Datenschutz für Schweizer Unternehmen: Der vollständige Leitfaden 2026

Datenschutz ist für Schweizer Unternehmen seit der Revision des Datenschutzgesetzes (revDSG) am 1. September 2023 kein optionales Nice-to-have mehr, sondern eine zentrale Compliance-Aufgabe. Dieser Leitfaden erklärt, welche Pflichten gelten, wie Sie als Unternehmen praktisch vorgehen und welche Konsequenzen bei Verstössen drohen.

Was bedeutet Datenschutz für Schweizer Unternehmen?

Datenschutz für Schweizer Unternehmen bezeichnet die rechtlichen und organisatorischen Pflichten, Personendaten von Kunden, Mitarbeitenden und Geschäftspartnern rechtmässig, transparent und sicher zu bearbeiten. Grundlage ist das revidierte Bundesgesetz über den Datenschutz (revDSG), ergänzt durch die Datenschutzverordnung (DSV).

Im Unterschied zur europäischen DSGVO verzichtet das Schweizer Recht auf extrem hohe Umsatzbussen, verlagert die Verantwortung aber stärker auf natürliche Personen in der Geschäftsleitung. Verstösse können zu persönlichen Bussen bis CHF 250'000 führen. Mehr zu den Unterschieden lesen Sie in unserem Beitrag DSG vs DSGVO.

Für welche Unternehmen gilt das revDSG?

Alle in der Schweiz ansässigen Unternehmen, unabhängig von Grösse oder Branche
Ausländische Unternehmen, die Personendaten von Personen in der Schweiz bearbeiten
Einzelunternehmer, Vereine und Stiftungen mit Datenbearbeitung
Konzerne mit grenzüberschreitender Datenverarbeitung

Die wichtigsten Pflichten im Überblick

Das revDSG definiert eine Reihe konkreter Pflichten, die jedes Unternehmen umsetzen muss. Hier eine strukturierte Übersicht der zentralen Anforderungen.

Pflicht	Beschreibung	Betrifft
Informationspflicht	Betroffene müssen bei Beschaffung über Zweck und Empfänger informiert werden	Alle Unternehmen
Verzeichnis Bearbeitungstätigkeiten	Dokumentation aller Datenbearbeitungen	Ab 250 Mitarbeitenden oder bei hohem Risiko
Datenschutz-Folgenabschätzung	Risikoanalyse bei hohem Risiko für Betroffene	Je nach Verarbeitung
Meldepflicht Datenpanne	Meldung an EDÖB so rasch als möglich	Alle Unternehmen
Privacy by Design	Datenschutz in Produkte und Prozesse integrieren	Alle Unternehmen
Auftragsbearbeitung	Schriftlicher Vertrag mit Dienstleistern	Alle Unternehmen

Informationspflicht konkret

Sie müssen betroffene Personen bei der Beschaffung von Personendaten mindestens über folgende Punkte informieren: Identität des Verantwortlichen, Bearbeitungszweck, Kategorien von Empfängern sowie Länder, in die Daten exportiert werden. Dies erfolgt meist über eine Datenschutzerklärung auf der Website.

Das Verzeichnis der Bearbeitungstätigkeiten

Unternehmen ab 250 Mitarbeitenden sowie solche mit umfangreicher Bearbeitung sensibler Daten müssen ein Verzeichnis führen. Enthalten sein müssen:

Name und Kontaktdaten des Verantwortlichen
Bearbeitungszweck
Beschreibung der Kategorien betroffener Personen und Daten
Empfängerkategorien
Aufbewahrungsdauer
Allgemeine Beschreibung der Sicherheitsmassnahmen
Bei Datenexport: Zielstaat und Garantien

Technische und organisatorische Massnahmen (TOM)

Nach Art. 8 revDSG und Art. 1–3 DSV müssen Unternehmen angemessene technische und organisatorische Massnahmen treffen, um die Datensicherheit zu gewährleisten. Die Angemessenheit richtet sich nach dem Risiko für die Betroffenen.

