DSG vs DSGVO: Die Unterschiede Verstehen (Leitfaden 2026)

Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG). Damit hat sich der Schweizer Datenschutz stark an die europäische Datenschutz-Grundverordnung (DSGVO) angenähert – aber eben nur angenähert. Für Schweizer Unternehmen, die mit Kundinnen und Kunden in der EU arbeiten, und für europäische Firmen mit Schweizer Bezug ist es entscheidend, die Unterschiede genau zu kennen. Denn wer nur das eine Regelwerk erfüllt, riskiert bei fehlender Sorgfalt Bussen im anderen Rechtsraum.

Dieser Leitfaden erklärt die wichtigsten Unterschiede zwischen DSG und DSGVO Punkt für Punkt: Anwendungsbereich, Betroffenenrechte, Bussgeldrahmen, Meldepflichten und praktische Konsequenzen für Ihr Unternehmen.

DSG und DSGVO: Was sind die beiden Gesetze?

Das Schweizer Datenschutzgesetz (DSG) ist das nationale Rahmengesetz der Schweiz zum Schutz personenbezogener Daten. Die Datenschutz-Grundverordnung (DSGVO) ist eine unmittelbar geltende Verordnung der Europäischen Union, die den Datenschutz in allen 27 EU-Mitgliedstaaten sowie im EWR harmonisiert.

Beide Regelwerke verfolgen dasselbe Grundziel: Sie schützen das Recht natürlicher Personen auf informationelle Selbstbestimmung. Die DSGVO trat am 25. Mai 2018 in Kraft, das revidierte Schweizer DSG folgte am 1. September 2023. Der Schweizer Gesetzgeber hat die Reform bewusst so gestaltet, dass die EU der Schweiz weiterhin einen „angemessenen Datenschutz" attestiert – eine Voraussetzung für den freien Datenverkehr zwischen den Regionen.

Eine ausführliche Darstellung des Schweizer Rechts finden Sie in unserem Beitrag DSG: Das Schweizer Datenschutzgesetz einfach erklärt.

Der wichtigste Unterschied auf einen Blick

Wer wenig Zeit hat, sollte sich vor allem drei Punkte merken:

Bussen: Die DSGVO sanktioniert Unternehmen mit bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Das DSG sanktioniert primär verantwortliche natürliche Personen mit bis zu 250 000 CHF.
Anwendungsbereich: Die DSGVO schützt ausschliesslich natürliche Personen, das DSG schützte historisch auch juristische Personen – seit der Revision 2023 jedoch nur noch natürliche Personen. Damit ist eine grosse Differenz weggefallen.
Datenschutzbeauftragter: Die DSGVO schreibt in vielen Fällen einen DPO vor. Im DSG ist ein Datenschutzberater freiwillig, bietet aber Vorteile.

Anwendungsbereich: Wer ist betroffen?

Räumlicher Geltungsbereich

Die DSGVO gilt für jedes Unternehmen, das in der EU niedergelassen ist, sowie – nach dem Marktortprinzip – für jedes Unternehmen weltweit, das Waren oder Dienstleistungen an Personen in der EU anbietet oder deren Verhalten beobachtet. Ein Schweizer Onlineshop, der bewusst deutsche Kundschaft anspricht, fällt somit unter die DSGVO.

Das revidierte DSG gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden. Auch hier gilt also faktisch ein Marktortprinzip. Ein deutsches Unternehmen, das Daten von Schweizer Nutzern bearbeitet, muss das DSG einhalten.

Sachlicher Geltungsbereich

Beide Gesetze erfassen die automatisierte und teilweise nicht automatisierte Bearbeitung personenbezogener Daten. Ein zentraler Unterschied bleibt: Die DSGVO schützt nur natürliche Personen. Das DSG in der Fassung vor 2023 erfasste auch Daten juristischer Personen. Mit der Revision hat sich die Schweiz hier der EU angeglichen.

