Datenschutz für Schweizer Unternehmen: Der Komplette Leitfaden 2026

Seit dem 1. September 2023 gilt das revidierte Schweizer Datenschutzgesetz (revDSG). Für Schweizer Unternehmen bedeutet das: neue Pflichten, höhere Bussen und eine Angleichung an europäische Standards. Dieser Leitfaden zeigt Ihnen kompakt und praxisnah, was Sie 2026 wissen und umsetzen müssen.

Was bedeutet Datenschutz für Schweizer Unternehmen?

Datenschutz für Schweizer Unternehmen umfasst alle rechtlichen und organisatorischen Massnahmen, mit denen ein Betrieb Personendaten von Kunden, Mitarbeitenden und Geschäftspartnern rechtmässig bearbeitet. Die zentrale Rechtsgrundlage ist das revidierte Bundesgesetz über den Datenschutz (revDSG) sowie die Verordnung dazu (VDSG).

Anders als früher steht heute nicht mehr die reine Datenbearbeitung im Vordergrund, sondern ein risikobasierter Ansatz: Unternehmen müssen aktiv dokumentieren, wie sie personenbezogene Informationen schützen und Betroffenenrechte wahren.

Für wen gilt das revDSG?

Alle Unternehmen mit Sitz in der Schweiz, unabhängig von der Grösse.
Ausländische Unternehmen, die Personendaten von Personen in der Schweiz bearbeiten (Marktortprinzip).
Einzelunternehmen, Vereine und öffentliche Organe mit Datenverarbeitung.

revDSG vs. DSGVO: Die wichtigsten Unterschiede

Viele Schweizer KMU sind auch an die europäische Datenschutz-Grundverordnung gebunden, sobald sie Kunden in der EU haben. Ein Vergleich hilft bei der Priorisierung. Für eine tiefere Einführung in die europäische Regelung empfehlen wir unseren Beitrag DSGVO einfach erklärt.

Merkmal	revDSG (Schweiz)	DSGVO (EU)
Anwendbar auf	Natürliche Personen	Natürliche Personen
Maximale Busse	CHF 250'000 (gegen natürliche Personen)	Bis 20 Mio. EUR oder 4% Jahresumsatz
Meldepflicht bei Datenpannen	«so rasch als möglich»	Innert 72 Stunden
Datenschutzbeauftragter	Freiwillig empfohlen	Teilweise verpflichtend
Bearbeitungsverzeichnis	Ja (Ausnahmen für KMU <250 MA)	Ja (mit ähnlichen Ausnahmen)
Aufsichtsbehörde	EDÖB	Kantonale/nationale Behörden EU

Wann brauchen Sie beides?

Sobald Sie Waren oder Dienstleistungen an Personen in der EU anbieten oder deren Verhalten beobachten (z. B. Tracking), müssen Sie zusätzlich die DSGVO einhalten. In der Praxis erfüllen Unternehmen, die die DSGVO umsetzen, meist auch die Schweizer Vorgaben.

Die 7 zentralen Pflichten für Schweizer Unternehmen

Das revDSG definiert klare Grundsätze und Pflichten. Wer diese sieben Bereiche im Griff hat, erfüllt die wichtigsten Anforderungen.

Rechtmässigkeit und Treu und Glauben: Personendaten dürfen nur für erkennbare, verhältnismässige Zwecke bearbeitet werden.
Transparente Information: Betroffene sind aktiv über die Datenbearbeitung zu informieren – auch ohne Anfrage.
Bearbeitungsverzeichnis führen: Pflicht für Unternehmen ab 250 Mitarbeitenden oder bei risikoreicher Bearbeitung.
Datensicherheit gewährleisten: Technische und organisatorische Massnahmen (TOM) implementieren.
Datenschutz-Folgenabschätzung (DSFA): Bei hohem Risiko für Betroffene durchzuführen.
Meldung von Datenpannen: Verletzungen der Datensicherheit sind dem EDÖB zu melden.
Auskunftsrecht wahren: Anfragen von Betroffenen sind innert 30 Tagen zu beantworten.

Betroffenenrechte: Was Ihre Kunden verlangen können

Das revDSG stärkt die Rechte natürlicher Personen deutlich. Als Unternehmen müssen Sie interne Prozesse haben, um diese Rechte fristgerecht zu bedienen.

Die wichtigsten Rechte im Überblick

Auskunftsrecht (Art. 25 revDSG): Betroffene können jederzeit erfahren, welche Daten Sie über sie bearbeiten.
Recht auf Berichtigung: Falsche Daten müssen korrigiert werden.
Recht auf Löschung: Details dazu finden Sie in unserem Artikel zum Recht auf Vergessenwerden.
Recht auf Datenherausgabe/-übertragung: Strukturiertes, maschinenlesbares Format.
Widerspruchsrecht: Insbesondere gegen automatisierte Einzelentscheidungen.

