DSG vs DSGVO: Die Unterschiede Verstehen (Leitfaden 2026)

Seit der Totalrevision des Schweizer Datenschutzgesetzes (revDSG), das am 1. September 2023 in Kraft getreten ist, stellen sich viele Unternehmen die Frage: Worin unterscheidet sich das Schweizer DSG eigentlich von der europäischen DSGVO? Auf den ersten Blick wirken beide Regelwerke ähnlich – beide schützen personenbezogene Daten, beide fordern Transparenz und beide sehen empfindliche Sanktionen vor. Doch bei genauerer Betrachtung zeigen sich wichtige Unterschiede, die für die tägliche Compliance-Arbeit entscheidend sind.

In diesem Leitfaden erklären wir Ihnen präzise und praxisnah, wo die Gemeinsamkeiten und wo die entscheidenden Unterschiede zwischen dem revidierten Schweizer Datenschutzgesetz (revDSG) und der EU-Datenschutz-Grundverordnung (DSGVO) liegen – inklusive Vergleichstabelle, Bussgeldübersicht und Handlungsempfehlungen für Ihr Unternehmen.

Was ist das Schweizer DSG?

Das Bundesgesetz über den Datenschutz (DSG) ist das zentrale Schweizer Datenschutzgesetz. Es regelt den Umgang mit Personendaten durch private Personen und Bundesorgane. Die revidierte Fassung (revDSG) trat am 1. September 2023 in Kraft und modernisierte das aus dem Jahr 1992 stammende Gesetz grundlegend.

Ziel der Revision war es, das Schutzniveau an internationale Standards – insbesondere die DSGVO – anzugleichen, um die Anerkennung der Schweiz als Land mit angemessenem Datenschutzniveau durch die EU zu sichern. Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).

Wichtige Neuerungen im revDSG

Beschränkung auf natürliche Personen (keine juristischen Personen mehr geschützt)
Erweiterte Informationspflichten bei Datenbeschaffung
Neue Kategorien besonders schützenswerter Daten (u.a. genetische, biometrische Daten)
Pflicht zur Führung eines Bearbeitungsverzeichnisses
Meldepflicht bei Datenschutzverletzungen
Datenschutz-Folgenabschätzung (DSFA) bei hohem Risiko
Privacy by Design und Privacy by Default

Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO, englisch GDPR) ist die zentrale europäische Verordnung zum Schutz personenbezogener Daten. Sie gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten und harmonisiert das Datenschutzrecht in der gesamten Europäischen Union.

Die DSGVO gilt auch für Schweizer Unternehmen, wenn diese Waren oder Dienstleistungen an Personen in der EU anbieten oder deren Verhalten beobachten (Marktortprinzip nach Art. 3 DSGVO). Das bedeutet: Viele Schweizer Unternehmen müssen beide Regelwerke gleichzeitig erfüllen.

DSG vs DSGVO: Die wichtigsten Unterschiede im Überblick

Die folgende Tabelle zeigt die zentralen Unterschiede zwischen dem Schweizer revDSG und der EU-DSGVO auf einen Blick:

Kriterium	Schweizer revDSG	EU-DSGVO
Inkrafttreten	1. September 2023	25. Mai 2018
Geschützte Personen	Nur natürliche Personen	Nur natürliche Personen
Aufsichtsbehörde	EDÖB	Nationale Behörden (in DE: BfDI + Länder)
Max. Bussgelder	Bis CHF 250'000 (gegen Privatpersonen!)	Bis 20 Mio. EUR oder 4% Jahresumsatz
Datenschutzbeauftragter	Freiwillig (empfohlen)	Pflicht in bestimmten Fällen
Meldefrist bei Data Breach	"So rasch als möglich"	72 Stunden
Rechtsgrundlage der Bearbeitung	Erlaubt, sofern nicht rechtswidrig	Erfordert explizite Rechtsgrundlage (Art. 6)
Einwilligung	Nur bei besonders schützenswerten Daten explizit nötig	Grundsätzlich hohe Anforderungen
Profiling	Definiert; Einwilligung bei hohem Risiko	Umfassend geregelt (Art. 22)
DSFA-Pflicht	Bei hohem Risiko	Bei hohem Risiko

Unterschied 1: Wer haftet – Unternehmen oder Personen?

