Datenschutz für Schweizer Unternehmen: Der Praxisleitfaden 2026

Der Datenschutz ist für Schweizer Unternehmen seit dem Inkrafttreten des revidierten Datenschutzgesetzes (revDSG) am 1. September 2023 kein Nebenschauplatz mehr, sondern eine strategische Pflichtaufgabe. Verstösse können teuer werden – nicht nur finanziell, sondern auch für die Reputation. Dieser Leitfaden erklärt praxisnah, welche Anforderungen 2026 gelten, wie Sie diese effizient umsetzen und welche Fehler Sie unbedingt vermeiden sollten.

Was bedeutet Datenschutz für Schweizer Unternehmen?

Datenschutz bezeichnet den Schutz von Personendaten vor missbräuchlicher Bearbeitung. Für Schweizer Unternehmen ergeben sich die konkreten Pflichten primär aus dem revidierten Bundesgesetz über den Datenschutz (revDSG), der Datenschutzverordnung (DSV) und – bei EU-Bezug – zusätzlich aus der europäischen Datenschutz-Grundverordnung (DSGVO).

Jedes Unternehmen, das Personendaten von Kundinnen, Mitarbeitenden, Lieferanten oder Website-Besuchern bearbeitet, fällt unter diese Regelungen – unabhängig von Grösse oder Rechtsform. Auch Einzelfirmen und KMU sind vollständig betroffen.

Rechtlicher Rahmen 2026: revDSG, DSGVO und EDÖB

Der rechtliche Rahmen basiert in der Schweiz auf drei Säulen, die Unternehmen kennen müssen.

Das revidierte Datenschutzgesetz (revDSG)

Das revDSG schützt ausschliesslich Personendaten natürlicher Personen (Daten juristischer Personen fallen nicht mehr darunter). Zentrale Neuerungen gegenüber dem alten DSG sind:

Erweiterte Informationspflicht bei jeder Datenbeschaffung
Pflicht zum Bearbeitungsverzeichnis (Ausnahmen für KMU mit geringem Risiko)
Datenschutz-Folgenabschätzung (DSFA) bei hohem Risiko
Meldepflicht bei Datensicherheitsverletzungen an den EDÖB
Privacy by Design & by Default als gesetzliche Anforderung
Persönliche Strafen bis CHF 250'000 für verantwortliche Personen

Die DSGVO – wann sie für Schweizer Unternehmen gilt

Die DSGVO greift bei Schweizer Unternehmen immer dann, wenn sie Waren oder Dienstleistungen in der EU anbieten oder das Verhalten von Personen in der EU beobachten. Die Bussen reichen bis zu 20 Millionen Euro oder 4 % des globalen Jahresumsatzes.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB)

Der EDÖB ist die Aufsichtsbehörde. Er kann seit 2023 verbindliche Verfügungen erlassen, Untersuchungen durchführen und Bearbeitungen untersagen. Im Gegensatz zur DSGVO verhängt er jedoch keine direkten Bussen – diese werden strafrechtlich auf Antrag ausgesprochen.

revDSG vs. DSGVO: Der direkte Vergleich

Kriterium	revDSG (Schweiz)	DSGVO (EU)
Schutzbereich	Natürliche Personen	Natürliche Personen
Rechtsgrundlage für Bearbeitung	Nicht zwingend erforderlich (Rechtfertigung bei Verletzung)	Immer erforderlich (Art. 6)
Bearbeitungsverzeichnis	Pflicht, Ausnahme für KMU < 250 MA ohne hohes Risiko	Pflicht, ähnliche Ausnahmen
Meldefrist bei Datenpanne	«So rasch als möglich»	72 Stunden
Maximale Bussen	CHF 250'000 (persönlich)	20 Mio. EUR / 4 % Umsatz
Datenschutzbeauftragte/r	Freiwillig, aber empfohlen	Pflicht in bestimmten Fällen
Besonders schützenswerte Daten	Inkl. genetische/biometrische Daten	Art. 9 DSGVO

