DSG: Das Schweizer Datenschutzgesetz Erklärt (2026)

Seit dem 1. September 2023 gilt in der Schweiz das vollständig revidierte Datenschutzgesetz (revDSG). Es modernisiert den Schutz personenbezogener Daten grundlegend, gleicht sich in vielen Punkten der europäischen DSGVO an und stellt Unternehmen wie Privatpersonen vor neue Herausforderungen. Dieser Leitfaden erklärt Ihnen strukturiert, was das DSG bedeutet, welche Pflichten es mit sich bringt und wie Sie Ihre Rechte durchsetzen können.

Was ist das Schweizer Datenschutzgesetz (DSG)?

Das Bundesgesetz über den Datenschutz (DSG) ist das zentrale Schweizer Rahmengesetz zum Schutz der Persönlichkeit und der Grundrechte von Personen, deren Daten bearbeitet werden. Es regelt, wie öffentliche Bundesorgane und private Personen mit personenbezogenen Daten umgehen müssen.

Das ursprüngliche DSG stammt aus dem Jahr 1992 und war den Anforderungen der digitalen Wirtschaft nicht mehr gewachsen. Die Totalrevision wurde am 25. September 2020 vom Parlament verabschiedet und trat gemeinsam mit der neuen Datenschutzverordnung (DSV) am 1. September 2023 in Kraft.

Ziele des revidierten DSG

Stärkung der Selbstbestimmung natürlicher Personen über ihre Daten
Anpassung an technologische Entwicklungen (Cloud, KI, Big Data)
Sicherstellung der Kompatibilität mit der europäischen DSGVO
Erhalt der Angemessenheitsbewertung durch die EU-Kommission
Erhöhte Transparenz und Rechenschaftspflicht für Unternehmen

Für wen gilt das DSG?

Das DSG gilt für die Bearbeitung von Personendaten durch private Personen und Bundesorgane. Wichtig zu wissen: Im Gegensatz zur DSGVO schützt das Schweizer DSG ausschliesslich Daten natürlicher Personen – Daten juristischer Personen (Unternehmen) sind seit der Revision nicht mehr erfasst.

Territorialer Anwendungsbereich

Das DSG hat einen extraterritorialen Charakter: Es gilt für Sachverhalte, die sich in der Schweiz auswirken – auch wenn sie im Ausland veranlasst wurden. Ein US-Unternehmen, das Dienstleistungen für Schweizer Kunden anbietet, unterliegt somit dem DSG.

Zentrale Begriffe des DSG einfach erklärt

Personendaten

Alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen – von Name und Adresse über IP-Adressen bis hin zu Standortdaten.

Besonders schützenswerte Personendaten

Das DSG kennt diese besondere Kategorie mit strengeren Anforderungen. Dazu gehören:

Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten
Daten über Gesundheit, Intimsphäre oder Rassenzugehörigkeit
Genetische und biometrische Daten, die eine Person eindeutig identifizieren
Daten über verwaltungs- und strafrechtliche Verfolgungen
Daten über Massnahmen der sozialen Hilfe

Verantwortlicher und Auftragsbearbeiter

Diese Rollen wurden aus der DSGVO übernommen. Der Verantwortliche entscheidet über Zweck und Mittel der Datenbearbeitung, der Auftragsbearbeiter handelt in seinem Auftrag – vergleichbar mit Controller und Processor.

Die wichtigsten Grundsätze des DSG

Das DSG stützt sich auf mehrere Kerngrundsätze, die bei jeder Datenbearbeitung eingehalten werden müssen:

Rechtmässigkeit: Datenbearbeitung nur auf gesetzlicher Grundlage oder mit Einwilligung
Treu und Glauben: Faire Bearbeitung ohne Täuschung
Verhältnismässigkeit: Nur Daten bearbeiten, die für den Zweck erforderlich sind
Zweckbindung: Daten dürfen nur zu erkennbaren, mit der Erhebung vereinbarten Zwecken verwendet werden
Transparenz: Betroffene müssen erkennen können, dass und wie Daten bearbeitet werden
Richtigkeit: Daten müssen aktuell und korrekt gehalten werden
Datensicherheit: Angemessene technische und organisatorische Massnahmen (TOM)

Ihre Rechte als betroffene Person

Das revidierte DSG stärkt die Rechte der betroffenen Personen erheblich. Sie haben insbesondere folgende Ansprüche:

Auskunftsrecht (Art. 25 DSG)

Sie können von jedem Verantwortlichen kostenlos Auskunft darüber verlangen, ob und welche Daten über Sie bearbeitet werden. Die Auskunft muss in der Regel innerhalb von 30 Tagen erfolgen.

Recht auf Datenherausgabe und Datenübertragbarkeit

Neu haben Sie das Recht, Ihre bereitgestellten Daten in einem gängigen elektronischen Format zu erhalten oder direkt an einen anderen Verantwortlichen übertragen zu lassen.

