DSG: Das Schweizer Datenschutzgesetz Erklärt (Leitfaden 2026)

Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG). Es modernisiert den Schutz personenbezogener Daten grundlegend und bringt die Schweizer Rechtslage näher an europäische Standards. Dieser Leitfaden erklärt Ihnen, was das DSG regelt, wen es betrifft und welche Pflichten Unternehmen 2026 beachten müssen.

Was ist das Schweizer Datenschutzgesetz (DSG)?

Das Datenschutzgesetz (DSG) ist das zentrale Schweizer Bundesgesetz zum Schutz der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet werden. Es regelt, wie private Personen, Unternehmen und Bundesorgane mit personenbezogenen Daten umgehen dürfen.

Die aktuelle Fassung – das revidierte DSG (revDSG) – wurde am 25. September 2020 vom Parlament verabschiedet und ist am 1. September 2023 zusammen mit der neuen Datenschutzverordnung (DSV) in Kraft getreten. Ergänzt wird das DSG durch die Verordnung über Datenschutzzertifizierungen (VDSZ).

Warum wurde das DSG revidiert?

Das alte DSG stammte aus dem Jahr 1992 und war den Realitäten der digitalen Wirtschaft nicht mehr gewachsen. Drei zentrale Gründe führten zur Revision:

Technologischer Fortschritt: Cloud Computing, Big Data und KI erforderten neue Regeln.
Europäische Angemessenheit: Die Schweiz wollte das Angemessenheitsniveau gegenüber der EU-DSGVO bewahren.
Stärkung der Betroffenenrechte: Bürgerinnen und Bürger sollten mehr Kontrolle über ihre Daten erhalten.

Für wen gilt das DSG?

Das DSG hat einen breiten Anwendungsbereich und betrifft nahezu jede Organisation, die mit Daten natürlicher Personen in der Schweiz zu tun hat.

Sachlicher Anwendungsbereich

Das Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:

Private Personen und Unternehmen (unabhängig von der Grösse)
Bundesorgane
Vereine und Stiftungen

Wichtig: Im Gegensatz zum früheren DSG schützt das revDSG nur noch Daten natürlicher Personen. Daten juristischer Personen (z. B. Firmen) sind nicht mehr vom DSG erfasst.

Räumlicher Anwendungsbereich (Marktortprinzip)

Das DSG gilt auch für ausländische Unternehmen, sofern deren Datenbearbeitung Auswirkungen in der Schweiz hat. Ein deutsches Online-Shop-Unternehmen, das an Schweizer Kundinnen und Kunden verkauft, unterliegt somit dem DSG – selbst ohne Sitz oder Server in der Schweiz. In solchen Fällen muss unter Umständen eine Vertretung in der Schweiz benannt werden.

Die wichtigsten Grundsätze des DSG

Das DSG baut auf klaren Bearbeitungsgrundsätzen auf, die bei jeder Datenverarbeitung einzuhalten sind.

1. Rechtmässigkeit

Die Bearbeitung muss auf einer gesetzlichen Grundlage, einer Einwilligung oder einem überwiegenden Interesse beruhen.

2. Treu und Glauben

Daten dürfen nicht heimlich oder in täuschender Weise gesammelt werden. Betroffene müssen wissen, was mit ihren Daten geschieht.

3. Verhältnismässigkeit

Es dürfen nur so viele Daten bearbeitet werden, wie für den Zweck tatsächlich notwendig sind (Datenminimierung).

4. Zweckbindung

Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden oder der aus den Umständen erkennbar ist.

5. Richtigkeit

Die bearbeiteten Daten müssen korrekt sein. Falsche Daten sind zu berichtigen oder zu löschen.

6. Datensicherheit

Verantwortliche müssen angemessene technische und organisatorische Massnahmen (TOM) treffen, um Daten vor unbefugtem Zugriff zu schützen.

Besonders schützenswerte Personendaten

Das revDSG erweitert die Kategorien besonders schützenswerter Daten. Für diese gelten strengere Anforderungen, insbesondere oft eine ausdrückliche Einwilligung.

Kategorie	Beispiele
Religiöse, weltanschauliche, politische Ansichten	Parteimitgliedschaft, Glaubensrichtung
Gesundheit, Intimsphäre, ethnische Herkunft	Diagnosen, sexuelle Orientierung
Genetische Daten (NEU im revDSG)	DNA-Analysen
Biometrische Daten (NEU im revDSG)	Fingerabdrücke, Gesichtserkennung
Daten über administrative/strafrechtliche Verfolgungen	Vorstrafen, laufende Verfahren
Daten über Massnahmen der sozialen Hilfe	Sozialhilfebezug

Pflichten für Unternehmen nach dem revDSG

Das revidierte DSG bringt eine Reihe neuer oder verschärfter Pflichten mit sich. Hier die wichtigsten im Überblick.

