DSG: Das Schweizer Datenschutzgesetz Einfach Erklärt (2026)

Seit dem 1. September 2023 gilt in der Schweiz das vollständig revidierte Datenschutzgesetz (revDSG). Es bringt die Schweizer Regelung näher an die europäische DSGVO heran, behält aber wichtige Eigenheiten. Dieser Leitfaden erklärt Ihnen strukturiert und verständlich, was das DSG für Unternehmen, Vereine und Privatpersonen bedeutet – und wie Sie 2026 rechtskonform arbeiten.

Was ist das Schweizer Datenschutzgesetz (DSG)?

Das Bundesgesetz über den Datenschutz (DSG) ist das zentrale Schweizer Gesetz, das den Umgang mit Personendaten regelt. Es schützt die Persönlichkeit und die Grundrechte von natürlichen Personen, deren Daten bearbeitet werden. Ergänzt wird es durch die Datenschutzverordnung (DSV) sowie die Aufsicht des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

Das revidierte DSG (revDSG) ersetzt seit dem 1. September 2023 die Vorgängerversion von 1992. Ziele der Revision waren:

Anpassung an die technologische Entwicklung (Cloud, KI, Big Data)
Kompatibilität mit der EU-DSGVO und dem Angemessenheitsbeschluss der EU-Kommission
Stärkung der Rechte der betroffenen Personen
Modernisierung der Aufsicht und Sanktionen

Für wen gilt das DSG?

Das DSG gilt für die Bearbeitung von Personendaten durch private Personen und Bundesorgane. Kantone und Gemeinden haben eigene kantonale Datenschutzgesetze. Wichtig: Anders als die DSGVO schützt das DSG ausschliesslich natürliche Personen – Daten juristischer Personen fallen seit der Revision nicht mehr darunter.

Das Gesetz greift auch extraterritorial: Wer im Ausland Daten von Personen in der Schweiz bearbeitet und dadurch Auswirkungen in der Schweiz hat, unterliegt dem DSG.

Die wichtigsten Grundprinzipien des DSG

Das DSG basiert auf sechs zentralen Bearbeitungsgrundsätzen, die jedes Unternehmen kennen muss:

Rechtmässigkeit: Datenbearbeitungen müssen auf einer gesetzlichen Grundlage, Einwilligung oder einem überwiegenden Interesse beruhen.
Treu und Glauben: Die Bearbeitung muss transparent und fair erfolgen.
Verhältnismässigkeit: Es dürfen nur Daten bearbeitet werden, die für den Zweck tatsächlich erforderlich sind.
Zweckbindung: Daten dürfen nur zu dem Zweck bearbeitet werden, für den sie erhoben wurden.
Richtigkeit: Wer Personendaten bearbeitet, muss sicherstellen, dass diese korrekt sind.
Datensicherheit: Angemessene technische und organisatorische Massnahmen (TOM) sind Pflicht.

Besonders schützenswerte Personendaten

Das DSG kennt eine besondere Kategorie von Daten mit erhöhten Schutzanforderungen. Dazu gehören:

Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten
Daten über die Gesundheit, die Intimsphäre oder die Rassenzugehörigkeit
Genetische Daten
Biometrische Daten, die eine Person eindeutig identifizieren
Daten über administrative und strafrechtliche Verfolgungen
Daten über Massnahmen der sozialen Hilfe

Neue Pflichten für Unternehmen unter dem revDSG

Das revidierte DSG bringt mehrere neue oder verschärfte Pflichten, die viele Unternehmen bisher unterschätzen.

1. Informationspflicht bei der Datenbeschaffung

Bei jeder Beschaffung von Personendaten müssen betroffene Personen aktiv informiert werden. Die Datenschutzerklärung muss mindestens folgende Angaben enthalten:

Identität und Kontaktdaten des Verantwortlichen
Bearbeitungszweck
Empfänger oder Kategorien von Empfängern
Bei Auslandtransfer: Zielstaat und Garantien

2. Verzeichnis der Bearbeitungstätigkeiten

Unternehmen müssen ein Verzeichnis über ihre Bearbeitungstätigkeiten führen. Ausgenommen sind KMU mit weniger als 250 Mitarbeitenden, sofern die Bearbeitung nur ein geringes Risiko für die Persönlichkeit der betroffenen Personen darstellt.