Ein besonders bemerkenswerter Unterschied betrifft die Bussgeld-Adressaten. Während die DSGVO Bussgelder gegen Unternehmen verhängt (bis zu 4% des weltweiten Jahresumsatzes), richten sich Schweizer Bussen bis CHF 250'000 grundsätzlich gegen die verantwortlichen natürlichen Personen – also Geschäftsführer, Datenschutzverantwortliche oder andere Entscheidungsträger.

Dies hat weitreichende Konsequenzen: In der Schweiz kann eine persönliche Haftung entstehen, wenn beispielsweise Informationspflichten vorsätzlich verletzt oder Auskünfte falsch erteilt werden. Nur ausnahmsweise – bei geringen Bussen bis CHF 50'000 und unverhältnismässigem Ermittlungsaufwand – kann direkt das Unternehmen belangt werden.

Praktische Konsequenz

Führungskräfte in Schweizer Unternehmen sollten Datenschutz-Compliance persönlich sehr ernst nehmen. Eine klare Zuweisung von Verantwortlichkeiten, dokumentierte Prozesse und regelmässige Schulungen sind essenziell, um persönliche Haftung zu vermeiden.

Unterschied 2: Rechtsgrundlage der Datenbearbeitung

Hier liegt ein philosophischer Unterschied: Die DSGVO folgt dem Verbotsprinzip mit Erlaubnisvorbehalt – jede Verarbeitung ist grundsätzlich verboten, es sei denn, es liegt eine der sechs Rechtsgrundlagen nach Art. 6 DSGVO vor (Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse, berechtigtes Interesse).

Das Schweizer revDSG hingegen erlaubt die Bearbeitung von Personendaten grundsätzlich, solange sie nicht gegen Datenschutzgrundsätze verstösst oder die Persönlichkeit widerrechtlich verletzt. Eine explizite Rechtsgrundlage wird nur bei besonders schützenswerten Daten oder Persönlichkeitsverletzungen benötigt.

Unterschied 3: Der Datenschutzbeauftragte

Die DSGVO schreibt in bestimmten Fällen zwingend die Bestellung eines Datenschutzbeauftragten (DSB) vor – etwa bei Kernaktivitäten mit umfangreicher regelmässiger Überwachung oder bei umfangreicher Verarbeitung besonderer Datenkategorien.

Das revDSG kennt stattdessen den "Datenschutzberater" und macht dessen Bestellung nur bei Bundesorganen zur Pflicht. Für private Unternehmen ist die Ernennung freiwillig, wird jedoch bei Datenschutz-Folgenabschätzungen als vorteilhaft anerkannt (der EDÖB muss nicht konsultiert werden, wenn ein interner Berater konsultiert wurde).

Unterschied 4: Meldepflicht bei Datenschutzverletzungen

Beide Gesetze verlangen eine Meldung von Data Breaches – aber mit unterschiedlichen Fristen und Schwellen:

DSGVO (Art. 33): Meldung binnen 72 Stunden nach Kenntnisnahme, wenn ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht.
revDSG (Art. 24): Meldung "so rasch als möglich", jedoch nur bei hohem Risiko für die Persönlichkeit oder Grundrechte betroffener Personen.

Die Schweizer Regelung ist damit in zweifacher Hinsicht enger: Die Meldeschwelle ist höher (hohes Risiko statt einfaches Risiko), dafür ist die Frist flexibler formuliert. In der Praxis empfiehlt sich dennoch, sich am 72-Stunden-Standard zu orientieren.

Wie Sie Datenverletzungen frühzeitig erkennen, insbesondere auf mobilen Geräten, erklären wir im Artikel Ist mein Handy gehackt? 10 Warnzeichen.

Unterschied 5: Betroffenenrechte

Die Rechte betroffener Personen sind in beiden Regelwerken weitgehend deckungsgleich – aber es gibt Nuancen:

Gemeinsame Rechte

Auskunftsrecht
Recht auf Berichtigung
Recht auf Löschung
Recht auf Datenübertragbarkeit (Datenherausgabe im revDSG)
Widerspruchsrecht

Unterschiede

Die DSGVO gewährt zusätzlich ein ausdrückliches "Recht auf Vergessenwerden" (Art. 17) und ein Recht auf Einschränkung der Verarbeitung (Art. 18). Das revDSG kennt diese Rechte teilweise implizit, benennt sie aber nicht explizit gleichartig.

