Datenschutz für Schweizer Unternehmen: Der Komplette Leitfaden 2026

Seit dem revidierten Datenschutzgesetz (revDSG) vom 1. September 2023 stehen Schweizer Unternehmen vor deutlich verschärften Anforderungen an den Umgang mit Personendaten. Dieser Leitfaden zeigt Ihnen praxisnah, welche Pflichten für Ihr Unternehmen gelten, wie Sie diese effizient umsetzen und welche Bussen bei Verstössen drohen.

Was bedeutet Datenschutz für Schweizer Unternehmen?

Datenschutz für Schweizer Unternehmen bezeichnet die Gesamtheit aller rechtlichen und organisatorischen Massnahmen, mit denen die Bearbeitung von Personendaten gemäss dem revidierten Datenschutzgesetz (revDSG) sichergestellt wird. Betroffen sind sämtliche Unternehmen, die Daten natürlicher Personen erheben, speichern, verarbeiten oder weitergeben – unabhängig von Grösse oder Branche.

Das revDSG hat die Schweizer Datenschutzlandschaft grundlegend verändert und weitgehend an die europäische DSGVO angeglichen. Für viele KMU bedeutet dies: neue Dokumentationspflichten, erweiterte Betroffenenrechte und deutlich höhere Bussen bei Verstössen – bis zu CHF 250'000 gegen verantwortliche Privatpersonen.

Wer ist vom revDSG betroffen?

Alle Schweizer Unternehmen, die Personendaten bearbeiten (praktisch jedes Unternehmen)
Ausländische Unternehmen, die Personen in der Schweiz Waren oder Dienstleistungen anbieten
Unternehmen jeder Grösse – Erleichterungen gelten nur für Firmen mit weniger als 250 Mitarbeitenden bei geringem Risiko
Vereine, Stiftungen und Einzelunternehmer, sofern sie systematisch Daten bearbeiten

revDSG vs. DSGVO: Die wichtigsten Unterschiede

Obwohl das revDSG stark an die DSGVO angelehnt wurde, bestehen weiterhin wichtige Unterschiede, die Schweizer Unternehmen kennen sollten. Viele Firmen unterliegen beiden Regelwerken gleichzeitig, wenn sie EU-Kunden bedienen.

Kriterium	revDSG (Schweiz)	DSGVO (EU)
Geltungsbereich	Nur natürliche Personen	Nur natürliche Personen (seit 2018)
Maximale Busse	CHF 250'000 (gegen Privatpersonen)	Bis 20 Mio. EUR oder 4% Jahresumsatz
Datenschutzbeauftragter	Empfohlen, nicht Pflicht	Pflicht bei bestimmten Voraussetzungen
Meldepflicht bei Datenpanne	«So rasch als möglich»	Innerhalb 72 Stunden
Bearbeitungsverzeichnis	Pflicht (ausser Kleinbetriebe mit geringem Risiko)	Pflicht ab 250 Mitarbeitende
Privacy by Design	Ausdrücklich verankert	Ausdrücklich verankert
Aufsichtsbehörde	EDÖB	Nationale Behörden

Die 8 zentralen Pflichten für Schweizer Unternehmen

1. Bearbeitungsverzeichnis erstellen

Jedes Unternehmen muss ein Verzeichnis aller Datenbearbeitungen führen. Dieses dokumentiert, welche Daten zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange bearbeitet werden. Kleinbetriebe (unter 250 Mitarbeitende) mit geringem Risiko sind davon ausgenommen.

2. Informationspflicht erfüllen

Betroffene Personen müssen bei der Datenerhebung transparent informiert werden. Dies erfolgt in der Regel über eine leicht zugängliche Datenschutzerklärung auf der Website – mit Angaben zum Verantwortlichen, Bearbeitungszweck, Empfängern und Datenexporten.

3. Rechtmässigkeit der Bearbeitung sicherstellen

Datenbearbeitungen müssen auf einer Rechtsgrundlage beruhen: Einwilligung, Vertragserfüllung, gesetzliche Pflicht oder überwiegendes Interesse. Bei besonders schützenswerten Daten (Gesundheit, Religion, biometrische Daten) gelten strengere Anforderungen.

4. Datensicherheit gewährleisten

Technische und organisatorische Massnahmen (TOM) müssen ein angemessenes Sicherheitsniveau sicherstellen. Dazu gehören Zugriffskontrollen, Verschlüsselung, regelmässige Backups, Mitarbeiterschulungen und Notfallpläne.

5. Betroffenenrechte respektieren

Personen haben Anspruch auf Auskunft, Berichtigung, Löschung, Datenherausgabe und Widerspruch. Anfragen müssen in der Regel innerhalb von 30 Tagen kostenlos beantwortet werden.

6. Auftragsbearbeitung regeln

Wenn Sie externe Dienstleister (Cloud-Anbieter, IT-Dienstleister, Marketing-Tools) einsetzen, müssen Sie Auftragsbearbeitungsverträge (AVV) abschliessen. Diese regeln, wie der Dienstleister mit den Daten umgeht.

