DSG: Das Schweizer Datenschutzgesetz Erklärt (Leitfaden 2026)

Seit dem 1. September 2023 ist das revidierte Schweizer Datenschutzgesetz (revDSG) in Kraft. Es modernisiert den Umgang mit Personendaten in der Schweiz und bringt für Unternehmen wie Privatpersonen weitreichende Änderungen mit sich. Dieser Leitfaden erklärt Ihnen alles Wichtige rund um das DSG – von den rechtlichen Grundlagen über Ihre Rechte als betroffene Person bis hin zu den Pflichten verantwortlicher Stellen.

Was ist das Schweizer Datenschutzgesetz (DSG)?

Das Datenschutzgesetz (DSG) ist das zentrale schweizerische Bundesgesetz zum Schutz der Persönlichkeit und der Grundrechte von Personen, über die Personendaten bearbeitet werden. Es regelt, wie öffentliche Organe des Bundes sowie private Personen und Unternehmen mit Personendaten umgehen dürfen.

Das ursprüngliche DSG stammte aus dem Jahr 1992 und war in vielen Bereichen nicht mehr zeitgemäss. Mit der Totalrevision wollte der Gesetzgeber die Schweizer Datenschutzgesetzgebung an die technologische Entwicklung anpassen und gleichzeitig die Kompatibilität mit der europäischen Datenschutz-Grundverordnung (DSGVO) sicherstellen. Das revidierte DSG trat am 1. September 2023 in Kraft und wird durch die Datenschutzverordnung (DSV) sowie die Verordnung über Datenschutzzertifizierungen (VDSZ) ergänzt.

Zweck und Schutzgut des DSG

Zweck des Gesetzes ist der Schutz der Persönlichkeit und der Grundrechte natürlicher Personen, deren Personendaten bearbeitet werden. Anders als die DSGVO schützt das revDSG ausschliesslich Daten natürlicher Personen – Daten juristischer Personen fallen seit der Revision nicht mehr unter den Schutzbereich.

Für wen gilt das DSG?

Das revidierte DSG hat einen breiten Anwendungsbereich und betrifft praktisch jedes Unternehmen und jede Organisation, die in der Schweiz tätig ist oder Daten von Personen in der Schweiz bearbeitet.

Räumlicher Geltungsbereich

Das DSG kennt – ähnlich wie die DSGVO – ein Marktortprinzip. Es gilt für Sachverhalte, die sich in der Schweiz auswirken, selbst wenn sie im Ausland veranlasst werden. Ein ausländisches Unternehmen, das sich mit seinem Angebot gezielt an Personen in der Schweiz richtet oder deren Verhalten beobachtet, unterliegt somit dem DSG.

Sachlicher Geltungsbereich

Private Personen und Unternehmen, die Personendaten bearbeiten
Bundesorgane bei der Erfüllung ihrer Aufgaben
Kantonale Behörden fallen unter die jeweiligen kantonalen Datenschutzgesetze

Nicht erfasst sind Datenbearbeitungen durch natürliche Personen ausschliesslich zum persönlichen Gebrauch sowie Beratungen im Rahmen des Parlamentsbetriebs.

Die wichtigsten Begriffe des DSG

Um das DSG richtig anwenden zu können, müssen Sie zentrale Begriffe verstehen. Diese bilden die Grundlage für sämtliche Pflichten und Rechte.

Personendaten

Als Personendaten gelten alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Dazu zählen Name, Adresse, E-Mail, IP-Adresse, Standortdaten oder Online-Kennungen.

Besonders schützenswerte Personendaten

Das revDSG definiert einen erweiterten Katalog besonders schützenswerter Daten:

Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten
Daten über Gesundheit, Intimsphäre oder Zugehörigkeit zu einer Rasse oder Ethnie
Genetische Daten (neu)
Biometrische Daten zur eindeutigen Identifizierung (neu)
Daten über administrative und strafrechtliche Verfolgungen
Daten über Massnahmen der sozialen Hilfe

Verantwortlicher und Auftragsbearbeiter

Diese Begriffe wurden an die DSGVO angeglichen: Verantwortlicher ist, wer über Zweck und Mittel der Bearbeitung entscheidet. Auftragsbearbeiter ist, wer im Auftrag des Verantwortlichen Personendaten bearbeitet (z. B. ein IT-Dienstleister).

