DSG: Das Schweizer Datenschutzgesetz Erklärt (Leitfaden 2026)

Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG). Es modernisiert den Schutz personenbezogener Daten grundlegend und bringt die Schweiz näher an europäische Standards – ohne jedoch mit der DSGVO deckungsgleich zu sein. Dieser Leitfaden erklärt, was das Schweizer Datenschutzgesetz konkret regelt, welche Pflichten Unternehmen haben und welche Rechte Sie als Betroffene Person geltend machen können.

Was ist das Schweizer Datenschutzgesetz (DSG)?

Das Bundesgesetz über den Datenschutz (DSG) ist das zentrale Schweizer Regelwerk zum Schutz der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet werden. Es gilt für private Personen, Unternehmen sowie Bundesorgane und wird ergänzt durch die Datenschutzverordnung (DSV) sowie kantonale Datenschutzgesetze für kantonale Behörden.

Das revidierte DSG ersetzt das ursprüngliche Gesetz von 1992 und wurde nötig, weil sich die technologische Realität – Cloud-Dienste, KI, Big Data, tracking-basierte Werbung – seit den 1990er-Jahren radikal verändert hat. Ziel der Revision war es, den Datenschutz zu stärken, die Angemessenheitsanerkennung der EU zu sichern und Schweizer Unternehmen international wettbewerbsfähig zu halten.

Wer wird durch das DSG geschützt?

Ein wichtiger Unterschied zur DSGVO: Das revidierte DSG schützt ausschliesslich natürliche Personen. Daten juristischer Personen (Unternehmen, Vereine) fallen nicht mehr unter das Gesetz. Damit gleicht sich die Schweiz an den europäischen Standard an.

Die wichtigsten Grundprinzipien des DSG

Das DSG basiert auf sieben Grundprinzipien, die jede Datenbearbeitung erfüllen muss:

Rechtmässigkeit: Datenbearbeitung nur auf rechtmässiger Grundlage.
Treu und Glauben: Keine heimliche oder täuschende Datenerhebung.
Verhältnismässigkeit: Nur so viele Daten wie nötig.
Zweckbindung: Daten dürfen nur für den ursprünglich angegebenen oder erkennbaren Zweck verwendet werden.
Transparenz: Betroffene müssen wissen, welche Daten wie bearbeitet werden.
Richtigkeit: Daten müssen aktuell und korrekt sein.
Datensicherheit: Angemessene technische und organisatorische Massnahmen (TOM) sind Pflicht.

Diese Prinzipien sind nicht nur abstrakte Leitlinien, sondern jederzeit einklagbar. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) überwacht ihre Einhaltung.

Was ist neu im revidierten DSG?

Die Revision brachte mehrere substanzielle Neuerungen, die insbesondere für Unternehmen weitreichende Konsequenzen haben.

1. Erweiterter Begriff besonders schützenswerter Daten

Neu gelten auch genetische und biometrische Daten (bei eindeutiger Identifikation) als besonders schützenswert. Damit reagiert das Gesetz auf DNA-Tests, Gesichtserkennung und Fingerabdruck-Authentifizierung.

2. Privacy by Design und Privacy by Default

Unternehmen müssen Datenschutz bereits bei der Konzeption von Produkten und Diensten mitdenken (Privacy by Design) und datenschutzfreundliche Voreinstellungen wählen (Privacy by Default). Ein Newsletter-Abo darf beispielsweise nicht standardmässig aktiviert sein.

3. Verzeichnis der Bearbeitungstätigkeiten

Verantwortliche und Auftragsbearbeiter müssen ein internes Verzeichnis führen. KMU mit weniger als 250 Mitarbeitenden sind ausgenommen – ausser sie bearbeiten regelmässig besonders schützenswerte Daten oder betreiben Profiling mit hohem Risiko.

