DSG: Das Schweizer Datenschutzgesetz Einfach Erklärt (2026)

Seit dem 1. September 2023 gilt in der Schweiz das vollständig revidierte Datenschutzgesetz (revDSG). Für viele Unternehmen und Privatpersonen sind die neuen Regeln auch 2026 noch mit Unsicherheit verbunden: Was ist erlaubt, was verboten, welche Pflichten bestehen und wie unterscheidet sich das DSG von der europäischen DSGVO? Dieser Leitfaden erklärt Ihnen das Schweizer Datenschutzgesetz strukturiert, praxisnah und mit Blick auf die aktuellen Entwicklungen.

Was ist das Schweizer Datenschutzgesetz (DSG)?

Das Schweizer Datenschutzgesetz (DSG) ist das zentrale Bundesgesetz, das den Umgang mit Personendaten in der Schweiz regelt. Es schützt die Persönlichkeit und die Grundrechte natürlicher Personen, deren Daten bearbeitet werden – sei es durch private Unternehmen oder durch Bundesorgane.

Das revidierte DSG (revDSG) ersetzt das Gesetz von 1992 und wurde umfassend modernisiert, um mit der digitalen Realität und internationalen Standards Schritt zu halten. Es orientiert sich stark an der europäischen Datenschutz-Grundverordnung (DSGVO), bleibt jedoch in mehreren Punkten eigenständig und in Teilen unternehmensfreundlicher.

Ziele des revidierten DSG

• Stärkung der Selbstbestimmung über die eigenen Daten
• Erhöhung der Transparenz bei der Datenbearbeitung
• Anerkennung der Schweiz als Drittland mit angemessenem Datenschutzniveau durch die EU
• Modernisierung der Aufsicht durch den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB)

Für wen gilt das DSG?

Das DSG gilt für die Bearbeitung von Personendaten natürlicher Personen durch private Personen und Bundesorgane. Wichtig: Anders als die DSGVO schützt das DSG ausschliesslich Daten natürlicher Personen – Daten juristischer Personen (Unternehmen) sind seit der Revision nicht mehr erfasst.

Räumlicher Anwendungsbereich

Das DSG greift immer dann, wenn eine Datenbearbeitung sich in der Schweiz auswirkt – auch wenn das bearbeitende Unternehmen im Ausland sitzt. Ausländische Anbieter, die Waren oder Dienstleistungen in der Schweiz anbieten oder das Verhalten von Personen in der Schweiz beobachten, müssen das DSG einhalten und gegebenenfalls eine Vertretung in der Schweiz benennen.

Die wichtigsten Grundsätze der Datenbearbeitung

Wie die DSGVO stellt auch das DSG die Bearbeitung von Personendaten unter verbindliche Grundsätze. Diese müssen von jedem Verantwortlichen eingehalten werden:

1. Rechtmässigkeit: Daten dürfen nur auf rechtmässige Weise beschafft und bearbeitet werden.
2. Treu und Glauben: Die Bearbeitung muss transparent und für die betroffene Person erkennbar sein.
3. Verhältnismässigkeit: Es dürfen nur so viele Daten bearbeitet werden, wie zur Zweckerreichung notwendig sind.
4. Zweckbindung: Daten dürfen nur für den bei der Beschaffung angegebenen Zweck verwendet werden.
5. Richtigkeit: Bearbeitete Daten müssen aktuell und korrekt sein.
6. Datensicherheit: Angemessene technische und organisatorische Massnahmen sind zu treffen.
7. Transparenz: Betroffene Personen sind über die Beschaffung ihrer Daten zu informieren.

Besonders schützenswerte Personendaten

Das revDSG hat den Katalog besonders schützenswerter Personendaten erweitert. Diese unterliegen strengeren Anforderungen und erfordern in vielen Fällen eine ausdrückliche Einwilligung.

• Religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten
• Gesundheitsdaten, Daten zur Intimsphäre oder zur ethnischen Zugehörigkeit
• Neu: Genetische Daten
• Neu: Biometrische Daten, die eine natürliche Person eindeutig identifizieren
• Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen
• Daten über Massnahmen der sozialen Hilfe

Neue Pflichten für Unternehmen unter dem revDSG

Mit der Revision kamen mehrere konkrete Pflichten hinzu, die insbesondere KMU nicht unterschätzen sollten.

1. Informationspflicht

Bei jeder Beschaffung von Personendaten müssen betroffene Personen aktiv informiert werden – unabhängig davon, ob die Daten direkt bei ihnen oder bei Dritten erhoben werden. Die Datenschutzerklärung ist daher Pflicht und muss folgende Angaben enthalten:

• Identität und Kontaktdaten des Verantwortlichen
• Bearbeitungszweck
• Kategorien der bearbeiteten Daten (bei indirekter Beschaffung)
• Empfänger oder Kategorien von Empfängern
• Bekanntgabe ins Ausland und Zielstaaten inklusive Schutzmassnahmen

2. Verzeichnis der Bearbeitungstätigkeiten

Verantwortliche und Auftragsbearbeiter müssen ein Verzeichnis ihrer Datenbearbeitungen führen. Ausgenommen sind Unternehmen mit weniger als 250 Mitarbeitenden, sofern kein hohes Risiko für die Persönlichkeit besteht.

