DSG: Das Schweizer Datenschutzgesetz Erklärt (2026)

Das Schweizer Datenschutzgesetz (DSG) regelt den Umgang mit Personendaten in der Schweiz. Seit dem 1. September 2023 gilt das totalrevidierte Bundesgesetz über den Datenschutz (nDSG), das die Rechte der betroffenen Personen deutlich stärkt und die Pflichten für Unternehmen an internationale Standards wie die europäische DSGVO angleicht. Dieser Leitfaden erklärt die wichtigsten Grundsätze, Pflichten und praktischen Konsequenzen für Unternehmen und Privatpersonen in der Schweiz.

Was ist das Schweizer Datenschutzgesetz (DSG)?

Das DSG ist das zentrale Bundesgesetz, das den Schutz der Persönlichkeit und der Grundrechte von Personen regelt, über die Personendaten bearbeitet werden. Es gilt für die Bearbeitung von Daten natürlicher Personen durch private Personen und Bundesorgane. Kantonale Behörden unterliegen den jeweiligen kantonalen Datenschutzgesetzen.

Zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Er berät, untersucht Verstösse und kann seit der Revision verbindliche Verfügungen erlassen.

Die wichtigsten Daten im Überblick

25. September 2020: Verabschiedung des totalrevidierten DSG durch das Parlament
1. September 2023: Inkrafttreten des revidierten DSG samt neuer Verordnung (DSV)
Keine Übergangsfrist: Die neuen Pflichten gelten seit dem Stichtag unmittelbar

Für wen gilt das DSG?

Das DSG gilt territorial erweitert: Erfasst sind auch Sachverhalte, die sich im Ausland auswirken, aber in der Schweiz Wirkung entfalten. Das bedeutet, auch ausländische Unternehmen müssen das DSG beachten, wenn sie Daten von Personen in der Schweiz bearbeiten.

Geltungsbereich

Private Personen und Unternehmen (unabhängig von der Grösse)
Bundesorgane (Bundesverwaltung, bundesnahe Betriebe)
Ausländische Verantwortliche, deren Bearbeitung sich in der Schweiz auswirkt

Nicht erfasst sind rein persönliche oder familiäre Datenbearbeitungen sowie Verfahren vor Gerichten.

Welche Daten schützt das DSG?

Das DSG schützt Personendaten, also alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Daten juristischer Personen sind – anders als unter dem alten Recht – nicht mehr geschützt.

Besonders schützenswerte Personendaten

Für bestimmte Datenkategorien gelten strengere Anforderungen. Dazu zählen:

Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten
Daten über die Gesundheit, Intimsphäre oder Rassenzugehörigkeit
Genetische und biometrische Daten, die eine Person eindeutig identifizieren
Daten über verwaltungs- und strafrechtliche Verfolgungen
Daten über Massnahmen der sozialen Hilfe

Die zentralen Grundsätze der Datenbearbeitung

Jede Datenbearbeitung muss sechs Grundsätzen folgen, die im DSG verankert sind:

Rechtmässigkeit: Datenbearbeitungen dürfen nicht widerrechtlich erfolgen.
Treu und Glauben: Die Bearbeitung muss für die betroffene Person nachvollziehbar sein.
Verhältnismässigkeit: Es dürfen nur so viele Daten bearbeitet werden wie nötig.
Zweckbindung: Daten dürfen nur für den bei der Beschaffung angegebenen Zweck verwendet werden.
Richtigkeit: Unrichtige Daten müssen berichtigt oder vernichtet werden.
Datensicherheit: Durch geeignete technische und organisatorische Massnahmen zu gewährleisten.

Neue Pflichten für Unternehmen seit 2023

Das revidierte DSG bringt zahlreiche neue Pflichten, die Unternehmen operativ umsetzen müssen. Die folgenden Punkte sind besonders praxisrelevant:

1. Informationspflicht

Bei jeder Beschaffung von Personendaten muss die betroffene Person transparent informiert werden – unabhängig davon, ob die Daten direkt oder indirekt erhoben werden. Die Datenschutzerklärung muss insbesondere folgende Angaben enthalten:

Identität und Kontaktdaten des Verantwortlichen
Bearbeitungszweck
Empfänger oder Kategorien von Empfängern
Bei Datenexport ins Ausland: Zielstaat und Garantien

2. Verzeichnis der Bearbeitungstätigkeiten

Verantwortliche und Auftragsbearbeiter müssen ein Verzeichnis führen, das die Bearbeitungstätigkeiten dokumentiert. Unternehmen mit weniger als 250 Mitarbeitenden sind ausgenommen, sofern die Bearbeitung ein geringes Risiko für die Persönlichkeit darstellt.

3. Datenschutz-Folgenabschätzung (DSFA)

Bei Bearbeitungen mit hohem Risiko – etwa Profiling mit Rechtsfolgen oder umfangreichen Bearbeitungen besonders schützenswerter Daten – ist vorgängig eine DSFA durchzuführen.

