revDSG · SR 235.1

Das revidierte Datenschutzgesetz, praktisch gelesen

Seit dem 1. September 2023 gilt das revidierte DSG — ohne Übergangsfrist. Für die meisten KMU ist der Aufwand kleiner als befürchtet, aber an einer Stelle unangenehmer als bei der DSGVO: Die Busse trifft nicht die Firma, sondern die verantwortliche Person.

Kurz beantwortet

Seit wann gilt es?: Seit dem 1. September 2023, ohne Übergangsfrist. Das alte DSG von 1992 wurde vollständig abgelöst.
Wen schützt es?: Nur noch natürliche Personen. Daten juristischer Personen fallen — anders als unter dem alten DSG — nicht mehr darunter.
Brauchen wir ein Bearbeitungsverzeichnis?: Unternehmen mit weniger als 250 Mitarbeitenden sind davon grundsätzlich befreit, sofern die Bearbeitung ein geringes Risiko birgt und keine besonders schützenswerten Daten in grossem Umfang bearbeitet werden.
Wie hoch sind die Bussen?: Bis CHF 250’000 — und sie richten sich gegen die verantwortliche natürliche Person, nicht gegen das Unternehmen. Das ist der zentrale Unterschied zur DSGVO.
Dürfen wir Kundendokumente per E-Mail verschicken?: Das Gesetz verbietet keinen Kanal. Es verlangt Massnahmen, die zum Risiko passen. Bei Dokumenten mit Personendaten ist ein Postfach eine schwache Kontrolle: kein Entzug, keine Nachvollziehbarkeit, Kopien in fremden Postfächern.

Was sich gegenüber dem alten Recht geändert hat

Die Revision hat das Schweizer Datenschutzrecht an europäische Standards angenähert, ohne die DSGVO zu kopieren. Vier Änderungen sind im Alltag spürbar:

Der Schutz juristischer Personen ist entfallen. Das DSG schützt nur noch Daten natürlicher Personen — eine Einschränkung des Anwendungsbereichs, nicht eine Erweiterung.
Genetische und biometrische Daten zählen neu ausdrücklich zu den besonders schützenswerten Personendaten.
Privacy by Design und Privacy by Default sind als Grundsätze verankert: Datenschutz gehört in die Konzeption eines Systems, nicht in eine nachträgliche Erklärung.
Die Informationspflicht bei der Beschaffung von Personendaten wurde deutlich ausgeweitet — sie gilt nun grundsätzlich für jede Beschaffung, nicht nur für besonders schützenswerte Daten.

Die Sanktion trifft die Person, nicht die Firma

Das ist der Punkt, der in den meisten Zusammenfassungen fehlt. Die DSGVO sanktioniert Unternehmen mit Bussen bis zu einem Prozentsatz des Konzernumsatzes. Das revidierte DSG geht einen anderen Weg: Es sieht Bussen bis CHF 250’000 vor, und sie richten sich gegen die verantwortliche natürliche Person.

Für ein KMU heisst das konkret: Nicht die GmbH zahlt, sondern die Person, die für die Verletzung verantwortlich ist — in der Praxis häufig die Geschäftsführung. Die Beträge sind niedriger als unter der DSGVO, die persönliche Betroffenheit ist dafür ungleich direkter.

Vorsätzliches Handeln ist Voraussetzung; fahrlässige Verstösse sind nicht in gleicher Weise erfasst. Das entschärft die Lage für Betriebe, die sich ernsthaft bemühen, und verschärft sie für solche, die eine bekannte Lücke bewusst offenlassen.

Was ein durchschnittliches KMU tatsächlich tun muss

Der Aufwand wird regelmässig überschätzt, weil DSGVO-Material auf Schweizer Verhältnisse übertragen wird. Für einen Betrieb ohne Massendatenverarbeitung läuft es im Wesentlichen auf fünf Punkte hinaus:

Eine Datenschutzerklärung, die verständlich sagt, welche Daten zu welchem Zweck bearbeitet werden und an wen sie gehen — inklusive Bekanntgabe ins Ausland.
Angemessene technische und organisatorische Massnahmen: Zugriff nur für die Personen, die ihn brauchen, und die Möglichkeit, ihn wieder zu entziehen.
Verträge mit Auftragsbearbeitern. Wer Daten in Ihrem Auftrag bearbeitet — Hosting, Buchhaltungssoftware, Newsletter-Dienst — braucht eine vertragliche Grundlage.
Ein Prozess für Auskunftsbegehren. Betroffene haben Anspruch auf Auskunft über die zu ihnen bearbeiteten Daten; die Frist ist knapp, wenn niemand vorbereitet ist.
Ein Reflex für den Ernstfall: Datensicherheitsverletzungen mit hohem Risiko für die betroffenen Personen sind dem EDÖB so rasch als möglich zu melden.

Bekanntgabe ins Ausland — und was sie nicht betrifft

Personendaten dürfen ins Ausland bekannt gegeben werden, wenn der Zielstaat einen angemessenen Schutz gewährleistet; der Bundesrat führt dazu eine Liste. Fehlt die Angemessenheit, braucht es geeignete Garantien — in der Praxis meist Standardvertragsklauseln.

