DSG vs DSGVO: Die Unterschiede Verstehen (Leitfaden 2026)

Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG), das viele Bestimmungen an die europäische Datenschutz-Grundverordnung (DSGVO) angleicht. Dennoch bestehen wesentliche Unterschiede zwischen den beiden Regelwerken, die für Unternehmen, Behörden und Privatpersonen relevant sind. Dieser Leitfaden erklärt die zentralen Differenzen und zeigt, wann welches Gesetz Anwendung findet.

Was ist das DSG und was ist die DSGVO?

Das Datenschutzgesetz (DSG) ist das schweizerische Bundesgesetz zum Schutz personenbezogener Daten. Die Datenschutz-Grundverordnung (DSGVO) ist die einheitliche europäische Verordnung, die seit dem 25. Mai 2018 in allen EU- und EWR-Staaten unmittelbar gilt.

Beide Regelwerke verfolgen dasselbe grundlegende Ziel: den Schutz der Persönlichkeit und der Grundrechte natürlicher Personen bei der Bearbeitung ihrer Daten. Die Wege dorthin unterscheiden sich jedoch in Detail, Reichweite und Sanktionsmechanik erheblich.

Kurzüberblick: DSG

Gilt in der Schweiz seit 1. September 2023 (revidierte Fassung)
Umgesetzt durch den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB)
Ergänzt durch die Datenschutzverordnung (DSV)
Schützt sowohl natürliche als auch bis 2023 juristische Personen (nur natürliche seit Revision)

Kurzüberblick: DSGVO

Gilt EU-weit seit 25. Mai 2018
Durchgesetzt durch nationale Datenschutzbehörden (in Deutschland z. B. BfDI und Landesbehörden)
Schützt ausschliesslich natürliche Personen
Hat extraterritoriale Wirkung: Gilt auch für Nicht-EU-Unternehmen, wenn sie EU-Bürger:innen ansprechen

Anwendungsbereich: Wer muss welches Gesetz beachten?

Der räumliche Anwendungsbereich ist einer der wichtigsten Unterschiede. Beide Gesetze wirken über die eigenen Landesgrenzen hinaus, folgen aber unterschiedlichen Anknüpfungspunkten.

Anwendungsbereich des DSG

Das revidierte DSG gilt für Sachverhalte, die sich in der Schweiz auswirken – auch wenn sie im Ausland veranlasst werden (sogenanntes Auswirkungsprinzip, Art. 3 DSG). Ein Unternehmen aus Deutschland, das seine Dienste gezielt an Personen in der Schweiz richtet, muss also das DSG beachten.

Anwendungsbereich der DSGVO

Die DSGVO gilt für Verantwortliche und Auftragsverarbeiter mit Niederlassung in der EU sowie für Unternehmen ausserhalb der EU, die Waren oder Dienstleistungen für Personen in der EU anbieten oder deren Verhalten beobachten (Art. 3 DSGVO).

Doppelte Anwendung ist häufig

Viele Schweizer Unternehmen unterliegen beiden Regelwerken gleichzeitig, insbesondere wenn sie Kunden in Deutschland, Österreich oder anderen EU-Staaten haben. In diesem Fall gilt die Regel: Beide Gesetze müssen kumulativ eingehalten werden.

Vergleichstabelle: DSG vs DSGVO im Detail

Die folgende Übersicht zeigt die zentralen Unterschiede zwischen dem schweizerischen und dem europäischen Datenschutzrecht.

Kriterium	DSG (Schweiz)	DSGVO (EU)
Inkrafttreten (aktuelle Fassung)	1. September 2023	25. Mai 2018
Zuständige Behörde	EDÖB	Nationale Behörden (z. B. BfDI)
Geschützte Personen	Nur natürliche Personen	Nur natürliche Personen
Maximale Busse	CHF 250'000 (gegen verantwortliche Privatpersonen)	EUR 20 Mio. oder 4 % des weltweiten Jahresumsatzes
Bussenadressat	Primär natürliche Personen (Verantwortliche)	Primär Unternehmen
Meldepflicht bei Datenpannen	"So rasch als möglich" an EDÖB	Innerhalb von 72 Stunden
Datenschutzbeauftragte:r	Empfohlen, nicht verpflichtend	Verpflichtend in bestimmten Fällen (Art. 37)
Rechtsgrundlage für Bearbeitung	Keine explizite Auflistung, aber Rechtfertigungsgründe (Art. 31)	Sechs Rechtsgrundlagen (Art. 6)
Datenschutz-Folgenabschätzung	Pflicht bei hohem Risiko (Art. 22)	Pflicht bei hohem Risiko (Art. 35)
Recht auf Datenübertragbarkeit	Ja (Art. 28)	Ja (Art. 20)
Profiling-Regelung	Explizit im Gesetz definiert	Explizit im Gesetz definiert

Die wichtigsten inhaltlichen Unterschiede

1. Bussgeldsystem: Personen vs. Unternehmen

Ein zentraler Unterschied liegt in der Sanktionsstruktur. Die DSGVO sanktioniert vorrangig Unternehmen mit Bussen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Das DSG richtet sich hingegen primär gegen natürliche Personen – etwa Geschäftsführende oder Verantwortliche – mit Bussen bis zu CHF 250'000.