4. Meldepflicht bei Datenpannen

Datensicherheitsverletzungen mit hohem Risiko müssen dem EDÖB "so rasch als möglich" gemeldet werden. Die DSGVO gibt hier 72 Stunden vor – das DSG bleibt bewusst flexibler.

5. Datenschutz-Folgenabschätzung (DSFA)

Bei Bearbeitungen mit hohem Risiko (z. B. umfangreiches Profiling, systematische Überwachung) ist eine DSFA verpflichtend.

6. Erweiterte Informationspflicht

Bei jeder Datenerhebung müssen Betroffene über Identität des Verantwortlichen, Bearbeitungszweck sowie Empfänger und Empfängerkategorien informiert werden. Für internationale Datenübermittlungen gelten zusätzliche Informationspflichten.

7. Höhere Bussen – gegen Privatpersonen

Vorsätzliche Verstösse können mit Bussen bis zu 250'000 CHF geahndet werden. Anders als in der EU trifft die Busse in der Schweiz die verantwortliche natürliche Person (z. B. Geschäftsführer), nicht das Unternehmen.

Rechte der Betroffenen unter dem DSG

Als betroffene Person haben Sie unter dem revidierten DSG umfassende Rechte gegenüber jedem, der Ihre Daten bearbeitet.

Auskunftsrecht (Art. 25 DSG)

Sie können jederzeit kostenlos Auskunft darüber verlangen, ob und welche Daten über Sie bearbeitet werden. Die Antwort muss innert 30 Tagen erfolgen und Zweck, Kategorien, Empfänger, Aufbewahrungsdauer sowie Herkunft der Daten umfassen.

Recht auf Datenherausgabe und -übertragung

Neu haben Sie ein Recht auf Herausgabe Ihrer Daten in einem gängigen elektronischen Format – vergleichbar mit dem Recht auf Datenportabilität der DSGVO.

Recht auf Berichtigung und Löschung

Unrichtige Daten müssen korrigiert, unrechtmässig bearbeitete gelöscht werden. Ein absolutes "Recht auf Vergessenwerden" wie in der DSGVO kennt das DSG nicht, das Ergebnis ist aber ähnlich.

Widerspruchsrecht gegen Profiling

Sie können der Erstellung eines Persönlichkeitsprofils widersprechen, insbesondere wenn dieses ein hohes Risiko für Ihre Persönlichkeit oder Grundrechte darstellt.

DSG vs. DSGVO: Die wichtigsten Unterschiede

Obwohl die beiden Regelwerke stark angeglichen wurden, gibt es entscheidende Unterschiede, die insbesondere Unternehmen mit EU-Bezug kennen müssen.

Aspekt	Schweizer DSG	EU-DSGVO
Anwendungsbereich	Nur natürliche Personen	Nur natürliche Personen
Rechtsgrundlagen	Keine explizite Liste; Einwilligung meist nicht zwingend	Sechs abschliessende Rechtsgrundlagen (Art. 6)
Bussgeld-Adressat	Verantwortliche natürliche Person	Unternehmen
Bussgeldhöhe	Max. 250'000 CHF	Bis zu 20 Mio. EUR / 4 % Weltumsatz
Datenschutzbeauftragter	Freiwillig ("Datenschutzberater")	Teilweise Pflicht
Meldefrist Datenpannen	"So rasch als möglich"	72 Stunden
Recht auf Vergessenwerden	Nicht ausdrücklich, faktisch ähnlich	Explizit in Art. 17

Für Schweizer Unternehmen, die Kunden in der EU haben, gelten in der Regel beide Regelwerke parallel. Wer die DSGVO korrekt umsetzt, erfüllt meist auch das DSG – umgekehrt nicht immer.

