DSG vs DSGVO: Die Unterschiede Verstehen (Schweiz & EU 2026)

Seit dem Inkrafttreten des revidierten Schweizer Datenschutzgesetzes (revDSG) am 1. September 2023 stellen sich viele Unternehmen die Frage: Was unterscheidet das Schweizer DSG eigentlich von der EU-Datenschutzgrundverordnung (DSGVO)? Beide Regelwerke verfolgen dasselbe Ziel – den Schutz personenbezogener Daten – unterscheiden sich jedoch in zahlreichen Details. Dieser Artikel liefert Ihnen einen umfassenden Vergleich und zeigt auf, worauf Schweizer und europäische Unternehmen 2026 achten müssen.

Was ist das DSG und was ist die DSGVO?

Das Datenschutzgesetz (DSG) ist das zentrale Schweizer Bundesgesetz zum Schutz personenbezogener Daten. Die Datenschutzgrundverordnung (DSGVO) ist die EU-weit geltende Verordnung, die seit dem 25. Mai 2018 den Datenschutz in allen Mitgliedstaaten harmonisiert.

Das revidierte Schweizer DSG

Das revidierte DSG trat am 1. September 2023 in Kraft und modernisierte das aus dem Jahr 1992 stammende Vorgängergesetz. Es wurde bewusst an die DSGVO angelehnt, um den freien Datenverkehr zwischen der Schweiz und der EU zu gewährleisten. Zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).

Die DSGVO der Europäischen Union

Die DSGVO (Verordnung 2016/679) gilt in allen 27 EU-Mitgliedstaaten sowie im EWR. Sie wird durch nationale Datenschutzbehörden wie den BfDI in Deutschland durchgesetzt und entfaltet dank des Marktortprinzips auch extraterritoriale Wirkung – also auch für Schweizer Unternehmen, die EU-Bürger adressieren.

DSG vs DSGVO: Die zentralen Unterschiede im Überblick

Obwohl beide Regelwerke in ihren Grundprinzipien stark übereinstimmen, gibt es signifikante Abweichungen in Geltungsbereich, Sanktionen und einzelnen Pflichten. Die folgende Tabelle fasst die wichtigsten Punkte zusammen.

Kriterium	Schweizer DSG (revDSG)	EU-DSGVO
Inkrafttreten	1. September 2023	25. Mai 2018
Geltungsbereich	Schutz natürlicher Personen	Schutz natürlicher Personen
Juristische Personen	Nicht mehr geschützt (bis 2023 noch)	Nicht geschützt
Maximale Bussen	Bis CHF 250'000 (gegen Privatpersonen)	Bis EUR 20 Mio. oder 4% Jahresumsatz
Adressat der Sanktionen	Verantwortliche Privatperson	Unternehmen
Datenschutzbeauftragter	Freiwillig (ausser Bundesorgane)	Pflicht unter bestimmten Bedingungen
Meldung Datenschutzverletzung	"So rasch als möglich"	Innert 72 Stunden
Rechtsgrundlagen	Grundsatz der Rechtmässigkeit, keine Liste	Sechs explizite Rechtsgrundlagen (Art. 6)
Aufsichtsbehörde	EDÖB	Nationale Behörden (z.B. BfDI)
Datenschutz-Folgenabschätzung	Ja, bei hohem Risiko	Ja, bei hohem Risiko (Art. 35)

Geltungsbereich: Wer ist von welchem Gesetz betroffen?

Der Geltungsbereich ist einer der ersten Punkte, an dem sich DSG und DSGVO unterscheiden. Beide Regelwerke können parallel Anwendung finden – mit erheblichen Konsequenzen für Unternehmen.

Territorialer Anwendungsbereich DSG

Das Schweizer DSG gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden. Ein US-Unternehmen, das Daten von Schweizer Bürgern bearbeitet, kann somit dem DSG unterliegen. Seit der Revision ist dieses Auswirkungsprinzip explizit im Gesetz verankert.