7. Datenschutz-Folgenabschätzung (DSFA) durchführen

Bei Bearbeitungen mit hohem Risiko – etwa Profiling, umfangreiche Videoüberwachung oder neue Technologien – ist eine DSFA verpflichtend. Sie analysiert Risiken und legt Gegenmassnahmen fest.

8. Datenpannen melden

Verletzungen der Datensicherheit müssen dem EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter) so rasch als möglich gemeldet werden, wenn ein hohes Risiko für die betroffenen Personen besteht. Betroffene sind ebenfalls zu informieren.

Praktische Umsetzung: 10-Schritte-Plan

Für die strukturierte Einführung eines datenschutzkonformen Betriebs empfiehlt sich folgender Ablauf:

Bestandsaufnahme: Erfassen Sie alle Datenverarbeitungen in Ihrem Unternehmen (HR, CRM, Marketing, Buchhaltung, Website).
Verantwortlichkeiten festlegen: Benennen Sie eine datenschutzverantwortliche Person – idealerweise einen Datenschutzberater.
Bearbeitungsverzeichnis erstellen: Dokumentieren Sie systematisch alle Prozesse.
Datenschutzerklärung aktualisieren: Passen Sie Website und Kundenkommunikation an revDSG-Standards an.
AVV mit Dienstleistern: Prüfen und aktualisieren Sie alle Verträge mit Auftragsbearbeitern.
TOM implementieren: Verschlüsselung, Passwortrichtlinien, Zugriffskonzepte, Backup-Strategie.
Prozesse für Betroffenenrechte: Definieren Sie Abläufe für Auskunfts- und Löschanfragen.
Notfallplan Datenpanne: Legen Sie fest, wer im Ernstfall wie handelt.
Mitarbeiterschulung: Sensibilisieren Sie das Team regelmässig – Menschen sind das grösste Sicherheitsrisiko.
Regelmässige Überprüfung: Führen Sie mindestens jährlich Audits durch.

Bussen und Sanktionen: Was droht bei Verstössen?

Im Gegensatz zur DSGVO richten sich Bussen im revDSG primär gegen verantwortliche natürliche Personen – also Geschäftsführer, Vorstände oder Datenschutzverantwortliche. Dies erhöht das persönliche Haftungsrisiko erheblich.

Bussgeld-Übersicht

Verstoss	Maximale Busse
Verletzung Informationspflicht	CHF 250'000
Verletzung Auskunftspflicht	CHF 250'000
Verletzung Sorgfaltspflicht (Datensicherheit)	CHF 250'000
Unbefugte Datenweitergabe ins Ausland	CHF 250'000
Missachtung von EDÖB-Verfügungen	CHF 250'000
Verletzung Berufsgeheimnis	CHF 250'000

Zusätzlich drohen Reputationsschäden, Schadenersatzforderungen betroffener Personen sowie Anordnungen des EDÖB, bestimmte Bearbeitungen einzustellen.

Besondere Herausforderungen für Schweizer KMU

Datenexport ins Ausland

Die Übermittlung von Personendaten ins Ausland ist nur zulässig, wenn dort ein angemessener Datenschutz gewährleistet ist. Der Bundesrat führt eine Liste anerkannter Länder. Für Übermittlungen in andere Staaten – etwa die USA – sind Standardvertragsklauseln (SCC) oder das Swiss-US Data Privacy Framework erforderlich.

Cloud-Dienste und SaaS

Viele Schweizer Unternehmen nutzen internationale Cloud-Anbieter wie Microsoft 365, Google Workspace oder AWS. Hier sind besondere Sorgfalt und dokumentierte Rechtsgrundlagen nötig. Prüfen Sie stets, wo Ihre Daten physisch gespeichert werden und ob Zugriffe aus Drittstaaten möglich sind.

Künstliche Intelligenz

Der Einsatz von KI-Tools bringt neue Datenschutzrisiken mit sich. Mehr dazu erfahren Sie in unserem Beitrag KI und Datenschutz 2026. Zentrale Frage: Werden Kundendaten in KI-Systeme eingespeist und dort weiterverarbeitet?

Marketing und Tracking

Website-Tracking, Cookies und Newsletter-Marketing erfordern eine sorgfältige rechtliche Beurteilung. Auch wenn die Schweiz kein striktes «Cookie-Banner-Gesetz» wie die EU kennt, sind Transparenz und Wahlmöglichkeiten für Nutzer Pflicht.

Technische Massnahmen für sicheren Datenschutz

Grundlegende Schutzmassnahmen

Verschlüsselung: TLS für Datenübertragung, Festplattenverschlüsselung für Geräte
Zwei-Faktor-Authentifizierung: Für alle geschäftskritischen Systeme
Passwort-Manager: Unternehmensweite Lösung mit zentraler Verwaltung
Backup-Strategie: 3-2-1-Regel (3 Kopien, 2 Medien, 1 offline)
Endpoint Protection: Aktuelle Antiviren-Lösungen auf allen Geräten
Netzwerksegmentierung: Trennung sensibler Bereiche

Sichere Kommunikation und Links

Für die sichere Weitergabe von Informationen – etwa in E-Mail-Marketing, Kundenkommunikation oder internen Prozessen – empfiehlt sich der Einsatz vertrauenswürdiger, datenschutzfreundlicher Tools. Der Kurzlink-Dienst Lunyb ermöglicht beispielsweise das Erstellen von Links ohne invasives Tracking und mit transparenten Statistiken – eine gute Wahl für datenschutzbewusste Schweizer Unternehmen.

