DSG: Das Schweizer Datenschutzgesetz Erklärt (2026)

Das Schweizer Datenschutzgesetz (DSG) regelt seit dem 1. September 2023 in seiner totalrevidierten Fassung, wie Unternehmen und Behörden in der Schweiz mit Personendaten umgehen dürfen. Für viele Firmen – insbesondere solche, die auch europäische Kundinnen und Kunden bedienen – stellt sich die Frage: Was verlangt das revidierte DSG konkret, worin unterscheidet es sich von der DSGVO, und welche Sanktionen drohen bei Verstössen? Dieser Leitfaden erklärt die zentralen Regelungen des DSG praxisnah und verständlich.

Was ist das DSG (Schweizer Datenschutzgesetz)?

Das Datenschutzgesetz (DSG) ist das schweizerische Bundesgesetz zum Schutz der Persönlichkeit und Grundrechte natürlicher Personen bei der Bearbeitung ihrer Daten. Die vollständig revidierte Fassung – oft als revDSG bezeichnet – trat am 1. September 2023 in Kraft und ersetzt das Gesetz von 1992.

Das DSG wird ergänzt durch die Verordnung zum Datenschutzgesetz (VDSG) sowie durch die Aufsicht des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Ziel der Revision war es, das Schutzniveau an europäische Standards (insbesondere die DSGVO und die Konvention 108+ des Europarates) anzugleichen, damit die Schweiz weiterhin als sicheres Drittland eingestuft bleibt und der freie Datenverkehr mit der EU gewährleistet ist.

Wer ist vom DSG betroffen?

Das DSG gilt für:

Private Personen und Unternehmen, die Personendaten bearbeiten
Bundesorgane und öffentliche Stellen des Bundes
Ausländische Unternehmen, deren Datenbearbeitung sich in der Schweiz auswirkt (Marktortprinzip)

Im Unterschied zur DSGVO schützt das DSG ausschliesslich Daten natürlicher Personen. Daten von juristischen Personen fallen – anders als früher – nicht mehr unter den Schutz des revidierten Gesetzes.

Zentrale Grundsätze des revidierten DSG

Das DSG basiert auf sieben zentralen Bearbeitungsgrundsätzen, die bei jeder Datenverarbeitung eingehalten werden müssen:

Rechtmässigkeit: Datenbearbeitungen müssen einer klaren Rechtsgrundlage entsprechen.
Treu und Glauben: Die Bearbeitung muss transparent und fair erfolgen.
Verhältnismässigkeit: Es dürfen nur so viele Daten bearbeitet werden, wie für den Zweck erforderlich sind.
Zweckbindung: Daten dürfen nur für den bei der Beschaffung angegebenen Zweck verwendet werden.
Richtigkeit: Personendaten müssen aktuell und korrekt sein.
Datensicherheit: Angemessene technische und organisatorische Massnahmen (TOM) sind Pflicht.
Transparenz: Betroffene müssen über die Bearbeitung informiert werden.

Neuerungen im Vergleich zum alten DSG

Die Revision brachte einige wesentliche Änderungen:

Privacy by Design und by Default sind neu ausdrücklich vorgeschrieben.
Eine Datenschutz-Folgenabschätzung (DSFA) ist bei hohen Risiken zwingend.
Meldepflicht bei Datenschutzverletzungen an den EDÖB, sobald ein hohes Risiko besteht.
Ein Bearbeitungsverzeichnis ist Pflicht (mit Ausnahmen für KMU unter 250 Mitarbeitenden bei geringem Risiko).
Genetische und biometrische Daten gelten neu als besonders schützenswerte Personendaten.
Strafrechtliche Sanktionen bis zu CHF 250'000 – neu gegen verantwortliche natürliche Personen.

Rechte der betroffenen Personen

Das DSG stärkt die Rechte der Personen, deren Daten bearbeitet werden. Diese Rechte müssen Unternehmen aktiv gewährleisten und in ihren Prozessen abbilden.