Die 10 wichtigsten Pflichten für Schweizer Unternehmen

Folgende Pflichten sollten 2026 in jedem Unternehmen umgesetzt sein:

Bearbeitungsverzeichnis führen: Dokumentation aller Datenbearbeitungen inklusive Zweck, Kategorien, Empfänger und Aufbewahrungsdauer.
Datenschutzerklärung aktualisieren: Transparente Information über alle Bearbeitungen auf der Website und in Verträgen.
Rechtmässigkeit sicherstellen: Prüfung der Grundsätze Treu und Glauben, Verhältnismässigkeit und Zweckbindung.
Datensicherheit gewährleisten: Technische und organisatorische Massnahmen (TOM) gemäss Art. 8 revDSG und DSV.
Auftragsbearbeitungsverträge (AVV) abschliessen: Mit allen Dienstleistern, die Personendaten bearbeiten (Cloud, Marketing, IT).
Datenübermittlungen ins Ausland absichern: Standardvertragsklauseln (SCC) oder Angemessenheitsbeschluss prüfen.
DSFA durchführen: Bei Bearbeitungen mit hohem Risiko (z.B. Profiling, biometrische Daten).
Meldeprozess etablieren: Interne Prozesse für Datensicherheitsverletzungen inklusive EDÖB-Meldung.
Betroffenenrechte umsetzen: Auskunft, Berichtigung, Löschung, Datenherausgabe.
Mitarbeitende schulen: Regelmässige Sensibilisierung aller Mitarbeitenden mit Datenzugriff.

Technische und organisatorische Massnahmen (TOM)

TOM sind die konkreten Schutzvorkehrungen gegen unberechtigten Zugriff, Verlust oder Veränderung von Personendaten. Die DSV konkretisiert, was angemessen ist – angepasst an Risiko, Umfang und Art der Bearbeitung.

Technische Massnahmen

Verschlüsselung von Datenträgern und Übertragungen (TLS 1.3, AES-256)
Zwei-Faktor-Authentisierung für alle kritischen Systeme
Regelmässige Backups mit Wiederherstellungstests
Patch-Management und aktuelle Virenschutzsoftware
Netzwerksegmentierung und Zugriffskontrollen
Einsatz datenschutzfreundlicher Browser und sicherer Tools für Mitarbeitende

Organisatorische Massnahmen

Rollen- und Berechtigungskonzept nach dem Prinzip «need to know»
Clean-Desk-Policy und sichere Vernichtung von Dokumenten
Vertraulichkeitserklärungen für Mitarbeitende
Notfallpläne und Business Continuity Management
Regelmässige Audits und Reviews

Weitere Hinweise zum Umgang mit Vorfällen finden Sie in unserem Leitfaden Datenleck: Was tun als Betroffener?.

Datenübermittlung ins Ausland

Die Übermittlung von Personendaten ins Ausland ist nur zulässig, wenn im Zielstaat ein angemessener Schutz gewährleistet ist. Der Bundesrat führt eine Liste anerkannter Staaten (u.a. EU/EWR, Vereinigtes Königreich, Kanada).

USA – ein Sonderfall

Für Übermittlungen in die USA gilt seit 2024 das Swiss–U.S. Data Privacy Framework. Nur bei Unternehmen, die sich diesem Framework angeschlossen haben, besteht ein angemessener Schutz. Andernfalls sind Standardvertragsklauseln (SCC) plus ergänzende Massnahmen (Transfer Impact Assessment) notwendig.

Praktische Umsetzung

Erstellen Sie ein Verzeichnis aller Dienstleister mit Standort und Datenkategorien. Prüfen Sie insbesondere Cloud-Anbieter, Marketing-Tools, Analytics-Dienste und URL-Kürzer. Wer beispielsweise Links in Newslettern verkürzt, sollte darauf achten, dass der Anbieter DSGVO- und revDSG-konform arbeitet. Dienste wie Lunyb bieten hier eine datenschutzfreundliche Alternative mit transparentem Umgang mit Klickdaten – eine Übersicht der Alternativen finden Sie im Beitrag Bitly vs TinyURL im Vergleich.

