DSG vs DSGVO: Die Unterschiede Verstehen (2026)

Seit dem 1. September 2023 gilt in der Schweiz das totalrevidierte Datenschutzgesetz (revDSG). Es wurde stark an die europäische Datenschutz-Grundverordnung (DSGVO) angelehnt – ist aber keineswegs identisch. Für Unternehmen, die sowohl in der Schweiz als auch in der EU tätig sind, stellt sich die zentrale Frage: Wo liegen die konkreten Unterschiede zwischen DSG und DSGVO, und welche Pflichten ergeben sich daraus?

Dieser Leitfaden erklärt präzise die wichtigsten Abweichungen, zeigt praktische Konsequenzen für den Unternehmensalltag und hilft Ihnen, Ihr Datenschutz-Compliance-Programm so aufzusetzen, dass es beiden Regelwerken gerecht wird.

Was ist das DSG und was ist die DSGVO?

Das Schweizer Datenschutzgesetz (DSG) ist das nationale Bundesgesetz, das den Umgang mit Personendaten in der Schweiz regelt. Die Totalrevision (revDSG) trat am 1. September 2023 in Kraft und modernisierte das bisher geltende Recht von 1992 grundlegend.

Die Datenschutz-Grundverordnung (DSGVO) ist die europäische Verordnung, die seit dem 25. Mai 2018 in allen EU-/EWR-Staaten unmittelbar gilt. Sie bildet den Goldstandard im europäischen Datenschutzrecht und hat weltweit Vorbildwirkung entfaltet.

Beide Regelwerke verfolgen denselben Grundgedanken: Sie schützen die informationelle Selbstbestimmung natürlicher Personen und regulieren die Verarbeitung personenbezogener Daten. Dennoch unterscheiden sie sich in wesentlichen Punkten – von der Rechtsgrundlage über den Geltungsbereich bis hin zur Höhe der Bussen.

Die wichtigsten Unterschiede im Überblick

Die folgende Tabelle fasst die zentralen Differenzen zwischen DSG und DSGVO zusammen:

Kriterium	Schweizer DSG (revDSG)	EU-DSGVO
In Kraft seit	1. September 2023	25. Mai 2018
Rechtsnatur	Nationales Bundesgesetz	EU-Verordnung (unmittelbar geltend)
Geschützte Personen	Nur natürliche Personen	Nur natürliche Personen
Rechtsgrundlage für Verarbeitung	Keine explizite Rechtsgrundlage nötig; Verarbeitung grundsätzlich erlaubt, solange keine Persönlichkeitsverletzung	Erfordert explizite Rechtsgrundlage (Art. 6 DSGVO)
Besondere Datenkategorien	Inkl. Daten über Sozialhilfe, administrative/strafrechtliche Massnahmen	Enger definiert (Art. 9 DSGVO)
Maximale Busse	Bis CHF 250'000 – gegen natürliche Personen (!)	Bis 20 Mio. EUR oder 4 % Weltumsatz – gegen Unternehmen
Datenschutzbeauftragter	Freiwillig (Bundesorgane Pflicht)	Pflicht bei bestimmten Kriterien (Art. 37)
Meldung von Datenpannen	"So rasch als möglich"	Innert 72 Stunden
Verzeichnis der Verarbeitungstätigkeiten	Ausnahme für KMU (<250 MA)	Ausnahme für KMU (<250 MA)
Profiling	Begriff definiert, "Profiling mit hohem Risiko" besonders geregelt	Automatisierte Einzelentscheidungen (Art. 22)

Geltungsbereich: Wer muss welches Gesetz beachten?

Der räumliche Geltungsbereich entscheidet darüber, welches Gesetz für Sie relevant ist – oft gelten sogar beide parallel.

Geltungsbereich des DSG

Das DSG gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden (Art. 3 DSG). Ein deutsches Unternehmen, das Produkte an Schweizer Konsumenten verkauft, unterliegt also auch dem DSG.

