DSG vs DSGVO: Die Unterschiede Verstehen (Leitfaden 2026)

Das revidierte Schweizer Datenschutzgesetz (revDSG) und die europäische Datenschutz-Grundverordnung (DSGVO) regeln beide den Umgang mit Personendaten – doch sie unterscheiden sich in Anwendungsbereich, Sanktionen und zentralen Pflichten erheblich. Für Schweizer Unternehmen, die auch Kunden in der EU bedienen, ist das Verständnis beider Regelwerke entscheidend. Dieser Leitfaden erklärt die wichtigsten Unterschiede und zeigt, worauf Sie 2026 achten müssen.

Was ist das DSG und was die DSGVO?

Das Schweizer Datenschutzgesetz (DSG) ist das nationale Gesetz der Schweiz zum Schutz von Personendaten. Die revidierte Fassung (revDSG) trat am 1. September 2023 in Kraft und modernisierte das bisherige Recht grundlegend. Die Datenschutz-Grundverordnung (DSGVO) hingegen ist eine EU-Verordnung, die seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten gilt und darüber hinaus auch für Unternehmen ausserhalb der EU relevant ist, sofern diese EU-Bürger ansprechen.

Beide Regelwerke verfolgen dasselbe Ziel: den Schutz der informationellen Selbstbestimmung natürlicher Personen. Das revDSG wurde bewusst an die DSGVO angelehnt, um die Angemessenheitsentscheidung der EU-Kommission zu erhalten – eine wichtige Grundlage für den freien Datentransfer zwischen der Schweiz und der EU.

Die wichtigsten Unterschiede im Überblick

Trotz zahlreicher Parallelen gibt es substanzielle Abweichungen zwischen DSG und DSGVO. Die folgende Tabelle gibt einen kompakten Vergleich der zentralen Aspekte.

Kriterium	revDSG (Schweiz)	DSGVO (EU)
Inkrafttreten	1. September 2023	25. Mai 2018
Geltungsbereich	Nur natürliche Personen	Nur natürliche Personen (seit 2018)
Räumliche Anwendung	Auswirkungsprinzip (Schweiz)	Marktortprinzip (EU-Bürger)
Maximale Bussgelder	CHF 250'000 (gegen Privatpersonen)	Bis EUR 20 Mio. oder 4% Jahresumsatz
Datenschutzbeauftragter	Empfohlen, nicht verpflichtend	Verpflichtend bei bestimmten Voraussetzungen
Meldung von Datenpannen	So rasch als möglich	Innerhalb von 72 Stunden
Datenschutz-Folgenabschätzung	Bei hohem Risiko	Bei hohem Risiko
Aufsichtsbehörde	EDÖB	Nationale Behörden pro Mitgliedstaat
Einwilligung	Ausdrücklich bei besonders schützenswerten Daten	Grundsätzlich strenger geregelt

Räumlicher Anwendungsbereich: Wer ist betroffen?

Ein zentraler Unterschied liegt im geografischen Anwendungsbereich beider Gesetze. Hier entscheidet sich oft, welches Regelwerk konkret anzuwenden ist – oder ob sogar beide gleichzeitig gelten.

revDSG: Auswirkungsprinzip

Das revidierte Schweizer Datenschutzgesetz gilt nach dem sogenannten Auswirkungsprinzip. Das heisst: Es findet Anwendung auf alle Datenbearbeitungen, die sich in der Schweiz auswirken – unabhängig davon, wo der Verantwortliche seinen Sitz hat. Ein US-amerikanisches Unternehmen, das Schweizer Kunden bedient, kann also durchaus dem revDSG unterliegen.

DSGVO: Marktortprinzip

Die DSGVO geht noch weiter: Sie gilt für alle Unternehmen, die Waren oder Dienstleistungen an Personen in der EU anbieten oder deren Verhalten beobachten – auch dann, wenn das Unternehmen seinen Sitz ausserhalb der EU hat. Ein Schweizer E-Commerce-Shop, der nach Deutschland liefert, muss daher sowohl das revDSG als auch die DSGVO beachten.

Pflichten der Unternehmen im Vergleich

Beide Regelwerke stellen umfangreiche Pflichten an Unternehmen. Die Umsetzung unterscheidet sich jedoch in Details, die in der Praxis grossen Einfluss haben können.

Informationspflichten

Nach beiden Gesetzen müssen betroffene Personen über die Bearbeitung ihrer Daten informiert werden. Die DSGVO verlangt in Artikel 13 und 14 jedoch einen deutlich detaillierteren Katalog an Informationen, etwa zur Rechtsgrundlage der Bearbeitung oder zur geplanten Speicherdauer. Das revDSG orientiert sich daran, bleibt aber in einigen Punkten pragmatischer.

Bearbeitungsverzeichnis

Beide Regelwerke fordern ein Verzeichnis der Bearbeitungstätigkeiten. In der Schweiz sind Unternehmen mit weniger als 250 Mitarbeitenden davon befreit, sofern das Risiko für die betroffenen Personen gering ist. Die DSGVO sieht eine ähnliche Ausnahme vor, interpretiert diese jedoch tendenziell strenger.

