr nur ein Risiko für die Firma, es ist ein persönliches Risiko. Und ein persönliches Risiko behandelt man anders als eine weitere Zeile auf einer Aufgabenliste.

Die eigentliche Frage lautet nicht «ist mein CRM konform»

Diese Frage stellen alle, und sie ist falsch gestellt. Eine Software ist nicht absolut «konform»; konform oder nicht sind die Art, wie Sie sie nutzen, und der Ort, an dem sie Ihre Daten ablegt. Die richtige Frage, die das tatsächliche Risiko zeigt, hat zwei Teile: Wo liegen meine Daten physisch, und wer kann rechtlich darauf zugreifen?

Ein CRM kann ein schönes Banner «DSGVO-konform» zeigen und Ihre Daten auf einem Server hosten, der amerikanischem Recht untersteht. Die beiden Aussagen widersprechen sich nicht. Sie sprechen nur nicht von derselben Sache.

Die meisten verbreiteten CRMs stammen von amerikanischen Unternehmen. Selbst mit einem Rechenzentrum in Europa kann die Muttergesellschaft extraterritorialen Gesetzen wie dem Cloud Act unterstehen, der es amerikanischen Behörden erlaubt, Zugriff auf Daten zu verlangen, die ein US-Unternehmen hält, wo immer sie gespeichert sind. Das ist keine Verschwörungstheorie. Es steht im Gesetzestext.

Warum Ihre Schweizer Daten nicht amerikanischem Recht unterstehen sollten

Hier ist unsere Haltung, und wir stehen dazu. Wenn Sie ein Waadtländer Treuhandbüro, ein Genfer Beratungsunternehmen oder ein Industrie-KMU in Freiburg sind, gibt es keinen Grund, weshalb die Daten Ihrer Kunden (oft Schweizer, manchmal heikel) von der anderen Seite des Atlantiks aus rechtlich zugänglich sein sollten. Das ist keine Frage des Misstrauens gegenüber diesem oder jenem Anbieter. Es ist eine Frage der elementaren Souveränität über das, was Ihnen anvertraut wurde.

In regulierten Berufen wird das Thema brisant. Ein Treuhandbüro, das die Buchhaltungsbelege seiner Kunden auf einer amerikanischen Infrastruktur hostet, geht ein Risiko ein, das über das rein Technische hinausgeht; das ist einer der Punkte, die wir ausführlich behandeln in ein Schweizer Treuhandbüro digitalisieren.

In einem Audit stellt das Ryze-Team systematisch eine ganz einfache Frage: "Wo werden Ihre Kundendaten gehostet?" Acht von zehn Unternehmern können sie nicht beantworten. Nicht weil es ihnen egal wäre, nicht weil es ihnen an Sorgfalt fehlte. Sondern weil ihnen nie jemand diese Frage gestellt hat. Man hat ihnen ein SaaS-Abonnement mit einer schönen Oberfläche verkauft und gezeigt, wie man Kontakte anlegt und Berichte erzeugt. Die Frage nach dem Hosting, dem anwendbaren Recht, den gesetzlichen Pflichten wurde nie aufgeworfen. Ein Unternehmer, der HubSpot seit drei Jahren nutzte, entdeckte an diesem Tag in unserem Audit, dass seine Kundendaten auf amerikanischen Servern lagen und dem amerikanischen Cloud Act unterstanden, was bedeutet, dass eine amerikanische Behörde darauf zugreifen kann, ohne dass er oder seine Kunden informiert werden. Seine Reaktion war einfach: "Das hat mir nie jemand gesagt." Kein Ärger, eher eine stille und unangenehme Erkenntnis. Das Schweizer DSG, seit 2023 in Kraft, ist in diesen Fragen genau. Es verlangt, dass Unternehmen wissen, wo ihre Daten bearbeitet werden, und ein dem Schweizer Standard gleichwertiges Schutzniveau gewährleisten können, und es sieht Sanktionen vor, die sich direkt gegen die verantwortliche natürliche Person richten, nicht nur gegen das Unternehmen, bis zu CHF 250'000.

Was Sie schon diese Woche prüfen können

1. Finden Sie heraus, wo Ihre Daten liegen

Öffnen Sie die Bedingungen Ihres CRM und jedes verbundenen Tools. Suchen Sie die Angabe zum Hosting-Standort und zur Nationalität des Anbieters. Ist die Information unauffindbar oder bewusst vage, werten Sie das als Signal.

2. Erfassen Sie die Zugriffe

Wer kann ausserhalb Ihres Teams technisch Ihre Daten lesen? Subunternehmer, Drittintegrationen und KI-Tools, die an Ihr Postfach angeschlossen sind, zählen dazu. Jede Verbindung ist eine Tür.