Grundsätze der Datenbearbeitung

Das DSG definiert zentrale Grundsätze, die bei jeder Datenbearbeitung einzuhalten sind. Diese Prinzipien bilden das Fundament des Schweizer Datenschutzrechts.

Rechtmässigkeit: Personendaten dürfen nur rechtmässig bearbeitet werden.
Treu und Glauben: Die Bearbeitung muss nach Treu und Glauben erfolgen.
Verhältnismässigkeit: Es dürfen nur jene Daten bearbeitet werden, die für den Zweck erforderlich sind.
Zweckbindung: Daten dürfen nur zu einem bestimmten, erkennbaren Zweck bearbeitet werden.
Erkennbarkeit: Die Beschaffung und der Zweck müssen für die betroffene Person erkennbar sein.
Datenrichtigkeit: Die Daten müssen richtig und bei Bedarf aktualisiert sein.
Datensicherheit: Angemessene technische und organisatorische Massnahmen sind zu treffen.

Rechte der betroffenen Personen

Das revDSG stärkt die Rechte der Personen, deren Daten bearbeitet werden, und bringt diese weitgehend in Einklang mit den Rechten der DSGVO.

Auskunftsrecht

Jede Person hat das Recht zu erfahren, ob und welche Daten über sie bearbeitet werden. Die Auskunft ist grundsätzlich kostenlos und muss innerhalb von 30 Tagen erteilt werden. Sie umfasst Informationen zu Zweck, Kategorien der Daten, Empfängern, Aufbewahrungsdauer und Herkunft der Daten.

Recht auf Datenherausgabe und -übertragung

Neu haben betroffene Personen das Recht, ihre Daten in einem gängigen elektronischen Format herauszuverlangen oder an einen anderen Verantwortlichen übertragen zu lassen.

Berichtigungs-, Lösch- und Widerspruchsrecht

Berichtigung: Falsche Daten müssen korrigiert werden.
Löschung: Unrechtmässig bearbeitete Daten sind zu löschen.
Widerspruch: Betroffene können der Bearbeitung widersprechen.
Einschränkung: Die Bearbeitung kann in bestimmten Fällen eingeschränkt werden.

Wie Sie Ihre Rechte konkret ausüben und was Konzerne wie Google über Sie wissen, erfahren Sie in unserem Beitrag Was Google über Sie weiss.

Pflichten der Unternehmen

Das revDSG legt verantwortlichen Stellen zahlreiche neue Pflichten auf. Unternehmen, die diese nicht erfüllen, riskieren empfindliche Bussen und Reputationsschäden.

Informationspflicht

Bei jeder Beschaffung von Personendaten muss die betroffene Person vorab informiert werden – nicht nur bei besonders schützenswerten Daten wie bisher. Zu den Pflichtangaben gehören:

Identität und Kontaktdaten des Verantwortlichen
Bearbeitungszweck
Empfänger oder Kategorien von Empfängern
Bei Übermittlung ins Ausland: Zielstaat und Garantien

Verzeichnis der Bearbeitungstätigkeiten

Unternehmen müssen ein Verzeichnis der Bearbeitungstätigkeiten führen. Ausgenommen sind KMU mit weniger als 250 Mitarbeitenden, sofern deren Datenbearbeitung ein geringes Risiko darstellt.

Meldung von Datenschutzverletzungen

Verletzungen der Datensicherheit sind dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) "so rasch als möglich" zu melden, sofern ein hohes Risiko für die Persönlichkeit oder Grundrechte besteht. Betroffene Personen sind zu informieren, wenn es zu ihrem Schutz erforderlich ist.

Datenschutz-Folgenabschätzung (DSFA)

Vor Bearbeitungen mit hohem Risiko muss eine DSFA durchgeführt werden – etwa bei systematischer Überwachung grosser öffentlicher Bereiche oder umfangreicher Bearbeitung besonders schützenswerter Daten.

