DSG vs DSGVO: Die Unterschiede Verstehen - Leitfaden 2026

Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG). Viele Unternehmen fragen sich seither: Wo genau liegen die Unterschiede zur europäischen Datenschutz-Grundverordnung (DSGVO)? Wer ist von welchem Gesetz betroffen, und welche Pflichten müssen erfüllt werden? Dieser umfassende Leitfaden vergleicht das Schweizer DSG mit der DSGVO und zeigt Ihnen die entscheidenden Unterschiede in Anwendungsbereich, Sanktionen und Verpflichtungen.

Was ist das Schweizer DSG?

Das Schweizer Datenschutzgesetz (DSG) ist das nationale Rahmengesetz zum Schutz personenbezogener Daten in der Schweiz. Es regelt den Umgang mit Personendaten durch private Personen und Bundesorgane und wurde am 1. September 2023 grundlegend revidiert, um den Datenschutz in der Schweiz an internationale Standards anzunähern.

Das revidierte DSG (revDSG) wurde bewusst mit Blick auf die europäische DSGVO gestaltet, um die Angemessenheitsentscheidung der EU-Kommission zu erhalten. Diese ist entscheidend, damit Datenflüsse zwischen der Schweiz und der EU ohne zusätzliche Schutzmaßnahmen weiterhin möglich sind.

Ziele des revidierten DSG

• Stärkung der Rechte betroffener Personen
• Erhöhung der Transparenz bei der Datenbearbeitung
• Anpassung an technologische Entwicklungen
• Sicherung des freien Datenverkehrs mit der EU
• Ausweitung der Sanktionsmöglichkeiten

Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) ist eine seit dem 25. Mai 2018 unmittelbar geltende EU-Verordnung, die den Schutz personenbezogener Daten in allen Mitgliedstaaten der Europäischen Union einheitlich regelt. Sie ersetzte die bis dahin geltende Datenschutzrichtlinie von 1995 und gilt als eines der strengsten Datenschutzgesetze weltweit.

Die DSGVO ist ein umfassendes Regelwerk mit 99 Artikeln und 173 Erwägungsgründen. Sie verfolgt einen risikobasierten Ansatz und legt großen Wert auf Rechenschaftspflicht (Accountability) der Verantwortlichen.

DSG vs DSGVO: Der direkte Vergleich

Obwohl das revidierte DSG stark an die DSGVO angelehnt ist, bestehen wichtige Unterschiede. Die folgende Tabelle zeigt die zentralen Abweichungen im Überblick:

Kriterium	Schweizer DSG (revDSG)	EU-DSGVO
Inkrafttreten	1. September 2023	25. Mai 2018
Anwendungsbereich	Nur natürliche Personen	Nur natürliche Personen (seit 2023 angeglichen)
Territoriale Geltung	Auswirkungsprinzip	Marktortprinzip
Maximale Bussen	CHF 250'000 (gegen Privatpersonen)	Bis 20 Mio. EUR oder 4 % Jahresumsatz
Datenschutzbeauftragter	Empfohlen, nicht zwingend	Unter bestimmten Bedingungen Pflicht
Meldepflicht bei Datenpannen	„So rasch als möglich"	Innerhalb von 72 Stunden
Rechtsgrundlagen	Kein starrer Katalog	Art. 6 DSGVO (6 Rechtsgrundlagen)
Aufsichtsbehörde	EDÖB	Nationale Datenschutzbehörden
Datenschutz-Folgenabschätzung	Pflicht bei hohem Risiko	Pflicht bei hohem Risiko

Unterschied 1: Anwendungsbereich und Geltung

Der wohl grundlegendste Unterschied liegt darin, wann welches Gesetz zur Anwendung kommt. Beide Gesetze haben einen extraterritorialen Anwendungsbereich, verfolgen dabei aber unterschiedliche Prinzipien.

Geltung des Schweizer DSG

Das DSG folgt dem sogenannten Auswirkungsprinzip: Es gilt für alle Sachverhalte, die sich in der Schweiz auswirken – unabhängig davon, wo der Verantwortliche seinen Sitz hat. Ein deutsches Unternehmen, das Daten von Schweizer Kundinnen und Kunden bearbeitet, muss also unter Umständen auch das DSG einhalten.

Geltung der DSGVO

Die DSGVO folgt dem Marktortprinzip: Sie gilt für alle Unternehmen, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten – unabhängig vom Sitz des Unternehmens. Ein Schweizer Onlineshop, der gezielt EU-Kunden bedient, unterliegt somit der DSGVO.

Unterschied 2: Sanktionen und Bussen

Bei den Sanktionen zeigen sich die wohl markantesten Unterschiede zwischen den beiden Regelwerken.