Betroffenenrechte im Vergleich

Sowohl DSG als auch DSGVO gewähren den betroffenen Personen umfangreiche Rechte. Die Kernrechte sind weitgehend identisch, unterscheiden sich aber im Detail:

Recht	DSGVO	DSG (Schweiz)
Auskunftsrecht	Art. 15 – umfassend	Art. 25 – umfassend, unentgeltlich
Recht auf Berichtigung	Art. 16 – ausdrücklich geregelt	Art. 32 – ausdrücklich geregelt
Recht auf Löschung („Vergessenwerden")	Art. 17 – explizit	Nicht als eigenständiges Recht, aber über Berichtigung / Vernichtung ableitbar
Datenübertragbarkeit	Art. 20 – explizit	Art. 28 – Recht auf Datenherausgabe und -übertragung
Widerspruchsrecht	Art. 21 – explizit	Kein direktes Äquivalent, jedoch Widerruf der Einwilligung möglich
Recht auf Widerstand gegen automatisierte Entscheidungen	Art. 22 – umfassend	Art. 21 – Informationspflicht bei automatisierten Einzelentscheiden

Ein wichtiger Punkt: Das explizite „Recht auf Vergessenwerden" existiert im DSG so nicht. In der Praxis lassen sich vergleichbare Ergebnisse jedoch über die allgemeinen Grundsätze der Verhältnismässigkeit und Zweckbindung erreichen.

Pflichten für Unternehmen: Wo trennt sich die Spreu vom Weizen?

Verzeichnis der Bearbeitungstätigkeiten

Beide Regelwerke verlangen ein Verzeichnis der Bearbeitungstätigkeiten. Die DSGVO befreit in Art. 30 Abs. 5 Unternehmen mit weniger als 250 Mitarbeitenden unter bestimmten Bedingungen von dieser Pflicht. Das DSG befreit Unternehmen mit weniger als 250 Mitarbeitenden ebenfalls, sofern die Datenbearbeitung nur ein geringes Risiko darstellt.

Datenschutz-Folgenabschätzung

Sowohl Art. 35 DSGVO als auch Art. 22 DSG verlangen eine Datenschutz-Folgenabschätzung, wenn eine Bearbeitung ein hohes Risiko für die betroffenen Personen mit sich bringt. Praktisch relevant ist dies etwa bei umfangreichem Profiling, systematischer Überwachung öffentlicher Bereiche oder bei besonders schützenswerten Daten – ein Thema, das durch den EU AI Act zusätzlich an Bedeutung gewinnt.

Datenschutzbeauftragter vs. Datenschutzberater

Die DSGVO schreibt in Art. 37 die Bestellung eines Datenschutzbeauftragten (DPO) verbindlich vor, wenn die Kerntätigkeit in einer umfangreichen regelmässigen Überwachung besteht oder besondere Kategorien von Daten umfangreich verarbeitet werden. Das DSG kennt hingegen den freiwilligen „Datenschutzberater" (Art. 10). Wer einen solchen bestellt, erhält gewisse Erleichterungen bei der DSFA.

Meldung von Datenschutzverletzungen

Aspekt	DSGVO	DSG
Meldefrist	72 Stunden	„So rasch als möglich" (keine feste Frist)
Meldeschwelle	Risiko für Rechte und Freiheiten	Voraussichtlich hohes Risiko
Empfänger	Zuständige Aufsichtsbehörde	EDÖB (Eidg. Datenschutzbeauftragter)
Information Betroffener	Bei hohem Risiko verpflichtend	Wenn zum Schutz erforderlich oder vom EDÖB verlangt

Der wichtigste praktische Unterschied: Die DSGVO ist mit ihren 72 Stunden deutlich strenger. Das DSG lässt mehr Interpretationsspielraum, was in der Praxis jedoch nicht als Freibrief verstanden werden sollte.

Bussen und Sanktionen: Der grösste Unterschied

DSGVO: Unternehmensbussen

Die DSGVO sieht Bussen vor, die sich gegen das Unternehmen richten:

Bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bei formellen Verstössen
Bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes bei schweren Verstössen (jeweils der höhere Betrag)

DSG: Bussen gegen natürliche Personen

Das Schweizer DSG verfolgt einen fundamental anderen Ansatz. Bussen von bis zu 250 000 CHF richten sich grundsätzlich gegen die verantwortliche natürliche Person – also den Geschäftsführer, den IT-Leiter oder den Datenschutzverantwortlichen im Unternehmen. Nur wenn die Ermittlung dieser Person unverhältnismässigen Aufwand verursachen würde, kann das Unternehmen selbst gebusst werden – aber nur bis 50 000 CHF.

Diese persönliche Haftung ist ein Novum, das viele Führungskräfte in Schweizer Unternehmen unterschätzen. Sie sollten ihre Prozesse deshalb umso sorgfältiger dokumentieren.

