Das revidierte Datenschutzgesetz (revDSG) gilt seit 1. September 2023. Es bringt EU-DSGVO-kompatible Pflichten, strafrechtliche Sanktionen für Geschäftsführer und neue Anforderungen an internationale Datentransfers — ein praxisnaher Überblick.
Das revidierte Bundesgesetz über den Datenschutz (revDSG, SR 235.1) ist am 1. September 2023 in Kraft getreten und hat das alte DSG von 1992 abgelöst. Die Reform war notwendig, um die Anerkennung der Schweiz durch die EU als 'angemessenes Drittland' (Adäquanzbeschluss) zu erhalten — und um nationalen Datenschutz-Skandalen mit teils internationalen Folgen einen Rahmen zu geben.
Im Gegensatz zur EU-DSGVO sieht das revDSG keine unmittelbaren Verwaltungsbussen gegen Unternehmen vor — stattdessen strafrechtliche Bussen gegen die verantwortlichen natürlichen Personen (bis CHF 250'000). Für KMU ist das Risiko damit nicht geringer, sondern persönlicher: Es trifft Geschäftsführer und Datenschutzverantwortliche direkt.
1. Geltungsbereich des revDSG
Das Gesetz gilt für die Bearbeitung von Personendaten durch private Personen und Bundesorgane (Art. 2 Abs. 1 revDSG). Personendaten sind alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen — Name, E-Mail, IP-Adresse, Tracking-Daten, Mitarbeiterdaten, Kundendaten.
Das revDSG hat extraterritoriale Wirkung (Art. 3 Abs. 1 revDSG): Es greift auch, wenn ein ausländisches Unternehmen Daten von Personen in der Schweiz bearbeitet und dadurch Auswirkungen in der Schweiz entstehen. Spiegelbildlich zur DSGVO.
2. Die acht zentralen Grundsätze
Art. 6 revDSG verlangt acht Grundsätze:
• Rechtmässigkeit — Bearbeitung muss gesetzlich gestützt sein.
• Treu und Glauben.
• Zweckbindung — Daten nur für den angegebenen Zweck verwenden.
• Verhältnismässigkeit — nur so viele Daten wie nötig.
• Datenrichtigkeit — falsche Daten korrigieren oder löschen.
• Datensicherheit — technische und organisatorische Massnahmen.
• Erkennbarkeit — die betroffene Person muss wissen, dass und welche Daten bearbeitet werden.
• Datensparsamkeit — Speicherung nur so lange wie nötig.
3. Informationspflichten — Art. 19 revDSG
Wer Personendaten beschafft, muss die betroffene Person aktiv informieren — auch wenn die Daten nicht direkt bei ihr erhoben werden. Die Information muss Identität des Verantwortlichen, Bearbeitungszweck, Empfängerkategorien und allfällige Bekanntgabe ins Ausland umfassen. Die typische Umsetzung: eine sauber strukturierte Datenschutzerklärung auf der Website und an allen Touchpoints (Kontaktformular, Newsletter, Mitarbeiteronboarding).
4. Datenschutz-Folgenabschätzung (DSFA, Art. 22 revDSG)
Bei Bearbeitungen mit hohem Risiko (Profiling, umfangreiche Bearbeitung besonders schützenswerter Daten, systematische Überwachung) muss vorab eine Folgenabschätzung durchgeführt werden. Praktisch betroffen: HR-Tools mit Profiling, Webshops mit Bewerber-Datenbanken, Marketing-Tools mit Verhaltens-Tracking, Sicherheitskameras im öffentlichen Raum.
5. Meldepflicht bei Datenschutz-Verletzungen (Art. 24 revDSG)
Eine Datenschutz-Verletzung mit voraussichtlich hohem Risiko für die betroffenen Personen ist 'so rasch wie möglich' dem EDÖB zu melden. Im Unterschied zur DSGVO gibt es keine starre 72-Stunden-Frist — die Schweizer Regelung ist flexibler, aber das Risiko der Verspätung trägt das Unternehmen. Bei hohem Risiko sind zudem die betroffenen Personen direkt zu informieren.