Informationspflicht

Verantwortliche müssen betroffene Personen aktiv über die Beschaffung von Personendaten informieren – auch wenn die Daten nicht direkt bei der Person erhoben werden. Die Datenschutzerklärung muss mindestens enthalten:

Identität und Kontaktdaten des Verantwortlichen
Bearbeitungszweck
Empfänger oder Kategorien von Empfängern
Bei Datenexport ins Ausland: Zielstaat und Garantien

Verzeichnis der Bearbeitungstätigkeiten (VVT)

Unternehmen müssen ein Verzeichnis ihrer Datenbearbeitungen führen. Ausgenommen sind KMU mit weniger als 250 Mitarbeitenden, sofern die Bearbeitung ein geringes Risiko für die Persönlichkeit der Betroffenen darstellt.

Datenschutz-Folgenabschätzung (DSFA)

Bei Bearbeitungen mit hohem Risiko (z. B. umfangreiches Profiling, systematische Überwachung) ist vorab eine DSFA durchzuführen. Ergibt diese ein hohes Restrisiko, muss der EDÖB konsultiert werden.

Meldepflicht bei Datenschutzverletzungen

Datenschutzverletzungen (Data Breaches) müssen dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) "so rasch als möglich" gemeldet werden, sofern ein hohes Risiko für die betroffenen Personen besteht. Im Vergleich zur DSGVO (72 Stunden) ist die Frist bewusst flexibler formuliert.

Privacy by Design und by Default

Datenschutz muss bereits bei der technischen Konzeption von Systemen berücksichtigt werden. Voreinstellungen müssen datenschutzfreundlich sein.

Auftragsbearbeitung

Werden Daten an Dienstleister (z. B. Cloud-Anbieter) übertragen, braucht es einen schriftlichen Auftragsbearbeitungsvertrag. Der Auftragsbearbeiter darf Unterauftragnehmer nur mit vorgängiger Genehmigung einsetzen.

Rechte der betroffenen Personen

Das DSG stärkt die Rechte der Bürgerinnen und Bürger erheblich. Jede natürliche Person kann folgende Rechte geltend machen:

Auskunftsrecht: Information darüber, welche Daten über sie bearbeitet werden.
Berichtigungsrecht: Korrektur unrichtiger Daten.
Löschungsrecht: Vernichtung nicht mehr benötigter Daten.
Recht auf Datenherausgabe und -übertragung: Erhalt der eigenen Daten in einem gängigen elektronischen Format.
Widerspruchsrecht: Einwand gegen bestimmte Bearbeitungen.
Recht auf Information bei automatisierten Einzelentscheidungen: Insbesondere bei Entscheidungen, die rechtliche Wirkung entfalten.

Die Beantwortung eines Auskunftsgesuchs muss grundsätzlich innert 30 Tagen und kostenlos erfolgen.

Datenexport ins Ausland

Die Übermittlung von Personendaten ins Ausland ist nur zulässig, wenn im Empfängerstaat ein angemessenes Datenschutzniveau gewährleistet ist. Der Bundesrat führt eine Länderliste. Ist ein Land nicht gelistet, braucht es zusätzliche Garantien wie:

Standardvertragsklauseln (SCCs)
Verbindliche unternehmensinterne Datenschutzvorschriften (BCR)
Ausdrückliche Einwilligung der betroffenen Person

Besonders relevant sind Übermittlungen in die USA, wo das Swiss-US Data Privacy Framework seit 2024 wieder einen vereinfachten Transfer an zertifizierte Unternehmen ermöglicht.

Sanktionen und Bussen

Eine der grössten Neuerungen des revDSG betrifft die Sanktionen. Im Gegensatz zur DSGVO richten sich Bussen nicht gegen das Unternehmen, sondern gegen die verantwortlichen natürlichen Personen.

Verstoss	Maximale Busse
Verletzung Informations-, Auskunfts- und Mitwirkungspflichten	CHF 250'000
Verletzung von Sorgfaltspflichten (Datenexport, Auftragsbearbeitung, Mindestsicherheit)	CHF 250'000
Verletzung der beruflichen Schweigepflicht	CHF 250'000
Missachtung von Verfügungen des EDÖB	CHF 250'000

Zusätzlich kann das Unternehmen selbst mit bis zu CHF 50'000 gebüsst werden, wenn die Ermittlung der verantwortlichen Person unverhältnismässigen Aufwand verursachen würde.

Wer sich mit den Unterschieden zur europäischen Regelung vertraut machen möchte, findet in unserem Beitrag DSG vs DSGVO: Die Unterschiede verstehen einen detaillierten Vergleich.

Die Rolle des EDÖB

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist die zentrale Aufsichtsbehörde für den Datenschutz in der Schweiz. Mit dem revDSG wurden seine Kompetenzen deutlich ausgebaut.

Neue Befugnisse des EDÖB

Eröffnung formeller Untersuchungen von Amtes wegen
Erlass verbindlicher Verfügungen
Anordnung von Massnahmen zur Beseitigung von Datenschutzmängeln
Vorläufige Massnahmen bei dringenden Fällen

Betroffene Personen können sich jederzeit mit einer Anzeige an den EDÖB wenden. Für Beschwerdeverfahren in Deutschland hilft unser Leitfaden BfDI Beschwerde einreichen weiter.