3. Datenschutz-Folgenabschätzung (DSFA)

Bei Bearbeitungen mit hohem Risiko – etwa umfangreichem Profiling, systematischer Überwachung oder Bearbeitung besonders schützenswerter Daten – ist eine DSFA durchzuführen.

4. Meldepflicht bei Datenschutzverletzungen

Datenpannen, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder Grundrechte führen, müssen dem EDÖB "so rasch als möglich" gemeldet werden. Anders als bei der DSGVO gilt keine starre 72-Stunden-Frist – aber die Meldung muss dennoch zeitnah erfolgen.

5. Privacy by Design und by Default

Datenschutz muss von Anfang an in technische Systeme integriert werden. Voreinstellungen müssen datenschutzfreundlich sein – also Datenminimierung als Standard.

6. Auftragsbearbeitung

Wer Datenbearbeitungen an Dritte auslagert (Cloud, IT-Dienstleister, Marketing-Tools), muss dies vertraglich regeln (Auftragsbearbeitungsvertrag, AVV) und sicherstellen, dass der Auftragsbearbeiter dieselbe Datensicherheit gewährleistet.

Rechte der betroffenen Personen

Das DSG stärkt die Rechte natürlicher Personen erheblich. Wer Personendaten bearbeitet, muss folgende Rechte respektieren:

Recht	Bedeutung	Frist
Auskunftsrecht	Auskunft über alle bearbeiteten Daten	30 Tage
Recht auf Datenherausgabe/-übertragung	Herausgabe in gängigem Format	30 Tage
Berichtigungsrecht	Korrektur unrichtiger Daten	Unverzüglich
Löschungsrecht	Löschung nicht mehr benötigter Daten	Unverzüglich
Widerspruchsrecht	Widerspruch gegen bestimmte Bearbeitungen	Sofortige Wirkung
Recht auf Erklärung	Bei automatisierten Einzelentscheidungen	Auf Anfrage

Automatisierte Einzelentscheidungen

Wenn Entscheidungen ausschliesslich automatisiert getroffen werden und für die betroffene Person rechtliche Folgen haben (etwa Kreditscoring, Bewerberauswahl durch KI), muss darüber informiert werden. Die Person hat das Recht, ihren Standpunkt darzulegen und eine Überprüfung durch einen Menschen zu verlangen.

Datenübermittlung ins Ausland

Die grenzüberschreitende Datenübermittlung ist ein Kernthema des DSG. Personendaten dürfen nur dann ins Ausland übermittelt werden, wenn der Zielstaat einen angemessenen Datenschutz gewährleistet.

Der Bundesrat führt eine Liste anerkannter Staaten. Dazu gehören unter anderem alle EU/EWR-Staaten, das Vereinigte Königreich und Kanada. Die USA gelten seit dem Swiss-U.S. Data Privacy Framework (2024) unter bestimmten Voraussetzungen wieder als sicher – aber nur für zertifizierte Unternehmen.

Fehlt die Angemessenheit, sind zusätzliche Garantien nötig:

Standardvertragsklauseln (SCC)
Verbindliche unternehmensinterne Datenschutzvorschriften (BCR)
Genehmigte Verhaltenskodizes oder Zertifizierungen
Ausdrückliche Einwilligung der betroffenen Person

Wer sich vertieft für die Unterschiede zur europäischen Regelung interessiert, findet in unserem Vergleich DSG vs DSGVO: Die Unterschiede Verstehen eine detaillierte Gegenüberstellung.

Sanktionen und Bussen

Ein zentraler Unterschied zur DSGVO: Das DSG sanktioniert nicht Unternehmen, sondern verantwortliche natürliche Personen. Konkret drohen Bussen bis zu CHF 250'000 bei vorsätzlicher Verletzung. Fahrlässige Verstösse bleiben straflos.

Welche Verstösse sind strafbar?