Technische Massnahmen

Verschlüsselung: Daten in Ruhe und bei Übertragung verschlüsseln (TLS, AES-256)
Zugriffskontrolle: Rollenbasierte Berechtigungen und Zwei-Faktor-Authentifizierung
Protokollierung: Zugriffe auf sensible Daten lückenlos aufzeichnen
Backup und Wiederherstellung: Regelmässige, getestete Sicherungen
Netzwerksicherheit: Firewalls, Intrusion Detection, segmentierte Netze
Endpoint-Schutz: Aktuelle Antivirenlösungen und Patch-Management

Organisatorische Massnahmen

Schriftliche Datenschutzrichtlinien und Weisungen
Regelmässige Schulung der Mitarbeitenden
Vertraulichkeitserklärungen
Prozesse zur Behandlung von Betroffenenrechten
Incident-Response-Plan für Datenpannen
Clean-Desk-Policy und Entsorgungsrichtlinien

Besondere Aufmerksamkeit verdient der mobile Zugriff. Mitarbeitende, die unterwegs arbeiten, sollten nicht ungeschützt auf öffentliche WLAN-Netze zugreifen, da hier erhebliche Risiken für Geschäftsdaten bestehen.

Datenpannen melden: Pflichten und Fristen

Eine Datenpanne (Datenschutzverletzung) liegt vor, wenn Personendaten verloren gehen, gestohlen, unberechtigt offengelegt oder vernichtet werden. Das revDSG verlangt eine Meldung an den EDÖB, sobald die Verletzung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder Grundrechte führt.

So reagieren Sie richtig

Erkennen und eindämmen: Vorfall identifizieren, betroffene Systeme isolieren
Bewerten: Umfang, Art der Daten und Risiko für Betroffene einschätzen
Dokumentieren: Alle Fakten und Massnahmen schriftlich festhalten
Melden: EDÖB so rasch als möglich informieren über das Online-Portal
Betroffene informieren: Wenn zum Selbstschutz nötig oder vom EDÖB verlangt
Nachbereiten: Ursachenanalyse und Verbesserung der Sicherheitsmassnahmen

Datenexport ins Ausland

Die Übermittlung von Personendaten ins Ausland ist nur zulässig, wenn im Zielstaat ein angemessener Datenschutz besteht oder geeignete Garantien vorliegen. Der Bundesrat führt eine Liste der Staaten mit angemessenem Schutzniveau.

Rechtsgrundlagen für den Export

Grundlage	Anwendung
Angemessenheitsbeschluss	EU/EWR-Staaten, UK, Kanada etc.
Standardvertragsklauseln	Bei Übermittlung in Drittstaaten (z.B. USA)
Binding Corporate Rules	Konzerninterne Übermittlungen
Einwilligung	Ausnahme für Einzelfälle

Für Übermittlungen in die USA ist seit Juli 2024 der Swiss-U.S. Data Privacy Framework in Kraft, der zertifizierten Unternehmen eine erleichterte Grundlage bietet.

Betroffenenrechte: Was Kunden und Mitarbeitende verlangen können

Das revDSG stärkt die Rechte betroffener Personen. Unternehmen müssen Prozesse etablieren, um Anfragen innert 30 Tagen zu beantworten.

Die wichtigsten Rechte

Auskunftsrecht: Welche Daten werden bearbeitet, zu welchem Zweck, an wen weitergegeben?
Recht auf Berichtigung: Unrichtige Daten korrigieren lassen
Recht auf Löschung: Wenn Daten nicht mehr benötigt werden oder unrechtmässig bearbeitet wurden
Recht auf Datenherausgabe und -übertragung: Daten in gängigem Format erhalten
Widerspruchsrecht: Gegen bestimmte Bearbeitungen Einspruch erheben
Rechte bei automatisierten Einzelentscheidungen: Information und Stellungnahme möglich

Datenschutzberater: Pflicht oder Kür?