Meldung von Datenschutzverletzungen

DSGVO: Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntnisnahme.
revDSG: Meldung an den EDÖB «so rasch als möglich» – ohne starre Frist, aber mit Dokumentationspflicht.
Betroffene Personen: Beide Gesetze fordern eine Information, wenn der Schutz der Person dies erfordert.

Rechte der betroffenen Personen

Die Rechte der betroffenen Personen sind in beiden Regelwerken ähnlich gestaltet, unterscheiden sich jedoch in Umfang und Durchsetzbarkeit. Einen umfassenden Überblick über die Rechte in Deutschland finden Sie in unserem Leitfaden zum Datenschutz in Deutschland.

Auskunftsrecht

Sowohl das revDSG als auch die DSGVO räumen betroffenen Personen das Recht ein, Auskunft über die zu ihrer Person bearbeiteten Daten zu verlangen. Die Auskunft muss grundsätzlich kostenlos erteilt werden. Verlangt werden können Informationen zu Zweck, Kategorien und Empfängern der Daten.

Recht auf Datenübertragbarkeit

Beide Regelwerke kennen das Recht auf Datenherausgabe und -übertragung. Betroffene Personen können verlangen, dass ihre Daten in einem gängigen elektronischen Format bereitgestellt oder an einen anderen Verantwortlichen übertragen werden – sofern bestimmte Voraussetzungen erfüllt sind.

Recht auf Löschung

Das «Recht auf Vergessenwerden» ist in der DSGVO explizit in Artikel 17 verankert. Das revDSG kennt ein ähnliches Recht, formuliert dieses aber weniger prominent. In der Praxis ergibt sich der Löschungsanspruch in der Schweiz aus dem Grundsatz der Verhältnismässigkeit und der Zweckbindung.

Bussgelder und Sanktionen

Der wohl augenfälligste Unterschied liegt in den Sanktionen bei Verstössen. Hier zeigt sich die unterschiedliche Philosophie beider Rechtsordnungen deutlich.

Sanktionen nach DSGVO

Die DSGVO sieht Bussgelder von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist. Diese Sanktionen richten sich gegen das Unternehmen als juristische Person. Die hohen Bussgelder haben seit 2018 für internationale Schlagzeilen gesorgt.

Sanktionen nach revDSG

Das revDSG geht einen fundamental anderen Weg: Bussen bis zu 250'000 Franken werden gegen natürliche Personen verhängt – typischerweise gegen verantwortliche Geschäftsführer oder Datenschutzbeauftragte. Juristische Personen können nur in Ausnahmefällen bis zu 50'000 Franken Busse zahlen. Dieser Ansatz soll die persönliche Verantwortung stärken.

Besondere Regelungen im revDSG

Das Schweizer Datenschutzgesetz enthält einige Besonderheiten, die in der DSGVO so nicht zu finden sind. Diese sollten Schweizer Unternehmen besonders beachten.

Profiling mit hohem Risiko

Das revDSG führt den Begriff des «Profiling mit hohem Risiko» ein. Darunter versteht man eine Form der automatisierten Bearbeitung, die eine Verknüpfung von Daten erlaubt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit erlaubt. Für solche Bearbeitungen gelten verschärfte Anforderungen – etwa eine ausdrückliche Einwilligung.

Besonders schützenswerte Personendaten

Die Liste der besonders schützenswerten Personendaten im revDSG wurde erweitert und umfasst nun auch genetische und biometrische Daten. Für deren Bearbeitung ist in der Regel eine ausdrückliche Einwilligung erforderlich.

Praktische Umsetzung für Unternehmen

Unternehmen, die sowohl Schweizer als auch EU-Kunden bedienen, stehen vor der Herausforderung, beide Regelwerke parallel umzusetzen. In der Praxis bewährt sich ein Ansatz, der sich am strengeren Standard orientiert.

Datenschutzerklärung

Eine Datenschutzerklärung sollte den Anforderungen beider Gesetze gerecht werden. Dies bedeutet in der Regel, dass die detaillierteren Informationspflichten der DSGVO als Massstab dienen – inklusive Angaben zur Rechtsgrundlage und zur Speicherdauer.

Technische und organisatorische Massnahmen

Verschlüsselung: Daten sollten sowohl bei der Übertragung als auch bei der Speicherung verschlüsselt werden.
Zugriffskontrollen: Starke Authentifizierung und rollenbasierte Berechtigungen reduzieren Risiken erheblich. Hilfreich sind geprüfte Passwort-Manager für 2026.
Protokollierung: Zugriffe auf Personendaten müssen protokolliert und regelmässig überprüft werden.
Sichere Weitergabe: Für den Versand von Links und Dokumenten lohnen sich datenschutzkonforme Werkzeuge – beispielsweise bietet Lunyb datenschutzfreundliche Kurzlinks mit transparenter Statistik ohne Tracking von Endnutzern.
Mitarbeiterschulung: Regelmässige Schulungen schärfen das Bewusstsein für Datenschutzrisiken.

