15 Kriterien — nicht isoliert geprüft, sondern gegeneinander abgeglichen: genutzte Systeme, Kanäle und Fristen in beiden Dokumenten konsistent?
Geprüft wurden die Datenschutzerklärung und das Bearbeitungsverzeichnis nicht nur je für sich, sondern im gegenseitigen Abgleich: Stimmen die dort genannten Systeme, Anbieter und Fristen überein? Fehlen tatsächlich genutzte Kanäle in der öffentlichen Erklärung?
| Nr | Priorität | Bereich / Ziffer | Befund | Empfohlene Massnahme | Status |
|---|---|---|---|---|---|
| 31 | KRITISCH | Fehlender Kanal (Ziff. 3) | Im Bearbeitungsverzeichnis ist ein Newsletter-Tool (Anbieter mit Sitz in Deutschland) als aktiv geführt. In der Datenschutzerklärung wird kein Newsletter-Versand erwähnt — die Datenbearbeitung ist gegenüber Betroffenen nicht deklariert. | Ziffer 3 der Datenschutzerklärung um Newsletter-Anbieter, Zweck und Auslandsdatentransfer ergänzen. | Offen |
| 29 | HOCH | Gesetzesreferenz (Ziff. 1) | Die Datenschutzerklärung referenziert durchgehend das alte «DSG». Seit 01.09.2023 gilt das revidierte nDSG mit eigener Terminologie (Art. 6, Art. 19 nDSG). | Alle «DSG»-Verweise durch «nDSG» ersetzen, Rechtsgrundlagen auf aktuelle Artikel umstellen. | Offen |
| 30 | HOCH | Anbieter-Mismatch (Ziff. 4) | Die Datenschutzerklärung nennt einen Buchungsanbieter, der laut Bearbeitungsverzeichnis seit 2024 nicht mehr im Einsatz ist. Aktuell wird ein anderer Dienstleister verwendet. | Ziffer 4 auf den effektiv eingesetzten Anbieter aktualisieren, Datenschutzhinweis verlinken. | Offen |
| 33 | MITTEL | Aufbewahrungsfristen (Ziff. 6 / BV) | Die Datenschutzerklärung nennt eine Aufbewahrungsfrist von 5 Jahren für Kundendaten, das Bearbeitungsverzeichnis 10 Jahre für dieselbe Kategorie. | Fristen abgleichen und in beiden Dokumenten identisch führen. | Klärung nötig |
| 34 | MITTEL | Kontaktangaben (Ziff. 1 / 9) | Ziffer 1 nennt eine allgemeine Info-Adresse als Datenschutzkontakt, Ziffer 9 (Rechteausübung) eine andere, persönliche E-Mail-Adresse. | Einheitliche Kontaktadresse für alle Datenschutz-Belange festlegen und konsequent verwenden. | Klärung nötig |
| 43 | OK | Aktualität Bearbeitungsverzeichnis | Das Bearbeitungsverzeichnis wurde innerhalb der letzten 12 Monate überprüft und ist korrekt datiert. | Keine Massnahme. | OK |
| 41 | OK | Betroffenenrechte (Ziff. 9) | Auskunfts-, Berichtigungs- und Löschrecht sind vollständig und verständlich beschrieben. | Keine Massnahme. | OK |
1 kritischer und 2 hohe Befunde, alle mit direktem Bezug zum Abgleich zwischen Datenschutzerklärung und Bearbeitungsverzeichnis. Grösster Handlungsbedarf: den fehlenden Newsletter-Kanal deklarieren und die veraltete Gesetzesreferenz sowie den falschen Anbieter korrigieren, bevor weitere Kundendaten über diese Kanäle bearbeitet werden.