Einwilligung: Feine Unterschiede mit grosser Wirkung

Die DSGVO verlangt eine „freiwillige, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung" (Art. 4 Ziff. 11). Für besondere Kategorien von Daten ist eine ausdrückliche Einwilligung nötig.

Das DSG ist etwas flexibler: Eine Einwilligung ist grundsätzlich formfrei, muss aber freiwillig und nach angemessener Information erfolgen. Ausdrücklich muss sie nur sein bei der Bearbeitung besonders schützenswerter Personendaten, bei Profiling mit hohem Risiko und bei bestimmten Persönlichkeitsprofilen.

In der Praxis empfiehlt es sich, gegenüber Schweizer und EU-Kundschaft denselben strengeren DSGVO-Standard anzuwenden – das spart doppelte Prozesse und minimiert Risiken.

Datenübermittlung ins Ausland

Beide Gesetze regeln die Übermittlung personenbezogener Daten in Drittstaaten. Die DSGVO nutzt dazu Angemessenheitsbeschlüsse, Standardvertragsklauseln (SCC) und verbindliche interne Datenschutzvorschriften (BCR). Das DSG kennt eine analoge Systematik mit einer Länderliste des Bundesrats. Die Schweiz und die EU anerkennen einander gegenseitig als sichere Drittstaaten – ein enormer Vorteil für den grenzüberschreitenden Datenverkehr.

Für Übermittlungen in die USA gelten seit 2024 auch für die Schweiz besondere Regeln durch das Swiss-U.S. Data Privacy Framework, das dem EU-U.S. Data Privacy Framework nachempfunden ist. Weitere Details rund um Datentransfer und praktische Schutzmassnahmen finden Sie in unserem Ratgeber Öffentliches WLAN: Ist es sicher?.

Aufsichtsbehörden

Die DSGVO wird von den nationalen Aufsichtsbehörden der EU-Mitgliedstaaten durchgesetzt (z. B. BfDI in Deutschland, CNIL in Frankreich). Diese Behörden können bindende Entscheide erlassen und Bussen verhängen.

In der Schweiz überwacht der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) die Einhaltung des DSG. Mit dem revidierten DSG wurden seine Kompetenzen deutlich ausgebaut. Er kann nun verbindliche Verfügungen erlassen, Datenbearbeitungen untersagen und Untersuchungen einleiten. Bussen kann er jedoch nicht selbst verhängen – dafür sind die kantonalen Strafbehörden zuständig.

Praktische Konsequenzen für Unternehmen

Für Schweizer Unternehmen mit EU-Bezug

Doppelte Compliance prüfen: Bieten Sie Ihre Waren aktiv in der EU an, gilt zusätzlich zur DSG-Konformität die DSGVO.
EU-Vertreter benennen: Ohne Niederlassung in der EU müssen Sie nach Art. 27 DSGVO einen Vertreter in der EU bestellen.
72-Stunden-Frist einhalten: Selbst wenn das DSG grosszügiger wäre – bei EU-Bezug gilt die strengere Frist.

Für EU-Unternehmen mit Schweiz-Bezug

Schweizer Vertreter prüfen: Nach Art. 14 DSG müssen ausländische Verantwortliche unter bestimmten Bedingungen einen Vertreter in der Schweiz benennen.
Datenschutzhinweise anpassen: Erwähnen Sie den EDÖB und die Rechte nach DSG.
Persönliche Haftung berücksichtigen: Machen Sie Ihre Verantwortlichen auf die persönliche Bussgeldandrohung in der Schweiz aufmerksam.

Praktische Werkzeuge im Alltag

Neben rechtlichen Massnahmen helfen technische Werkzeuge im täglichen Datenschutzalltag. Wer beispielsweise Marketing-Links über Kanäle wie Social Media teilt, sollte darauf achten, keine unnötigen Tracking-Parameter mitzuschicken. Ein datenschutzfreundlicher Kurzlink-Dienst wie Lunyb ermöglicht saubere, kontrollierbare Links ohne aufdringliches Tracking. Für private Fotos und Dokumente bietet unser Beitrag zum verschlüsselten Fototresor weitere Ansätze.

