Datenschutz für Schweizer Unternehmen: Der Praxisleitfaden 2026

Seit der Inkraftsetzung des revidierten Datenschutzgesetzes (revDSG) am 1. September 2023 stehen Schweizer Unternehmen vor deutlich verschärften Anforderungen. Wer heute personenbezogene Daten bearbeitet – und das tut praktisch jede Firma – muss klare Prozesse, dokumentierte Verantwortlichkeiten und technische Schutzmassnahmen vorweisen können. Dieser Leitfaden erklärt Schritt für Schritt, welche Pflichten gelten, wie Sie diese effizient umsetzen und welche Fehler teuer werden können.

Was bedeutet Datenschutz für Schweizer Unternehmen?

Datenschutz für Schweizer Unternehmen umfasst sämtliche rechtlichen, organisatorischen und technischen Massnahmen, mit denen Firmen die Bearbeitung von Personendaten gemäss dem Bundesgesetz über den Datenschutz (DSG) rechtskonform gestalten. Verantwortlich ist die Aufsichtsbehörde EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter).

Betroffen sind alle Unternehmen mit Sitz in der Schweiz sowie ausländische Firmen, die Personendaten von Personen in der Schweiz bearbeiten – unabhängig von der Grösse. Anders als die DSGVO kennt das Schweizer Recht keine formale Schwelle wie "250 Mitarbeitende", ab der bestimmte Pflichten greifen. Kleinunternehmen sind zwar teilweise entlastet, aber nicht befreit.

Kernbegriffe des DSG

Personendaten: Alle Angaben zu einer bestimmten oder bestimmbaren natürlichen Person.
Besonders schützenswerte Personendaten: Gesundheit, Religion, Gewerkschaftszugehörigkeit, biometrische und genetische Daten, sexuelle Orientierung, Sozialhilfe.
Bearbeitung: Jeder Umgang mit Daten – Erheben, Speichern, Nutzen, Ändern, Bekanntgeben, Löschen.
Verantwortlicher: Wer über Zweck und Mittel der Bearbeitung entscheidet (in der Regel das Unternehmen).
Auftragsbearbeiter: Externer Dienstleister, der Daten im Auftrag bearbeitet (z. B. Cloud-Anbieter, IT-Firma).

Die wichtigsten Pflichten nach revDSG

Das revidierte DSG bringt eine Reihe konkreter Anforderungen mit sich, die jedes Unternehmen erfüllen muss. Die folgende Übersicht fasst die zentralen Verpflichtungen zusammen.

Pflicht	Wer betroffen ist	Umsetzungsaufwand
Bearbeitungsverzeichnis	Alle Unternehmen ab 250 MA oder mit hohem Risiko	Mittel
Informationspflicht	Alle Unternehmen	Gering (Datenschutzerklärung)
Meldung von Datenpannen an EDÖB	Alle Unternehmen	Prozess erforderlich
Datenschutz-Folgenabschätzung (DSFA)	Bei hohem Risiko	Hoch
Auftragsbearbeitungsverträge	Alle mit externen Dienstleistern	Mittel
Privacy by Design & Default	Alle Unternehmen	Laufend
Auskunftsrecht umsetzen	Alle Unternehmen	Mittel

Bearbeitungsverzeichnis erstellen

Das Verzeichnis der Bearbeitungstätigkeiten dokumentiert, welche Daten Sie zu welchem Zweck bearbeiten, wer Zugriff hat und wie lange die Aufbewahrung dauert. Kleinstunternehmen mit weniger als 250 Mitarbeitenden sind ausgenommen, sofern die Bearbeitung nur ein geringes Risiko für die Persönlichkeit der betroffenen Personen mit sich bringt. In der Praxis empfiehlt sich das Verzeichnis jedoch für jede Firma – es ist die Grundlage jeder Datenschutz-Compliance.

Informationspflicht bei der Datenbeschaffung

Neu müssen Unternehmen die betroffenen Personen bei jeder Beschaffung von Personendaten informieren – nicht mehr nur bei besonders schützenswerten Daten. Dazu gehören die Identität des Verantwortlichen, der Bearbeitungszweck, allfällige Empfänger und – bei Datenexporten – der Zielstaat sowie die Garantien. Die Datenschutzerklärung auf der Website ist hierfür das zentrale Instrument.

