DSG: Das Schweizer Datenschutzgesetz Einfach Erklärt (2026)

Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG). Für Unternehmen, Vereine und Selbstständige bedeutet das: neue Pflichten, strengere Transparenzanforderungen und empfindliche Bussen bei Verstössen. Dieser Leitfaden erklärt Ihnen das Schweizer Datenschutzgesetz verständlich und praxisnah – mit klaren Handlungsempfehlungen für 2026.

Was ist das Schweizer Datenschutzgesetz (DSG)?

Das Schweizer Datenschutzgesetz (DSG) ist das zentrale Bundesgesetz zum Schutz der Persönlichkeit und der Grundrechte von Personen, deren Daten bearbeitet werden. Es regelt, wie private Personen und Bundesorgane mit personenbezogenen Daten umgehen dürfen. Das aktuell gültige, revidierte DSG (revDSG) trat am 1. September 2023 in Kraft und ersetzt das Gesetz aus dem Jahr 1992.

Der Zweck ist klar formuliert in Artikel 1: Das Gesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte natürlicher Personen, über die Personendaten bearbeitet werden. Anders als die europäische DSGVO schützt das DSG in seiner Neufassung ausschliesslich Daten natürlicher Personen – Daten juristischer Personen sind nicht mehr erfasst.

Warum wurde das DSG revidiert?

Die Revision hatte drei Hauptziele:

Angleichung an europäische Standards: Um den Angemessenheitsbeschluss der EU zu behalten, musste die Schweiz ihr Datenschutzrecht modernisieren.
Anpassung an die digitale Realität: Das alte Gesetz stammte aus einer Zeit vor Smartphones, Cloud-Diensten und Big Data.
Stärkung der Rechte der Betroffenen: Mehr Transparenz, mehr Auskunftsrechte, mehr Kontrolle.

Für wen gilt das DSG?

Das revidierte DSG gilt für alle privaten Personen (Unternehmen, Vereine, Selbstständige) und Bundesorgane, die Personendaten von natürlichen Personen bearbeiten. Bemerkenswert ist der extraterritoriale Anwendungsbereich: Das Gesetz erfasst auch Sachverhalte, die im Ausland stattfinden, sofern sie sich in der Schweiz auswirken.

Konkret bedeutet das: Ein deutsches Unternehmen, das Waren an Schweizer Kundinnen und Kunden verkauft, unterliegt dem DSG. Ein amerikanischer Cloud-Anbieter mit Schweizer Nutzern ebenfalls.

Was zählt als Personendaten?

Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Dazu gehören:

Name, Adresse, Geburtsdatum, AHV-Nummer
E-Mail-Adressen und Telefonnummern
IP-Adressen und Geräte-IDs
Fotos und Videoaufnahmen
Standortdaten und Bewegungsprofile
Kaufverhalten und Präferenzen

Besonders geschützt sind sogenannte besonders schützenswerte Personendaten – dazu zählen unter anderem Gesundheitsdaten, religiöse und politische Ansichten, biometrische Daten sowie neu auch genetische Daten.

Die wichtigsten Grundsätze des DSG

Das DSG basiert auf sieben zentralen Grundsätzen, die jede Datenbearbeitung erfüllen muss.

1. Rechtmässigkeit

Personendaten dürfen nur rechtmässig bearbeitet werden. Das heisst: Es braucht entweder eine gesetzliche Grundlage, eine Einwilligung oder ein überwiegendes Interesse.

2. Treu und Glauben

Die Bearbeitung muss fair und transparent erfolgen. Heimliche Datensammlungen oder irreführende Informationen sind verboten.

3. Verhältnismässigkeit

Es dürfen nur so viele Daten bearbeitet werden, wie für den jeweiligen Zweck tatsächlich nötig sind (Datenminimierung).

4. Zweckbindung

Daten dürfen nur für den Zweck verwendet werden, der bei der Erhebung angegeben wurde – oder für einen damit vereinbaren Zweck.

5. Erkennbarkeit

Die betroffene Person muss wissen, dass ihre Daten bearbeitet werden. Deshalb ist die Informationspflicht neu deutlich strenger.