Anders als die DSGVO verlangt das revDSG keinen Datenschutzbeauftragten. Die Benennung eines Datenschutzberaters nach Art. 10 revDSG ist freiwillig, bietet aber einen klaren Vorteil: Bei hohem Risiko kann die Konsultation des EDÖB entfallen, wenn der Berater involviert ist.

Aufgaben des Datenschutzberaters

Schulung und Beratung des Unternehmens
Mitwirkung bei Datenschutz-Folgenabschätzungen
Anlaufstelle für den EDÖB und Betroffene
Überprüfung der Einhaltung interner Richtlinien

Praktische Umsetzung: Checkliste für Schweizer KMU

Für kleine und mittlere Unternehmen (KMU) ist die Umsetzung oft eine Ressourcenfrage. Mit einem strukturierten Vorgehen ist Compliance aber realistisch erreichbar.

Bestandsaufnahme: Welche Personendaten werden wo bearbeitet?
Rechtsgrundlagen prüfen: Für jede Bearbeitung eine Grundlage dokumentieren
Datenschutzerklärung erstellen: Transparente Information auf Website und in Verträgen
Auftragsbearbeiterverträge abschliessen: Mit Cloud-Anbietern, IT-Dienstleistern, Marketing-Tools
Technische Sicherheit umsetzen: Verschlüsselung, Zugriffskontrolle, Backup
Mitarbeitende schulen: Mindestens jährlich zu Datenschutz und IT-Sicherheit
Prozesse für Betroffenenrechte etablieren: Klare Zuständigkeit und Dokumentation
Incident-Response-Plan: Wer tut was bei einer Datenpanne?
Regelmässige Überprüfung: Mindestens jährliches Datenschutz-Audit

Eine detaillierte Übersicht zum Gesetzestext finden Sie in unserem Artikel DSG: Das Schweizer Datenschutzgesetz erklärt.

Datenschutz im Marketing und bei Links

Besonders im digitalen Marketing lauern Datenschutzfallstricke. Jedes Tracking, jede Marketing-Automation und jeder geteilte Link kann Personendaten bearbeiten.

Worauf Sie achten müssen

Cookies und Tracking: Informationspflicht erfüllen, Opt-out ermöglichen
E-Mail-Marketing: Nach UWG grundsätzlich Einwilligung erforderlich
Analysetools: IP-Anonymisierung aktivieren, Auftragsbearbeitungsvertrag
Social-Media-Plugins: Zwei-Klick-Lösung oder Shariff verwenden
Link-Tracking: Transparent über getrackte Links informieren

Beim Teilen von Links in Kampagnen oder internen Kommunikation setzen viele Schweizer Unternehmen auf datenschutzfreundliche Kurz-URL-Dienste. Mit Lunyb können Sie Links sicher kürzen, verwalten und analysieren, ohne personenbezogene Profile aufzubauen – eine praktische Lösung für DSGVO- und revDSG-konformes Link-Management.

Bussen und Haftung: Was droht bei Verstössen?

Das revDSG sanktioniert vorsätzliche Verstösse mit Bussen bis CHF 250'000. Adressat sind grundsätzlich natürliche Personen – also Geschäftsleitungsmitglieder, Datenschutzverantwortliche oder Mitarbeitende. Dies erhöht den persönlichen Druck auf Entscheidungsträger erheblich.

Sanktionierte Tatbestände

Verletzung von Informations-, Auskunfts- und Mitwirkungspflichten
Verletzung der Sorgfaltspflichten (z.B. ungenügende Datensicherheit)
Verletzung der beruflichen Schweigepflicht
Missachtung von Verfügungen des EDÖB

Neben Bussen drohen Reputationsschäden, zivilrechtliche Ansprüche und Verfahrenskosten. Besonders KMU unterschätzen oft die indirekten Kosten eines Datenschutzvorfalls.

Besondere Konstellationen

Homeoffice und mobile Arbeit

Mitarbeitende im Homeoffice sind besonders anfällig für Datenschutzverletzungen. Klare Richtlinien, Verschlüsselung der Endgeräte, sichere Verbindungen und ein Verbot, Geschäftsdaten auf privaten Geräten zu speichern, sind zentral. Zum sicheren Umgang mit Standortdaten in beruflichen Kontexten lesen Sie auch unseren Artikel zum sicheren Teilen von Standortdaten.