Schutz vor gängigen Bedrohungen

Die meisten Datenpannen entstehen nicht durch ausgeklügelte Hackerangriffe, sondern durch Phishing-Angriffe und menschliche Fehler. Regelmässige Awareness-Trainings und simulierte Phishing-Tests sind daher essenziell.

Vorteile eines guten Datenschutzmanagements

Pro:

Vermeidung hoher Bussen und persönlicher Haftung
Wettbewerbsvorteil: Datenschutz als Vertrauensfaktor
Strukturiertere Prozesse und bessere Datenqualität
Reduziertes Risiko bei Cyberangriffen
Einfachere Zusammenarbeit mit EU-Kunden (DSGVO-Kompatibilität)
Positives Image bei datenschutzbewussten Kunden

Contra (Aufwand):

Initiale Umstellungskosten und Zeitaufwand
Laufender Aufwand für Dokumentation und Schulung
Komplexität bei internationalen Datentransfers
Ggf. Investitionen in neue Systeme oder Beratung

Checkliste: Ist Ihr Unternehmen revDSG-konform?

☐ Bearbeitungsverzeichnis erstellt und aktuell
☐ Datenschutzerklärung auf Website revDSG-konform
☐ AVV mit allen Auftragsbearbeitern abgeschlossen
☐ Prozess für Auskunftsanfragen definiert
☐ Notfallplan bei Datenpannen vorhanden
☐ Mitarbeitende geschult und sensibilisiert
☐ Technische Sicherheitsmassnahmen implementiert
☐ Verantwortlichkeiten klar geregelt
☐ Datenexporte ins Ausland rechtlich abgesichert
☐ Regelmässige Audits eingeplant

Häufig gestellte Fragen (FAQ)

Muss jedes Schweizer Unternehmen einen Datenschutzbeauftragten haben?

Nein, im Gegensatz zur DSGVO ist ein Datenschutzberater in der Schweiz freiwillig. Es wird jedoch dringend empfohlen, insbesondere für Unternehmen mit umfangreichen Datenbearbeitungen. Ein gemeldeter Datenschutzberater ermöglicht zudem, DSFA intern abzuwickeln, ohne den EDÖB einzubeziehen.

Wie unterscheidet sich das revDSG konkret vom alten Datenschutzgesetz?

Die wichtigsten Neuerungen sind: erweiterte Informationspflichten, Bearbeitungsverzeichnis-Pflicht, DSFA bei hohen Risiken, Meldepflicht bei Datenpannen, deutlich höhere Bussen (bis CHF 250'000) und ausdrückliche Verankerung von Privacy by Design und by Default. Zudem gelten die Bestimmungen jetzt nur noch für natürliche Personen, nicht mehr für juristische.

Was passiert bei einer Datenpanne?

Bei einer Verletzung der Datensicherheit mit hohem Risiko für Betroffene müssen Sie: (1) den EDÖB so rasch als möglich informieren, (2) betroffene Personen benachrichtigen, (3) den Vorfall dokumentieren und (4) Massnahmen zur Schadensminderung ergreifen. Eine gute Vorbereitung mit Notfallplan ist entscheidend.

Gilt das revDSG auch für ausländische Unternehmen?

Ja. Das revDSG hat extraterritoriale Wirkung: Es gilt für alle Datenbearbeitungen, die sich in der Schweiz auswirken – auch wenn das Unternehmen im Ausland sitzt. Ausländische Unternehmen ohne Niederlassung in der Schweiz müssen unter Umständen einen Vertreter in der Schweiz benennen.

Wie kann ich als KMU die Kosten der Umsetzung gering halten?

Nutzen Sie Vorlagen (etwa vom EDÖB oder von Branchenverbänden), setzen Sie auf datenschutzfreundliche Standardlösungen und schulen Sie Mitarbeitende regelmässig, aber effizient online. Für kleinere Unternehmen genügt oft eine schlanke, gut dokumentierte Struktur. Weiterführende Informationen finden Sie unter anderem in unserem Artikel Persönliche Daten von Datenhändlern entfernen, der auch für Unternehmensverantwortliche relevante Aspekte behandelt.

Fazit

Datenschutz ist für Schweizer Unternehmen längst kein «Nice-to-have» mehr, sondern eine geschäftskritische Pflicht mit erheblichen Haftungsrisiken. Mit einem strukturierten Ansatz – Bestandsaufnahme, Dokumentation, technische Massnahmen und regelmässige Schulungen – lässt sich revDSG-Konformität jedoch auch für KMU pragmatisch erreichen. Wer Datenschutz zudem als Chance versteht, positioniert sich im Markt als vertrauenswürdiger Partner und schafft echten Mehrwert für Kunden und Mitarbeitende.