DSG vs DSGVO: Die Unterschiede Verstehen (Schweiz 2026)

Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG). Für viele Unternehmen stellt sich seither die Frage: Wo genau liegen die Unterschiede zwischen dem Schweizer DSG und der europäischen DSGVO – und welche Regelung müssen Sie eigentlich einhalten? In diesem Leitfaden erklären wir Ihnen die praxisrelevanten Unterschiede, zeigen konkrete Beispiele und geben Handlungsempfehlungen für Schweizer und international tätige Unternehmen.

Was ist das DSG und was ist die DSGVO?

Das Schweizer Datenschutzgesetz (DSG) ist die zentrale nationale Rechtsgrundlage für den Schutz personenbezogener Daten in der Schweiz. Die revidierte Fassung (revDSG) trat am 1. September 2023 in Kraft und modernisiert das bisherige Gesetz aus dem Jahr 1992 grundlegend.

Die Datenschutz-Grundverordnung (DSGVO) ist die EU-weite Verordnung, die seit dem 25. Mai 2018 in allen EU-Mitgliedstaaten unmittelbar gilt. Sie regelt die Verarbeitung personenbezogener Daten durch Unternehmen und Behörden im Europäischen Wirtschaftsraum.

Obwohl beide Regelwerke ähnliche Ziele verfolgen – den Schutz der Privatsphäre und Kontrolle über personenbezogene Daten – unterscheiden sie sich in Anwendungsbereich, Umfang und Sanktionen erheblich.

DSG vs DSGVO: Die wichtigsten Unterschiede im Überblick

Die folgende Vergleichstabelle zeigt Ihnen die zentralen Unterschiede zwischen dem revidierten Schweizer DSG und der EU-DSGVO auf einen Blick:

Kriterium	Schweizer revDSG	EU-DSGVO
Inkrafttreten	1. September 2023	25. Mai 2018
Geltungsbereich	Schweiz + Auswirkungsprinzip	EU/EWR + Marktortprinzip
Geschützte Daten	Nur natürliche Personen	Nur natürliche Personen
Maximale Bussen	CHF 250'000 (gegen Privatpersonen)	Bis EUR 20 Mio. oder 4% Jahresumsatz
Aufsichtsbehörde	EDÖB	Nationale Behörden + EDSA
Datenschutzbeauftragter	Freiwillig empfohlen	Teilweise verpflichtend
Meldepflicht bei Verletzung	„So rasch als möglich"	72 Stunden
Bearbeitungsverzeichnis	Ab 250 Mitarbeitenden Pflicht	Grundsätzlich immer Pflicht
Rechtsgrundlagen	Grundsatzfreiheit	Sechs abschliessende Rechtsgrundlagen

Unterschied 1: Anwendungsbereich und territoriale Geltung

Der Anwendungsbereich beider Gesetze ist einer der wichtigsten Unterschiede in der Praxis.

Das Schweizer DSG

Das revDSG gilt grundsätzlich für die Bearbeitung von Personendaten durch private Personen und Bundesorgane in der Schweiz. Neu wurde jedoch das Auswirkungsprinzip eingeführt: Das Gesetz kommt auch dann zur Anwendung, wenn eine Datenbearbeitung im Ausland stattfindet, sich aber in der Schweiz auswirkt.

Die EU-DSGVO

Die DSGVO verfolgt das Marktortprinzip. Sie gilt für alle Unternehmen, die:

1. eine Niederlassung in der EU haben,
2. Waren oder Dienstleistungen an Personen in der EU anbieten (auch kostenlos),
3. das Verhalten von Personen in der EU beobachten (z.B. Tracking, Analytics).

Praxisbeispiel: Ein Schweizer Online-Shop, der seine Website auch auf Deutsch anbietet und nach Deutschland liefert, muss sowohl das revDSG als auch die DSGVO einhalten.

Unterschied 2: Personendaten und besonders schützenswerte Daten

Beide Gesetze definieren Personendaten ähnlich: alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Ein wichtiger Unterschied: Das alte Schweizer DSG schützte auch juristische Personen – das revDSG hat diesen Schutz nun abgeschafft und ist damit an die DSGVO angeglichen.