Datenschutz-Folgenabschätzung (DSFA)

Eine DSFA ist erforderlich, wenn eine geplante Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringen kann. Typische Auslöser sind:

Umfangreiche Bearbeitung besonders schützenswerter Daten (z. B. Gesundheitsdaten).
Systematische und umfangreiche Beobachtung öffentlich zugänglicher Bereiche.
Einsatz neuer Technologien wie KI-basiertes Profiling oder biometrische Erkennung.
Automatisierte Einzelentscheidungen mit erheblichen Auswirkungen.

Die DSFA beschreibt die geplante Bearbeitung, bewertet Risiken und legt Massnahmen zur Risikominderung fest. Sie muss vor Beginn der Bearbeitung erstellt werden. Bei verbleibendem hohem Risiko ist der EDÖB zu konsultieren.

Meldepflicht bei Datenschutzverletzungen

Kommt es zu einer Verletzung der Datensicherheit (z. B. Hackerangriff, verlorener Laptop, versehentlicher E-Mail-Versand), muss diese so rasch als möglich an den EDÖB gemeldet werden – sofern ein hohes Risiko für die betroffenen Personen besteht. Die Frist ist im Gegensatz zur DSGVO nicht auf 72 Stunden fixiert, aber die Praxis zeigt: Wer länger als drei Tage wartet, muss dies gut begründen können.

Was ein Melde-Prozess enthalten muss

Definierter interner Meldeweg (wer meldet an wen intern?).
Erstbewertung des Risikos innerhalb weniger Stunden.
Vorbereitete Meldevorlagen für den EDÖB.
Kommunikationsplan gegenüber betroffenen Personen.
Dokumentation aller Vorfälle – auch der nicht meldepflichtigen.

Technische und organisatorische Massnahmen (TOM)

Das DSG verlangt "angemessene" technische und organisatorische Massnahmen, um die Sicherheit der Personendaten zu gewährleisten. Was "angemessen" bedeutet, hängt vom Risiko, vom Stand der Technik und von den Kosten ab. Als Mindeststandard gelten:

Technische Massnahmen

Verschlüsselung: Festplatten, Backups, E-Mail-Kommunikation bei sensiblen Daten.
Zugriffskontrolle: Rollenbasierte Berechtigungen, Multi-Faktor-Authentifizierung.
Netzwerksicherheit: Firewalls, aktuelle Patches, segmentierte Netze.
Sichere DNS-Auflösung: Verschlüsseltes DNS (DoH/DoT) für den Firmenverkehr.
Backup-Strategie: 3-2-1-Regel, regelmässige Wiederherstellungstests.
Logging und Monitoring: Nachvollziehbarkeit aller Zugriffe auf sensible Daten.

Organisatorische Massnahmen

Schriftliche Datenschutzrichtlinie und Weisungen.
Regelmässige Schulungen aller Mitarbeitenden.
Vertraulichkeitsverpflichtungen in Arbeitsverträgen.
Klare Löschkonzepte und Aufbewahrungsfristen.
Notfall- und Business-Continuity-Pläne.

Wenn Ihre Mitarbeitenden ausserhalb des Büros arbeiten, sollten Sie zusätzliche Vorkehrungen treffen. Unser Ratgeber zu öffentlichem WLAN und dessen Sicherheit zeigt konkrete Massnahmen für mobiles Arbeiten.

Auftragsbearbeitung und Datenexport

Sobald Sie einen externen Dienstleister mit der Bearbeitung von Personendaten beauftragen – Cloud-Speicher, Newsletter-Tool, Buchhaltungssoftware, IT-Support – benötigen Sie einen Auftragsbearbeitungsvertrag (Data Processing Agreement, DPA). Dieser regelt insbesondere:

Gegenstand, Dauer und Zweck der Bearbeitung.
Art der Personendaten und Kategorien betroffener Personen.
Pflichten und Rechte des Verantwortlichen.
Technische und organisatorische Massnahmen des Auftragsbearbeiters.
Regelungen zu Unter-Auftragsbearbeitern.
Meldepflichten bei Datenpannen.