Branding und Vertrauen

Gerade im Marketing lohnt es sich, auf vertrauenswürdige Werkzeuge zu setzen. Ein gebrandeter Kurzlink wirkt professioneller als eine undurchsichtige URL und signalisiert Transparenz – ein wichtiges Signal unter beiden Datenschutzregimes.

Datentransfer zwischen Schweiz und EU

Dank der Angemessenheitsentscheidung der EU-Kommission ist der Datentransfer von der EU in die Schweiz grundsätzlich ohne zusätzliche Schutzmassnahmen möglich. Die Schweiz erkennt umgekehrt die EU-Mitgliedstaaten als Länder mit angemessenem Datenschutzniveau an. Für Transfers in Drittstaaten (etwa USA ohne entsprechendes Framework) sind in beiden Fällen Standardvertragsklauseln oder andere Garantien erforderlich.

Was bei Verstössen zu tun ist

Werden Datenschutzrechte verletzt, stehen betroffenen Personen in beiden Rechtsordnungen Beschwerderechte zu. In der Schweiz ist der EDÖB zuständig, in Deutschland der BfDI oder die jeweilige Landesbehörde. Eine Anleitung zur Beschwerde beim BfDI finden Sie in unserem separaten Leitfaden.

Vor- und Nachteile beider Regelwerke

Vorteile des revDSG

Pragmatischerer Ansatz mit weniger Formalismus
Geringere Dokumentationspflichten für KMU
Keine starre 72-Stunden-Frist bei Datenpannen
Fokus auf persönliche Verantwortung statt Unternehmensstrafen

Nachteile des revDSG

Weniger detaillierte Vorgaben führen zu Rechtsunsicherheit
Persönliche Haftung von Verantwortlichen kann abschreckend wirken
Geringere internationale Bekanntheit

Vorteile der DSGVO

Einheitlicher Rechtsrahmen in der gesamten EU
Klare, detaillierte Vorgaben
Starke Durchsetzung durch hohe Bussgelder
Hohe internationale Signalwirkung

Nachteile der DSGVO

Hoher administrativer Aufwand, besonders für KMU
Starre Fristen (72 Stunden) in der Praxis schwer einzuhalten
Rechtsunsicherheit bei neuen Technologien wie KI

Fazit: Zwei Wege, ein Ziel

Das revDSG und die DSGVO verfolgen dasselbe Ziel, gehen aber unterschiedliche Wege. Während die DSGVO stärker auf Formalismus und abschreckende Sanktionen setzt, verfolgt das revDSG einen pragmatischeren Ansatz mit persönlicher Verantwortung. Schweizer Unternehmen mit EU-Bezug sollten beide Regelwerke parallel umsetzen und sich am strengeren Standard orientieren. Mit der richtigen Vorbereitung und den passenden Werkzeugen ist Compliance jedoch beherrschbar – und schafft Vertrauen bei Kunden und Partnern.

Häufig gestellte Fragen (FAQ)

Gilt für Schweizer Unternehmen nur das revDSG oder auch die DSGVO?

Das hängt vom Marktverhalten ab. Bedient ein Schweizer Unternehmen auch Kunden in der EU oder beobachtet deren Verhalten (etwa durch Tracking), muss es zusätzlich die DSGVO einhalten. Rein inländische Geschäfte unterliegen primär dem revDSG.

Wie hoch sind die Bussgelder im Vergleich?

Die DSGVO sieht Bussen bis 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes gegen Unternehmen vor. Das revDSG verhängt dagegen Bussen bis 250'000 Franken primär gegen natürliche Personen. Juristische Personen können im Schweizer Recht nur in Ausnahmefällen mit bis zu 50'000 Franken belangt werden.

Brauche ich zwei separate Datenschutzerklärungen?

In der Regel nicht. Eine Datenschutzerklärung, die den detaillierten Anforderungen der DSGVO entspricht, erfüllt in der Regel auch die Vorgaben des revDSG. Wichtig ist jedoch, dass die Erklärung auf das jeweilige Unternehmen und die konkreten Bearbeitungstätigkeiten zugeschnitten ist.

Muss ich einen Datenschutzbeauftragten bestellen?

Nach der DSGVO ist dies verpflichtend, wenn die Kerntätigkeit in umfangreicher regelmässiger Überwachung besteht oder besondere Kategorien von Daten umfangreich verarbeitet werden. Das revDSG empfiehlt einen Datenschutzberater, verpflichtet aber nicht dazu. Für Unternehmen mit EU-Bezug gelten die strengeren DSGVO-Regeln.

Wie melde ich eine Datenschutzverletzung korrekt?

Nach der DSGVO muss die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntnisnahme informiert werden. Das revDSG verlangt eine Meldung an den EDÖB «so rasch als möglich» – ohne starre Frist, aber mit Dokumentationspflicht. Betroffene Personen müssen informiert werden, wenn ihr Schutz dies erfordert.