Meldepflicht bei Datensicherheitsverletzungen

Nach Art. 24 revDSG müssen Verantwortliche eine Verletzung der Datensicherheit «so rasch als möglich» dem EDÖB melden, sofern ein hohes Risiko für die betroffenen Personen besteht.

Ablauf im Ernstfall

Erkennen und eindämmen: Vorfall identifizieren, betroffene Systeme isolieren.
Dokumentieren: Zeitpunkt, Umfang, betroffene Datenkategorien festhalten.
Risikobewertung: Prüfung, ob ein hohes Risiko für betroffene Personen besteht.
Meldung an EDÖB: Über das offizielle Online-Portal des Bundes.
Information der Betroffenen: Wenn zum Schutz erforderlich oder vom EDÖB verlangt.
Nachbearbeitung: Ursachenanalyse und Verbesserung der Schutzmassnahmen.

Website und Marketing: Besondere Fallstricke

Websites und digitales Marketing sind die häufigsten Ursachen für Datenschutzverstösse bei Schweizer KMU.

Cookies und Tracking

Anders als in der EU verlangt die Schweiz nicht zwingend ein Opt-in für alle Cookies. Dennoch gilt: Sobald Daten in die EU fliessen oder EU-Besucher getrackt werden, greift die DSGVO mit ihrer Einwilligungspflicht. Ein Consent-Banner ist für die meisten Unternehmen Pflicht.

Newsletter und Direktmarketing

Für kommerzielle E-Mails gilt das Fernmeldegesetz (FMG) und das UWG: Opt-in erforderlich, klarer Absender, Abmeldelink. Doppelte Einwilligung (Double-Opt-in) ist empfohlen.

Mitarbeiter-Sensibilisierung

Viele Vorfälle entstehen durch unachtsames Verhalten. Schulen Sie Mitarbeitende insbesondere zu Themen wie Phishing, sichere Passwörter und den Umgang mit öffentlichem WLAN. Auch die Nutzung privater Geräte (BYOD) sollte klar geregelt sein.

Datenschutzbeauftragte/r (DSB) – wann sinnvoll?

Nach revDSG ist die Benennung eines Datenschutzberaters freiwillig, bringt aber Vorteile: Bei Vorliegen eines unabhängigen DSB kann auf die Konsultation des EDÖB bei DSFA-pflichtigen Vorhaben verzichtet werden.

Nach DSGVO (Art. 37) ist ein Datenschutzbeauftragter Pflicht, wenn:

die Kerntätigkeit systematische Überwachung umfasst,
umfangreich besondere Kategorien von Daten bearbeitet werden, oder
es sich um eine Behörde handelt.

Praktische Checkliste für die Umsetzung

Nutzen Sie diese Checkliste, um Ihren aktuellen Stand zu prüfen:

Bereich	Massnahme	Priorität
Dokumentation	Bearbeitungsverzeichnis erstellen	Hoch
Transparenz	Datenschutzerklärung revDSG-konform	Hoch
Verträge	AVV mit allen Dienstleistern	Hoch
Sicherheit	TOM dokumentiert und umgesetzt	Hoch
Prozesse	Meldeprozess Datenpanne definiert	Mittel
Rechte	Auskunftsprozess etabliert	Mittel
Schulung	Jährliche Mitarbeiterschulung	Mittel
Website	Cookie-Banner und Tracking geprüft	Mittel
Marketing	Double-Opt-in für Newsletter	Mittel
Ausland	Datentransfers dokumentiert	Hoch

Vorteile eines gelebten Datenschutzes

Datenschutz ist mehr als Compliance – er ist ein Wettbewerbsvorteil.