Datenexport in Drittländer

Die Bekanntgabe von Personendaten ins Ausland ist nur zulässig, wenn im Zielstaat ein angemessener Schutz gewährleistet ist. Der Bundesrat führt eine Liste der Staaten mit angemessenem Datenschutzniveau (u. a. EU/EWR, UK, Kanada, Japan). Für Länder ohne Angemessenheitsbeschluss – insbesondere die USA – müssen zusätzliche Garantien wie die Standardvertragsklauseln der EDÖB vorliegen. Für Transfers in die USA existiert seit 2024 der Swiss-U.S. Data Privacy Framework, sofern das empfangende Unternehmen zertifiziert ist.

DSG vs. DSGVO: Was gilt wann?

Viele Schweizer Unternehmen sind gleichzeitig dem DSG und der DSGVO unterworfen. Die DSGVO greift immer dann, wenn Sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Eine detaillierte Gegenüberstellung finden Sie in unserem Artikel DSG vs DSGVO: Die Unterschiede verstehen. Grundlagen zum Schweizer Recht vermittelt der Beitrag DSG: Das Schweizer Datenschutzgesetz einfach erklärt.

Kriterium	revDSG (Schweiz)	DSGVO (EU)
Maximale Busse	Bis CHF 250'000 (gegen Privatpersonen)	Bis 4% des Weltumsatzes
Meldefrist Datenpanne	"So rasch als möglich"	72 Stunden
Datenschutzbeauftragter	Empfohlen, nicht Pflicht	Bei bestimmten Konstellationen Pflicht
Bearbeitungsverzeichnis	Ab 250 MA / bei Risiko	Grundsätzlich Pflicht
Sanktionsadressat	Verantwortliche natürliche Person	Unternehmen

Sanktionen: Was Verstösse kosten können

Das revDSG kennt Bussen bis CHF 250'000 – aber gegen die verantwortliche natürliche Person, nicht das Unternehmen. Das kann Geschäftsführer, IT-Leiter oder Datenschutzverantwortliche persönlich treffen. Sanktioniert werden insbesondere:

Verletzung von Informations-, Auskunfts- und Mitwirkungspflichten.
Missachtung von Sorgfaltspflichten bei Datenexport oder Auftragsbearbeitung.
Verletzung der Mindestanforderungen an die Datensicherheit.
Verletzung der beruflichen Schweigepflicht.

Zusätzlich drohen zivilrechtliche Ansprüche geschädigter Personen sowie Reputationsschäden, die oft schwerer wiegen als die Busse selbst.

Umsetzung in 10 Schritten

Der folgende Fahrplan hilft KMU, systematisch DSG-konform zu werden:

Bestandsaufnahme: Welche Daten bearbeiten wir wo und wozu?
Verantwortlichkeiten festlegen: Wer ist intern für Datenschutz zuständig?
Bearbeitungsverzeichnis erstellen: Systematische Dokumentation aller Prozesse.
Datenschutzerklärung überarbeiten: Website, Kundenformulare, Bewerbungsprozess.
Verträge prüfen: DPAs mit allen Auftragsbearbeitern abschliessen.
TOM einführen: Verschlüsselung, Zugriffskontrolle, Backups.
Prozesse etablieren: Datenpannen-Meldung, Auskunftsanfragen, Löschung.
Mitarbeitende schulen: Jährliche Awareness-Trainings.
DSFA für Risiko-Bearbeitungen: Neue Tools und Prozesse vorab prüfen.
Regelmässiges Audit: Jährliche Überprüfung und Aktualisierung.

Praktische Tools für Schweizer KMU

Datenschutz-Compliance muss nicht teuer sein. Für kleine und mittlere Unternehmen bewähren sich schlanke, spezialisierte Werkzeuge: Passwort-Manager für die sichere Zugangsverwaltung, verschlüsselte Cloud-Speicher mit Schweizer Serverstandort, Endpoint-Protection-Lösungen und – für die datenschutzkonforme Kommunikation externer Links – Dienste wie Lunyb, die Kurz-URLs ohne aggressives Tracking bereitstellen und so die Weitergabe personenbezogener Informationen an Dritte minimieren.