Beim Auskunftsrecht ist die Reaktionsfrist in der Schweiz mit 30 Tagen ähnlich der DSGVO-Frist von einem Monat.

Unterschied 6: Datentransfer ins Ausland

Beide Regelwerke schränken die Übermittlung von Personendaten ins Ausland ein, wenn dort kein angemessener Schutz gewährleistet ist. Das revDSG orientiert sich hier stark an der DSGVO:

Der Bundesrat führt eine Liste mit Ländern mit angemessenem Datenschutz
Bei fehlender Angemessenheit sind Standardvertragsklauseln (SCC), verbindliche interne Datenschutzvorschriften (BCR) oder Einwilligungen nötig
Die Schweiz und die EU haben einen gegenseitigen Angemessenheitsbeschluss

Insbesondere bei Cloud-Diensten und internationalen Kooperationen ist der Datentransfer ein kritisches Thema. Auch die Nutzung öffentlicher Netzwerke birgt Risiken – lesen Sie dazu unseren Leitfaden Öffentliches WLAN: Ist es sicher?.

Für wen gilt was? Anwendungsbereich im Vergleich

Anwendungsbereich des revDSG

Das revDSG gilt für die Bearbeitung von Personendaten durch:

Private Personen in der Schweiz
Bundesorgane
Ausländische Unternehmen, wenn sich ihre Datenbearbeitung in der Schweiz auswirkt (Marktortprinzip)

Anwendungsbereich der DSGVO

Die DSGVO gilt für:

Verantwortliche/Auftragsverarbeiter mit Niederlassung in der EU
Nicht-EU-Unternehmen, die betroffenen Personen in der EU Waren/Dienstleistungen anbieten
Nicht-EU-Unternehmen, die das Verhalten von Personen in der EU beobachten

Praxistipp: Schweizer Unternehmen mit EU-Kunden müssen in der Regel beide Regelwerke einhalten – das strengere Recht setzt sich in der Praxis meist durch.

Compliance-Checkliste: DSG und DSGVO gleichzeitig erfüllen

Wer beide Regelwerke bedient, sollte folgende Schritte umsetzen:

Bearbeitungsverzeichnis erstellen: Dokumentieren Sie alle Datenbearbeitungen systematisch.
Datenschutzerklärung aktualisieren: Erfüllen Sie die erweiterten Informationspflichten beider Regelwerke.
Auftragsverarbeitungsverträge prüfen: Stellen Sie sicher, dass alle Dienstleister vertraglich eingebunden sind.
Data-Breach-Prozess etablieren: Definieren Sie klare Meldeketten und Fristen.
Datenschutz-Folgenabschätzung (DSFA): Für Bearbeitungen mit hohem Risiko durchführen.
Privacy by Design umsetzen: Datenschutz von Anfang an in Systeme integrieren.
Mitarbeitende schulen: Regelmässige Sensibilisierung und Trainings.
Datentransfers dokumentieren: Insbesondere in Drittländer inkl. SCC.

Praktische Werkzeuge für datenschutzkonformes Arbeiten

Datenschutz endet nicht bei Verträgen und Erklärungen – auch die täglich genutzten Tools spielen eine Rolle. Bei der Weitergabe von Links, etwa in E-Mail-Kampagnen oder auf Social Media, sollten Sie Dienste wählen, die selbst DSG- und DSGVO-konform arbeiten. Lunyb ist ein URL-Shortener mit Sitz in Europa, der ohne exzessives Tracking auskommt und transparente Datenschutzpraktiken pflegt – eine relevante Alternative für Unternehmen, die Wert auf Compliance legen.

Einen ausführlichen Vergleich finden Sie in unseren Artikeln Lunyb vs Bitly und Bitly Alternativen 2026.

Auch im privaten Bereich lohnt sich ein bewusster Umgang mit Daten – etwa beim sicheren Teilen von Standortdaten mit der Familie.