Verletzung der Informations-, Auskunfts- und Mitwirkungspflichten
Verletzung der Sorgfaltspflichten (z.B. bei Auslandtransfer)
Verletzung des Berufsgeheimnisses
Missachtung von Verfügungen des EDÖB

Zusätzlich kann der EDÖB Verfügungen erlassen, Bearbeitungen anpassen, aussetzen oder ganz verbieten. Für Unternehmen entstehen also nicht direkt Bussen – aber operative Risiken, Reputationsschäden und persönliche Haftung von Geschäftsleitungen sind erheblich.

DSG-Compliance in der Praxis: 10 Schritte

Wie setzen Sie das DSG konkret um? Diese Roadmap hilft Unternehmen jeder Grösse:

Datenaudit durchführen: Welche Personendaten werden wo, wie und warum bearbeitet?
Bearbeitungsverzeichnis erstellen: Auch KMU sollten es freiwillig führen – es erleichtert alle weiteren Schritte.
Rechtsgrundlagen prüfen: Für jede Bearbeitung eine gültige Grundlage dokumentieren.
Datenschutzerklärung überarbeiten: Vollständig, verständlich, aktuell.
Auftragsbearbeitungsverträge (AVV) abschliessen: Mit allen Dienstleistern, die Zugriff auf Personendaten haben.
Prozesse für Betroffenenrechte einrichten: Auskunftsersuchen müssen innert 30 Tagen bearbeitet werden.
Meldeprozess für Datenpannen definieren: Wer entscheidet, wer meldet, wer dokumentiert?
Technische und organisatorische Massnahmen (TOM): Verschlüsselung, Zugriffskontrollen, Backups, Schulungen.
Mitarbeitende schulen: Regelmässige Awareness-Trainings, insbesondere zu Phishing und QR-Code-Betrug.
Regelmässige Überprüfung: Datenschutz ist kein Projekt, sondern ein Prozess.

Datensicherheit: Technische Massnahmen

Das DSG verlangt eine "angemessene" Datensicherheit. Die DSV konkretisiert dies mit Anforderungen an Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit. Praktische Massnahmen umfassen:

Auf technischer Ebene

Verschlüsselung ruhender Daten und Übertragungen (TLS 1.3, AES-256)
Mehrstufige Authentifizierung (MFA) für alle sensiblen Systeme
Regelmässige Sicherheitsupdates und Patch-Management
Sichere Backups mit getrennter Aufbewahrung
Vorsicht bei der Nutzung öffentlicher Netzwerke – siehe unseren Leitfaden zu öffentlichem WLAN

Auf organisatorischer Ebene

Klare Rollen- und Berechtigungskonzepte
Regelmässige Mitarbeiterschulungen
Datenschutz-Richtlinien und Notfallpläne
Vertragliche Verpflichtungen aller Beteiligten
Sichere Kommunikationstools – etwa datenschutzfreundliche URL-Kürzer wie Lunyb, die keine unnötigen Tracking-Daten sammeln und in der Schweiz gehostete Analytics anbieten

DSG für spezifische Bereiche

Marketing und Cookies

Anders als in der EU verlangt das DSG kein explizites Opt-in für alle Cookies. Ein transparenter Hinweis und die Möglichkeit zum Widerspruch (Opt-out) reichen grundsätzlich aus. Wer aber auch EU-Kundinnen und -Kunden bedient, unterliegt zusätzlich der ePrivacy-Richtlinie – dann ist Consent Pflicht.

HR und Personaldaten

Arbeitgeber dürfen nur Daten bearbeiten, die für das Arbeitsverhältnis erforderlich sind (Art. 328b OR). Videoüberwachung, Monitoring und Bewerberdaten unterliegen strengen Regeln.

Vereine und KMU

Auch kleine Organisationen unterliegen dem DSG. Mitgliederdaten, Newsletter-Verteiler und Fotos auf Websites müssen datenschutzkonform behandelt werden. Praktische Themen wie sicheres Standort-Teilen zeigen, wie viel Datenschutz im Alltag steckt.