Cloud-Nutzung

Bei Cloud-Diensten gelten Sie als Verantwortlicher, der Anbieter als Auftragsbearbeiter. Zwingend sind: ein Auftragsbearbeitungsvertrag, Prüfung des Serverstandorts, Verschlüsselung und Dokumentation der Garantien bei Drittstaatenübermittlung.

Sensible Unternehmensdaten

Auch nicht-personenbezogene, aber vertrauliche Daten (Geschäftsgeheimnisse, Finanzdaten) verdienen besonderen Schutz. Verschlüsselte Speicherlösungen sind hier zentral. Ein praktisches Beispiel für den privaten Bereich zeigt unser Artikel zum verschlüsselten Fototresor, dessen Prinzipien sich auf Geschäftsdaten übertragen lassen.

Fazit

Datenschutz für Schweizer Unternehmen ist nach dem revDSG eine Daueraufgabe, die technische, organisatorische und rechtliche Aspekte verbindet. Wer frühzeitig in strukturierte Prozesse, geeignete Werkzeuge und Mitarbeiterschulung investiert, reduziert nicht nur Haftungsrisiken, sondern stärkt auch das Vertrauen von Kunden und Partnern. Beginnen Sie mit einer Bestandsaufnahme, priorisieren Sie Risiken und arbeiten Sie die Umsetzung Schritt für Schritt ab – idealerweise mit externer Unterstützung bei komplexen Fragen.

Häufig gestellte Fragen (FAQ)

Gilt das revDSG auch für kleine Einzelunternehmen?

Ja. Das revDSG gilt grundsätzlich für alle Unternehmen in der Schweiz, unabhängig von der Grösse. Einzelunternehmer und Freelancer müssen die Grundpflichten (Informationspflicht, Datensicherheit, Betroffenenrechte) ebenso erfüllen. Erleichterungen gibt es nur beim Verzeichnis der Bearbeitungstätigkeiten für Unternehmen unter 250 Mitarbeitenden ohne hohes Risiko.

Brauche ich einen Datenschutzbeauftragten?

Nein, das revDSG schreibt keinen Datenschutzbeauftragten vor. Die Benennung eines Datenschutzberaters ist freiwillig, bringt aber Vorteile bei Datenschutz-Folgenabschätzungen. Unterliegt Ihr Unternehmen zusätzlich der DSGVO (z.B. durch EU-Geschäft), kann dort eine Pflicht bestehen.

Wie schnell muss ich eine Datenpanne melden?

Das revDSG verlangt eine Meldung an den EDÖB «so rasch als möglich», sobald eine hohe Risikobewertung vorliegt. Eine konkrete 72-Stunden-Frist wie in der DSGVO existiert nicht, in der Praxis ist aber eine zeitnahe Meldung innerhalb weniger Tage empfohlen und üblich.

Darf ich Kundendaten in einer US-Cloud speichern?

Grundsätzlich ja, aber nur mit zusätzlichen Garantien. Entweder ist der Anbieter nach dem Swiss-U.S. Data Privacy Framework zertifiziert oder Sie schliessen Standardvertragsklauseln ab und führen eine Risikoanalyse (Transfer Impact Assessment) durch. Informieren Sie betroffene Personen in Ihrer Datenschutzerklärung über den Datenexport.

Was kostet eine datenschutzkonforme Umsetzung für ein KMU?

Die Kosten variieren stark je nach Komplexität. Für ein typisches KMU mit 10–50 Mitarbeitenden sollten Sie initial mit CHF 5'000 bis CHF 20'000 für Analyse, Dokumentation und Schulung rechnen. Laufende Kosten für Aktualisierung, Audits und Tools liegen bei CHF 2'000 bis CHF 10'000 jährlich. Dem gegenüber stehen Bussenrisiken bis CHF 250'000 pro Verstoss.