Praktische Umsetzung im Unternehmen

Die Einhaltung des DSG ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Folgende Schritte helfen bei der Umsetzung:

Bestandsaufnahme: Erfassen Sie alle Datenbearbeitungen im Unternehmen.
Gap-Analyse: Vergleichen Sie den Ist-Zustand mit den DSG-Anforderungen.
Datenschutzerklärung erstellen: Formulieren Sie klare, verständliche Informationen für Betroffene.
Verträge anpassen: Auftragsbearbeitungsverträge mit Dienstleistern aktualisieren.
Technische Massnahmen: Verschlüsselung, Zugriffskontrollen, Backups einrichten.
Organisatorische Massnahmen: Mitarbeitende schulen, Prozesse für Betroffenenanfragen etablieren.
Dokumentation: VVT und TOM nachweisbar dokumentieren.
Regelmässige Überprüfung: Prozesse mindestens jährlich auditieren.

Tools, die bei der Compliance helfen

Für eine datenschutzkonforme Unternehmensführung ist der Einsatz geeigneter Werkzeuge zentral. Dazu gehören:

Ein zuverlässiger Passwort-Manager zur sicheren Verwaltung von Zugangsdaten
Verschlüsselte Kommunikationsplattformen
Datenschutzfreundliche Analyse-Tools
Ein in der Schweiz oder EU gehosteter Link-Shortener wie Lunyb, um Marketing-Links DSG-konform zu verkürzen und zu tracken, ohne Daten in unsichere Drittländer zu übertragen

Häufige Fehler bei der DSG-Umsetzung

Aus unserer Beratungspraxis sehen wir immer wieder dieselben Stolpersteine:

Fehlende Datenschutzerklärung auf der Website oder veraltete Fassungen aus der alten DSG-Zeit
Keine Auftragsbearbeitungsverträge mit Cloud-Anbietern wie Google, Microsoft oder AWS
Unverschlüsselte E-Mail-Kommunikation mit besonders schützenswerten Daten
Keine Prozesse für die Beantwortung von Auskunftsgesuchen
Vernachlässigung der Mitarbeiterschulungen

Fazit

Das revidierte Schweizer Datenschutzgesetz hat den Datenschutz in der Schweiz auf ein modernes Niveau gehoben. Unternehmen – egal ob KMU oder Grosskonzern – sind gefordert, Datenschutz als integralen Bestandteil ihrer Geschäftsprozesse zu verankern. Wer die Grundsätze versteht, Prozesse etabliert und seine Mitarbeitenden sensibilisiert, erfüllt nicht nur die gesetzlichen Pflichten, sondern schafft auch Vertrauen bei Kundinnen und Kunden.

Angesichts der persönlichen Haftung von Führungspersonen und der Bussen bis CHF 250'000 lohnt sich die Investition in eine saubere DSG-Compliance definitiv.

Häufig gestellte Fragen (FAQ)

Seit wann gilt das revidierte DSG?

Das revidierte Datenschutzgesetz (revDSG) ist am 1. September 2023 in Kraft getreten. Es gab keine Übergangsfrist, Unternehmen mussten die neuen Pflichten ab diesem Datum vollständig erfüllen.

Muss jedes Schweizer Unternehmen einen Datenschutzberater benennen?

Nein, die Benennung eines Datenschutzberaters ist für private Unternehmen freiwillig. Allerdings bringt sie Vorteile: Bei Bearbeitungen mit hohem Risiko kann auf die Konsultation des EDÖB verzichtet werden, wenn eine qualifizierte Datenschutzberaterin oder ein Datenschutzberater konsultiert wurde.

Gilt das DSG auch für ausländische Online-Shops?

Ja. Wenn ein ausländisches Unternehmen Dienstleistungen in der Schweiz anbietet oder das Verhalten von Personen in der Schweiz beobachtet, unterliegt es dem DSG. In vielen Fällen muss eine Vertretung in der Schweiz benannt werden.

Wie hoch sind die Bussen bei DSG-Verstössen?

Die maximale Busse beträgt CHF 250'000 pro Verstoss. Wichtig: Die Bussen richten sich primär gegen die verantwortlichen natürlichen Personen (z. B. Geschäftsführung), nicht gegen das Unternehmen selbst. Das Unternehmen kann subsidiär bis CHF 50'000 gebüsst werden.

Was ist der Unterschied zwischen DSG und DSGVO?

Beide Gesetze schützen Personendaten, unterscheiden sich aber in Details: Die DSGVO kennt deutlich höhere Bussen (bis zu 4 % des globalen Jahresumsatzes), hat strengere Meldefristen bei Datenpannen (72 Stunden) und sieht höhere Dokumentationspflichten vor. Das DSG ist in vielen Punkten pragmatischer, bietet aber einen vergleichbaren Schutzstandard.