4. Meldepflicht bei Datenschutzverletzungen

Verletzungen der Datensicherheit (Data Breaches) müssen dem EDÖB so rasch als möglich gemeldet werden, sofern voraussichtlich ein hohes Risiko für die betroffenen Personen besteht. Auch die betroffenen Personen sind in solchen Fällen zu informieren.

5. Privacy by Design und Privacy by Default

Datenschutz muss bereits in der Planungsphase technischer Systeme berücksichtigt werden. Voreinstellungen müssen datenschutzfreundlich konfiguriert sein.

6. Auftragsbearbeitung

Die Übertragung der Datenbearbeitung an Dritte setzt einen schriftlichen Vertrag voraus. Unterauftragsverhältnisse bedürfen der vorgängigen Genehmigung des Verantwortlichen.

Rechte der betroffenen Personen

Das DSG gewährt natürlichen Personen umfassende Rechte, die sie gegenüber Verantwortlichen geltend machen können.

Auskunftsrecht

Jede Person kann kostenlos Auskunft darüber verlangen, ob und welche Personendaten über sie bearbeitet werden. Die Auskunft ist in der Regel innert 30 Tagen zu erteilen.

Recht auf Datenherausgabe und -übertragung

Neu können betroffene Personen verlangen, dass ihre Daten in einem gängigen elektronischen Format herausgegeben oder an einen anderen Verantwortlichen übertragen werden.

Weitere Rechte

Berichtigung unrichtiger Daten
Vernichtung bzw. Löschung von Daten
Einschränkung der Bearbeitung
Widerspruch gegen bestimmte Bearbeitungen
Beschwerde beim EDÖB (mehr dazu in unserer Anleitung zur EDÖB-Beschwerde)

DSG vs. DSGVO: Die wichtigsten Unterschiede

Das revidierte DSG orientiert sich stark an der europäischen DSGVO, es bestehen jedoch wichtige Unterschiede, die Unternehmen kennen müssen:

Aspekt	Schweizer DSG	EU-DSGVO
Schutz juristischer Personen	Nein (nur natürliche Personen)	Nein
Maximale Bussen	Bis CHF 250'000 gegen verantwortliche Privatpersonen	Bis 20 Mio. EUR oder 4% Jahresumsatz gegen Unternehmen
Adressat der Busse	Natürliche Personen (Verantwortliche im Unternehmen)	Unternehmen
Datenschutzbeauftragter	Empfohlen, nicht zwingend	In bestimmten Fällen zwingend
Meldefrist Data Breach	So rasch als möglich	Innert 72 Stunden
Einwilligung	In vielen Fällen nicht erforderlich	Strengere Anforderungen
Profiling mit hohem Risiko	Erfordert ausdrückliche Einwilligung	Erfordert ausdrückliche Einwilligung

Datenübermittlung ins Ausland

Die Bekanntgabe von Personendaten ins Ausland ist nur zulässig, wenn der Zielstaat über einen angemessenen Datenschutz verfügt. Der Bundesrat führt eine Liste der Staaten mit angemessenem Schutzniveau (darunter alle EU/EWR-Staaten, Grossbritannien, Kanada etc.).

Fehlt ein angemessenes Schutzniveau, sind zusätzliche Garantien erforderlich, zum Beispiel:

Standardvertragsklauseln (vom EDÖB anerkannt)
Verbindliche unternehmensinterne Datenschutzvorschriften (BCR)
Spezifische Garantien in einem internationalen Vertrag

Sanktionen bei Verstössen

Das revidierte DSG hat die Sanktionen deutlich verschärft. Eine Besonderheit: Die Bussen richten sich nicht gegen Unternehmen, sondern gegen die verantwortlichen natürlichen Personen. Vorsätzliche Verstösse können mit Bussen bis CHF 250'000 geahndet werden.

Strafbare Handlungen

Verletzung der Informations-, Auskunfts- und Mitwirkungspflichten
Verletzung der Sorgfaltspflichten (z.B. Datenbekanntgabe ins Ausland)
Verletzung der Berufsgeheimnispflicht
Missachtung von Verfügungen des EDÖB

Praktische Umsetzung im Unternehmen

Die Umsetzung des DSG ist ein kontinuierlicher Prozess. Die folgenden Schritte helfen bei der systematischen Einführung:

Bestandsaufnahme: Welche Personendaten werden wo, wie und zu welchem Zweck bearbeitet?
Verzeichnis erstellen: Dokumentation aller Bearbeitungstätigkeiten.
Datenschutzerklärung aktualisieren: Alle gesetzlich vorgeschriebenen Informationen aufnehmen.
Verträge prüfen: Auftragsbearbeitungsverträge mit allen Dienstleistern abschliessen.
Technische Massnahmen: Verschlüsselung, Zugriffskontrollen, Backups und regelmässige Sicherheitsprüfungen implementieren.
Mitarbeitende schulen: Datenschutz ist eine Daueraufgabe aller Mitarbeitenden.
Prozesse etablieren: Für Auskunftsersuchen, Datenpannen und Löschanfragen.