Besonders schützenswerte Daten im Vergleich

Das revDSG hat den Katalog der besonders schützenswerten Personendaten erweitert und umfasst nun auch:

• Genetische Daten
• Biometrische Daten zur eindeutigen Identifikation
• Daten über administrative und strafrechtliche Verfolgungen
• Daten über Massnahmen der sozialen Hilfe
• Gesundheitsdaten, religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten
• Daten über die Intimsphäre oder Rassenzugehörigkeit

Die DSGVO nutzt hier den Begriff „besondere Kategorien personenbezogener Daten" (Art. 9), wobei der inhaltliche Umfang weitgehend übereinstimmt.

Unterschied 3: Rechtsgrundlagen der Datenbearbeitung

Hier zeigt sich ein fundamentaler Unterschied in der Systematik.

DSGVO: Abschliessende Rechtsgrundlagen

Die DSGVO verlangt für jede Datenverarbeitung eine der sechs Rechtsgrundlagen aus Art. 6 DSGVO:

1. Einwilligung
2. Vertragserfüllung
3. Rechtliche Verpflichtung
4. Lebenswichtige Interessen
5. Öffentliches Interesse
6. Berechtigte Interessen

revDSG: Grundsatzfreiheit

Das Schweizer Recht verfolgt einen liberaleren Ansatz: Die Datenbearbeitung ist grundsätzlich erlaubt, solange die Bearbeitungsgrundsätze (Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Transparenz) eingehalten werden. Eine ausdrückliche Rechtsgrundlage wird nur benötigt, wenn eine Persönlichkeitsverletzung vorliegt oder besonders schützenswerte Daten bearbeitet werden.

Unterschied 4: Sanktionen und Bussgelder

Der Unterschied bei den Sanktionen ist erheblich – sowohl in der Höhe als auch bei der Frage, wer bestraft wird.

DSGVO-Bussen

Die DSGVO sieht empfindliche Verwaltungsstrafen vor:

• Bis zu 10 Mio. EUR oder 2% des weltweiten Jahresumsatzes bei formellen Verstössen
• Bis zu 20 Mio. EUR oder 4% des weltweiten Jahresumsatzes bei schweren materiellen Verstössen

Bestraft wird das Unternehmen selbst.

revDSG-Sanktionen

Das Schweizer System ist grundsätzlich anders aufgebaut: Bussen werden gegen die verantwortliche natürliche Person verhängt, nicht gegen das Unternehmen. Die maximale Busse beträgt CHF 250'000. Bestraft werden können vorsätzliche Verstösse gegen konkrete Pflichten (z.B. Informationspflicht, Auskunftspflicht).

Für Unternehmen mit Sitz oder Umsatz in der EU bleibt das DSGVO-Risiko in der Praxis deutlich höher.

Unterschied 5: Betroffenenrechte

Beide Regelwerke gewähren umfangreiche Rechte, doch es gibt Nuancen:

Recht	revDSG	DSGVO
Auskunftsrecht	Ja (Art. 25)	Ja (Art. 15)
Recht auf Berichtigung	Ja	Ja (Art. 16)
Recht auf Löschung	Über Persönlichkeitsschutz	Ja („Recht auf Vergessenwerden", Art. 17)
Datenübertragbarkeit	Ja (Art. 28)	Ja (Art. 20)
Widerspruchsrecht	Beschränkt	Ja (Art. 21)
Automatisierte Entscheidungen	Informationspflicht	Recht auf menschliche Prüfung

Unterschied 6: Datenschutz-Folgenabschätzung (DSFA)

Sowohl das revDSG (Art. 22) als auch die DSGVO (Art. 35) verlangen unter bestimmten Umständen eine Datenschutz-Folgenabschätzung.

Der Unterschied liegt im Detail: Die DSGVO nennt konkrete Schwellenwerte und verlangt bei hohem Risiko eine vorherige Konsultation der Aufsichtsbehörde. Das revDSG sieht dies ebenfalls vor, ist aber in der Formulierung offener. Die konkrete Umsetzung ähnelt sich in der Praxis stark.

Unterschied 7: Datenschutzbeauftragter

DSGVO

Nach Art. 37 DSGVO ist ein Datenschutzbeauftragter verpflichtend, wenn:

• eine Behörde die Verarbeitung durchführt,
• die Kerntätigkeit systematische Überwachung im grossen Umfang umfasst,
• umfangreich besondere Kategorien von Daten verarbeitet werden.

revDSG

In der Schweiz ist ein sogenannter Datenschutzberater (Art. 10 revDSG) freiwillig. Er bietet jedoch praktische Vorteile: Bei seiner Bestellung kann bei einer Datenschutz-Folgenabschätzung mit hohem Risiko die Konsultation des EDÖB entfallen.