Geltungsbereich der DSGVO

Die DSGVO greift nach dem Marktortprinzip (Art. 3 DSGVO): Sobald ein Unternehmen Waren oder Dienstleistungen an Personen in der EU anbietet oder deren Verhalten beobachtet, gilt die Verordnung – unabhängig vom Sitz. Ein Schweizer Online-Shop, der nach Deutschland liefert, muss die DSGVO einhalten.

Doppelter Geltungsbereich – der Normalfall

Viele Schweizer Unternehmen unterliegen beiden Regelwerken gleichzeitig. Die pragmatische Empfehlung: Implementieren Sie die strengeren DSGVO-Anforderungen als Basisstandard und ergänzen Sie die DSG-spezifischen Besonderheiten. So sind Sie doppelt abgesichert.

Rechtsgrundlagen der Datenverarbeitung

Hier liegt einer der fundamentalsten Unterschiede: Die DSGVO verfolgt einen Verbotsprinzip-Ansatz, das DSG einen Erlaubnisprinzip-Ansatz.

DSGVO: Verarbeitung nur mit Rechtsgrundlage

Nach Art. 6 DSGVO ist jede Verarbeitung personenbezogener Daten grundsätzlich verboten – ausser es greift eine der sechs enumerierten Rechtsgrundlagen:

Einwilligung der betroffenen Person
Vertragserfüllung oder vorvertragliche Massnahmen
Rechtliche Verpflichtung
Lebenswichtige Interessen
Öffentliches Interesse
Berechtigtes Interesse (nach Interessenabwägung)

DSG: Verarbeitung grundsätzlich erlaubt

Das DSG erlaubt die Bearbeitung von Personendaten grundsätzlich, solange keine Persönlichkeitsverletzung vorliegt. Eine solche Verletzung entsteht etwa bei Bearbeitung entgegen den Grundsätzen (Treu und Glauben, Verhältnismässigkeit, Zweckbindung) oder gegen den ausdrücklichen Willen der betroffenen Person. Für besonders schützenswerte Personendaten gelten jedoch strengere Anforderungen.

Praktische Konsequenz: Wer die DSGVO-Logik einhält, erfüllt automatisch auch die DSG-Anforderungen – umgekehrt gilt dies nicht.

Besonders schützenswerte Personendaten

Beide Gesetze definieren sensible Datenkategorien, unterscheiden sich aber im Umfang.

Das DSG erfasst zusätzlich

Daten über Sozialhilfemassnahmen
Daten über administrative oder strafrechtliche Verfolgungen und Sanktionen
Genetische und biometrische Daten, die eine Person eindeutig identifizieren

Die DSGVO erfasst

Rassische/ethnische Herkunft
Politische Meinungen, religiöse/weltanschauliche Überzeugungen
Gewerkschaftszugehörigkeit
Genetische/biometrische Daten
Gesundheitsdaten
Daten zum Sexualleben oder zur sexuellen Orientierung

Weitere Details zur DSGVO finden Sie in unserem Praxisleitfaden DSGVO einfach erklärt 2026.

Bussen und Sanktionen: Ein fundamentaler Unterschied

Hier zeigt sich eine der überraschendsten Abweichungen – und ein echtes Risiko für Verantwortliche.

DSGVO: Unternehmensbussen bis 20 Millionen Euro

Die DSGVO sieht Bussen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Adressat ist das Unternehmen als juristische Person.

DSG: Bis zu CHF 250'000 gegen natürliche Personen

Das revidierte DSG sieht Bussen bis CHF 250'000 vor – allerdings richten sich diese gegen die verantwortlichen natürlichen Personen (Geschäftsführer, Datenschutzverantwortliche), nicht gegen das Unternehmen selbst. Dies birgt erhebliches persönliches Haftungsrisiko für Führungskräfte.

Zwar erscheint die DSG-Bussenhöhe geringer, doch die persönliche Adressierung kann für Betroffene gravierende finanzielle und berufliche Folgen haben.