Die wichtigsten Betroffenenrechte

Auskunftsrecht (Art. 25 DSG): Jede Person kann verlangen zu erfahren, ob und welche Daten über sie bearbeitet werden. Die Auskunft ist grundsätzlich kostenlos innerhalb von 30 Tagen zu erteilen.
Recht auf Datenherausgabe und Datenübertragbarkeit (Art. 28 DSG): Neu eingeführt – Daten müssen in einem gängigen elektronischen Format herausgegeben werden.
Recht auf Berichtigung: Unrichtige Daten müssen korrigiert werden.
Recht auf Löschung/Vernichtung: Wenn keine Rechtsgrundlage mehr besteht.
Widerspruchsrecht: Gegen bestimmte Bearbeitungen, insbesondere zu Werbezwecken.
Recht auf Nicht-Unterwerfung unter automatisierte Einzelentscheidungen (Art. 21 DSG).

Pflichten für Unternehmen unter dem DSG

Unternehmen, die Personendaten bearbeiten, müssen konkrete organisatorische und technische Massnahmen umsetzen. Die folgende Übersicht fasst die wichtigsten Pflichten zusammen:

Pflicht	Wer ist betroffen?	Rechtsgrundlage
Bearbeitungsverzeichnis führen	Alle Unternehmen (Ausnahmen für KMU < 250 MA)	Art. 12 DSG
Informationspflicht bei Datenbeschaffung	Alle Verantwortlichen	Art. 19 DSG
Datenschutz-Folgenabschätzung (DSFA)	Bei hohem Risiko	Art. 22 DSG
Meldung von Datenschutzverletzungen	Alle Verantwortlichen	Art. 24 DSG
Technische und organisatorische Massnahmen	Alle Verantwortlichen und Auftragsbearbeiter	Art. 8 DSG
Auftragsbearbeitungsverträge	Bei Beizug von Dienstleistern	Art. 9 DSG
Datenschutzberater/-in (empfohlen)	Freiwillig, aber empfohlen	Art. 10 DSG

Meldung von Datenschutzverletzungen

Kommt es zu einer Verletzung der Datensicherheit, muss diese so rasch als möglich dem EDÖB gemeldet werden, sofern ein hohes Risiko für die Persönlichkeit oder Grundrechte der betroffenen Person besteht. Anders als bei der DSGVO gibt es im DSG keine starre 72-Stunden-Frist – die Meldung muss aber unverzüglich erfolgen. Betroffene Personen sind zu informieren, wenn dies zu ihrem Schutz erforderlich ist.

DSG vs. DSGVO: Die wichtigsten Unterschiede

Obwohl das revidierte DSG stark an die DSGVO angelehnt ist, bestehen bedeutende Unterschiede. Wer geschäftlich in beiden Rechtsräumen tätig ist, muss beide Regelwerke kennen.

Kriterium	DSG (Schweiz)	DSGVO (EU)
Schutzbereich	Nur natürliche Personen	Nur natürliche Personen
Maximale Busse	CHF 250'000 (gegen Privatperson)	Bis 20 Mio. € oder 4 % Weltjahresumsatz
Adressat der Sanktion	Verantwortliche natürliche Person	Unternehmen
Datenschutzbeauftragter	Freiwillig ("Datenschutzberater")	In vielen Fällen Pflicht (DSB)
Meldefrist Datenpanne	"So rasch als möglich"	72 Stunden
Einwilligung	Nur bei sensiblen Daten oder Profiling mit hohem Risiko zwingend	Häufig eine der Hauptrechtsgrundlagen
Aufsichtsbehörde	EDÖB	Nationale Datenschutzbehörden (z.B. BfDI in Deutschland)

Ein wesentlicher Punkt: Wer bereits DSGVO-konform arbeitet, erfüllt weitgehend auch die DSG-Anforderungen – muss aber die schweizspezifischen Punkte (z. B. Verweis auf den EDÖB, andere Länderlisten für Datenexporte) ergänzen.

Datenexport ins Ausland

Das DSG erlaubt die Bekanntgabe von Personendaten ins Ausland nur, wenn ein angemessenes Schutzniveau gewährleistet ist. Der Bundesrat führt eine Länderliste (Anhang 1 VDSG), auf welcher Staaten mit ausreichendem Schutz aufgeführt sind – darunter alle EWR-Staaten.

