Kurz: Als Firma, Einzelunternehmen oder Verein nein. Das Schweizer Datenschutzgesetz kennt für Private keine Pflicht, einen Datenschutzbeauftragten zu bestellen. Es nennt die Rolle „Datenschutzberaterin oder Datenschutzberater", und sie ist freiwillig. Pflicht ist sie nur für Bundesorgane.
Was das Gesetz sagt
Art. 10 revDSG erlaubt privaten Verantwortlichen, eine Datenschutzberaterin oder einen Datenschutzberater zu ernennen. Diese Person schult und berät im Betrieb und wirkt bei der Umsetzung des Datenschutzes mit. Sie kann intern oder extern sein.
Bundesorgane, also Behörden des Bundes, müssen eine solche Person bezeichnen. Für Kantone und Gemeinden gilt das kantonale Recht.
Der eine Vorteil für Private
Wer eine Datenschutzberaterin bestellt, die bestimmte Bedingungen erfüllt, kann sich in einem Fall den Gang zum EDÖB sparen: Ergibt eine Datenschutz-Folgenabschätzung ein hohes Risiko, muss man den EDÖB normalerweise vorher konsultieren. Mit einer eigenen Beraterin genügt es, sie zu konsultieren (Art. 23 Abs. 4).
Die Bedingungen nach Art. 10 Abs. 3:
- sie arbeitet fachlich unabhängig und weisungsungebunden,
- sie übt keine Tätigkeiten aus, die damit unvereinbar sind,
- sie verfügt über die nötigen Fachkenntnisse,
- ihre Kontaktdaten sind veröffentlicht und dem EDÖB gemeldet.
Für eine typische KMU-Webseite mit Kontaktformular und Newsletter kommt eine Folgenabschätzung kaum je vor. Der Vorteil spielt dann keine Rolle.
Wer ist der EDÖB?
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist die Aufsichtsbehörde des Bundes. Er ist nicht dein Datenschutzbeauftragter, sondern die Stelle, die Meldungen entgegennimmt, Untersuchungen führt und Massnahmen verfügen kann. Bussen spricht er nicht aus, das tun die kantonalen Strafbehörden.
Und wenn ich Kunden in der EU habe?
Die EU-Datenschutz-Grundverordnung (DSGVO) kennt eine Pflicht zum Datenschutzbeauftragten in bestimmten Fällen und verlangt von Firmen ausserhalb der EU, die gezielt EU-Kunden ansprechen, unter Umständen einen Vertreter in der EU. Für einen kleinen Schweizer Betrieb, der vor allem in der Schweiz verkauft, ist beides selten ein Thema. Verkaufst du gezielt in die EU, lohnt sich eine Abklärung.
Was du stattdessen brauchst
Statt eines Beauftragten braucht fast jeder Betrieb eine Datenschutzerklärung, die zur Webseite passt. Ob du eine brauchst, steht unter Ist eine Datenschutzerklärung Pflicht?, was sonst noch gilt, im Artikel zum neuen Datenschutzgesetz.