Häufiges Missverständnis: Diese Regeln betreffen Ihre eigenen Auftragsbearbeiter — wo Ihre Daten gehostet und verarbeitet werden. Sie greifen nicht, weil Ihr Kunde zufällig eine Adresse bei einem ausländischen Mailanbieter benutzt. Die Wahl des Empfängers ist dessen Sache, nicht Ihre Bekanntgabeentscheidung.

Umgekehrt gilt: Wo Sie den Speicherort selbst bestimmen, bestimmen Sie auch, wie aufwendig dieser Nachweis wird. Das ist das eigentliche Argument für Hosting in der Schweiz — nicht die Aufbewahrungspflicht, die entgegen verbreiteter Darstellung keinen Ort vorschreibt.

Was das für Dokumente im Postfach heisst

Das DSG verbietet keinen Übermittlungskanal. Es verlangt Massnahmen, die zum Risiko passen. Die Frage ist deshalb nicht, ob E-Mail erlaubt ist, sondern ob ein Postfach für die konkreten Daten eine angemessene Kontrolle darstellt.

Bei Offerten, Verträgen und Rechnungen mit Personendaten fällt die Antwort schwer zugunsten des Postfachs aus. Ein einmal versandter Anhang lässt sich nicht zurückholen. Kopien liegen in Postfächern, über die Sie keine Kontrolle haben. Wer das Dokument geöffnet oder weitergeleitet hat, ist nicht feststellbar. Und der Zugriff hängt an der Person, die das Postfach führt, nicht am Unternehmen — verlässt sie den Betrieb, geht die Nachvollziehbarkeit mit.

Das ist keine Compliance-Katastrophe, sondern eine Schwachstelle mit bekannter Grösse. Sie zu kennen, ist bereits ein Teil der organisatorischen Massnahme, die das Gesetz verlangt.

Pflichten im Überblick

Pflicht	Gilt für ein typisches KMU	Bemerkung
Datenschutzerklärung / Informationspflicht	Ja	Bei jeder Beschaffung von Personendaten
Technische und organisatorische Massnahmen	Ja	Angemessen zum Risiko, nicht maximal
Verträge mit Auftragsbearbeitern	Ja	Hosting, Software, externe Dienstleister
Auskunftsrecht bedienen	Ja	Prozess vorbereiten, nicht improvisieren
Meldung von Datensicherheitsverletzungen	Nur bei hohem Risiko	An den EDÖB, so rasch als möglich
Bearbeitungsverzeichnis	Meist nein	Befreiung unter 250 Mitarbeitenden bei geringem Risiko
Datenschutz-Folgenabschätzung	Meist nein	Nur bei Bearbeitung mit hohem Risiko

Was athemi davon abdeckt — und was nicht

athemi macht Sie nicht DSG-konform. Konformität ist eine Frage von Prozessen und Dokumentation, nicht von Software. Was athemi adressiert, ist der technische Teil, an dem es im Alltag am häufigsten hakt: dass Kundendokumente als Anhänge durch Postfächer wandern und dort niemandem mehr gehören.

Zugriff wird pro Projekt vergeben und lässt sich wieder entziehen — anders als bei einem versandten Anhang.
Nachvollziehbar, wer wann welches Dokument geöffnet und freigegeben hat.
Der Zugriff hängt am Unternehmen, nicht am Postfach einer einzelnen Person.
Gehostet in der Schweiz — hier ist der Speicherort tatsächlich das relevante Argument.
Nicht abgedeckt: Ihre Datenschutzerklärung, Ihr Bearbeitungsverzeichnis, Ihre Auftragsbearbeiterverträge mit Dritten. Dafür braucht es Beratung, keine Software.

athemi kostenlos testen

Häufige Fragen

Gilt für uns die DSGVO oder das DSG?

Möglicherweise beides. Das DSG gilt für Bearbeitungen mit Bezug zur Schweiz. Die DSGVO greift zusätzlich, wenn Sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Ein Schweizer KMU mit EU-Kundschaft steht regelmässig unter beiden Regimes — die Anforderungen überschneiden sich weitgehend.

Brauchen wir eine Datenschutzbeauftragte?

Für private Unternehmen ist das in der Schweiz freiwillig. Das DSG kennt die Funktion und knüpft Erleichterungen daran, macht sie aber nicht zur Pflicht — anders als die DSGVO in bestimmten Konstellationen.

Was zählt als besonders schützenswerte Personendaten?

Unter anderem Daten über Gesundheit, religiöse oder politische Ansichten, Massnahmen der sozialen Hilfe, administrative oder strafrechtliche Verfolgungen sowie neu genetische und biometrische Daten, die eine Person eindeutig identifizieren. Im normalen B2B-Geschäft fallen sie selten an — in Personalakten dagegen regelmässig.

Müssen wir jede Datenpanne melden?

Nein. Meldepflichtig sind Verletzungen der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führen. Eine an die falsche Adresse gesandte Terminbestätigung erreicht diese Schwelle in aller Regel nicht; ein offener Zugriff auf Personaldossiers sehr wohl.

Quellen

Diese Seite fasst die Rechtslage allgemein zusammen und ersetzt keine Rechtsberatung. Ob und in welchem Umfang eine Pflicht Sie trifft, hängt von Ihrer konkreten Datenbearbeitung ab.

Zuletzt geprüft: 2026-07-25