6. Richtigkeit

Personendaten müssen richtig sein. Falsche Daten müssen berichtigt oder gelöscht werden.

7. Datensicherheit

Wer Daten bearbeitet, muss durch angemessene technische und organisatorische Massnahmen für deren Sicherheit sorgen.

DSG vs. DSGVO: Die wichtigsten Unterschiede

Obwohl das revDSG stark an die europäische DSGVO angelehnt ist, gibt es bedeutende Unterschiede. Die folgende Tabelle zeigt die wichtigsten Abweichungen:

Kriterium	Schweizer DSG	EU-DSGVO
Schutzbereich	Nur natürliche Personen	Nur natürliche Personen
Maximale Busse	CHF 250'000 (gegen Privatperson/Verantwortliche)	Bis 20 Mio. EUR oder 4% Jahresumsatz (gegen Unternehmen)
Adressat der Busse	Verantwortliche natürliche Person	Unternehmen
Datenschutzbeauftragter	Empfohlen, aber nicht zwingend	Pflicht bei bestimmten Konstellationen
Meldung Datenverletzung	"So rasch als möglich"	Innert 72 Stunden
Datenschutz-Folgenabschätzung	Bei hohem Risiko Pflicht	Bei hohem Risiko Pflicht
Aufsichtsbehörde	EDÖB	Nationale Aufsichtsbehörden
Rechtsgrundlage nötig?	Nein, ausser bei besonderen Daten	Ja, immer eine der 6 Rechtsgrundlagen

Ein entscheidender Unterschied ist die Bussenregelung: Während die DSGVO Unternehmen mit hohen Millionenbussen belegt, richtet sich das DSG gegen die verantwortliche natürliche Person – also Geschäftsführer, Datenschutzverantwortliche oder IT-Leiter persönlich.

Neue Pflichten für Unternehmen unter dem revDSG

1. Erweiterte Informationspflicht

Bei jeder Beschaffung von Personendaten müssen Betroffene aktiv informiert werden. Die Datenschutzerklärung muss mindestens folgende Punkte enthalten:

Identität und Kontaktdaten des Verantwortlichen
Bearbeitungszweck
Empfänger oder Empfängerkategorien der Daten
Bei Datenexport ins Ausland: Zielland und Schutzgarantien

2. Verzeichnis der Bearbeitungstätigkeiten

Unternehmen ab 250 Mitarbeitenden – oder solche, die besonders schützenswerte Daten in grossem Umfang bearbeiten – müssen ein Verzeichnis aller Datenbearbeitungen führen.

3. Meldung von Datenschutzverletzungen

Kommt es zu einer Datenpanne (Data Breach), die zu einem hohen Risiko für die betroffenen Personen führt, muss diese dem EDÖB gemeldet werden. Betroffene sind zu informieren, wenn dies zu ihrem Schutz erforderlich ist.

4. Datenschutz-Folgenabschätzung (DSFA)

Bei geplanten Datenbearbeitungen mit hohem Risiko – etwa umfassendem Profiling oder systematischer Überwachung – ist eine Folgenabschätzung durchzuführen.

5. Privacy by Design und by Default

Datenschutz muss von Anfang an in Produkte und Prozesse eingebaut werden. Standardeinstellungen müssen datenschutzfreundlich sein.

6. Auftragsbearbeitungsvertrag

Wer Daten durch Dritte bearbeiten lässt (z. B. Cloud-Anbieter, Newsletter-Tools), muss dies vertraglich regeln und sicherstellen, dass die Datensicherheit gewährleistet ist.

Rechte der betroffenen Personen

Das DSG stärkt die Rechte natürlicher Personen deutlich. Wer in der Schweiz von Datenbearbeitung betroffen ist, hat folgende Rechte:

Auskunftsrecht: Sie können jederzeit erfahren, welche Daten über Sie bearbeitet werden. Die Antwort muss in der Regel innert 30 Tagen und kostenlos erfolgen.
Recht auf Datenherausgabe und -übertragung: Sie können Ihre Daten in einem gängigen elektronischen Format herausverlangen oder direkt an einen anderen Verantwortlichen übertragen lassen.
Berichtigungsrecht: Falsche Daten müssen korrigiert werden.
Widerspruchsrecht: Sie können der Bearbeitung Ihrer Daten widersprechen.
Recht auf Löschung: Ähnlich dem europäischen Recht auf Vergessenwerden können auch in der Schweiz Daten gelöscht werden.
Recht auf Information bei automatisierten Einzelentscheidungen: Wenn ein Algorithmus über Sie entscheidet, müssen Sie das erfahren.