Pro

Vertrauen von Kundschaft und Geschäftspartnern
Reduziertes Risiko von Reputationsschäden
Vermeidung von Bussen und Zivilklagen
Höhere Datenqualität und bessere Prozesse
Wettbewerbsvorteil im B2B-Geschäft (häufig Vertragsvoraussetzung)

Kontra bei Nicht-Umsetzung

Persönliche Strafen bis CHF 250'000
DSGVO-Bussen bis 20 Mio. EUR
Reputationsverlust bei Datenpannen
Verlust von B2B-Kunden mit Compliance-Anforderungen
Mögliche Zivilklagen betroffener Personen

Häufig gestellte Fragen

Gilt das revDSG auch für kleine KMU und Einzelfirmen?

Ja, das revDSG gilt grundsätzlich für alle Unternehmen in der Schweiz, unabhängig von Grösse oder Rechtsform. Allerdings bestehen Erleichterungen: KMU mit weniger als 250 Mitarbeitenden sind vom Bearbeitungsverzeichnis befreit, sofern die Bearbeitung ein geringes Risiko für die Persönlichkeit der betroffenen Personen aufweist.

Welche Bussen drohen bei Verstössen gegen das revDSG?

Das revDSG sieht persönliche Bussen bis CHF 250'000 für verantwortliche natürliche Personen vor – nicht für das Unternehmen selbst. Betroffen sind insbesondere Verstösse gegen Informations-, Auskunfts- und Sorgfaltspflichten sowie Verletzungen der Datensicherheit. Zusätzlich können bei EU-Bezug DSGVO-Bussen bis 20 Millionen Euro oder 4 % des globalen Jahresumsatzes verhängt werden.

Muss unser Unternehmen zwingend einen Datenschutzbeauftragten benennen?

Nach revDSG ist die Benennung freiwillig, bringt aber verfahrensrechtliche Vorteile. Nach DSGVO ist sie in bestimmten Fällen Pflicht – insbesondere bei systematischer Überwachung oder umfangreicher Bearbeitung sensibler Daten. Für die meisten Schweizer KMU ohne EU-Bezug ist die Benennung einer internen Ansprechperson für Datenschutzfragen aber in jedem Fall empfehlenswert.

Wie lange müssen wir Personendaten aufbewahren?

Grundsätzlich gilt: so lange wie nötig, so kurz wie möglich. Konkrete Fristen ergeben sich aus Fachgesetzen – etwa 10 Jahre für Geschäftsbücher (OR), 5 Jahre für Lohndaten (AHVG) oder spezifische Fristen im Steuerrecht. Nach Ablauf der gesetzlichen Aufbewahrungsfristen müssen die Daten gelöscht oder anonymisiert werden.

Was ist der erste Schritt zur Umsetzung des Datenschutzes?

Beginnen Sie mit einer Bestandsaufnahme: Welche Personendaten bearbeitet Ihr Unternehmen, zu welchem Zweck, auf welcher Grundlage und mit welchen Dienstleistern? Daraus entsteht das Bearbeitungsverzeichnis als Fundament aller weiteren Massnahmen. Darauf aufbauend lassen sich Datenschutzerklärung, Verträge mit Dienstleistern und technische Massnahmen gezielt anpassen.

Fazit

Datenschutz für Schweizer Unternehmen ist 2026 kein optionales Thema mehr. Mit revDSG, DSGVO und einem aktiven EDÖB sind die Rahmenbedingungen klar, die Erwartungen von Kundschaft und Partnern hoch. Wer strukturiert vorgeht – mit Bearbeitungsverzeichnis, klaren Prozessen, geschulten Mitarbeitenden und datenschutzfreundlichen Tools – schützt nicht nur Personendaten, sondern auch den Unternehmenswert. Nutzen Sie Datenschutz als Qualitäts- und Vertrauensmerkmal, nicht als Pflichtübung.