Bei Ländern ohne angemessenes Schutzniveau (z. B. USA in vielen Konstellationen) sind zusätzliche Garantien nötig:

Standardvertragsklauseln (durch den EDÖB anerkannt)
Verbindliche unternehmensinterne Datenschutzvorschriften (BCR)
Ausdrückliche Einwilligung der betroffenen Person
Swiss-U.S. Data Privacy Framework (seit 2024)

Sanktionen und Bussen bei Verstössen

Ein besonders markanter Unterschied zur DSGVO betrifft die Sanktionen. Das DSG sieht strafrechtliche Bussen von bis zu CHF 250'000 vor – und diese richten sich in der Regel gegen die verantwortliche natürliche Person, nicht gegen das Unternehmen selbst.

Wann drohen Bussen?

Verletzung der Informations-, Auskunfts- und Mitwirkungspflichten (Art. 60 DSG)
Verletzung der Sorgfaltspflichten bei Datenexport oder Auftragsbearbeitung (Art. 61 DSG)
Missachtung der Mindestanforderungen an die Datensicherheit (Art. 61 DSG)
Verletzung der beruflichen Schweigepflicht (Art. 62 DSG)
Missachtung von Verfügungen des EDÖB (Art. 63 DSG)

Neben strafrechtlichen Sanktionen kann der EDÖB neu verbindliche Verfügungen erlassen und Bearbeitungen anordnen, ändern oder verbieten – ein grosser Sprung gegenüber dem früheren Empfehlungsregime.

Praktische Umsetzung: Checkliste für Unternehmen

Um die Anforderungen des DSG systematisch umzusetzen, empfiehlt sich folgendes Vorgehen:

Bestandsaufnahme: Welche Personendaten werden zu welchem Zweck bearbeitet?
Bearbeitungsverzeichnis erstellen: Alle Prozesse dokumentieren.
Datenschutzerklärung aktualisieren: Klare, transparente Information gemäss Art. 19 DSG.
Rechtsgrundlagen prüfen: Für jede Bearbeitung eine gültige Grundlage sicherstellen.
Auftragsbearbeitungsverträge abschliessen: Mit allen externen Dienstleistern.
Technische und organisatorische Massnahmen implementieren: Zugriffskontrollen, Verschlüsselung, Backups.
Prozess für Betroffenenanfragen einrichten: Auskunfts- und Löschbegehren müssen zügig bearbeitet werden können.
Meldeprozess für Datenpannen: Vorlagen und Verantwortlichkeiten definieren.
Mitarbeitende schulen: Regelmässige Sensibilisierung.
Datenschutzberater/-in benennen (empfohlen, insbesondere für grössere Organisationen).

Technische Massnahmen für mehr Datenschutz

Zu den empfohlenen technischen Massnahmen gehören unter anderem:

Transportverschlüsselung (TLS) für sämtliche Webdienste
Ende-zu-Ende-Verschlüsselung sensibler Kommunikation
Verschlüsseltes DNS und datenschutzfreundliche Browser-Konfigurationen
Sichere Passwortverwaltung und Zwei-Faktor-Authentisierung
Datenschutzfreundliche Tools für die tägliche Arbeit – etwa Link-Kürzer, die keine unnötigen Tracking-Daten sammeln. Dienste wie Lunyb bieten hier eine europafreundliche Alternative, um Kampagnen-Links zu teilen, ohne umfassende Nutzerprofile zu erstellen.

DSG im internationalen Kontext

Die Schweiz hat mit dem revidierten DSG bewusst einen Weg gewählt, der die Angemessenheitsentscheidung der EU-Kommission bewahrt. Damit dürfen personenbezogene Daten weiterhin frei aus der EU/dem EWR in die Schweiz übertragen werden – ein wichtiger Wirtschaftsfaktor für Schweizer Unternehmen.

Gleichzeitig steigt der internationale Regulierungsdruck. Neben dem DSG und der DSGVO gewinnen weitere Regelwerke an Bedeutung – etwa das KI-Gesetz der EU, das auch Schweizer Unternehmen betrifft, sofern sie KI-Systeme auf dem europäischen Markt anbieten. Wer die Wechselwirkungen zwischen Datenschutz und künstlicher Intelligenz verstehen möchte, findet weitere Hinweise in unserem Beitrag zu KI und Datenschutz 2026.

