revDSG und DSGVO: was für Schweizer Unternehmen gilt

Viele Schweizer Unternehmen unterliegen beiden Regelwerken gleichzeitig. Das revidierte Datenschutzgesetz gilt seit dem 1. September 2023 für Bearbeitungen mit Bezug zur Schweiz. Die DSGVO kommt zusätzlich ins Spiel, sobald Sie sich an Personen in der EU richten. Entscheidend ist also nicht, wo Ihre Firma sitzt, sondern wen Sie ansprechen.

Wann welches Recht greift

Das revDSG knüpft an den Bezug zur Schweiz an. Die DSGVO folgt dem Marktortprinzip: Sie greift, wenn Sie Waren oder Dienstleistungen gezielt Personen in der EU anbieten oder deren Verhalten beobachten. Ein Hinweis darauf ist, ob Sie in Euro auszeichnen, in die EU liefern oder Ihre Website in einer Sprache und Ansprache führen, die sich klar an ein EU-Publikum richtet. Reine Erreichbarkeit einer Website aus dem Ausland genügt für sich allein nicht.

Der grundlegende Unterschied: Erlaubnis oder Verbot

Die DSGVO ist ein Verbot mit Erlaubnisvorbehalt: Jede Bearbeitung braucht eine der Rechtsgrundlagen aus Art. 6 DSGVO, etwa Vertrag, Einwilligung oder berechtigtes Interesse, sonst ist sie unzulässig. Das revDSG geht umgekehrt vor. Private dürfen Personendaten grundsätzlich bearbeiten, solange sie die Grundsätze einhalten: Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Richtigkeit und Datensicherheit (Art. 6 revDSG). Erst wenn eine Bearbeitung die Persönlichkeit verletzt, etwa weil sie gegen diese Grundsätze verstösst oder gegen den ausdrücklichen Willen der Person erfolgt, braucht es einen Rechtfertigungsgrund (Art. 30 und 31). Im Alltag ergibt das ähnliche Pflichten, aber eine andere Dokumentation: Wer nach DSGVO arbeitet, hält für jede Bearbeitung eine Rechtsgrundlage fest; wer nur nach revDSG arbeitet, hält fest, dass die Grundsätze eingehalten sind.

Wo die beiden praktisch auseinandergehen

• Wer sanktioniert wird. Die DSGVO sieht Bussen gegen Unternehmen vor, bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Das revDSG richtet seine Strafbestimmungen dagegen in erster Linie gegen verantwortliche Privatpersonen, mit Bussen bis 250'000 Franken und nur bei Vorsatz (Art. 60 ff.). Das verschiebt die Frage der Verantwortung im Betrieb spürbar.
• Datenschutzberater. Die DSGVO schreibt in bestimmten Fällen einen Datenschutzbeauftragten vor. Das revDSG kennt die Datenschutzberaterin oder den Datenschutzberater als freiwillige Funktion (Art. 10); wer sie ernennt und dem EDÖB meldet, darf bei einer Folgenabschätzung mit verbleibendem hohem Risiko auf die Konsultation des EDÖB verzichten.
• Vertretung. Ausländische Unternehmen, die umfangreich und mit hohem Risiko Daten von Personen in der Schweiz bearbeiten, brauchen eine Vertretung in der Schweiz (Art. 14 revDSG). Umgekehrt verlangt Art. 27 DSGVO von Schweizer Firmen ohne Niederlassung in der EU unter ähnlichen Bedingungen einen Vertreter in der EU.
• Verzeichnis der Bearbeitungen. Beide kennen es. In der Schweiz sind Unternehmen mit weniger als 250 Mitarbeitenden davon ausgenommen, sofern die Bearbeitung ein geringes Risiko birgt. Diese Ausnahme entlastet viele KMU spürbar.
• Meldung von Verletzungen. Die DSGVO nennt eine Frist von 72 Stunden. Das revDSG verlangt eine Meldung an den EDÖB so rasch als möglich, ohne starre Stundenzahl, dafür mit einer eigenen Schwelle für die Frage, wann überhaupt gemeldet werden muss.
• Einwilligung. Die DSGVO braucht für viele Bearbeitungen eine aktive Zustimmung. Das revDSG stellt stärker auf Transparenz und erkennbare Zwecke ab und verlangt die ausdrückliche Einwilligung vor allem bei besonders schützenswerten Daten.

Was das im Alltag heisst

Wer beide Märkte bedient, fährt in der Praxis meist nach dem strengeren Massstab. Zwei parallele Abläufe für Einwilligung, Löschung und Auskunft sauber getrennt zu halten, kostet im Betrieb mehr, als es einbringt. Wer ausschliesslich Schweizer Kundschaft bedient, kann sich das Leben an einigen Stellen einfacher machen, sollte diese Einschätzung aber schriftlich festhalten, statt sie stillschweigend anzunehmen.

Wo es sich lohnt, genauer hinzuschauen

Heikel wird es dort, wo Daten das Land verlassen, wo besonders schützenswerte Daten anfallen und wo Werkzeuge im Einsatz sind, deren Anbieter US-Recht untersteht. Diese drei Punkte rechtfertigen eine juristische Prüfung, während die alltägliche Website-Praxis meist mit einer sauberen Grundordnung auskommt. Wie die für eine Firmenwebsite aussieht, steht in der revDSG-Checkliste für Websites.

Datenfluss zwischen der Schweiz und der EU

In beide Richtungen ist der Transfer erleichtert: Der Bundesrat führt die EU- und EWR-Staaten auf seiner Liste der Staaten mit angemessenem Datenschutz, und die Europäische Kommission anerkennt die Schweiz seit dem Jahr 2000 als Land mit angemessenem Schutzniveau; diese Anerkennung hat sie in ihrer Überprüfung vom Januar 2024 bestätigt. Daten von Zürich nach Berlin oder umgekehrt brauchen deshalb keine Standarddatenschutzklauseln. Anders bei Werkzeugen mit Verarbeitung in den USA: Dort stützt sich die EU auf das EU-US Data Privacy Framework, die Schweiz seit dem 15. September 2024 auf den entsprechenden Swiss-US-Rahmen, beide nur für Anbieter, die sich zertifiziert haben. Ob ein Anbieter zertifiziert ist, steht in der öffentlichen Liste des US-Handelsministeriums.

Drei typische Fälle

• Lokale Dienstleistung in Zürich mit Website auf Deutsch, Preisen in Franken und ohne Lieferung ins Ausland: revDSG allein. Ein Cookie-Hinweis mit Ablehnungsmöglichkeit nach Fernmeldegesetz genügt.
• Onlineshop, der nach Deutschland liefert und Preise in Euro zeigt: revDSG und DSGVO. Einwilligungsbanner, eine Rechtsgrundlage pro Bearbeitung und allenfalls ein Vertreter in der EU nach Art. 27 DSGVO.
• Software mit Nutzern in der EU: DSGVO in vollem Umfang, dazu die Schweizer Besonderheiten wie die Meldung an den EDÖB. Hier lohnt sich eine juristische Prüfung, bevor das Produkt live geht.

Welche Regeln beim Einsatz von KI-Werkzeugen dazukommen, steht im Artikel zu Datenschutz bei KI. Gesetzestext: Bundesgesetz über den Datenschutz (DSG, SR 235.1) auf Fedlex.

Dieser Text ist eine Orientierung und keine Rechtsberatung. Welche Regeln für Ihre konkrete Situation gelten, gehört im Zweifel zu einer spezialisierten Anwältin oder einem spezialisierten Anwalt.