Meldepflichten bei Datenpannen

Beide Gesetze verpflichten zur Meldung von Sicherheitsverletzungen – mit unterschiedlichen Fristen.

DSGVO: 72-Stunden-Frist

Nach Art. 33 DSGVO muss eine Verletzung des Schutzes personenbezogener Daten innert 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Bei hohem Risiko für Betroffene erfolgt zusätzlich eine direkte Benachrichtigung.

DSG: "So rasch als möglich"

Das DSG verlangt eine Meldung "so rasch als möglich" an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), wenn ein hohes Risiko für die Persönlichkeit oder Grundrechte besteht. Die flexiblere Formulierung erlaubt mehr Zeit zur Sachverhaltsklärung, erfordert aber dokumentierte Prozesse.

Wie Sie als Betroffener auf eine Datenpanne reagieren, erklärt unser Notfallplan bei Datenlecks.

Datenschutzbeauftragter: Pflicht oder Kür?

DSGVO: Pflicht in vielen Fällen

Nach Art. 37 DSGVO ist ein Datenschutzbeauftragter verpflichtend zu bestellen, wenn:

die Kerntätigkeit umfangreiche, regelmässige Überwachung umfasst
umfangreich besondere Datenkategorien verarbeitet werden
es sich um Behörden handelt

DSG: Freiwilligkeit mit Anreiz

Das DSG verpflichtet nur Bundesorgane zur Bestellung eines Datenschutzberaters. Private können freiwillig einen Berater benennen – dies bringt Erleichterungen bei der Datenschutz-Folgenabschätzung mit sich.

Internationale Datentransfers

Beide Regelwerke knüpfen Datenexporte an das Vorhandensein eines angemessenen Schutzniveaus.

Angemessenheitsentscheide

Der Bundesrat führt eine Liste von Staaten mit angemessenem Datenschutzniveau (ähnlich den Angemessenheitsbeschlüssen der EU-Kommission). Transfers in Länder ohne Angemessenheitsanerkennung erfordern Standardvertragsklauseln (SCC), verbindliche interne Datenschutzvorschriften (BCR) oder eine Ausnahmeregelung.

Praktische Massnahmen

Für die sichere Kommunikation und das Teilen von Informationen im Geschäftsalltag sollten Sie auf datenschutzkonforme Werkzeuge setzen. Dienste wie Lunyb ermöglichen es beispielsweise, Links sicher zu kürzen und zu teilen, ohne dabei unnötig Tracking-Daten zu akkumulieren – ein praktischer Baustein im Alltagsschutz Ihrer Kommunikation.

Betroffenenrechte im Vergleich

Beide Gesetze gewähren vergleichbare Rechte, mit subtilen Unterschieden:

Recht	DSG	DSGVO
Auskunftsrecht	✓ (Art. 25)	✓ (Art. 15)
Berichtigung	✓	✓ (Art. 16)
Löschung	✓ (teils)	✓ (Art. 17 – "Recht auf Vergessenwerden")
Einschränkung	Begrenzt	✓ (Art. 18)
Datenportabilität	✓ (Art. 28 – neu)	✓ (Art. 20)
Widerspruch	✓	✓ (Art. 21)

Praktische Umsetzung für Schweizer Unternehmen

Folgende Schritte helfen Ihnen, beiden Regelwerken gerecht zu werden:

Inventarisierung: Erstellen Sie ein Verzeichnis sämtlicher Bearbeitungstätigkeiten inklusive Datenkategorien, Zwecken und Empfängern.
Rechtsgrundlagen prüfen: Legen Sie für jede Verarbeitung die DSGVO-Rechtsgrundlage fest.
Datenschutzerklärung anpassen: Aktualisieren Sie Informationspflichten nach Art. 19 DSG und Art. 13/14 DSGVO.
Technische und organisatorische Massnahmen (TOM): Implementieren Sie Zugriffskontrollen, Verschlüsselung und Backup-Strategien. Ein professionelles Passwortmanagement ist Grundlage – siehe unseren Vergleich der besten Passwort-Manager.
Auftragsverarbeiterverträge (AV): Schliessen Sie mit allen Dienstleistern entsprechende Verträge ab.
Incident-Response-Prozess: Definieren Sie klare Meldewege für Sicherheitsvorfälle.
Schulungen: Sensibilisieren Sie Mitarbeitende regelmässig – auch für Themen wie Phishing und Social Engineering.