3. Behalten Sie einen Menschen in der Schleife

Konformität ist nicht nur eine Frage des Hostings. Sobald eine automatisierte Bearbeitung Personendaten betrifft (eine Sortierung, ein Nachfassen, eine Qualifizierung), muss eine Person sie kontrollieren und korrigieren können. Die Automatisierung beschleunigt; sie entbindet nicht von der Verantwortung.

Der Tag, an dem ein Kunde sein Auskunftsrecht ausübt

Das DSG gibt jeder Person das Recht zu fragen, welche Daten Sie über sie besitzen. Das ist ein konkretes Szenario, keine Schulbuchhypothese. Ein Kunde schreibt Ihnen: «Welche Informationen haben Sie über mich, und wo liegen sie?» Sie haben eine Frist für die Antwort, und die Antwort muss vollständig sein.

Stellen Sie sich die Frage jetzt, in Ruhe: Könnten Sie antworten? Auf wie viele Tools sind die Daten dieser Person verteilt: CRM, Postfach, eine Tabelle, das Fakturierungstool, vielleicht drei Integrationen, deren Existenz Sie vergessen haben? Würde es Sie Tage und einige Schweissausbrüche kosten, diese Informationen zusammenzutragen, ist das kein abstraktes Rechtsproblem. Es ist ein Organisationsproblem, das das Gesetz lediglich sichtbar macht.

Ein Unternehmen, das nicht weiss, wo seine Daten liegen, kann sie weder schützen noch belegen, dass es sie schützt. Der Rest ist nur Folge.

Der Infrastruktur-Aspekt: dort hosten, wo Sie die Kontrolle haben

Genau das ist die Logik des Moduls Infrastruktur von Ryze OS. Ihre Daten liegen auf einem kontrollierten Hosting in der Schweiz oder in der Europäischen Union, mit Zugriffen, die Sie kontrollieren und die dokumentiert sind. Sie sind nicht Mieter einer Blackbox, deren Regeln sich von heute auf morgen ändern können. Sie bleiben Eigentümer dessen, was Ihnen gehört.

Diesen Ansatz haben wir bei den 9 Systemen umgesetzt, die heute in Produktion sind, alle in der Europäischen Union gehostet, darunter jenes von Patrya, einer Organisation mit echten Vertraulichkeitsanforderungen. Datensouveränität ist dort kein nachträglich aufgeklebtes Marketingargument: Sie ist der Ausgangspunkt der Architektur. Und wenn Ihr Reflex ist, mit einem bestehenden Verwaltungstool zu vergleichen, haben wir die Kriterien festgehalten in Bexio, Abacus oder CRM nach Mass.

«In der Schweiz gehostet» bedeutet nicht immer, was Sie denken

Hüten Sie sich vor einer verbreiteten Marketingfalle. Ein Anbieter kann «Daten in der Schweiz gehostet» anzeigen und gleichzeitig eine Gesellschaft nach amerikanischem Recht sein oder die Infrastruktur an einen Riesen auslagern, der extraterritorialen Gesetzen untersteht. Der physische Standort des Servers genügt nicht; es zählen die rechtliche Nationalität der Einheit, die den Zugriff kontrolliert, und die Kette der Subunternehmer dahinter.

Die richtige Frage an jeden Anbieter passt in einen Satz: «Welche Einheit, die welchem Recht untersteht, kann technisch auf meine Daten zugreifen?» Ist die Antwort klar, schriftlich und verweist sie auf eine schweizerische oder europäische Einheit, stehen Sie auf solidem Boden. Ist sie ausweichend, wissen Sie bereits, was sich dahinter verbirgt. Was ein lokaler Anbieter in diesen Fragen ändert, steht in Individualsoftware in der Westschweiz.

Der richtige Reflex

Wechseln Sie das CRM nicht in Panik. Aber hören Sie auf, es nicht zu wissen. Nehmen Sie sich eine Stunde, beantworten Sie die drei Prüfpunkte oben, und Sie wissen, wo Sie stehen. Ist Ihnen bei der Antwort unwohl, gibt es etwas zu tun, und es ist besser, es jetzt in Ruhe anzugehen als nach einem Auskunftsbegehren, das Sie nicht erfüllen können.

Ein Audit von Ryze Systems umfasst systematisch diese Bestandsaufnahme: wo Ihre Daten liegen, wer darauf zugreift und wie Sie die Kontrolle zurückgewinnen, ohne alles zu zerstören. Unsere gelieferten Projekte zeigen, wie das in der Praxis aussieht.