Ein Family Office führt eine der dichtesten Sammlungen von Personendaten, die es in der Privatwirtschaft gibt: Vermögen, Familienverhältnisse, Gesundheitsfragen bei Nachfolgeplanung, Steuerdaten, Identitätsdokumente, Ergebnisse von Sanktions- und Medienprüfungen. Gleichzeitig verlangt das Geldwäschereirecht, viele dieser Daten zu erheben und lange aufzubewahren. Datenschutz ist in diesem Umfeld keine Formalität, sondern eine Abwägung zwischen Pflichten, die in entgegengesetzte Richtungen ziehen.
Wir schreiben aus der Perspektive der Umsetzung: als Beratung für Datenschutz und als Betreiber von FLIORE, einer Plattform, die genau diese Daten verarbeitet. Der Beitrag ersetzt keine Rechtsberatung, beschreibt aber die Fragen, die in der Praxis immer wieder auftauchen.
Der Rahmen: das revidierte DSG
Das revidierte Bundesgesetz über den Datenschutz gilt seit dem 1. September 2023. Es schützt nur noch natürliche Personen; Daten von Gesellschaften fallen nicht mehr darunter. Für Family Offices bleibt der Anwendungsbereich trotzdem gross, weil hinter jeder Gesellschaft Personen stehen: Familienmitglieder, Organe, wirtschaftlich Berechtigte, Bevollmächtigte. Die Grundsätze sind bekannt — Rechtmässigkeit, Zweckbindung, Verhältnismässigkeit, Datensicherheit, Transparenz —, ihre Anwendung im Family Office ist anspruchsvoll.
Besonders schützenswerte Daten
Das DSG definiert eine Kategorie besonders schützenswerter Personendaten. Dazu gehören unter anderem Daten über die Gesundheit, über religiöse und weltanschauliche Ansichten sowie Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen. Die letzte Kategorie ist für Family Offices zentral: Ergebnisse aus Adverse-Media-Screening und Abklärungen zu Strafverfahren sind genau solche Daten. Ihre Bearbeitung ist im Rahmen der geldwäschereirechtlichen Pflichten gerechtfertigt, verlangt aber Zurückhaltung: nur das Nötige erheben, Zugriff beschränken, keine Zweckentfremdung.
Gesundheitsdaten tauchen häufiger auf, als man denkt: bei Vorsorgeaufträgen, bei der Nachfolgeplanung, bei Versicherungsfragen. Sie gehören nicht in allgemein zugängliche Ablagen, und ihre Weitergabe an Dritte braucht eine klare Grundlage.
Aufbewahren und löschen
Das Geldwäschereigesetz verlangt, Belege mindestens zehn Jahre nach Beendigung der Geschäftsbeziehung oder Abschluss der Transaktion aufzubewahren (Art. 7 GwG). Das Datenschutzrecht verlangt, Daten zu löschen oder zu anonymisieren, sobald sie für den Zweck nicht mehr nötig sind. Beides gilt gleichzeitig. Die Lösung ist eine Aufbewahrungsregel pro Datenkategorie, die die gesetzliche Pflicht als Zweck benennt und das Ende der Frist als Löschzeitpunkt. Was nicht aufbewahrungspflichtig ist, etwa Arbeitsnotizen ohne Belegfunktion, wird früher gelöscht. Ohne solche Regeln wachsen Ablagen unbegrenzt — und mit ihnen das Risiko bei einem Vorfall.
Auslagerung an Software
Wer eine Cloud-Software für Mandate, Dokumente oder Buchhaltung nutzt, lässt Personendaten durch einen Dritten bearbeiten. Das DSG erlaubt das (Art. 9 DSG), wenn ein Vertrag oder das Gesetz es vorsieht, die Daten nur so bearbeitet werden, wie man es selbst dürfte, und keine Geheimhaltungspflicht entgegensteht. Der Auftraggeber muss sich vergewissern, dass der Dienstleister die Datensicherheit gewährleistet. Praktisch heisst das: ein Auftragsbearbeitungsvertrag, eine Liste der Unterauftragsbearbeiter und eine nachvollziehbare Prüfung der Sicherheitsmassnahmen. Mehr dazu in unserer Checkliste zum Auftragsverarbeitungsvertrag.