Datentransfer ins Ausland

Ein besonders sensibler Bereich ist der Export von Personendaten in andere Länder. Das DSG erlaubt Datenexporte nur, wenn im Zielland ein angemessener Schutz besteht oder andere Garantien greifen.

Der Bundesrat führt eine Liste der Länder mit angemessenem Datenschutzniveau. Alle EU/EWR-Staaten stehen darauf. Für Länder ohne Angemessenheitsentscheid – etwa die USA (mit Ausnahmen) oder China – braucht es zusätzliche Massnahmen:

Standardvertragsklauseln (SCC)
Verbindliche unternehmensinterne Datenschutzvorschriften (BCR)
Ausdrückliche Einwilligung der betroffenen Person

Bussen und Strafen bei DSG-Verstössen

Ein oft missverstandener Punkt: Bei DSG-Verstössen werden nicht Unternehmen, sondern verantwortliche natürliche Personen gebüsst – mit bis zu 250'000 Franken. Strafbar sind unter anderem:

Vorsätzliche Verletzung der Informations-, Auskunfts- und Mitwirkungspflichten
Vorsätzliche Missachtung der Mindestanforderungen an die Datensicherheit
Unrechtmässige Bekanntgabe besonders schützenswerter Daten ins Ausland
Verletzung der beruflichen Schweigepflicht

Wichtig: Nur vorsätzliche Verstösse werden bestraft. Fahrlässigkeit reicht nicht aus. Die Verfolgung erfolgt auf Antrag der geschädigten Person oder von Amtes wegen durch die Kantone.

Die Rolle des EDÖB

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist die zentrale Aufsichtsbehörde in der Schweiz. Seine Aufgaben mit dem revDSG wurden deutlich ausgeweitet. Er kann heute:

Untersuchungen von Amtes wegen einleiten
Verbindliche Verfügungen erlassen
Datenbearbeitungen ganz oder teilweise verbieten
Löschung von Daten anordnen
Datenexport ins Ausland untersagen

Praktische Umsetzung: Checkliste für Unternehmen

Die folgenden zehn Schritte helfen Ihnen, die DSG-Konformität herzustellen:

Datenlandkarte erstellen: Welche Daten werden wo, wie und warum bearbeitet?
Bearbeitungsverzeichnis anlegen: Auch wenn keine Pflicht besteht, ist es die Grundlage aller weiteren Massnahmen.
Datenschutzerklärung aktualisieren: Prüfen Sie, ob alle Informationspflichten erfüllt sind.
Verträge mit Auftragsbearbeitern prüfen: Cloud-Dienste, Marketing-Tools, IT-Dienstleister – alle brauchen DSG-konforme Verträge.
Datensicherheit erhöhen: Verschlüsselung, Zugriffskontrollen, regelmässige Backups und moderne Netzwerkschutzmassnahmen wie verschlüsseltes DNS gehören zum Standard.
Meldeprozess für Datenpannen etablieren: Wer entscheidet, wer meldet, wie schnell?
Mitarbeitende schulen: Datenschutz ist Chefsache, aber jeder Mitarbeiter muss die Grundlagen kennen.
Betroffenenrechte-Prozess aufsetzen: Wie bearbeiten Sie Auskunfts- oder Löschanträge?
Datenschutzberater ernennen (optional): Auch ohne Pflicht bringt eine zentrale Verantwortlichkeit Klarheit.
Regelmässige Überprüfung: Datenschutz ist ein kontinuierlicher Prozess, kein einmaliges Projekt.