Marktortprinzip der DSGVO

Die DSGVO wendet das Marktortprinzip an: Sie gilt für alle Unternehmen, die Waren oder Dienstleistungen in der EU anbieten oder das Verhalten von EU-Bürgern beobachten – unabhängig vom Firmensitz. Schweizer Unternehmen, die auf dem EU-Markt tätig sind, müssen somit beide Regelwerke beachten.

Rechtsgrundlagen für die Datenbearbeitung

Hier zeigt sich einer der grössten konzeptionellen Unterschiede. Die DSGVO definiert in Artikel 6 abschliessend sechs Rechtsgrundlagen für die Datenverarbeitung. Das Schweizer DSG verfolgt einen anderen Ansatz.

DSGVO: Sechs klare Rechtsgrundlagen

1. Einwilligung der betroffenen Person
2. Vertragserfüllung
3. Rechtliche Verpflichtung
4. Schutz lebenswichtiger Interessen
5. Wahrnehmung öffentlicher Aufgaben
6. Berechtigtes Interesse des Verantwortlichen

Ohne eine dieser Rechtsgrundlagen ist jede Datenverarbeitung in der EU unzulässig.

DSG: Grundsatz der Rechtmässigkeit mit Rechtfertigungsgründen

Das DSG kennt keine abschliessende Liste. Datenbearbeitung ist grundsätzlich zulässig, solange sie rechtmässig, verhältnismässig und erkennbar erfolgt. Bei Persönlichkeitsverletzungen braucht es jedoch einen Rechtfertigungsgrund (Einwilligung, überwiegendes Interesse oder Gesetz) gemäss Artikel 31 DSG.

Sanktionen: Deutlich unterschiedliche Bussgelder

Die Bussgeldregime unterscheiden sich sowohl in der Höhe als auch im Adressaten erheblich. Hier liegt eine der wichtigsten praktischen Differenzen zwischen beiden Gesetzen.

DSGVO: Unternehmensbezogene Rekordbussen

Die DSGVO sieht Bussen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist. Diese Bussen treffen das Unternehmen als juristische Person. In den letzten Jahren wurden gegen Konzerne wie Meta und Amazon dreistellige Millionenbussen verhängt.

DSG: Persönliche Verantwortlichkeit

Das Schweizer DSG verhängt deutlich tiefere Bussen von maximal CHF 250'000 – allerdings nicht gegen das Unternehmen, sondern gegen die verantwortliche natürliche Person (meist Geschäftsleitung oder Datenschutzverantwortliche). Dieser Ansatz schafft eine persönliche Haftung, was aus Compliance-Sicht erhebliche Auswirkungen auf das Management hat.

Pflichten für Unternehmen im Vergleich

Beide Gesetze verlangen umfangreiche Dokumentations- und Transparenzpflichten. Dennoch gibt es wichtige Nuancen, die bei der praktischen Umsetzung zu beachten sind.

Verzeichnis der Bearbeitungstätigkeiten

Nach DSGVO (Art. 30) müssen grundsätzlich alle Verantwortlichen ein Verzeichnis führen, mit Ausnahmen für Kleinunternehmen unter 250 Mitarbeitenden ohne risikoreiche Verarbeitungen. Das DSG verlangt dieses Verzeichnis ebenfalls, befreit aber KMU mit weniger als 250 Mitarbeitenden explizit, sofern keine umfangreiche Bearbeitung besonders schützenswerter Daten erfolgt.

Datenschutzbeauftragter vs. Datenschutzberater

Die DSGVO schreibt einen Datenschutzbeauftragten (DSB) zwingend vor, wenn eine Kerntätigkeit in umfangreicher Überwachung oder Verarbeitung besonderer Datenkategorien besteht. Das DSG kennt den freiwilligen "Datenschutzberater" – wer einen solchen benennt und beim EDÖB meldet, profitiert von Erleichterungen bei der Datenschutz-Folgenabschätzung.