Berichtigung, Löschung und Widerspruch

Unrichtige Daten müssen berichtigt werden
Sie können die Löschung oder Vernichtung verlangen
Sie können der Bearbeitung widersprechen
Sie können die Sperrung der Bekanntgabe an Dritte verlangen

Informationspflicht bei der Beschaffung

Verantwortliche müssen betroffene Personen aktiv informieren, wenn sie Daten beschaffen – auch wenn dies indirekt geschieht. Dazu gehören Identität des Verantwortlichen, Bearbeitungszweck und ggf. Empfänger.

DSG vs. DSGVO: Die wichtigsten Unterschiede

Obwohl das revDSG stark an die DSGVO angelehnt ist, bestehen relevante Unterschiede. Wer sowohl Schweizer als auch EU-Bürger bearbeitet, muss beide Regelwerke kennen. Wenn Sie tiefer in das EU-Pendant einsteigen möchten, empfehlen wir unseren Artikel zur DSGVO in Österreich.

Kriterium	Schweizer DSG	EU-DSGVO
Anwendungsbereich	Nur natürliche Personen	Nur natürliche Personen
Rechtsgrundlagen	Keine abschliessende Liste; Rechtfertigungsgründe	Abschliessende Liste (Art. 6)
Einwilligung	Ausdrücklich bei sensiblen Daten	Strengere Formanforderungen
Datenschutzbeauftragter	Freiwillig (Berater)	In bestimmten Fällen Pflicht
Maximale Busse	CHF 250'000 (gegen Privatpersonen)	Bis 20 Mio. EUR oder 4% Jahresumsatz
Sanktionsadressat	Natürliche Personen (Verantwortliche)	Unternehmen
Meldefrist Datenpanne	So rasch als möglich	72 Stunden

Pflichten für Unternehmen unter dem DSG

Wer Personendaten bearbeitet, muss zahlreiche Pflichten erfüllen. Die wichtigsten im Überblick:

1. Verzeichnis der Bearbeitungstätigkeiten

Unternehmen mit mindestens 250 Mitarbeitenden sowie kleinere Unternehmen mit umfangreicher oder risikoreicher Datenbearbeitung müssen ein Verzeichnis führen. KMU sind grundsätzlich befreit, sollten aber dennoch dokumentieren.

2. Datenschutz-Folgenabschätzung (DSFA)

Bei hohem Risiko für Persönlichkeit oder Grundrechte muss eine DSFA erstellt werden – etwa bei umfassendem Profiling oder systematischer Überwachung öffentlicher Bereiche.

3. Meldung von Verletzungen der Datensicherheit

Datenpannen mit voraussichtlich hohem Risiko müssen dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch als möglich gemeldet werden. Betroffene Personen sind ebenfalls zu informieren, wenn dies zum Schutz erforderlich ist.

4. Privacy by Design und by Default

Datenschutz muss von Beginn an in Produkte und Dienste eingebaut werden. Standardeinstellungen müssen datenschutzfreundlich sein.

5. Bekanntgabe ins Ausland

Datentransfers in Länder ohne angemessenes Datenschutzniveau sind nur mit Garantien zulässig – etwa Standardvertragsklauseln, verbindliche Unternehmensregeln oder ausdrückliche Einwilligung. Der EDÖB führt eine Liste der Länder mit angemessenem Schutz.

Sanktionen und Bussen unter dem DSG

Ein wichtiger Unterschied zur DSGVO: Das DSG richtet Bussen nicht gegen Unternehmen, sondern gegen natürliche Personen – typischerweise Geschäftsführer oder Verantwortliche. Bussen bis CHF 250'000 drohen unter anderem bei:

Verletzung der Informations-, Auskunfts- und Mitwirkungspflichten
Verletzung von Sorgfaltspflichten (z. B. bei Auslandsbekanntgabe)
Missachtung der Mindestanforderungen an die Datensicherheit
Verletzung der beruflichen Schweigepflicht
Nichtbefolgung von Verfügungen des EDÖB

Die strafrechtliche Verfolgung erfolgt nur auf Antrag, und die Beweislast liegt bei der Strafbehörde. Zusätzlich können zivilrechtliche Ansprüche (Schadenersatz, Genugtuung) und Verwaltungsmassnahmen des EDÖB drohen.

Der Eidgenössische Datenschutzbeauftragte (EDÖB)

Der EDÖB ist die Aufsichtsbehörde für den Datenschutz in der Schweiz. Seit der Revision verfügt er über deutlich mehr Kompetenzen:

Eröffnung von Untersuchungen von Amtes wegen oder auf Anzeige
Erlass verbindlicher Verfügungen gegenüber Verantwortlichen
Anordnung von Bearbeitungsanpassungen, -aufschub oder -abbruch
Beratung von Bundesorganen und Privaten
Zusammenarbeit mit ausländischen Datenschutzbehörden

Betroffene Personen können sich beim EDÖB melden, wenn sie Verstösse vermuten – ähnlich dem Verfahren bei der österreichischen Datenschutzbehörde. Der EDÖB kann jedoch keine direkten Bussen aussprechen; das obliegt den kantonalen Strafbehörden.