Häufige Fehler bei der DSG-Umsetzung

Kopierte DSGVO-Datenschutzerklärung: Funktioniert nicht 1:1 – Schweizer Besonderheiten müssen berücksichtigt werden.
Fehlende AVV mit Cloud-Anbietern: Auch "Standardnutzung" von Microsoft 365 oder Google Workspace verlangt vertragliche Regelung.
Unklare Aufbewahrungsfristen: Daten dürfen nicht "für immer" gespeichert werden.
Vernachlässigte Auslandtransfers: Analytics-Tools, US-Dienste, Support-Systeme – überall fliessen Daten.
Keine Reaktionsprozesse: Wenn ein Auskunftsersuchen kommt, ist es zu spät für Improvisation.

Der EDÖB: Aufsicht und Beratung

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist die zentrale Aufsichtsbehörde. Seine Aufgaben umfassen:

Aufsicht über Bundesorgane und Private
Untersuchungen von Amtes wegen oder auf Anzeige
Erlass verbindlicher Verfügungen
Beratung von Unternehmen und Privatpersonen
Internationale Zusammenarbeit

Der EDÖB kann seit der Revision deutlich schärfer durchgreifen. Er kann Bearbeitungen anpassen, aussetzen oder verbieten. Empfehlungen sind nun verbindliche Verfügungen.

Ausblick: DSG-Entwicklung 2026 und darüber hinaus

Das DSG wird weiter angepasst – vor allem im Bereich Künstliche Intelligenz. Der Bundesrat hat 2024 Eckwerte für eine KI-Regulierung präsentiert, die 2026/2027 in konkrete Gesetzgebung münden dürfte. Zudem wird die internationale Angleichung fortgesetzt, insbesondere gegenüber EU-DSGVO und der modernisierten Konvention 108+ des Europarates.

Unternehmen, die heute solide Datenschutzstrukturen aufbauen, sind für kommende Regulierungen bestens gerüstet.

FAQ – Häufige Fragen zum DSG

Gilt das DSG auch für kleine Unternehmen und Einzelunternehmer?

Ja. Das DSG kennt keine Ausnahme für kleine Unternehmen. Auch Einzelunternehmer, Vereine und Selbständige unterliegen ihm, sobald sie Personendaten bearbeiten. Erleichterungen gibt es lediglich beim Bearbeitungsverzeichnis für Betriebe unter 250 Mitarbeitenden mit geringem Risiko.

Was ist der Unterschied zwischen DSG und DSGVO?

Die DSGVO ist strenger in Sanktionen (bis 4% Weltumsatz), verlangt teils Opt-in bei Cookies und schützt auch juristische Personen nicht mehr direkt. Das DSG sanktioniert natürliche Personen (bis CHF 250'000), ist praxisnäher formuliert und schützt ausschliesslich natürliche Personen. Wer EU-Kunden bedient, muss beide Regelwerke beachten.

Muss ich einen Datenschutzbeauftragten benennen?

Nein, das DSG kennt keine generelle Pflicht zur Benennung eines Datenschutzberaters. Private Verantwortliche können freiwillig einen Datenschutzberater ernennen und erhalten dafür Erleichterungen (z.B. Entfall der Konsultation des EDÖB bei DSFA mit hohem Restrisiko). Bundesorgane müssen einen bezeichnen.

Wie schnell muss ich auf ein Auskunftsersuchen reagieren?

Innerhalb von 30 Tagen ab Eingang des Ersuchens. Die Auskunft ist grundsätzlich kostenlos und muss alle bearbeiteten Personendaten sowie Zweck, Empfänger, Aufbewahrungsdauer und Herkunft umfassen. Verzögerungen oder Verweigerungen ohne triftigen Grund können strafbar sein.

Was tun bei einer Datenschutzverletzung?

Zuerst den Vorfall eindämmen, dokumentieren und Risiken für betroffene Personen bewerten. Bei hohem Risiko: Meldung an den EDÖB "so rasch als möglich" über das Meldeportal. Betroffene Personen sind zu informieren, wenn dies zu ihrem Schutz notwendig ist oder der EDÖB dies verlangt. Halten Sie einen internen Notfallplan bereit.