Diese unterschiedliche Adressatenkonzeption hat praktische Konsequenzen: Während in der EU eher das Unternehmen haftet, kann in der Schweiz die individuelle Verantwortung von Führungspersonen ins Zentrum rücken.

2. Datenschutzbeauftragte:r

Die DSGVO verpflichtet in bestimmten Konstellationen zur Ernennung eines Datenschutzbeauftragten (Data Protection Officer, DPO). Das DSG kennt dagegen die Rolle des "Datenschutzberaters" (Art. 10 DSG), deren Bestellung freiwillig ist. Wer sie ernennt, kann jedoch von administrativen Erleichterungen profitieren, etwa bei der Datenschutz-Folgenabschätzung.

3. Meldepflicht bei Datenpannen

Beide Regelwerke verpflichten zur Meldung von Sicherheitsverletzungen, jedoch mit unterschiedlicher Präzision:

DSGVO: Meldung innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde (Art. 33).
DSG: Meldung "so rasch als möglich" an den EDÖB (Art. 24). Nur bei "hohem Risiko" für die betroffene Person besteht Meldepflicht.

Die Schwelle im DSG ist damit höher: Nicht jede Datenpanne muss gemeldet werden, sondern nur solche mit erhöhtem Risikopotenzial.

4. Rechtsgrundlagen für die Datenbearbeitung

Die DSGVO listet in Art. 6 sechs abschliessende Rechtsgrundlagen auf, auf die sich jede Datenverarbeitung stützen muss (z. B. Einwilligung, Vertrag, berechtigtes Interesse). Das DSG kennt kein solches abschliessendes System. Vielmehr ist die Bearbeitung grundsätzlich zulässig, solange sie die Persönlichkeitsrechte nicht widerrechtlich verletzt. Bei einer solchen Verletzung braucht es einen Rechtfertigungsgrund nach Art. 31 DSG.

Dieser Unterschied wirkt sich stark auf die praktische Compliance aus: In der EU beginnt jede Verarbeitung mit der Frage "Welche Rechtsgrundlage?", in der Schweiz mit der Frage "Werden Persönlichkeitsrechte verletzt?".

5. Verzeichnis der Verarbeitungstätigkeiten

Beide Gesetze verlangen ein Verarbeitungsverzeichnis. Das DSG entlastet allerdings Unternehmen mit weniger als 250 Mitarbeitenden, sofern die Bearbeitung ein geringes Risiko darstellt. Die DSGVO kennt eine ähnliche, aber nicht identische Ausnahme in Art. 30 Abs. 5.

6. Datenexport in Drittländer

Datenexporte sind unter beiden Regelwerken nur in Länder mit angemessenem Datenschutzniveau zulässig. Die Schweiz führt eine eigene Länderliste (SR 235.11 Anhang 1), die von der EU-Liste abweichen kann. Für Datentransfers in die USA hat der Bundesrat 2024 den Swiss-U.S. Data Privacy Framework anerkannt – parallel zum EU-U.S. Data Privacy Framework.

Rechte der betroffenen Personen im Vergleich

Beide Regelwerke gewähren umfangreiche Betroffenenrechte. Die inhaltlichen Unterschiede sind gering, aber vorhanden.

Recht	DSG	DSGVO
Auskunftsrecht	Art. 25 DSG	Art. 15 DSGVO
Berichtigung	Art. 32 DSG	Art. 16 DSGVO
Löschung	Art. 32 DSG	Art. 17 DSGVO
Datenübertragbarkeit	Art. 28 DSG	Art. 20 DSGVO
Widerspruch gegen Profiling	Art. 21 DSG	Art. 21, 22 DSGVO
Frist für Antwort	30 Tage	1 Monat (verlängerbar auf 3 Monate)

Vor- und Nachteile im Vergleich

Vorteile des DSG

Flexiblere Rechtsgrundlagen-Systematik
Geringere Bürokratiepflichten für KMU
Höhere Schwelle für Datenpannen-Meldungen
Keine zwingende Ernennung eines Datenschutzbeauftragten

Nachteile des DSG

Persönliche Haftung natürlicher Personen (Führungskräfte)
Weniger etablierte Rechtsprechung
Weniger einheitliche Auslegungshilfen im internationalen Vergleich

Vorteile der DSGVO

Einheitliches Recht im gesamten EWR
Klare, abschliessende Rechtsgrundlagen
Umfangreiche Leitlinien der Datenschutzbehörden

Nachteile der DSGVO

Sehr hohe Bussgelder
Hoher administrativer Aufwand
Strenge Meldefristen bei Vorfällen

Praktische Umsetzung: Was Unternehmen jetzt tun sollten

Wer sowohl in der Schweiz als auch in der EU tätig ist, sollte die strengeren Anforderungen als Massstab nehmen. Ein an die DSGVO angepasstes Datenschutzmanagement erfüllt in der Regel auch die Anforderungen des DSG – aber nicht umgekehrt.