3. Meldung von Verletzungen der Datensicherheit

Datenpannen mit voraussichtlich hohem Risiko müssen dem EDÖB "so rasch als möglich" gemeldet werden. Die DSGVO-Frist von 72 Stunden gilt formal nicht, wird in der Praxis aber oft als Richtwert herangezogen.

4. Datenschutz-Folgenabschätzung (DSFA)

Vor Bearbeitungen mit hohem Risiko – etwa umfangreichem Profiling oder Bearbeitung besonders schützenswerter Daten in grossem Umfang – ist eine DSFA vorgeschrieben.

5. Privacy by Design und by Default

Datenschutz muss bereits bei der Konzeption von Produkten und Dienstleistungen berücksichtigt werden. Standardeinstellungen müssen datenschutzfreundlich sein.

Rechte der betroffenen Personen

Das DSG räumt betroffenen Personen umfassende Rechte ein, die kostenlos und in verständlicher Form geltend gemacht werden können.

• Auskunftsrecht: Jede Person kann Auskunft verlangen, ob und welche Daten über sie bearbeitet werden.
• Recht auf Datenherausgabe und -übertragung: Neu können Daten in einem gängigen elektronischen Format herausverlangt werden.
• Berichtigung, Löschung, Vernichtung: Unrichtige oder unrechtmässig bearbeitete Daten müssen korrigiert oder gelöscht werden.
• Widerspruchsrecht: Betroffene können sich gegen bestimmte Bearbeitungen wehren.
• Recht auf Information bei automatisierten Einzelentscheidungen: Wenn Entscheidungen ausschliesslich automatisiert getroffen werden, muss dies offengelegt werden.

DSG vs. DSGVO: Die wichtigsten Unterschiede

Obwohl das revDSG stark an der DSGVO ausgerichtet ist, bestehen relevante Unterschiede. Die folgende Tabelle fasst die wichtigsten Punkte zusammen:

Kriterium	Schweizer DSG (revDSG)	EU-DSGVO
Schutz juristischer Personen	Nein	Nein
Rechtsgrundlage für Bearbeitung	Nicht zwingend nötig, aber Rechtfertigung bei Persönlichkeitsverletzung	Sechs abschliessende Rechtsgrundlagen (Art. 6)
Meldefrist Datenpanne	"So rasch als möglich"	72 Stunden
Bussenempfänger	Verantwortliche natürliche Personen	Unternehmen
Maximale Busse	Bis CHF 250'000	Bis EUR 20 Mio. oder 4 % des Weltumsatzes
Datenschutzbeauftragter	Freiwillig ("Berater")	Teils Pflicht
Aufsichtsbehörde	EDÖB	Nationale Datenschutzbehörden

Bussen und Sanktionen unter dem DSG

Das revDSG hat den Bussenrahmen erheblich erhöht. Bei vorsätzlichen Verstössen drohen Bussen bis zu CHF 250'000 – ein wesentlicher Unterschied zur DSGVO ist jedoch, dass diese Bussen sich in erster Linie an verantwortliche natürliche Personen richten, nicht an das Unternehmen als solches.

Sanktionsfähige Verstösse

• Verletzung der Informations-, Auskunfts- und Mitwirkungspflichten
• Verletzung von Sorgfaltspflichten (z. B. Datenexport ohne ausreichende Garantien)
• Missachtung von Verfügungen des EDÖB
• Verletzung der beruflichen Schweigepflicht

Zusätzlich kann der EDÖB Untersuchungen einleiten und verbindliche Massnahmen anordnen – etwa das Verbot einer bestimmten Bearbeitung oder die Löschung von Daten.

Datenexport ins Ausland

Personendaten dürfen nur in Länder mit angemessenem Datenschutzniveau übermittelt werden. Der Bundesrat führt eine entsprechende Länderliste. Für Übermittlungen in Länder ohne angemessenes Schutzniveau (z. B. USA, sofern keine spezifische Vereinbarung greift) braucht es zusätzliche Garantien wie:

• Standardvertragsklauseln (SCC)
• Verbindliche unternehmensinterne Datenschutzvorschriften (BCR)
• Ausdrückliche Einwilligung der betroffenen Person im Einzelfall

Für Übermittlungen in die USA existiert seit 2024 das Swiss-U.S. Data Privacy Framework, das ähnlich wie das EU-Pendant funktioniert.

DSG-Umsetzung in der Praxis: Checkliste für Unternehmen

Die folgenden Schritte helfen Unternehmen, DSG-konform zu arbeiten:

1. Bestandsaufnahme: Welche Personendaten werden zu welchem Zweck bearbeitet?
2. Datenschutzerklärung aktualisieren: Vollständige Information gemäss revDSG.
3. Bearbeitungsverzeichnis erstellen: Auch bei KMU sinnvoll, um Übersicht zu behalten.
4. Auftragsbearbeitungsverträge prüfen: Alle Dienstleister vertraglich einbinden.
5. Prozess für Betroffenenanfragen definieren: Verantwortlichkeiten und Fristen festlegen.
6. Meldeprozess für Datenpannen: Interne Zuständigkeiten und Meldekette klären.
7. Mitarbeitende schulen: Regelmässige Sensibilisierung ist zentral.
8. Technische Massnahmen umsetzen: Verschlüsselung, Zugriffskontrollen, Backups.