Pflichten für Unternehmen: Checkliste

Wenn Ihr Unternehmen Personendaten bearbeitet, sollten Sie folgende Punkte konkret prüfen:

Datenschutzerklärung aktualisieren: Enthält Zweck, Kategorien der Empfänger und Angaben zu Auslandsübermittlungen.
Verzeichnis der Bearbeitungstätigkeiten anlegen: Auch als KMU ratsam, unabhängig von der Pflicht.
Auftragsbearbeitungsverträge (ADV) prüfen: Insbesondere mit Cloud-Anbietern, Newsletter-Diensten, Analyse-Tools.
Internationale Datentransfers absichern: Standardvertragsklauseln (SCC) oder Angemessenheitsentscheid prüfen.
Technische und organisatorische Massnahmen (TOM) dokumentieren: Verschlüsselung, Zugriffsrechte, Backup-Konzepte.
Meldeprozess für Datenpannen definieren: Wer erkennt sie, wer meldet an den EDÖB?
Mitarbeiterschulungen durchführen: Der grösste Risikofaktor ist menschliches Fehlverhalten.
Betroffenenanfragen intern regeln: Auskunftsersuchen müssen innert 30 Tagen beantwortet werden.

Internationale Datenübermittlung nach dem DSG

Die Übermittlung von Personendaten ins Ausland ist nur zulässig, wenn im Empfängerland ein angemessener Datenschutz gewährleistet ist. Der Bundesrat führt eine Liste der Staaten mit angemessenem Datenschutzniveau – dazu gehören alle EU/EWR-Staaten sowie einige weitere.

Für Übermittlungen in Staaten ohne angemessenes Schutzniveau (z. B. USA ausserhalb des Swiss-U.S. Data Privacy Framework) sind zusätzliche Garantien erforderlich, etwa Standardvertragsklauseln, verbindliche Unternehmensregeln (BCR) oder eine ausdrückliche Einwilligung der betroffenen Person.

Gerade beim Einsatz von Tracking- und Analyse-Diensten kommt es hier oft zu Verstössen. Wer die Weitergabe seiner Daten an unbekannte Dritte reduzieren möchte, sollte auf datenschutzfreundliche Tools setzen – etwa den in der Schweiz betriebenen URL-Kürzer Lunyb, der ohne aggressives Tracking auskommt. Weitere Optionen finden Sie in unserem Vergleich der besten URL-Kürzungsdienste in der Schweiz 2026.

DSG und neue Technologien: KI, Profiling, Datenhandel

Das revidierte DSG reagiert erstmals explizit auf moderne Bedrohungsszenarien. Automatisierte Einzelentscheidungen mit erheblichen Auswirkungen auf die betroffene Person müssen kenntlich gemacht werden – etwa bei automatischen Kreditentscheidungen oder Bewerber-Screenings.

Beim Profiling unterscheidet das DSG zwischen normalem Profiling und Profiling mit hohem Risiko. Letzteres liegt vor, wenn wesentliche Aspekte der Persönlichkeit umfassend beurteilt werden. Dann gelten strengere Anforderungen an Einwilligung und Transparenz.

Ergänzend zum DSG lohnt sich ein Blick auf europäische Entwicklungen: Das KI-Gesetz der EU und die Frage, wie sich KI und Datenschutz 2026 verändern, betreffen auch viele Schweizer Unternehmen mit EU-Kunden.

Datenbroker und das DSG

Ein wachsendes Problem: Datenbroker sammeln Milliarden von Datenpunkten und verkaufen diese weiter – oft ohne Wissen der Betroffenen. Auch in der Schweiz operieren solche Unternehmen. Das DSG räumt Ihnen jedoch klare Auskunfts- und Widerspruchsrechte ein. Mehr dazu erfahren Sie im Artikel Datenbroker: Wer verkauft Ihre Daten? und im Überblick Was Google über Sie weiss.

Der EDÖB: Aufsichtsbehörde mit gestärkten Kompetenzen

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist die zentrale Aufsichtsbehörde in der Schweiz. Mit dem revidierten DSG wurden seine Kompetenzen deutlich erweitert:

Er kann Untersuchungen von Amtes wegen einleiten.
Er kann verbindliche Verfügungen erlassen (nicht mehr nur Empfehlungen).
Er kann die Anpassung, Sistierung oder Einstellung einer Datenbearbeitung anordnen.
Er kann Bearbeitungen an Dritte verbieten oder Datentransfers untersagen.