Für Unternehmen mit Kunden oder Niederlassungen in Nachbarländern lohnt sich auch ein Blick auf die dortigen Anforderungen. Der Leitfaden zur Online-Privatsphäre in Österreich gibt einen guten Überblick, wo sich die Praxis unterscheidet. Und wer visuelle Inhalte einsetzt, sollte die umgekehrte Bildersuche kennen, um die Verwendung eigener Firmenbilder zu kontrollieren.

Häufige Fehler und wie Sie diese vermeiden

Copy-Paste-Datenschutzerklärungen: Vorlagen aus dem Netz decken selten die tatsächlichen Bearbeitungen ab. Erstellen Sie eine massgeschneiderte Erklärung.
Unklare Verantwortlichkeiten: "Der Chef macht das" reicht nicht. Benennen Sie schriftlich einen Verantwortlichen.
Fehlende Löschkonzepte: Daten "für alle Fälle" aufzubewahren, verstösst gegen den Grundsatz der Datenminimierung.
Schatten-IT: Mitarbeitende nutzen private Cloud-Konten für Firmendaten – Kontrollverlust garantiert.
Vergessene Altsysteme: Alte Datenbanken und CRM-Exporte auf lokalen Rechnern sind Zeitbomben.

FAQ – Häufig gestellte Fragen

Brauchen Schweizer KMU einen Datenschutzbeauftragten?

Nein, das revDSG kennt keine Pflicht zur Bestellung eines Datenschutzbeauftragten. Empfohlen ist die Ernennung eines internen Datenschutzberaters, insbesondere wenn Sie viele oder besonders schützenswerte Personendaten bearbeiten. Diese Person geniesst Meldeprivilegien beim EDÖB und kann als Ansprechperson für Betroffene fungieren.

Gilt das DSG auch für rein interne Mitarbeiterdaten?

Ja. Auch die Bearbeitung von Personaldaten (Lohnabrechnung, Zeiterfassung, Bewerbungen, Personalakten) fällt vollständig unter das DSG. Arbeitgeber müssen Mitarbeitende über die Bearbeitung informieren, das Verhältnismässigkeitsprinzip wahren und angemessene Sicherheitsmassnahmen treffen.

Wie schnell muss ich eine Datenpanne melden?

Das DSG verlangt "so rasch als möglich". Eine feste Frist wie die 72 Stunden der DSGVO gibt es nicht, doch der EDÖB erwartet zeitnahes Handeln. In der Praxis sollten Sie innerhalb von 24 bis 72 Stunden nach Kenntnis melden, sofern ein hohes Risiko für betroffene Personen besteht.

Was passiert, wenn ich Google Analytics oder US-Cloud-Dienste nutze?

Die Nutzung ist möglich, aber Sie müssen die Anforderungen für Datenexporte einhalten: Standardvertragsklauseln, ergänzende Massnahmen wie IP-Anonymisierung oder Zertifizierung des Anbieters unter dem Swiss-U.S. Data Privacy Framework. Zusätzlich müssen Sie transparent in der Datenschutzerklärung informieren und – bei Cookies zu Analysezwecken – eine Einwilligung einholen.

Kann der EDÖB unangekündigt Kontrollen durchführen?

Der EDÖB kann Untersuchungen von Amtes wegen oder auf Anzeige einleiten. Er hat Zugang zu Räumlichkeiten, Anlagen und Unterlagen und kann Auskunft verlangen. In der Praxis erfolgen Untersuchungen meist nach konkreten Hinweisen, etwa nach einer gemeldeten Datenpanne oder einer Beschwerde. Wer sauber dokumentiert ist, hat wenig zu befürchten.

Fazit

Datenschutz ist für Schweizer Unternehmen keine juristische Kür, sondern operative Pflicht – und zugleich ein Vertrauens- und Wettbewerbsfaktor. Wer die zentralen Elemente – Bearbeitungsverzeichnis, Informationspflicht, Datenpannen-Prozess, TOM und Verträge – systematisch aufbaut, erfüllt nicht nur die gesetzlichen Anforderungen, sondern schützt sich auch vor Reputationsschäden und persönlichen Bussen. Beginnen Sie mit einer ehrlichen Bestandsaufnahme, arbeiten Sie den 10-Schritte-Plan ab und etablieren Sie Datenschutz als kontinuierlichen Prozess. Der Aufwand ist überschaubar, der Nutzen langfristig.