Tools und Hilfsmittel für mehr Datenschutz

Neben organisatorischen Massnahmen helfen auch technische Werkzeuge beim DSG-konformen Umgang mit Daten. Datenschutzfreundliche URL-Shortener wie Lunyb ermöglichen es beispielsweise, Links zu teilen, ohne dabei sensible Tracking-Daten Dritter zu übertragen. Auch beim Kürzen von URLs gilt: Die Wahl des Anbieters entscheidet mit darüber, wie viele Daten über Nutzer gesammelt werden. Ebenso wichtig ist eine gute Passworthygiene – prüfen Sie regelmässig, ob Ihre Passwörter in Datenlecks aufgetaucht sind.

Das DSG für Privatpersonen

Als betroffene Person haben Sie in der Schweiz starke Rechte. Sie können jederzeit bei Unternehmen Auskunft über Ihre Daten verlangen, Berichtigungen fordern und sich bei Verstössen an den EDÖB wenden. Für Ihre eigene digitale Sicherheit empfiehlt sich ein bewusster Umgang mit persönlichen Informationen – beispielsweise durch die Nutzung sicherer Browser, verschlüsselter DNS-Dienste und starker Passwörter.

Auch bei der Selbstvermarktung im Netz sollten Sie auf Datenschutz achten. Eine Link-in-Bio-Seite lässt sich beispielsweise mit datenschutzfreundlichen Tools gestalten, ohne dass Besucherdaten unnötig gesammelt werden. Wer in mehreren DACH-Ländern aktiv ist, findet auch Hinweise in unserem Leitfaden zur Online-Privatsphäre in Österreich nützlich.

FAQ: Häufige Fragen zum Schweizer Datenschutzgesetz

Gilt das DSG auch für kleine Unternehmen und Einzelfirmen?

Ja, das DSG gilt grundsätzlich unabhängig von der Unternehmensgrösse. Allerdings sind Unternehmen mit weniger als 250 Mitarbeitenden von der Pflicht zur Führung eines Bearbeitungsverzeichnisses ausgenommen, sofern die Datenbearbeitung ein geringes Risiko für die Persönlichkeit der betroffenen Personen darstellt.

Muss jedes Schweizer Unternehmen einen Datenschutzberater benennen?

Nein, anders als die DSGVO schreibt das DSG keine zwingende Benennung eines Datenschutzberaters vor. Die Ernennung einer solchen Person bringt jedoch Vorteile, etwa Erleichterungen bei der Datenschutz-Folgenabschätzung. Der EDÖB empfiehlt die Benennung ausdrücklich.

Was ist der Unterschied zwischen DSG und DSGVO?

Beide Gesetze verfolgen ähnliche Ziele, unterscheiden sich aber in Details. Die DSGVO sieht deutlich höhere Bussen vor (bis 4% des Jahresumsatzes), die sich gegen Unternehmen richten. Das DSG verhängt Bussen von maximal CHF 250'000 gegen natürliche Personen. Zudem stellt die DSGVO strengere Anforderungen an die Einwilligung und schreibt einen Datenschutzbeauftragten in mehr Fällen zwingend vor.

Wie schnell muss ich eine Datenschutzverletzung melden?

Das DSG verlangt eine Meldung an den EDÖB so rasch als möglich, sofern voraussichtlich ein hohes Risiko für die betroffenen Personen besteht. Eine feste Frist wie die 72 Stunden der DSGVO gibt es nicht, in der Praxis sollte die Meldung aber möglichst innert weniger Tage erfolgen. Betroffene Personen sind zusätzlich zu informieren, wenn dies zu ihrem Schutz erforderlich ist.

Was kann ich tun, wenn ein Unternehmen meine Datenschutzrechte verletzt?

Sie können sich zunächst direkt an das Unternehmen wenden und Ihre Rechte (z.B. Auskunft, Löschung, Berichtigung) schriftlich geltend machen. Reagiert das Unternehmen nicht oder ungenügend, können Sie eine Beschwerde beim EDÖB einreichen oder zivilrechtliche Ansprüche vor Gericht geltend machen. Eine ausführliche Anleitung zum Beschwerdeweg finden Sie in unserem Beitrag zur EDÖB-Beschwerde.

Fazit

Das revidierte Schweizer Datenschutzgesetz hat den Datenschutz in der Schweiz auf ein modernes, international anschlussfähiges Niveau gehoben. Für Unternehmen bedeutet das: Dokumentationspflichten ernst nehmen, Prozesse etablieren und Mitarbeitende sensibilisieren. Für Privatpersonen bringt das DSG gestärkte Rechte und bessere Transparenz. Wer die Grundsätze – Rechtmässigkeit, Verhältnismässigkeit, Transparenz und Sicherheit – konsequent anwendet, ist gut aufgestellt.