Übersichtstabelle: DSG vs. DSGVO auf einen Blick

Kriterium	DSGVO (EU)	DSG (Schweiz)
In Kraft seit	25. Mai 2018	1. September 2023 (revidiert)
Geschützte Personen	Nur natürliche Personen	Nur natürliche Personen (seit 2023)
Maximale Busse	20 Mio. EUR / 4 % Umsatz	250 000 CHF (natürliche Person)
Bussgeldadressat	Unternehmen	Verantwortliche natürliche Person
Datenschutzbeauftragter	Häufig verpflichtend	Freiwillig (mit Vorteilen)
Meldefrist Datenpanne	72 Stunden	„So rasch als möglich"
Recht auf Vergessenwerden	Ja, explizit	Nur indirekt ableitbar
Aufsichtsbehörde	Nationale DSB (z. B. BfDI)	EDÖB
Verzeichnis Bearbeitungstätigkeiten	Ja (Erleichterung ab < 250 MA)	Ja (Erleichterung bei geringem Risiko)

FAQ: Häufig gestellte Fragen

Muss ich als Schweizer KMU die DSGVO einhalten?

Nur, wenn Sie Ihre Waren oder Dienstleistungen aktiv an Personen in der EU anbieten oder deren Verhalten beobachten. Ein rein regional tätiger Schweizer Betrieb ohne EU-Kundschaft muss primär das DSG erfüllen. Sobald jedoch ein Onlineshop mit Versand in die EU, gezieltes Marketing in EU-Staaten oder EU-Sprachen angeboten wird, wird die DSGVO relevant.

Was passiert, wenn ich nur die DSGVO erfülle – reicht das für die Schweiz?

Weitgehend, aber nicht vollständig. Wer die DSGVO sauber umsetzt, erfüllt bereits einen grossen Teil der DSG-Anforderungen. Zusätzlich müssen Sie jedoch DSG-spezifische Punkte beachten: Verweis auf den EDÖB in der Datenschutzerklärung, allenfalls Bestellung eines Vertreters in der Schweiz und Sensibilisierung der Führungskräfte für die persönliche Haftung.

Welches Gesetz ist strenger?

Insgesamt ist die DSGVO strenger, insbesondere bei der Meldefrist (72 Stunden), der Pflicht zum DPO und den Unternehmensbussen. Das DSG ist in einigen Bereichen flexibler, dafür trifft die persönliche Bussgeldhaftung Führungskräfte direkter, was ein Damoklesschwert eigener Art darstellt.

Brauche ich einen Datenschutzbeauftragten in der Schweiz?

Nein, das DSG kennt keine Pflicht zur Bestellung eines Datenschutzbeauftragten. Die Bestellung eines freiwilligen „Datenschutzberaters" nach Art. 10 DSG hat jedoch Vorteile: Sie können auf externe Konsultationen des EDÖB bei DSFA verzichten und signalisieren nach aussen ein hohes Datenschutzniveau.

Wie hoch ist das Risiko einer Busse in der Schweiz tatsächlich?

Der EDÖB kann keine Bussen direkt verhängen – Strafverfahren müssen durch kantonale Behörden geführt werden. Die Erfahrung mit dem alten DSG zeigt, dass Bussen selten sind. Mit dem revidierten Gesetz und der ausgebauten Rolle des EDÖB ist jedoch mit einer Zunahme der Verfahren zu rechnen, insbesondere bei schweren oder öffentlichkeitswirksamen Vorfällen.

Fazit

DSG und DSGVO verfolgen dasselbe Ziel, gehen aber unterschiedliche Wege. Die revidierte Fassung des DSG hat vieles harmonisiert – insbesondere den Schutz nur natürlicher Personen, das Verzeichnis der Bearbeitungstätigkeiten und die DSFA-Pflicht. Wesentliche Unterschiede bleiben bei den Bussen, der persönlichen Haftung und der Meldefrist bei Datenpannen.

Die pragmatische Empfehlung für Unternehmen mit beidseitigem Bezug: Setzen Sie den jeweils strengeren Standard um. Damit sind Sie in beiden Rechtsräumen auf der sicheren Seite und ersparen sich doppelte Prozesse. Datenschutz ist kein statisches Feld – bleiben Sie über Entwicklungen bei EDÖB, BfDI und den europäischen Institutionen informiert, denn die Regulierung entwickelt sich, besonders mit Blick auf künstliche Intelligenz, weiter dynamisch.