Meldung von Datenschutzverletzungen

Während die DSGVO eine klare 72-Stunden-Frist vorsieht, verlangt das DSG die Meldung an den EDÖB "so rasch als möglich". Diese weichere Formulierung bedeutet jedoch nicht weniger Dringlichkeit – die Meldung muss ebenfalls unverzüglich erfolgen, sobald eine hohes Risiko für die betroffenen Personen besteht.

Betroffenenrechte im Vergleich

Die Rechte der betroffenen Personen sind in beiden Gesetzen ähnlich ausgestaltet, zeigen aber einige wichtige Unterschiede in der Reichweite.

Gemeinsame Rechte

• Auskunftsrecht über bearbeitete Daten
• Recht auf Berichtigung unrichtiger Daten
• Recht auf Löschung
• Recht auf Datenherausgabe/Datenübertragbarkeit
• Widerspruchsrecht gegen bestimmte Bearbeitungen

Unterschiede in der Umsetzung

Die DSGVO verankert ein explizites "Recht auf Vergessenwerden" (Art. 17) sowie das Recht, nicht einer ausschliesslich automatisierten Entscheidung unterworfen zu werden (Art. 22). Das DSG hat 2023 ähnliche Rechte eingeführt, formuliert sie jedoch weniger detailliert. Insbesondere beim automatisierten Einzelentscheid muss gemäss DSG die betroffene Person informiert werden und kann eine menschliche Überprüfung verlangen.

Internationaler Datentransfer

Grenzüberschreitende Datenübermittlungen sind in beiden Regelwerken strikt geregelt. Hier spielt die gegenseitige Angemessenheitsanerkennung eine zentrale Rolle.

Angemessenheitsbeschlüsse

Die EU hat die Schweiz als Land mit angemessenem Datenschutzniveau anerkannt, wodurch Datentransfers EU → Schweiz ohne zusätzliche Schutzmassnahmen möglich sind. Umgekehrt führt der Bundesrat eine eigene Länderliste. In beide Richtungen gelten für Transfers in Drittländer (z.B. USA) zusätzliche Garantien wie Standardvertragsklauseln.

Praktische Umsetzung

Unternehmen, die Datentransfers absichern wollen, müssen Transfer Impact Assessments (TIA) durchführen. Dabei spielen auch technische Schutzmassnahmen eine Rolle – von Ende-zu-Ende-Verschlüsselung über pseudonymisierte Links bis zu datenschutzfreundlicher Infrastruktur. Dienste wie Lunyb ermöglichen beispielsweise URL-Kürzung mit Fokus auf Privatsphäre, ohne personenbezogene Daten unnötig weiterzugeben – ein Baustein für DSG- und DSGVO-konforme Kommunikation.

Praktische Umsetzung für Unternehmen 2026

Für Schweizer Unternehmen mit EU-Bezug stellt sich die Frage, wie beide Regelwerke effizient kombiniert werden können. Eine integrierte Compliance-Strategie spart Ressourcen und reduziert Risiken.

Schritte zur dualen Compliance

1. Anwendbarkeitsanalyse durchführen: Prüfen Sie, ob und welche Teile Ihres Geschäfts unter DSG, DSGVO oder beide fallen.
2. Datenschutzerklärung anpassen: Formulieren Sie eine kombinierte Erklärung, die beide Regelwerke abdeckt.
3. Verzeichnis der Bearbeitungen erstellen: Dokumentieren Sie alle Datenverarbeitungen zentral.
4. Rechtsgrundlagen prüfen: Mappen Sie jede Verarbeitung auf eine DSGVO-Rechtsgrundlage und einen DSG-Rechtfertigungsgrund.
5. Verträge mit Auftragsbearbeitern aktualisieren: Alle AVV müssen beide Regelwerke abdecken.
6. Technische Massnahmen umsetzen: Verschlüsselung, Zugriffsmanagement, Pseudonymisierung.
7. Schulungen durchführen: Mitarbeitende müssen Unterschiede und Pflichten kennen.
8. Meldeprozesse etablieren: Prozess für Datenschutzverletzungen mit Fristen für beide Behörden.