Sanktionen nach DSG

Das Schweizer DSG sieht Bussen von bis zu CHF 250'000 vor – allerdings richten sich diese primär gegen natürliche Personen, also gegen die verantwortlichen Führungspersonen im Unternehmen. Bestraft werden insbesondere:

1. Verletzung von Informations-, Auskunfts- und Mitwirkungspflichten
2. Verletzung von Sorgfaltspflichten
3. Verletzung der beruflichen Schweigepflicht
4. Missachtung von Verfügungen des EDÖB

Sanktionen nach DSGVO

Die DSGVO kennt zwei Bussgeldkategorien:

• Bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes (bei formalen Verstößen)
• Bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes (bei materiellen Verstößen)

Bussen richten sich hier direkt gegen das Unternehmen, nicht gegen Einzelpersonen – ein zentraler Unterschied zum DSG.

Unterschied 3: Datenschutzbeauftragter

Ein häufig übersehener Unterschied betrifft die Rolle des Datenschutzbeauftragten.

Situation nach DSG

Die Bestellung eines Datenschutzberaters ist im Schweizer DSG freiwillig. Wird jedoch ein interner Datenschutzberater bestellt und dem EDÖB gemeldet, entfällt die Pflicht zur Konsultation des EDÖB bei bestimmten Datenschutz-Folgenabschätzungen.

Situation nach DSGVO

Nach Art. 37 DSGVO ist ein Datenschutzbeauftragter zwingend zu bestellen, wenn:

• Die Verarbeitung durch eine Behörde erfolgt
• Die Kerntätigkeit umfangreiche systematische Überwachung erfordert
• Umfangreich besondere Kategorien personenbezogener Daten verarbeitet werden

In Deutschland gilt zusätzlich: Ab 20 Personen, die regelmäßig personenbezogene Daten verarbeiten, ist ein DSB zwingend.

Unterschied 4: Meldepflicht bei Datenpannen

Beide Gesetze verlangen die Meldung von Datenschutzverletzungen, unterscheiden sich aber in Frist und Schwellenwert.

Nach DSG muss eine Verletzung der Datensicherheit „so rasch als möglich" an den EDÖB gemeldet werden, sofern sie voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt. Nach DSGVO gilt eine harte Frist von 72 Stunden, und die Meldeschwelle ist niedriger: bereits ein „Risiko" reicht aus.

Wenn Sie als Privatperson selbst von einem Datenleck betroffen sind, finden Sie in unserem Leitfaden zum Umgang mit Datenlecks eine praktische Anleitung.

Unterschied 5: Rechtsgrundlagen der Datenbearbeitung

Ein oft unterschätzter, aber praktisch bedeutsamer Unterschied liegt im Umgang mit Rechtsgrundlagen.

DSG: Flexibler Ansatz

Das Schweizer DSG geht davon aus, dass die Bearbeitung von Personendaten grundsätzlich erlaubt ist, solange die Bearbeitungsgrundsätze eingehalten werden (Rechtmäßigkeit, Treu und Glauben, Verhältnismäßigkeit, Zweckbindung, Richtigkeit, Datensicherheit). Eine explizite Rechtsgrundlage wird nicht in jedem Fall verlangt.

DSGVO: Verbot mit Erlaubnisvorbehalt

Die DSGVO folgt dem umgekehrten Prinzip: Jede Verarbeitung personenbezogener Daten ist grundsätzlich verboten, es sei denn, es liegt eine der sechs Rechtsgrundlagen aus Art. 6 DSGVO vor (z. B. Einwilligung, Vertragserfüllung, berechtigtes Interesse).

Unterschied 6: Besondere Kategorien von Daten

Beide Gesetze definieren „besonders schützenswerte" bzw. „besondere Kategorien" von Personendaten – jedoch mit unterschiedlichem Umfang.

Das Schweizer DSG geht hier weiter als die DSGVO: Es zählt zusätzlich auch Daten über administrative und strafrechtliche Verfolgungen und Sanktionen sowie Daten über Maßnahmen der sozialen Hilfe zu den besonders schützenswerten Daten. Die DSGVO betrachtet solche Daten separat (Art. 10) mit anderen Rechtsfolgen.

Unterschied 7: Profiling

Das revidierte DSG hat den Begriff „Profiling" neu ins Gesetz aufgenommen und unterscheidet zwischen normalem Profiling und Profiling mit hohem Risiko. Für Letzteres gelten strengere Anforderungen, insbesondere im privaten Sektor die Notwendigkeit einer ausdrücklichen Einwilligung.

Die DSGVO regelt Profiling im Rahmen von Art. 22 (automatisierte Entscheidungen im Einzelfall) und stellt hier strenge Anforderungen an die Zulässigkeit rein automatisierter Entscheidungen mit rechtlicher Wirkung.

Gemeinsamkeiten von DSG und DSGVO

Trotz der Unterschiede haben beide Gesetze zahlreiche Gemeinsamkeiten. Diese betreffen insbesondere:

• Betroffenenrechte: Auskunft, Berichtigung, Löschung, Datenübertragbarkeit
• Grundsätze der Datenbearbeitung: Zweckbindung, Verhältnismäßigkeit, Datensparsamkeit
• Privacy by Design und Privacy by Default
• Bearbeitungsverzeichnis (mit Ausnahme für KMU unter 250 Mitarbeitenden)
• Datenschutz-Folgenabschätzung bei hohem Risiko
• Anforderungen an internationale Datentransfers

Wer muss welches Gesetz einhalten?