Praktische Datenschutz-Tools für Privatpersonen

Das DSG richtet sich primär an Verantwortliche, doch auch Nutzerinnen und Nutzer können viel für den eigenen Datenschutz tun. Einige Beispiele:

• Verschlüsselte Speicherlösungen für sensible Inhalte nutzen – wie in unserem Leitfaden zum Verstecken von Fotos in einem verschlüsselten Tresor beschrieben.
• Standortdaten bewusst teilen – etwa mithilfe der Empfehlungen aus Standort sicher mit der Familie teilen.
• Beim Teilen von Links auf datenschutzfreundliche Werkzeuge setzen. Kurzlink-Dienste wie Lunyb ermöglichen es, URLs ohne aggressives Tracking zu kürzen und statistisch auszuwerten – ein Vorteil, wenn Sie DSG-konforme Kommunikation aufbauen möchten.
• Bei der Nutzung von KI-Diensten die Hinweise aus KI und Datenschutz 2026 beachten.

Berührungspunkte mit anderen Regulierungen

Das DSG steht nicht isoliert. Insbesondere die zunehmende Regulierung im Bereich Künstliche Intelligenz auf europäischer Ebene wirkt sich auch auf Schweizer Unternehmen aus, die im EU-Raum tätig sind. Einen Überblick bietet unser Artikel KI-Gesetz der EU: Was sich 2026 ändert. Auch für Online-Auftritte – etwa moderne Link-in-Bio-Seiten – gelten die DSG-Informationspflichten.

Die Rolle des EDÖB

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist die zentrale Aufsichtsbehörde. Mit der Revision wurden seine Kompetenzen deutlich gestärkt: Er kann von Amtes wegen Untersuchungen eröffnen, Massnahmen verfügen und Empfehlungen aussprechen. Unternehmen sind zur Mitwirkung verpflichtet.

Fazit

Das revidierte Schweizer Datenschutzgesetz bringt einen modernen, international anschlussfähigen Rahmen für den Umgang mit Personendaten. Für Unternehmen bedeutet das konkrete Pflichten – von Informationspflichten über Bearbeitungsverzeichnisse bis zu Meldeprozessen. Für Privatpersonen stärkt das DSG die Selbstbestimmung über die eigenen Daten erheblich. Wer die Grundprinzipien versteht und pragmatisch umsetzt, ist auch 2026 und darüber hinaus auf der sicheren Seite.

Häufig gestellte Fragen (FAQ)

Muss ich als Schweizer KMU die DSGVO oder das DSG einhalten?

Grundsätzlich gilt für Sie das DSG. Wenn Sie jedoch Waren oder Dienstleistungen in der EU anbieten oder Verhalten von Personen in der EU beobachten, unterliegen Sie zusätzlich der DSGVO. In der Praxis empfiehlt sich oft eine Umsetzung, die beide Regelwerke abdeckt.

Brauche ich zwingend einen Datenschutzbeauftragten?

Nein. Das DSG kennt nur den freiwilligen "Datenschutzberater". Wenn Sie einen solchen intern benennen und dem EDÖB melden, profitieren Sie unter Umständen von Erleichterungen bei der Datenschutz-Folgenabschätzung. Für rein Schweizer Unternehmen ist die Ernennung nicht Pflicht, unterliegen Sie jedoch der DSGVO, kann eine Pflicht bestehen.

Wie schnell muss ich auf ein Auskunftsgesuch reagieren?

Grundsätzlich innerhalb von 30 Tagen. In komplexen Fällen kann die Frist verlängert werden, die betroffene Person ist dann aber innerhalb der ursprünglichen Frist zu informieren. Die Auskunft ist in der Regel kostenlos zu erteilen.

Was passiert, wenn eine Datenpanne auftritt?

Sie müssen bewerten, ob voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen besteht. Ist dies der Fall, melden Sie den Vorfall so rasch als möglich dem EDÖB. Betroffene Personen sind zu informieren, wenn dies zu deren Schutz erforderlich ist oder der EDÖB dies verlangt.

Sind Cookies und Tracking unter dem DSG erlaubt?

Das DSG selbst enthält keine spezifische Cookie-Regelung wie die ePrivacy-Richtlinie der EU. Cookies, die Personendaten bearbeiten, unterliegen jedoch den allgemeinen DSG-Grundsätzen: Transparenz, Zweckbindung, Verhältnismässigkeit. Eine informative Datenschutzerklärung ist Pflicht; eine ausdrückliche Einwilligung ist nach reinem DSG-Recht nicht in jedem Fall erforderlich, wird aber bei Tracking und Profiling stark empfohlen – insbesondere, wenn zusätzlich die DSGVO greift.