Weiterführende Informationen

Wer sich tiefer mit datenschutzfreundlichen Werkzeugen beschäftigen möchte, findet Empfehlungen in unserem Artikel zu datenschutzfreundlichen Browsern 2026. Für Fragen zu KI und Datenschutz lesen Sie unseren Beitrag zum EU-KI-Gesetz 2026. Wer eine Beschwerde bei einer Aufsichtsbehörde einreichen möchte, findet eine Anleitung für die österreichische Datenschutzbehörde.

Vorteile und Nachteile beider Regelwerke

Vorteile des DSG

• Pragmatischerer Ansatz mit weniger Formalismus
• KMU-Erleichterungen beim Bearbeitungsverzeichnis
• Geringere Bussgelder im Vergleich zur DSGVO
• Flexiblere Rechtsgrundlagen

Nachteile des DSG

• Persönliche Haftung von Verantwortlichen
• Weniger Rechtsprechung als Orientierung
• Teilweise unklare Formulierungen ("so rasch als möglich")

Vorteile der DSGVO

• Einheitliche Regelung in 27 Ländern
• Umfangreiche Rechtsprechung und Leitlinien
• Klare Fristen und Rechtsgrundlagen
• Starke Betroffenenrechte

Nachteile der DSGVO

• Hohe Bussgelder bei Verstössen
• Umfangreiche Dokumentationspflichten
• Höherer administrativer Aufwand

FAQ: Häufig gestellte Fragen zu DSG und DSGVO

Muss ein Schweizer Unternehmen die DSGVO einhalten?

Ja, sofern es Waren oder Dienstleistungen in der EU anbietet oder das Verhalten von EU-Bürgern beobachtet (z.B. durch Tracking). Das Marktortprinzip der DSGVO macht Schweizer Unternehmen trotz Firmensitz ausserhalb der EU verantwortlich.

Welches Gesetz ist strenger – DSG oder DSGVO?

Die DSGVO gilt in Bezug auf Dokumentationspflichten, Fristen und Sanktionshöhe als strenger. Das DSG ist pragmatischer, verankert aber eine persönliche Haftung von Verantwortlichen, was in der Praxis ebenfalls erhebliche Konsequenzen haben kann.

Benötige ich einen Datenschutzbeauftragten nach Schweizer Recht?

Für private Unternehmen ist die Benennung eines Datenschutzberaters freiwillig. Allerdings bringt die Benennung Vorteile: Bei Datenschutz-Folgenabschätzungen kann auf eine Konsultation des EDÖB verzichtet werden. Für Bundesorgane ist ein Datenschutzberater zwingend vorgeschrieben.

Wie hoch sind die Bussen im Vergleich wirklich?

Die DSGVO sieht bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes vor – gegen Unternehmen. Das Schweizer DSG sieht bis zu CHF 250'000 vor – aber gegen die verantwortliche Privatperson. Das persönliche Risiko kann für Geschäftsleitungen somit erheblich sein.

Muss ich meine Datenschutzerklärung an beide Gesetze anpassen?

Ja, wenn Ihr Unternehmen sowohl Schweizer als auch EU-Bürger adressiert. In der Praxis wird meist eine kombinierte Datenschutzerklärung erstellt, die beide Regelwerke berücksichtigt. Dies erfüllt die Transparenzpflichten beider Gesetze effizient.

Fazit

DSG und DSGVO verfolgen ähnliche Ziele, unterscheiden sich jedoch in Details, die für die praktische Compliance entscheidend sind. Schweizer Unternehmen mit internationalem Bezug kommen nicht umhin, beide Regelwerke parallel zu beachten. Mit einer durchdachten Strategie, klaren Prozessen und datenschutzfreundlichen Werkzeugen lassen sich die Anforderungen effizient erfüllen. 2026 wird der Datenschutz weiter an Bedeutung gewinnen – insbesondere durch die Verzahnung mit dem EU-KI-Gesetz und wachsenden Erwartungen der Aufsichtsbehörden.