Häufige Fehler bei der DSG-Umsetzung

In der Praxis begegnen wir immer wieder ähnlichen Fehlern:

Copy-Paste-Datenschutzerklärungen aus dem deutschen Raum, die schweizerische Besonderheiten (EDÖB, Länderliste) ignorieren.
Fehlende Auftragsbearbeitungsverträge mit Cloud-Anbietern, Marketing-Tools und externen IT-Dienstleistern.
Kein Prozess für Auskunftsanfragen – die 30-Tage-Frist wird regelmässig verpasst.
Ungeklärter Datenexport in die USA ohne rechtliche Grundlage oder zusätzliche Garantien.
Vernachlässigte Löschkonzepte: Daten werden "für alle Fälle" endlos aufbewahrt.
Fehlende Schulung: Mitarbeitende kennen weder die Meldepflichten noch den korrekten Umgang mit sensiblen Daten.

Fazit: Das DSG als Chance

Das revidierte Schweizer Datenschutzgesetz ist mehr als nur eine regulatorische Pflichtübung. Es schafft Vertrauen bei Kundinnen und Kunden, stärkt die internationale Wettbewerbsfähigkeit und zwingt Unternehmen zu einer sauberen Datenhygiene. Wer die Anforderungen als Chance begreift, profitiert doppelt: durch rechtliche Sicherheit und durch effizientere Prozesse.

Die Kernbotschaft lautet: Datenschutz ist keine einmalige Aufgabe, sondern ein fortlaufender Prozess. Regelmässige Überprüfung, Schulung und Anpassung an neue Technologien – von generativer KI bis hin zu neuen Marketing-Tools – sind entscheidend, um dauerhaft DSG-konform zu bleiben.

Häufig gestellte Fragen (FAQ)

Gilt das DSG auch für ausländische Unternehmen?

Ja. Nach dem Marktortprinzip (Art. 3 DSG) gilt das Gesetz auch für Sachverhalte, die sich in der Schweiz auswirken – unabhängig davon, wo das Unternehmen seinen Sitz hat. Ein deutsches Online-Portal, das gezielt Schweizer Kundschaft anspricht, muss das DSG einhalten.

Muss jedes Unternehmen einen Datenschutzberater bestellen?

Nein. Anders als die DSGVO schreibt das DSG die Ernennung eines Datenschutzberaters (Art. 10 DSG) nicht zwingend vor. Sie ist jedoch dringend empfohlen und bringt Vorteile, insbesondere bei der Datenschutz-Folgenabschätzung, wo dann in gewissen Fällen keine Konsultation des EDÖB nötig ist.

Wie hoch sind die Bussen bei einem Verstoss gegen das DSG?

Vorsätzliche Verstösse können mit Bussen bis zu CHF 250'000 geahndet werden. Wichtig: Die Bussen richten sich primär gegen die verantwortliche natürliche Person – also Geschäftsleitungsmitglieder oder andere entscheidungsbefugte Personen – und nicht gegen das Unternehmen als solches.

Was ist der Unterschied zwischen DSG und revDSG?

"DSG" ist die offizielle Bezeichnung des Bundesgesetzes über den Datenschutz. "revDSG" ist ein umgangssprachlicher Begriff für die revidierte, seit 1. September 2023 geltende Fassung. Rechtlich betrachtet handelt es sich um dasselbe Gesetz in seiner aktuellen Version.

Wann muss eine Datenschutz-Folgenabschätzung (DSFA) erstellt werden?

Eine DSFA ist gemäss Art. 22 DSG erforderlich, wenn eine geplante Bearbeitung ein hohes Risiko für die Persönlichkeit oder Grundrechte der betroffenen Person mit sich bringen kann. Typische Beispiele sind umfassendes Profiling, die Bearbeitung besonders schützenswerter Daten in grossem Umfang oder systematische Überwachung öffentlicher Bereiche.

Wie hängt das DSG mit der DSGVO zusammen?

Das DSG wurde bewusst DSGVO-nahe gestaltet, damit die Schweiz ihren Status als sicheres Drittland behält. Unternehmen, die bereits DSGVO-konform arbeiten, erfüllen die meisten DSG-Anforderungen. Es bestehen jedoch Unterschiede bei Sanktionen, Meldefristen und der Notwendigkeit eines Datenschutzbeauftragten.