Privacy by Design und by Default

Verantwortliche müssen Datenschutz bereits bei der Planung technisch und organisatorisch berücksichtigen ("Privacy by Design") und datenschutzfreundliche Voreinstellungen gewährleisten ("Privacy by Default").

Datentransfer ins Ausland

Die Übermittlung von Personendaten ins Ausland ist nur zulässig, wenn im Zielland ein angemessener Datenschutz gewährleistet ist. Der Bundesrat führt eine Liste der Staaten mit angemessenem Datenschutzniveau.

Zielland-Kategorie	Zulässigkeit	Erforderliche Massnahmen
EU/EWR, UK, Kanada u. a. (Angemessenheitsliste)	Grundsätzlich zulässig	Keine zusätzlichen Garantien nötig
USA	Nur mit Garantien	Swiss-U.S. Data Privacy Framework oder Standardvertragsklauseln
Andere Drittstaaten	Nur mit Garantien	Standardvertragsklauseln, BCR, Einwilligung

Sanktionen und Bussen

Das revDSG hat die Sanktionen deutlich verschärft. Anders als die DSGVO sieht das Schweizer Recht primär strafrechtliche Bussen gegen verantwortliche natürliche Personen vor – nicht gegen Unternehmen als solche.

Höhe der Bussen

Bis zu CHF 250'000 für vorsätzliche Verstösse gegen Informations-, Auskunfts- oder Mitwirkungspflichten
Bis zu CHF 250'000 für die Verletzung von Sorgfaltspflichten (z. B. unzulässiger Datentransfer ins Ausland)
Bis zu CHF 50'000 für Unternehmen in Bagatellfällen, wenn die Ermittlung der verantwortlichen Person unverhältnismässig wäre

Zusätzlich kann der EDÖB verfügen, dass eine Datenbearbeitung angepasst, unterbrochen oder abgebrochen wird.

DSG im Vergleich zur DSGVO

Obwohl das revDSG stark an die DSGVO angelehnt wurde, bestehen weiterhin wichtige Unterschiede. Eine ausführliche Gegenüberstellung finden Sie in unserem Beitrag DSG vs DSGVO.

Aspekt	DSG (Schweiz)	DSGVO (EU)
Schutzbereich	Nur natürliche Personen	Nur natürliche Personen
Rechtsgrundlage für Bearbeitung	Nicht ausdrücklich gefordert	Erforderlich (Art. 6 DSGVO)
Bussen	Bis CHF 250'000 (natürliche Personen)	Bis 20 Mio. EUR oder 4% Jahresumsatz (Unternehmen)
Datenschutzbeauftragter	Freiwillig (empfohlen)	In bestimmten Fällen Pflicht
Meldefrist Datenpanne	"So rasch als möglich"	72 Stunden

Praktische Umsetzung im Unternehmen

Die DSG-Compliance ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Folgende Schritte sollten Unternehmen umgesetzt haben:

Bestandesaufnahme: Erfassen Sie alle Datenbearbeitungen in Ihrem Unternehmen.
Bearbeitungsverzeichnis erstellen: Dokumentieren Sie Zwecke, Datenkategorien, Empfänger und Aufbewahrungsfristen.
Datenschutzerklärung anpassen: Erfüllen Sie die erweiterte Informationspflicht transparent und verständlich.
Verträge mit Dienstleistern prüfen: Schliessen Sie Auftragsbearbeitungsverträge ab.
Technische Massnahmen umsetzen: Verschlüsselung, Zugangskontrollen, Backups und Protokollierung einführen.
Mitarbeitende schulen: Sensibilisieren Sie Ihr Team regelmässig.
Prozess für Betroffenenrechte etablieren: Reagieren Sie strukturiert auf Auskunfts- oder Löschersuchen.
Meldeprozess für Datenpannen: Legen Sie Zuständigkeiten und Abläufe fest.

Datenminimierung im Alltag

Datenschutz beginnt nicht erst bei der Compliance, sondern bereits bei der bewussten Datennutzung. Unternehmen wie Privatpersonen sollten konsequent dem Grundsatz der Datensparsamkeit folgen. Dienste wie Lunyb helfen beispielsweise dabei, Links zu teilen, ohne unnötige Tracking-Parameter oder persönliche Angaben weiterzugeben – ein konkretes Beispiel für datenschutzfreundliches Design im Online-Alltag.