DSG und moderne Marketing-Tools

Ein oft übersehener Bereich sind Analyse- und Tracking-Werkzeuge. Wer Newsletter versendet, Social-Media-Kampagnen betreibt oder Klicks misst, bearbeitet Personendaten – auch wenn nur IP-Adressen und Nutzer-IDs erfasst werden.

Achten Sie bei der Wahl Ihrer Tools auf Datenschutz-Konformität. Ein DSG-konformer URL-Shortener wie Lunyb hilft dabei, Links zu verkürzen und deren Performance zu messen, ohne unnötige personenbezogene Daten zu speichern. Wer sich einen Überblick verschaffen möchte, findet ihn in unserem Vergleich der besten Link-Tracking-Tools 2026 und der Bitly-Alternativen.

Ausblick: DSG, KI und die Zukunft

Das revDSG ist zwar modern, doch die technologische Entwicklung – insbesondere im Bereich Künstliche Intelligenz – wirft neue Fragen auf. Während in der EU der AI Act konkrete Regeln setzt, verfolgt die Schweiz einen technologieneutralen Ansatz. Mehr dazu finden Sie in unserem Beitrag KI und Datenschutz 2026.

Auch praktische Alltagsprobleme wie unerwünschte Werbeanrufe fallen zunehmend unter datenschutzrechtliche Betrachtung – unser Leitfaden zum Blockieren von Spam-Anrufen zeigt konkrete Lösungen.

Häufig gestellte Fragen (FAQ)

Gilt das DSG auch für Privatpersonen?

Ja, aber mit einer wichtigen Ausnahme: Datenbearbeitungen ausschliesslich zum persönlichen Gebrauch (z. B. Ihr privates Adressbuch) sind vom DSG ausgenommen. Sobald Daten jedoch geschäftlich, vereinsmässig oder öffentlich genutzt werden, greift das Gesetz.

Brauche ich als Kleinstunternehmen eine Datenschutzerklärung?

Ja. Unabhängig von der Grösse Ihres Unternehmens müssen Sie betroffene Personen darüber informieren, welche Daten Sie zu welchem Zweck bearbeiten. Eine Datenschutzerklärung auf Ihrer Website ist daher praktisch immer nötig, sobald Sie z. B. ein Kontaktformular anbieten, einen Newsletter versenden oder Cookies einsetzen.

Was passiert, wenn ich das DSG verletze?

Bei vorsätzlichen Verstössen drohen der verantwortlichen natürlichen Person Bussen von bis zu 250'000 Franken. Hinzu kommen mögliche Verfügungen des EDÖB, zivilrechtliche Schadenersatzforderungen betroffener Personen sowie erhebliche Reputationsschäden.

Muss ich als Schweizer Unternehmen auch die DSGVO einhalten?

Wenn Sie Waren oder Dienstleistungen an Personen in der EU/EWR anbieten oder deren Verhalten beobachten, gilt die DSGVO zusätzlich zum DSG. In der Praxis ist es oft sinnvoll, sich am strengeren Standard – meist der DSGVO – zu orientieren, um beide Regelwerke abzudecken.

Wie lange muss ich Personendaten aufbewahren?

Das DSG selbst nennt keine konkreten Fristen, sondern verweist auf den Grundsatz der Zweckbindung: Daten sind zu löschen oder zu anonymisieren, sobald der Zweck erreicht ist. Zu beachten sind aber gesetzliche Aufbewahrungspflichten (z. B. 10 Jahre für Geschäftsbücher gemäss OR) sowie Verjährungsfristen. Erstellen Sie ein Löschkonzept, das beide Anforderungen ausbalanciert.

Fazit

Das revidierte Schweizer Datenschutzgesetz bringt die Schweiz auf europäisches Niveau – mit eigenen Schweizer Besonderheiten wie der persönlichen Verantwortlichkeit und dem Fokus auf natürliche Personen. Für Unternehmen bedeutet das: mehr Pflichten, aber auch klarere Regeln. Wer die Grundsätze verinnerlicht, ein solides Bearbeitungsverzeichnis führt und Datenschutz als Teil der Unternehmenskultur versteht, wird die Anforderungen des DSG problemlos meistern – und gleichzeitig das Vertrauen von Kundinnen und Kunden stärken.