In der Praxis sehen wir, dass viele KMU keine Incident-Response-Pläne haben — und im Ernstfall wertvolle Stunden verlieren, bevor die Meldung ergeht. Eine fertige Vorlage mit Eskalationspfaden gehört in jede IT-Compliance.
6. Internationale Datentransfers (Art. 16 revDSG)
Personendaten dürfen nur an Länder bekannt gegeben werden, die einen angemessenen Schutz gewährleisten. Der Bundesrat führt eine Länderliste — die USA standen jahrelang nicht darauf. Für nicht-angemessene Länder braucht es Standardvertragsklauseln (SCC), verbindliche Unternehmensregeln (BCR) oder die Einwilligung der betroffenen Person.
Für die Ukraine gilt der Adäquanz-Beschluss aktuell nicht — wer Daten von Schweizer Kunden in die Ukraine transferiert (z. B. zur Verarbeitung durch ein dortiges Tochterunternehmen), benötigt SCC und in der Regel eine vorherige Risikobewertung.
7. Rechte der betroffenen Person
Das revDSG erweitert die Rechte gegenüber dem alten DSG:
• Auskunftsrecht (Art. 25 revDSG) — kostenlos innert 30 Tagen.
• Recht auf Datenherausgabe und -übertragung (Art. 28 revDSG, eine Art Datenportabilität).
• Recht auf Berichtigung, Löschung, Einschränkung der Bearbeitung.
• Widerspruchsrecht gegen bestimmte Bearbeitungen.
• Recht auf Nicht-Profiling mit ausschliesslich automatisierter Einzelentscheidung.
8. Strafrechtliche Sanktionen — die persönliche Bedrohung
Art. 60 revDSG sieht Bussen bis CHF 250'000 vor — gegen natürliche Personen, nicht gegen Unternehmen. Erfasst werden vorsätzliche Verletzungen der Auskunftspflicht, der Informationspflicht, der Datensicherheits-Pflicht und der Pflicht zur Schweiz-Vertretung bei ausländischen Verantwortlichen. Die Busse trifft typischerweise Geschäftsführer, IT-Leiter oder den Datenschutz-Beauftragten.
Das ist ein wesentlicher Unterschied zur DSGVO, die Verwaltungsbussen gegen das Unternehmen vorsieht: Im Schweizer Modell ist die Geschäftsleitung persönlich in der Pflicht, was die Compliance-Motivation erheblich verstärkt.
9. Compliance-Checkliste für KMU
• Bestandsaufnahme aller Datenbearbeitungen — wer was zu welchem Zweck.
• Datenschutzerklärung auf der Website prüfen und aktualisieren (Inkrafttreten 2023 markiert).
• Verträge mit Auftragsbearbeitern (Cloud, IT-Dienstleister) auf revDSG-konforme Klauseln prüfen.
• Mitarbeitende informieren und schulen (insbesondere HR, Marketing, IT).
• Internationale Transfers identifizieren und legitimieren (SCC, Einwilligung).
• Incident-Response-Plan mit Meldepfaden vorbereiten.
• Auskunftsrechts-Prozess: Wer beantwortet wie schnell?
• Verzeichnis der Bearbeitungstätigkeiten führen (Art. 12 revDSG).
10. Was passiert bei einer Untersuchung des EDÖB?
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) kann von Amtes wegen oder auf Anzeige hin Untersuchungen einleiten. Er hat Befugnisse zur Anordnung von Massnahmen (Art. 51 revDSG) — von der Berichtigung über die Sperrung bis zur Löschung. Anders als die EU-Datenschutzbehörden kann der EDÖB selbst keine Bussen verhängen — er übergibt strafrechtlich relevante Fälle der Staatsanwaltschaft.
Praxis-Hinweis
Sobiera Legal Consulting unterstützt Schweizer KMU und internationale Unternehmen bei der revDSG-Compliance — von der Datenschutzerklärung über die Auftragsbearbeitungsverträge bis zur Vorbereitung auf EDÖB-Untersuchungen. Auf Ukrainisch, Russisch, Deutsch, Englisch und Französisch — besonders relevant bei Datentransfers zwischen Schweiz und Ukraine.