Checkliste für Unternehmen

Bestandsaufnahme: Welche personenbezogenen Daten werden verarbeitet? Welche Länder sind betroffen?
Verzeichnis der Verarbeitungstätigkeiten: Aktuell halten und dokumentieren.
Datenschutzerklärung: An DSG und DSGVO anpassen, Informationspflichten erfüllen.
Auftragsverarbeitungsverträge: Mit allen Dienstleistern abschliessen.
Meldeprozesse: Interne Abläufe für Datenpannen definieren.
Betroffenenrechte: Prozesse für Auskunft, Löschung, Berichtigung implementieren.
Sensibilisierung: Mitarbeitende regelmässig schulen.

Sichere Kommunikation mit geteilten Links

Wer im geschäftlichen Umfeld personenbezogene oder vertrauliche Inhalte teilt, sollte auf datenschutzkonforme Werkzeuge achten. Ein URL-Verkürzer wie Lunyb ermöglicht es beispielsweise, geteilte Links mit Passwortschutz und Ablaufdatum zu versehen – eine sinnvolle Ergänzung, wenn Sie sensible Informationen weiterleiten, ohne dass diese unbeschränkt öffentlich zugänglich bleiben. Für die Analyse von Kampagnenlinks lohnt sich ein Blick auf unseren Vergleich der besten Link-Tracking-Tools 2026.

Verhältnis zum europäischen Datenraum

Die EU-Kommission hat die Schweiz seit 2000 als Drittland mit angemessenem Datenschutzniveau anerkannt. Der überarbeitete Angemessenheitsbeschluss vom Januar 2024 bestätigt diesen Status auch für das revidierte DSG. Das bedeutet: Datentransfers aus der EU in die Schweiz sind weiterhin ohne zusätzliche Schutzmassnahmen zulässig.

Wer sich zusätzlich mit angrenzenden Regulierungen befassen möchte, findet in unserem Leitfaden zum EU-KI-Gesetz weiterführende Informationen. Wer wissen möchte, welche Datenspuren Big-Tech-Anbieter sammeln, sollte den Artikel Was Google über Sie weiss lesen.

Fazit: Ähnlich, aber nicht identisch

Das revidierte DSG hat die Schweiz näher an das europäische Datenschutzniveau herangeführt, ohne dessen Regelungsdichte vollständig zu übernehmen. Für Unternehmen bedeutet das: Wer beide Märkte bedient, sollte einen einheitlichen, an der DSGVO orientierten Standard etablieren. Wer ausschliesslich in der Schweiz tätig ist, kann von den pragmatischeren DSG-Regeln profitieren – muss aber die persönliche Haftung der Verantwortlichen im Blick behalten.

Die Kernbotschaft: Datenschutz ist kein Compliance-Projekt, das man einmal abschliesst, sondern ein fortlaufender Prozess. Regelmässige Überprüfungen, klare Verantwortlichkeiten und dokumentierte Prozesse sind unter beiden Regelwerken der Schlüssel zum Erfolg.

Häufig gestellte Fragen (FAQ)

Gilt die DSGVO auch für Schweizer Unternehmen?

Ja, wenn ein Schweizer Unternehmen gezielt Personen in der EU anspricht oder deren Verhalten beobachtet (z. B. durch Tracking oder Marketing), unterliegt es der DSGVO – zusätzlich zum DSG. Massgeblich ist das Marktortprinzip nach Art. 3 DSGVO.

Muss ein Schweizer Unternehmen einen Datenschutzbeauftragten ernennen?

Nach DSG ist die Ernennung freiwillig, unter der DSGVO jedoch in bestimmten Fällen verpflichtend (z. B. bei umfangreicher systematischer Überwachung oder Verarbeitung besonders schützenswerter Daten). Wer beiden Regelwerken unterliegt, muss die DSGVO-Vorgaben beachten.

Wie hoch sind die Bussen nach dem revidierten DSG?

Verantwortliche natürliche Personen können mit Bussen bis zu CHF 250'000 belegt werden. Unternehmen können nur ausnahmsweise selbst mit bis zu CHF 50'000 gebüsst werden, wenn die Ermittlung der verantwortlichen Person unverhältnismässig wäre. Zum Vergleich: DSGVO-Bussen können bis zu EUR 20 Mio. oder 4 % des Jahresumsatzes betragen.

Innert welcher Frist muss eine Datenpanne gemeldet werden?

Nach DSG "so rasch als möglich" an den EDÖB, sofern ein hohes Risiko für die betroffene Person besteht. Nach DSGVO innerhalb von 72 Stunden nach Bekanntwerden. Wer beiden Regelwerken unterliegt, sollte die 72-Stunden-Frist als Standard einhalten.

Sind Datentransfers zwischen Schweiz und EU zulässig?

Ja, die EU-Kommission hat die Schweiz als Drittland mit angemessenem Datenschutzniveau anerkannt (bestätigt im Januar 2024). Datentransfers in beide Richtungen sind daher grundsätzlich ohne zusätzliche Schutzmassnahmen wie Standardvertragsklauseln möglich.