Praktische Umsetzung: Checkliste für Unternehmen

Die Umsetzung des DSG lässt sich in überschaubare Schritte gliedern:

Datenbestandsaufnahme: Welche Daten werden wo, wie lange und wozu bearbeitet?
Rechtsgrundlagen prüfen: Ist jede Bearbeitung gerechtfertigt?
Datenschutzerklärung aktualisieren: Alle Informationspflichten erfüllen
Verträge anpassen: Auftragsbearbeitungsverträge (ADV) mit Dienstleistern
TOM implementieren: Verschlüsselung, Zugriffskontrollen, Backups
Prozesse etablieren: Für Betroffenenrechte und Datenpannen
Mitarbeitende schulen: Sensibilisierung ist entscheidend
Regelmässige Audits: Kontinuierliche Verbesserung

Datenschutz im Alltag: Was Privatpersonen tun können

Auch als Privatperson können Sie aktiv zu Ihrem Datenschutz beitragen. Nutzen Sie datenschutzfreundliche Werkzeuge und achten Sie auf sensible Informationen. Für vertrauliche Fotos empfehlen wir unseren Leitfaden zu verschlüsselten Foto-Tresoren.

Beim Teilen von Links entstehen häufig unbemerkte Datenspuren. Datensparsame Werkzeuge wie Lunyb ermöglichen es, URLs zu kürzen, ohne Nutzerprofile aufzubauen – ein wichtiger Baustein für den privaten Umgang mit personenbezogenen Daten. Wer eine datenschutzfreundliche Alternative zu grossen US-Anbietern sucht, findet in unserem Artikel zu Bitly-Alternativen weitere Optionen.

Weitere Schutzmassnahmen im Überblick

Verschlüsselte Messenger und E-Mail-Dienste nutzen
Zwei-Faktor-Authentifizierung überall aktivieren
Datenschutzerklärungen aufmerksam lesen
Regelmässig Auskunft über bearbeitete Daten verlangen
Nur notwendige Berechtigungen erteilen

Vorteile und Herausforderungen des revidierten DSG

Vorteile

Stärkere Rechte für betroffene Personen
Erhalt der EU-Angemessenheitsbewertung
Modernisierung und Rechtssicherheit
Klare Verantwortlichkeiten
Erhöhtes Vertrauen in digitale Angebote

Herausforderungen

Hoher Umsetzungsaufwand insbesondere für KMU
Persönliche Haftung natürlicher Personen
Komplexität bei internationalen Datentransfers
Laufende Anpassung an technologische Entwicklungen
Doppelte Compliance bei EU-Geschäft (DSG + DSGVO)

Häufig gestellte Fragen (FAQ)

Seit wann gilt das revidierte Schweizer Datenschutzgesetz?

Das revidierte DSG ist am 1. September 2023 gemeinsam mit der neuen Datenschutzverordnung (DSV) in Kraft getreten. Es ersetzt das ursprüngliche DSG von 1992 vollständig und modernisiert den Schweizer Datenschutz umfassend.

Muss ich als Schweizer Unternehmen auch die DSGVO beachten?

Ja, sobald Sie Daten von Personen in der EU bearbeiten – etwa durch Online-Shops, Newsletter oder Dienstleistungen für EU-Kunden – gilt zusätzlich die DSGVO. Viele Anforderungen überschneiden sich, aber es bestehen wichtige Unterschiede, insbesondere bei Bussen und Sanktionsadressaten.

Welche Strafen drohen bei Verstössen gegen das DSG?

Bussen bis CHF 250'000 können gegen natürliche Personen verhängt werden, die vorsätzlich gegen zentrale Pflichten verstossen – etwa Informations-, Auskunfts- oder Sorgfaltspflichten. Zusätzlich sind zivilrechtliche Ansprüche und Verwaltungsmassnahmen des EDÖB möglich.

Brauche ich einen Datenschutzberater in meinem Unternehmen?

Das DSG verpflichtet private Verantwortliche nicht generell zur Bestellung eines Datenschutzberaters. Freiwillig bestellte Berater bringen jedoch Vorteile, etwa den Verzicht auf eine Konsultation des EDÖB bei bestimmten Datenschutz-Folgenabschätzungen. Für Bundesorgane ist ein Datenschutzberater Pflicht.

Wie kann ich Auskunft über meine gespeicherten Daten verlangen?

Richten Sie eine schriftliche Anfrage an den Verantwortlichen (per E-Mail oder Brief) und weisen Sie Ihre Identität nach. Das Unternehmen muss Ihnen innerhalb von 30 Tagen kostenlos Auskunft geben. Bei Verweigerung oder unvollständiger Auskunft können Sie sich an den EDÖB wenden oder den Zivilweg beschreiten.