Sanktionen und Durchsetzung im Vergleich

Sanktionen nach DSGVO

Die DSGVO sieht ein zweistufiges Bussgeldsystem vor:

Bis zu 10 Mio. EUR oder 2% des weltweiten Jahresumsatzes (bei Verstössen gegen Verantwortlichkeiten)
Bis zu 20 Mio. EUR oder 4% des weltweiten Jahresumsatzes (bei Verstössen gegen Grundprinzipien und Betroffenenrechte)

Sanktionen nach revDSG

In der Schweiz sind die Bussen mit maximal CHF 250'000 auf den ersten Blick niedriger – aber sie treffen wie erwähnt in der Regel die verantwortliche natürliche Person persönlich. Strafbar sind unter anderem:

Verletzung der Informations-, Auskunfts- und Mitwirkungspflichten
Verletzung der Sorgfaltspflichten (etwa bei Auslandtransfers)
Verletzung des Berufsgeheimnisses
Missachtung von Verfügungen des EDÖB

Fazit: Ähnlich, aber nicht gleich

Das revidierte Schweizer Datenschutzgesetz und die EU-DSGVO verfolgen dasselbe Ziel – den Schutz personenbezogener Daten – gehen aber in wichtigen Details unterschiedliche Wege. Für die Praxis bedeutet das: Unternehmen, die beide Regelwerke bedienen müssen, sollten sich am strengeren Standard orientieren, um beide Anforderungen abzudecken.

Besonders die persönliche Haftung von Führungskräften in der Schweiz macht deutlich, dass Datenschutz-Compliance keine reine IT- oder Rechtsabteilungs-Aufgabe ist, sondern eine Angelegenheit des gesamten Managements. Investitionen in klare Prozesse, geschulte Mitarbeitende und datenschutzfreundliche Werkzeuge zahlen sich langfristig aus – rechtlich, wirtschaftlich und im Kundenvertrauen.

Häufig gestellte Fragen (FAQ)

Gilt in der Schweiz auch die DSGVO?

Ja, aber nicht direkt für Sachverhalte innerhalb der Schweiz. Die DSGVO gilt für Schweizer Unternehmen dann, wenn sie Waren oder Dienstleistungen an Personen in der EU anbieten oder deren Verhalten beobachten (Marktortprinzip nach Art. 3 DSGVO). Viele Schweizer Unternehmen müssen daher beide Regelwerke parallel einhalten.

Brauche ich als Schweizer KMU einen Datenschutzberater?

Für private Unternehmen ist die Bestellung eines Datenschutzberaters nach revDSG freiwillig. Sie ist jedoch dringend empfohlen, insbesondere wenn Sie besonders schützenswerte Daten bearbeiten, Datenschutz-Folgenabschätzungen durchführen müssen oder Kunden in der EU haben (wo die DSGVO ggf. einen Datenschutzbeauftragten verlangt).

Was sind besonders schützenswerte Daten nach revDSG?

Zu den besonders schützenswerten Personendaten zählen unter anderem: Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten, Gesundheitsdaten, Daten zur Intim- oder Rassenzugehörigkeit, genetische und biometrische Daten (neu im revDSG), Daten über Sozialhilfemassnahmen sowie über administrative oder strafrechtliche Verfolgungen.

Wie hoch sind die Strafen bei einem Verstoss gegen das revDSG?

Bussen bis CHF 250'000 können gegen verantwortliche natürliche Personen – also typischerweise Führungskräfte – verhängt werden, nicht primär gegen das Unternehmen selbst. Nur ausnahmsweise, bei Bussen bis CHF 50'000 und unverhältnismässigem Ermittlungsaufwand, kann direkt das Unternehmen belangt werden.

Muss ich mein Bearbeitungsverzeichnis dem EDÖB vorlegen?

Nein, das Bearbeitungsverzeichnis muss nicht routinemässig an den EDÖB übermittelt werden. Es muss aber jederzeit intern verfügbar sein und auf Anfrage der Aufsichtsbehörde vorgelegt werden können. Unternehmen mit weniger als 250 Mitarbeitenden und geringem Risiko sind unter bestimmten Voraussetzungen von der Führungspflicht befreit.