Technische und organisatorische Massnahmen (TOM)

Datenschutz ist ohne IT-Sicherheit nicht denkbar. Das revDSG verlangt angemessene Massnahmen entsprechend dem Risiko. Für KMU heisst das konkret:

Technische Massnahmen

Verschlüsselung sensibler Daten (in Transit und at Rest, mind. TLS 1.3, AES-256).
Zugriffskontrolle über Rollen- und Rechtekonzepte.
Mehrstufige Authentifizierung (MFA) für alle Admin-Zugänge.
Regelmässige Backups mit getesteter Wiederherstellung.
Endpoint Protection und aktuelle Patches.
Sichere Verbindungen im mobilen Arbeiten – siehe unseren Ratgeber zu öffentlichem WLAN.

Organisatorische Massnahmen

Datenschutzrichtlinie und Schulung der Mitarbeitenden.
Vertraulichkeitsverpflichtungen im Arbeitsvertrag.
Auftragsverarbeitungsverträge mit allen Dienstleistern.
Incident-Response-Plan für Datenpannen.
Regelmässige interne Audits.

Datenpannen richtig melden

Eine Datenpanne ist eine Verletzung der Datensicherheit, bei der Personendaten unbeabsichtigt verloren gehen, verändert oder Unbefugten offengelegt werden. Beispiele sind gestohlene Laptops, erfolgreiche Phishing-Angriffe oder fehlerhaft konfigurierte Cloud-Speicher.

So gehen Sie bei einer Datenpanne vor

Erkennen und eindämmen: Betroffene Systeme isolieren, Zugänge sperren.
Bewerten: Welche Daten? Wie viele Personen? Welches Risiko?
Dokumentieren: Zeitlicher Ablauf, Ursache, ergriffene Massnahmen.
Melden: Bei hohem Risiko an den EDÖB via Online-Portal databreach.edoeb.admin.ch.
Informieren: Betroffene benachrichtigen, sofern erforderlich.
Nacharbeit: Ursachen beheben, Prozesse verbessern.

Viele Datenpannen entstehen durch Social Engineering. Sensibilisieren Sie Ihr Team mit unserem Phishing-Ratgeber und dem Beitrag Ist mein Handy gehackt?.

Bussen und Sanktionen im revDSG

Ein wesentlicher Unterschied zur DSGVO: Bussen unter dem revDSG richten sich in erster Linie gegen natürliche Personen (verantwortliche Führungspersonen), nicht gegen das Unternehmen als solches. Trotzdem sind die Beträge empfindlich.

Verstoss	Maximale Busse
Verletzung Informations-/Auskunftspflichten	CHF 250'000
Verletzung Sorgfaltspflichten (Bekanntgabe Ausland, Auftragsbearbeitung)	CHF 250'000
Missachtung Verfügung EDÖB	CHF 250'000
Verletzung berufliche Schweigepflicht	CHF 250'000
Unternehmensbusse (subsidiär, bei < CHF 50'000 Aufwand zur Täterermittlung)	CHF 50'000

Datenübermittlung ins Ausland

Personendaten dürfen nur in Länder mit angemessenem Datenschutzniveau übermittelt werden. Der Bundesrat führt eine Länderliste. Für die USA gilt das «Swiss-U.S. Data Privacy Framework», sofern der Empfänger zertifiziert ist.

Absicherungsmöglichkeiten

Standardvertragsklauseln (SCC) der EU, angepasst durch EDÖB.
Verbindliche unternehmensinterne Datenschutzvorschriften (BCR).
Ausdrückliche Einwilligung der betroffenen Person.
Vertragliche Notwendigkeit.

Praktische Umsetzung in 10 Schritten

So bauen Sie eine solide Datenschutz-Compliance auf – auch als KMU ohne eigene Rechtsabteilung.

Datenbestand kartieren: Welche Daten bearbeiten Sie wo, wozu und wie lange?
Bearbeitungsverzeichnis erstellen: Auch freiwillig ein wertvolles Steuerungsinstrument.
Rechtsgrundlagen prüfen: Vertrag, Einwilligung, überwiegendes Interesse.
Datenschutzerklärung aktualisieren: Vollständig, verständlich, gut auffindbar.
Verträge mit Dienstleistern: Auftragsbearbeitungsverträge (ABV) abschliessen.
TOM implementieren: Technische Grundsicherheit gewährleisten.
Prozesse für Betroffenenrechte: Ansprechstelle, Fristen, Vorlagen.
Incident-Response-Plan: Wer macht was bei einer Datenpanne?
Mitarbeitende schulen: Mindestens jährlich, dokumentiert.
Regelmässig überprüfen: Jährliches Datenschutz-Review.