Weitere praktische Tipps zum Schutz Ihrer Daten finden Sie in unseren Beiträgen zum sicheren Standort-Teilen und zum verschlüsselten Fotoschutz. Einen umfassenden Überblick über Datenschutzrechte im DACH-Raum bietet unser Artikel zum Datenschutz in Deutschland.

Die Rolle des EDÖB

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist die zentrale Aufsichtsbehörde für den Datenschutz in der Schweiz. Mit dem revDSG wurden seine Kompetenzen deutlich erweitert.

Neue Kompetenzen des EDÖB

Eröffnung formeller Untersuchungen von Amtes wegen
Erlass verbindlicher Verfügungen gegenüber Verantwortlichen
Anordnung der Anpassung, Unterbrechung oder des Abbruchs einer Datenbearbeitung
Information der Öffentlichkeit über laufende Verfahren

FAQ – Häufig gestellte Fragen zum DSG

Seit wann gilt das revidierte Schweizer Datenschutzgesetz?

Das revidierte DSG ist am 1. September 2023 in Kraft getreten. Es gibt keine Übergangsfrist – alle Bestimmungen gelten seit diesem Datum uneingeschränkt. Unternehmen, die bisher nicht compliant sind, sollten umgehend handeln.

Muss mein Unternehmen einen Datenschutzbeauftragten ernennen?

Anders als unter der DSGVO ist die Ernennung eines Datenschutzberaters im revDSG freiwillig. Der EDÖB empfiehlt jedoch allen Unternehmen, intern eine zuständige Person zu benennen. Die freiwillige Meldung eines Datenschutzberaters bringt zudem Vorteile – etwa den Verzicht auf die Konsultation des EDÖB bei Datenschutz-Folgenabschätzungen mit hohem Risiko.

Welche Bussen drohen bei DSG-Verstössen?

Bei vorsätzlichen Verstössen gegen zentrale Pflichten (Informationspflicht, Auskunftspflicht, Datentransfer ins Ausland, Sorgfaltspflichten) drohen natürlichen verantwortlichen Personen Bussen bis zu CHF 250'000. In Bagatellfällen kann das Unternehmen selbst mit bis zu CHF 50'000 gebüsst werden. Die Strafverfolgung erfolgt durch die kantonalen Behörden auf Anzeige des EDÖB oder der betroffenen Person.

Gilt das DSG auch für ausländische Unternehmen?

Ja, das revDSG hat extraterritoriale Wirkung. Ausländische Unternehmen unterliegen dem Schweizer Datenschutzrecht, wenn sich ihre Datenbearbeitung in der Schweiz auswirkt – etwa durch gezielte Angebote an Schweizer Personen oder durch Verhaltensbeobachtung. In bestimmten Fällen müssen diese Unternehmen zudem eine Vertretung in der Schweiz benennen.

Was ist der Unterschied zwischen DSG und DSGVO?

Das revDSG ist in vielen Punkten an die DSGVO angelehnt, bleibt aber eigenständig. Wesentliche Unterschiede: Das DSG verlangt keine ausdrückliche Rechtsgrundlage für jede Datenbearbeitung, die Bussen sind niedriger und richten sich primär gegen natürliche Personen, und die Meldefrist für Datenpannen ist weniger starr formuliert. Die Schweiz wird von der EU weiterhin als Land mit angemessenem Datenschutzniveau anerkannt.

Fazit

Das revidierte Schweizer Datenschutzgesetz hebt den Datenschutz in der Schweiz auf ein modernes, international kompatibles Niveau. Für Unternehmen bedeutet dies erweiterte Pflichten, aber auch Rechtssicherheit im internationalen Datenverkehr. Für Privatpersonen bringt es gestärkte Rechte und mehr Transparenz. Wer die Grundsätze des DSG kennt und umsetzt, schützt nicht nur sich selbst oder sein Unternehmen vor Sanktionen, sondern leistet auch einen wertvollen Beitrag zu einer vertrauenswürdigen digitalen Gesellschaft.