Verstösse können zusätzlich strafrechtlich verfolgt werden – zuständig sind die kantonalen Strafverfolgungsbehörden.

Praktische Tipps für Privatpersonen

Auch als Privatperson können Sie Ihre DSG-Rechte aktiv nutzen:

Auskunftsgesuch stellen: Ein formloses Schreiben an das Unternehmen genügt. Vorlagen bietet der EDÖB kostenlos an.
Cookie-Banner kritisch prüfen: Dark Patterns, die zur Einwilligung drängen, sind unter Umständen unzulässig.
Auf datensparsame Dienste setzen: Bevorzugen Sie Anbieter, die transparent kommunizieren und in datenschutzfreundlichen Jurisdiktionen sitzen.
Beschwerde beim EDÖB einreichen: Bei Verdacht auf systematische Verstösse.
Passwort-Hygiene und Verschlüsselung: Der beste rechtliche Schutz nützt wenig, wenn technische Basics fehlen.

Fazit: Ein modernes Gesetz mit Schweizer Handschrift

Das revidierte DSG bringt die Schweiz auf ein zeitgemässes Datenschutzniveau, bleibt dabei aber pragmatischer als die DSGVO. Für Unternehmen bedeutet es zusätzliche Pflichten – für Betroffene aber deutlich mehr Kontrolle über die eigenen Daten. Wer die Grundprinzipien versteht und dokumentiert umsetzt, ist rechtlich gut aufgestellt und stärkt zugleich das Vertrauen von Kunden und Partnern.

Datenschutz ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Regelmässige Überprüfungen, Schulungen und die Anpassung an neue Technologien wie KI oder biometrische Verfahren bleiben Pflicht – auch nach der Revision.

Häufig gestellte Fragen (FAQ)

Gilt das DSG auch für ausländische Unternehmen?

Ja. Das revidierte DSG gilt extraterritorial: Ausländische Unternehmen, die Personendaten von Personen in der Schweiz bearbeiten und dabei Auswirkungen in der Schweiz erzielen, unterliegen dem Gesetz. Sie müssen unter Umständen einen Vertreter in der Schweiz benennen.

Muss ich als KMU einen Datenschutzbeauftragten benennen?

Nein, das DSG kennt keine Pflicht zur Bestellung eines Datenschutzbeauftragten. Sie können freiwillig einen "Datenschutzberater" ernennen – dann profitieren Sie unter bestimmten Umständen von Erleichterungen, etwa entfällt die Konsultationspflicht des EDÖB bei Datenschutz-Folgenabschätzungen.

Wie lange darf ich Personendaten aufbewahren?

Das DSG nennt keine fixen Fristen, verlangt aber, dass Daten gelöscht oder anonymisiert werden, sobald der Bearbeitungszweck entfällt. Gesetzliche Aufbewahrungspflichten (z. B. 10 Jahre für Buchhaltungsunterlagen nach OR) gehen vor. Wichtig ist ein dokumentiertes Löschkonzept.

Was kostet ein Auskunftsersuchen nach DSG?

Grundsätzlich ist die Auskunft kostenlos. Nur in Ausnahmefällen – etwa bei offensichtlich unbegründeten oder besonders aufwändigen Anfragen – dürfen Unternehmen einen Kostenbeitrag von maximal 300 CHF verlangen, und dies muss vorgängig angekündigt werden.

Was passiert bei einem Datenleck?

Bei einer Datensicherheitsverletzung, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt, müssen Sie den EDÖB so rasch als möglich informieren. Betroffene Personen sind zu benachrichtigen, sofern dies zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Zusätzlich empfiehlt sich eine interne Dokumentation aller Datenpannen.