Bei Family Offices kommt eine Frage hinzu, die bei gewöhnlichen Unternehmen selten so scharf gestellt wird: Wie ist die Trennung zwischen den Mandaten technisch umgesetzt? Eine Mandantentrennung nur in der Anwendungslogik hält, solange niemand einen Filter vergisst. Eine Trennung auf Datenbankebene, etwa über Row Level Security, hält auch dann.
Bekanntgabe ins Ausland
Liegen Daten bei einem Anbieter im Ausland oder greift ein ausländischer Unterauftragsbearbeiter darauf zu, ist das eine Bekanntgabe ins Ausland. In Staaten, die der Bundesrat als angemessen anerkannt hat — dazu gehören die EU- und EWR-Staaten —, ist das ohne weitere Garantien möglich. Für die USA gilt seit dem 15. September 2024 der Swiss-US Data Privacy Framework für zertifizierte Unternehmen. In allen anderen Fällen braucht es Garantien wie Standardvertragsklauseln. Für viele Family Offices ist die Frage aber weniger juristisch als vertrauensbezogen: Familien wollen wissen, wo ihre Daten liegen. Die Entscheidungshilfe Schweizer Hosting oder EU-Hosting wägt die Optionen ab.
KI im Family Office
KI-Assistenten, die Dokumente zusammenfassen oder Fragen zu Mandaten beantworten, sind im Family Office nützlich und heikel zugleich. Drei Bedingungen machen sie einsetzbar: Der Assistent antwortet nur aus den Daten des jeweiligen Mandats, er gibt Quellen an, und die Daten werden nicht zum Training von Modellen verwendet. Ausserdem gehört geklärt, wo die Modellverarbeitung stattfindet, denn auch sie kann eine Bekanntgabe ins Ausland sein. FLIORE ist nach diesen drei Bedingungen gebaut.
Datensicherheitsverletzungen
Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Betroffenen, ist sie dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten so rasch als möglich zu melden (Art. 24 DSG). Für ein Family Office ist bei fast jedem Vorfall mit Kundendaten von einem hohen Risiko auszugehen, weil die Daten Vermögen, Identität und Familienverhältnisse betreffen. Ein vorbereiteter Ablauf — wer entscheidet, wer meldet, wer informiert die Familien — ist deshalb Pflicht und nicht Kür.
Schweigepflicht und Strafbarkeit
Das revidierte DSG hat eine eigene Strafnorm für die Verletzung der beruflichen Schweigepflicht eingeführt (Art. 62 DSG): Wer geheime Personendaten vorsätzlich offenbart, die ihm bei der Ausübung seines Berufs anvertraut wurden, macht sich strafbar, unabhängig davon, ob ein spezialgesetzliches Berufsgeheimnis besteht. Für Mitarbeitende in Family Offices und Treuhandbüros ist das ein Grund mehr für klare Zugriffsregeln und Schulung. Die Bussen des DSG richten sich gegen die verantwortlichen natürlichen Personen, nicht nur gegen das Unternehmen.
Der Exit
Eine Frage, die bei der Auswahl von Software oft fehlt: Was geschieht mit den Daten, wenn der Vertrag endet? Für ein Family Office mit zehnjährigen Aufbewahrungspflichten ist das keine Nebenfrage. Vor Vertragsabschluss gehört geklärt, in welchem Format Mandate, Dokumente und Historie exportiert werden können, wie lange sie nach Kündigung abrufbar bleiben und wie die Löschung bestätigt wird. Das Glossar zum Vendor-Lock-in fasst die Fragen zusammen.
Einordnung
Datenschutz im Family Office ist kein Projekt mit Abschluss, sondern eine Arbeitsweise: wenig erheben, gut schützen, klar aufbewahren, sauber löschen, und bei jeder Auslagerung wissen, wo die Daten sind. Wer das für seine Organisation strukturiert angehen will, findet unser Angebot unter Datenschutzberatung; für die konkrete Umsetzung im Alltag eines Family Office ist FLIORE gebaut, mit Datenhaltung in der Schweiz und harter Mandantentrennung.