Datenschutz in der täglichen Kommunikation

Viele Datenschutzrisiken entstehen im Alltag: unverschlüsselte E-Mails, offene Tracking-Links in Marketingkampagnen, lange URLs mit personenbezogenen Parametern. Achten Sie darauf, dass geteilte Links keine identifizierenden Informationen preisgeben. Ein sicherer URL-Shortener wie Lunyb hilft, Kampagnen-Links datenschutzfreundlich zu gestalten – ohne persönliche Parameter offen mitzugeben und mit klaren Kontrollmöglichkeiten über Klick-Statistiken.

Besondere Herausforderungen für Schweizer KMU

Homeoffice und mobiles Arbeiten

Verpflichten Sie Mitarbeitende zu verschlüsselten Verbindungen, sicheren Passwörtern und der Nutzung firmeneigener Geräte. Regeln Sie den Umgang mit Papierunterlagen im privaten Umfeld.

Cloud-Dienste

Prüfen Sie bei jedem Cloud-Anbieter: Serverstandort, Zertifizierungen (ISO 27001, ISO 27701), Verschlüsselung, Auftragsbearbeitungsvertrag und Möglichkeit zum Datenexport.

Kundendaten im Marketing

Newsletter-Versand nur mit Double-Opt-in dokumentieren. Tracking und Cookies erfordern nach Schweizer Recht Transparenz; wenn Sie EU-Kunden erreichen, benötigen Sie zusätzlich eine explizite Einwilligung gemäss DSGVO/ePrivacy.

Vor- und Nachteile eines proaktiven Datenschutz-Ansatzes

Vorteile

Vertrauensvorsprung bei Kunden und Geschäftspartnern.
Geringeres Risiko für Bussen und Reputationsschäden.
Effizientere IT-Prozesse durch strukturierte Datenhaltung.
Einfachere Expansion in EU-Märkte.
Bessere Position bei Ausschreibungen (Konzernkunden verlangen Nachweise).

Nachteile / Herausforderungen

Initialaufwand für Dokumentation und Prozesse.
Laufende Weiterbildung notwendig.
Kosten für externe Beratung oder Datenschutzberater/in.
Komplexität bei internationalen Datenflüssen.

FAQ – Häufig gestellte Fragen

Muss jedes Schweizer KMU einen Datenschutzberater bestellen?

Nein, die Bestellung einer beratenden Person für den Datenschutz ist im revDSG freiwillig. Sie kann aber Verfahren erleichtern, insbesondere bei Datenschutz-Folgenabschätzungen, und wird ab einer gewissen Grösse dringend empfohlen.

Ab wann müssen wir ein Bearbeitungsverzeichnis führen?

Grundsätzlich sind alle Verantwortlichen und Auftragsbearbeiter verpflichtet. Für Unternehmen mit weniger als 250 Mitarbeitenden gilt eine Ausnahme, sofern die Datenbearbeitung nur ein geringes Risiko für die Persönlichkeit der betroffenen Personen darstellt. In der Praxis empfiehlt sich ein Verzeichnis für jedes Unternehmen.

Wie schnell muss eine Datenpanne dem EDÖB gemeldet werden?

Das revDSG spricht von «so rasch als möglich», was in der Praxis meist innerhalb von 72 Stunden bedeutet – analog zur DSGVO. Die Meldung erfolgt über das Online-Portal des EDÖB.

Gelten für Vereine und Stiftungen dieselben Regeln?

Ja, das revDSG unterscheidet nicht nach Rechtsform. Sobald Personendaten bearbeitet werden, greifen die Pflichten. Für kleinere Vereine gelten in der Praxis erleichterte Anforderungen, insbesondere hinsichtlich Dokumentationstiefe.

Was passiert bei einer Prüfung durch den EDÖB?

Der EDÖB kann Untersuchungen einleiten, wenn Hinweise auf Verstösse vorliegen. Sie sind zur Mitwirkung verpflichtet. Der EDÖB kann Verfügungen erlassen, Bearbeitungen einschränken oder Verstösse an die Strafverfolgungsbehörden weiterleiten.

Fazit

Datenschutz ist für Schweizer Unternehmen 2026 kein optionales Compliance-Thema mehr, sondern eine strategische Aufgabe. Wer die Grundpflichten des revDSG systematisch umsetzt, Prozesse dokumentiert und Mitarbeitende schult, schützt nicht nur seine Kundinnen und Kunden, sondern stärkt auch das eigene Unternehmen. Beginnen Sie mit einer Bestandsaufnahme, priorisieren Sie die grössten Risiken und arbeiten Sie sich Schritt für Schritt durch die zehn genannten Umsetzungsschritte – so wird aus einer Pflicht ein echter Wettbewerbsvorteil.