Unterschied 8: Meldepflicht bei Datenschutzverletzungen

Beide Gesetze verlangen eine Meldung von Datenschutzverletzungen an die zuständige Aufsichtsbehörde – aber mit unterschiedlichen Fristen und Schwellen:

• DSGVO: Meldung innerhalb von 72 Stunden nach Kenntniserlangung, ausser die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte der betroffenen Personen.
• revDSG: Meldung „so rasch als möglich", aber nur wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder Grundrechte der betroffenen Person führt.

Das revDSG ist hier weniger streng, verlangt jedoch weiterhin dokumentierte Prozesse für den Ernstfall. Wer sichere technische Massnahmen einsetzt – etwa Ende-zu-Ende-Verschlüsselung – kann das Risiko einer meldepflichtigen Verletzung deutlich reduzieren.

Unterschied 9: Datentransfer ins Ausland

Beide Regelwerke regeln die Übermittlung von Daten in Drittstaaten ähnlich, jedoch mit unterschiedlichen Referenzpunkten:

• Die DSGVO verlangt einen Angemessenheitsbeschluss der EU-Kommission oder geeignete Garantien (z.B. Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften).
• Das revDSG verlangt eine Länderliste des Bundesrats mit angemessenem Datenschutzniveau. Für Länder ohne Angemessenheitsbeschluss braucht es entsprechende vertragliche Garantien.

Die Schweiz und die EU haben sich gegenseitig als Länder mit angemessenem Datenschutzniveau anerkannt. Datenübermittlungen zwischen beiden Räumen sind daher grundsätzlich unproblematisch.

Praktische Konsequenzen für Unternehmen

Für Schweizer Unternehmen stellt sich die Frage: Muss ich nur das revDSG oder auch die DSGVO einhalten? Hier eine praxisorientierte Entscheidungshilfe:

Nur revDSG relevant

Wenn Ihr Unternehmen ausschliesslich in der Schweiz tätig ist, keine Waren oder Dienstleistungen in die EU anbietet und kein Verhalten von EU-Bürgern überwacht (z.B. durch Tracking), reicht die Einhaltung des revDSG.

Beide Regelwerke relevant

Die meisten Schweizer Unternehmen mit Online-Präsenz fallen in diese Kategorie. Sobald Sie:

1. eine Website in einer EU-Sprache betreiben,
2. Preise in Euro anbieten,
3. Versand in EU-Länder ermöglichen,
4. Analytics-Tools einsetzen, die EU-Nutzer tracken,
5. Newsletter an EU-Empfänger versenden,

müssen Sie beide Regelwerke gleichzeitig einhalten. Die gute Nachricht: Da das revDSG stark an die DSGVO angeglichen wurde, deckt eine DSGVO-konforme Umsetzung meist auch das revDSG ab.

Checkliste: Compliance mit beiden Regelwerken

Diese praktische Checkliste hilft Ihnen bei der Umsetzung:

1. Datenschutzerklärung aktualisieren – erweiterte Informationspflichten beachten
2. Bearbeitungsverzeichnis führen (Pflicht bei ≥250 Mitarbeitenden nach revDSG, weitgehend Pflicht nach DSGVO)
3. Auftragsverarbeitungsverträge mit allen Dienstleistern abschliessen
4. Cookie-Banner DSGVO-konform gestalten (Opt-in)
5. Betroffenenrechte-Prozess etablieren (Auskunft, Löschung, Berichtigung)
6. Meldeprozess für Datenschutzverletzungen definieren
7. Technische und organisatorische Massnahmen (TOM) dokumentieren
8. Mitarbeiterschulungen regelmässig durchführen
9. Bei Bedarf: Datenschutzberater bestellen
10. Datentransfers in Drittstaaten prüfen und absichern

Datensparsame Tools als Compliance-Vorteil

Ein zentraler Grundsatz beider Regelwerke ist die Datenminimierung: Sammeln Sie nur die Daten, die Sie wirklich benötigen. Dies gilt insbesondere für Marketing- und Tracking-Tools.