Vor- und Nachteile beider Regelwerke

DSG – Vorteile

Flexiblere Rechtsgrundlagen für die Verarbeitung
Geringerer administrativer Aufwand für KMU
Längere, praxisnahe Meldefristen bei Pannen

DSG – Nachteile

Persönliche Haftung für Verantwortliche
Weniger internationale Anerkennung
Teilweise unklare Auslegungsfragen

DSGVO – Vorteile

Klare, gut dokumentierte Rechtslage mit umfangreicher Rechtsprechung
Internationaler Goldstandard
Strukturierte Pflichten erleichtern systematische Umsetzung

DSGVO – Nachteile

Hoher administrativer Aufwand
Massive Bussenrisiken für Unternehmen
Komplexität bei Rechtsgrundlagen-Wahl

Fazit: Doppelt gut aufgestellt

DSG und DSGVO haben sich stark angenähert, bleiben aber eigenständige Regelwerke mit relevanten Unterschieden. Wer in beiden Rechtsräumen tätig ist, sollte die strengere DSGVO als Grundlage nehmen und die DSG-Besonderheiten – insbesondere die persönliche Haftung und die erweiterten sensiblen Datenkategorien – ergänzen.

Datenschutz ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Mit klaren Verantwortlichkeiten, dokumentierten Prozessen und geeigneten technischen Hilfsmitteln lassen sich beide Regelwerke effizient umsetzen – und die informationelle Selbstbestimmung Ihrer Kundinnen und Kunden wirksam schützen.

Häufig gestellte Fragen (FAQ)

Muss ich als Schweizer KMU die DSGVO beachten?

Ja, sobald Sie Waren oder Dienstleistungen an Personen in der EU anbieten oder deren Verhalten beobachten (z. B. durch Tracking). Ein Schweizer Webshop, der nach Deutschland liefert, muss die DSGVO einhalten – unabhängig von seiner Grösse.

Welches Gesetz hat die höheren Bussen?

Die DSGVO sieht mit bis zu 20 Millionen Euro oder 4 % Weltumsatz deutlich höhere Bussen gegen Unternehmen vor. Das DSG begrenzt Bussen auf CHF 250'000, richtet sie aber gegen natürliche Personen (Verantwortliche) – was ein erhebliches persönliches Haftungsrisiko darstellt.

Brauche ich einen Datenschutzbeauftragten?

Nach DSG ist dies für private Unternehmen freiwillig. Nach DSGVO besteht eine Pflicht, wenn Sie Kerntätigkeiten mit umfangreicher Überwachung oder Verarbeitung besonderer Kategorien betreiben. Selbst wo freiwillig, empfiehlt sich die Bestellung aus Compliance- und Haftungsgründen.

Wie schnell muss ich eine Datenpanne melden?

Nach DSGVO innert 72 Stunden an die Aufsichtsbehörde. Nach DSG "so rasch als möglich" an den EDÖB, wenn ein hohes Risiko für die Persönlichkeit besteht. Richten Sie einen klaren internen Prozess ein, damit die Frist nicht versäumt wird.

Gilt die DSGVO auch für Daten juristischer Personen?

Nein. Sowohl DSGVO als auch das revidierte DSG schützen ausschliesslich Daten natürlicher Personen. Das alte DSG erfasste bis September 2023 auch Daten juristischer Personen – dieser Schutz entfiel mit der Revision.