In der Praxis müssen viele Unternehmen beide Gesetze parallel beachten. Die folgende Übersicht hilft bei der Einordnung:

Unternehmenssituation	DSG	DSGVO
Schweizer Firma, nur CH-Kunden	Ja	Nein
Schweizer Firma mit EU-Kunden	Ja	Ja
EU-Firma mit CH-Kunden	Ja	Ja
EU-Firma, nur EU-Kunden	Nein	Ja
US-Firma mit CH- und EU-Kunden	Ja	Ja

Praktische Umsetzung: Ein Compliance-Ansatz

Da die DSGVO tendenziell strenger ist als das DSG, gilt in der Praxis oft: Wer DSGVO-konform ist, erfüllt in vielen Bereichen automatisch auch das DSG. Umgekehrt gilt dies nicht immer. Die folgenden Schritte helfen bei der doppelten Compliance:

1. Bestandsaufnahme: Welche Daten werden verarbeitet, wo, von wem?
2. Bearbeitungsverzeichnis erstellen mit allen Verarbeitungstätigkeiten
3. Rechtsgrundlagen identifizieren (DSGVO-konform, das erfüllt auch DSG)
4. Datenschutzerklärung aktualisieren für beide Gesetze
5. Prozesse für Betroffenenrechte etablieren
6. Meldeprozess für Datenpannen definieren (72-Stunden-Frist als Maßstab)
7. Auftragsverarbeitungsverträge abschließen
8. Mitarbeiterschulungen durchführen

Bei der technischen Umsetzung spielt auch die sichere Handhabung von Links und geteilten Ressourcen eine Rolle. Dienste wie Lunyb ermöglichen es, URLs datenschutzfreundlich zu kürzen und zu verwalten – ohne unnötiges Tracking. Wer sich für die richtige Vorgehensweise interessiert, findet in unserem Beitrag zum richtigen URL-Kürzen weitere Informationen.

Aufsichtsbehörden im Vergleich

In der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) für die Aufsicht über das DSG zuständig. In der EU sind es die nationalen Datenschutzbehörden – in Deutschland etwa der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) sowie die Landesdatenschutzbehörden.

Betroffene Personen in Deutschland können sich bei Datenschutzverletzungen direkt an die zuständige Behörde wenden. Wie das genau funktioniert, erfahren Sie in unserem Beitrag zur BfDI-Beschwerde.

Häufig gestellte Fragen (FAQ)

Muss ein Schweizer KMU die DSGVO einhalten?

Ja, sofern es gezielt Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet. Ein rein regional tätiges Schweizer KMU ohne EU-Kunden muss die DSGVO in der Regel nicht einhalten – wohl aber das revidierte DSG.

Was ist der wichtigste Unterschied zwischen DSG und DSGVO?

Der wichtigste praktische Unterschied liegt bei den Sanktionen: Während sich DSGVO-Bussen (bis 20 Mio. EUR oder 4 % Jahresumsatz) gegen das Unternehmen richten, treffen DSG-Bussen (bis CHF 250'000) primär die verantwortlichen natürlichen Personen im Unternehmen.

Gilt das revidierte DSG auch für ausländische Unternehmen?

Ja. Nach dem Auswirkungsprinzip gilt das DSG für alle Sachverhalte, die sich in der Schweiz auswirken – unabhängig vom Sitz des Unternehmens. Ausländische Unternehmen ohne Sitz in der Schweiz müssen unter Umständen einen Vertreter in der Schweiz bestellen.

Brauche ich getrennte Datenschutzerklärungen für DSG und DSGVO?

Nicht zwingend. Eine gut strukturierte Datenschutzerklärung kann beide Gesetze abdecken. Wichtig ist, dass alle nach DSG und DSGVO erforderlichen Informationen enthalten sind und die spezifischen Anforderungen (z. B. Rechtsgrundlagen nach DSGVO) korrekt dargestellt werden.

Wie lange habe ich Zeit, eine Datenpanne zu melden?

Nach DSGVO gilt eine harte Frist von 72 Stunden nach Kenntnisnahme. Nach DSG heißt es „so rasch als möglich", ohne feste Frist. In der Praxis empfiehlt es sich, auch für DSG-Fälle die 72-Stunden-Frist als Maßstab zu verwenden, um auf der sicheren Seite zu sein.

Fazit

Das revidierte Schweizer DSG und die EU-DSGVO verfolgen ähnliche Ziele und teilen viele Grundprinzipien. Dennoch bestehen wichtige Unterschiede – insbesondere bei Sanktionen, Meldepflichten und dem Umgang mit Rechtsgrundlagen. Für Unternehmen mit grenzüberschreitender Tätigkeit lohnt es sich, einen integrierten Compliance-Ansatz zu verfolgen, der beide Regelwerke gleichzeitig abdeckt. Wer sich am strengeren DSGVO-Standard orientiert, erfüllt in den meisten Bereichen automatisch auch die Anforderungen des Schweizer DSG – und schafft damit eine solide Grundlage für vertrauensvolle Kundenbeziehungen im gesamten europäischen Raum.