Wenn Sie beispielsweise Links teilen oder Kampagnen tracken möchten, können datenschutzfreundliche Alternativen den Compliance-Aufwand reduzieren. Dienste wie Lunyb ermöglichen das Kürzen von URLs und einfaches Link-Management, ohne umfangreiche Profildaten Ihrer Nutzer zu erfassen. Das ist gerade im Vergleich zu datenhungrigen Alternativen ein spürbarer Vorteil – wie unser Vergleich der besten URL-Kürzungsdienste 2026 und die Analyse zu Bitly zeigen.

Auch beim Aufbau einer Link-in-Bio-Seite gilt: Wählen Sie Anbieter, die Datenschutz-by-Design umsetzen.

Was tun bei einer Datenschutzverletzung?

Kommt es trotz aller Vorkehrungen zu einer Datenschutzverletzung, sollten Sie schnell handeln:

1. Sofortige Eindämmung des Vorfalls
2. Dokumentation von Zeitpunkt, Ursache, betroffenen Daten und Massnahmen
3. Risikobewertung für die Rechte der betroffenen Personen
4. Meldung an EDÖB (Schweiz) bei hohem Risiko
5. Meldung an EU-Aufsichtsbehörden innerhalb 72 Stunden bei DSGVO-Anwendbarkeit
6. Information der Betroffenen bei hohem Risiko

Betroffene Personen können in Österreich Beschwerde einreichen – wie das funktioniert, erklären wir in unserem Leitfaden zur Beschwerdeeinreichung bei der österreichischen Datenschutzbehörde.

Fazit: DSG und DSGVO im Zusammenspiel

Die Unterschiede zwischen dem revidierten Schweizer DSG und der EU-DSGVO sind in der Substanz nicht mehr so gross wie noch vor einigen Jahren. Der Schweizer Gesetzgeber hat das Datenschutzrecht bewusst an europäische Standards angenähert, um den Angemessenheitsbeschluss der EU-Kommission zu bewahren.

Dennoch bestehen wichtige Unterschiede in der Systematik, den Sanktionen und einzelnen Pflichten. Für die meisten Schweizer Unternehmen mit europäischer Kundschaft gilt: Wer DSGVO-compliant ist, erfüllt in der Regel auch das revDSG. Wer nur nach revDSG arbeitet, muss bei Aktivitäten im EU-Raum nachbessern.

Häufig gestellte Fragen (FAQ)

Gilt die DSGVO auch für Schweizer Unternehmen?

Ja, die DSGVO gilt für Schweizer Unternehmen, sobald sie gezielt Waren oder Dienstleistungen an Personen in der EU anbieten oder das Verhalten von EU-Bürgern beobachten (z.B. durch Tracking-Tools). Ein Sitz in der EU ist nicht erforderlich – entscheidend ist das Marktortprinzip.

Was ist der grösste Unterschied zwischen revDSG und DSGVO?

Die grössten Unterschiede liegen bei den Sanktionen (DSGVO bestraft Unternehmen mit bis zu 4% des Jahresumsatzes, revDSG bestraft natürliche Personen mit maximal CHF 250'000) und den Rechtsgrundlagen (DSGVO verlangt eine der sechs Rechtsgrundlagen, revDSG folgt dem Prinzip der Grundsatzfreiheit).

Muss ich als Schweizer KMU einen Datenschutzbeauftragten bestellen?

Nach revDSG ist ein Datenschutzberater freiwillig. Die Bestellung wird aber empfohlen, da sie Vorteile bei Datenschutz-Folgenabschätzungen bietet. Falls Ihr Unternehmen unter die DSGVO fällt und die dortigen Kriterien erfüllt (systematische Überwachung, umfangreiche Verarbeitung besonderer Kategorien), ist ein Datenschutzbeauftragter verpflichtend.

Wie schnell muss ich eine Datenschutzverletzung melden?

Nach DSGVO haben Sie 72 Stunden Zeit ab Kenntniserlangung. Nach revDSG müssen Sie „so rasch als möglich" melden – jedoch nur bei hohem Risiko für die betroffenen Personen. Ein dokumentierter Notfallprozess ist in beiden Fällen essenziell.

Wo finde ich die zuständige Aufsichtsbehörde?

In der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zuständig. In Deutschland gibt es Landesdatenschutzbehörden und die BfDI auf Bundesebene, in Österreich die Datenschutzbehörde (DSB). Bei grenzüberschreitenden Fällen greift der One-Stop-Shop-Mechanismus der DSGVO.