Schweizer Unternehmen, die Daten von EU-Bürgerinnen und -Bürgern verarbeiten, müssen zwei Datenschutzregime beachten: das revidierte Schweizer Datenschutzgesetz (revDSG) und die EU-Datenschutz-Grundverordnung (DSGVO). Die wichtigsten Unterschiede liegen im Geltungsbereich, bei den Sanktionsregeln, der Meldung von Datenpannen, der Pflicht zur Datenschutz-Folgenabschätzung und bei Auftragsverarbeitungsverträgen.

Was ist das revDSG?

Das revidierte Schweizer Datenschutzgesetz (revDSG) trat am 1. September 2023 in Kraft. Es passt das Bundesgesetz über den Datenschutz (DSG) an die digitale Realität an und schärft insbesondere die Transparenz- und Informationspflichten gegenüber betroffenen Personen. Für Schweizer Unternehmen bleibt es die primäre Rechtsgrundlage, solange sie ausschliesslich Daten innerhalb der Schweiz verarbeiten.

Zentrale Neuerungen des revDSG sind:

• Verpflichtung zur Meldung von Datenpannen an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemäss Art. 24 DSG. Die Meldung muss «so rasch als möglich» erfolgen; ein 72-Stunden-Zeitraum wie in der DSGVO besteht im revDSG nicht.
• Stärkere Auskunfts- und Übertragungsrechte für betroffene Personen
• Präzisierung der Anforderungen an Profile und automatisierte Einzelfallentscheidungen gemäss Art. 21 DSG

Was ist die EU-DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 für alle Unternehmen, die personenbezogene Daten von Personen im Europäischen Wirtschaftsraum (EWR) verarbeiten. Sie gilt also unabhängig vom Firmensitz: Eine Schweizer Website, die sich an deutsche, französische oder österreichische Besucherinnen und Besucher richtet, kann unter den Geltungsbereich der DSGVO fallen.

Die DSGVO zeichnet sich durch hohe Bussen (bis zu 4 % des weltweiten Jahresumsatzes) und detaillierte Pflichten wie Datenschutz-Folgenabschätzungen, Auftragsverarbeitungsverträge und die Dokumentation von Verarbeitungstätigkeiten aus.

Die wichtigsten Unterschiede im Überblick

Thema	revDSG (Schweiz)	EU-DSGVO
Geltungsbereich	Schweiz	EWR / weltweit bei EU-Bezug
Inkrafttreten	1. September 2023	25. Mai 2018
Höchstbusse	Bis CHF 250'000 gegen natürliche Personen (Art. 60 DSG); keine Bussen gegen Unternehmen	Bis 4 % weltweiter Jahresumsatz gegen den Verantwortlichen/Auftragsverarbeiter
Datenschutz-Folgenabschätzung	Bei hohem Risiko verpflichtend (Art. 22 DSG)	Bei hohem Risiko verpflichtend (Art. 35 DSGVO)
Auftragsverarbeitung	Vertrag verpflichtend (Art. 9 DSG)	Vertrag verpflichtend (Art. 28 DSGVO)
Aufsichtsbehörde / Koordinationsgremium	EDÖB	Europäischer Datenschutzausschuss (EDSA / EDPB)
Automatisierte Entscheidungen	Art. 21 DSG	Art. 22 DSGVO

Wann gilt welches Gesetz?

Grundsätzlich gilt das revDSG für Datenverarbeitungen in der Schweiz. Die DSGVO kommt zusätzlich zum Tragen, sobald eine Verarbeitungstätigkeit einen Bezug zur EU aufweist. Das ist beispielsweise der Fall bei:

• einer deutschen, französischen oder österreichischen Zielgruppe,
• der Verarbeitung von Daten EU-basierter Beschäftigter oder Kunden,
• dem Einsatz von Tracking-Tools, die Daten in die EU übermitteln.

Praxistipp: Viele Schweizer KMU müssen beide Regime parallel erfüllen. In der Regel ist DSGVO-konformes Verhalten auch revDSG-konform, aber nicht umgekehrt. Wer die strengeren DSGVO-Anforderungen erfüllt, deckt den Grossteil der revDSG-Pflichten ab.

KI und automatisierte Entscheidungen

Ein häufig diskutiertes Thema ist die Verwendung von KI für automatisierte Entscheidungen. Hierzu einige klärende Punkte:

• Das revDSG regelt automatisierte Einzelfallentscheidungen in Art. 21 DSG. Betroffene Personen haben das Recht, die Überprüfung der Entscheidung durch eine natürliche Person zu verlangen.
• Die DSGVO enthält in Art. 22 ein vergleichbares Recht, sich gegen rein automatisierte Entscheidungen zu wehren.
• Die KI-Deklarationspflicht ist in der Schweiz bislang nicht gesetzlich geregelt. Der Bundesrat hat am 12. Februar 2025 beschlossen, dem Europarat-Übereinkommen über KI beizutreten; das Eidgenössische Justiz- und Polizeidepartement arbeitet an einem Vernehmlassungsentwurf.
• Schweizer Unternehmen, die KI-Systeme oder deren Output in der EU einsetzen, müssen ab 2. August 2026 die Transparenzpflichten des EU AI Act Art. 50 beachten.

Praktische Tipps für Schweizer Unternehmen

• Führen Sie eine Übersicht über alle Verarbeitungstätigkeiten mit personenbezogenen Daten.
• Prüfen Sie, ob Ihre Website Daten von EU-Bürgerinnen und -Bürgern erfasst.
• Dokumentieren Sie Rechtsgrundlagen, Speicherdauer und Empfänger.
• Verwenden Sie für Webfonts, Analytics und Newsletter-Tools DSGVO-konfigurierte Anbieter.
• Aktualisieren Sie Datenschutzerklärung und Impressum regelmässig.

Häufige Fragen

Muss meine Schweizer Website DSGVO-konform sein?
Ja, wenn Sie gezielt EU-Bürgerinnen und -Bürger ansprechen oder deren Daten verarbeiten.

Ist revDSG oder DSGVO strenger?
Die DSGVO ist in den meisten Bereichen detaillierter und sanktioniert schwerer. Wer DSGVO-konform ist, erfüllt in der Regel auch die revDSG-Grundanforderungen.

Gilt das revDSG auch für Selbstständige?
Ja, das revDSG gilt für private Personen und Unternehmen, die personenbezogene Daten verarbeiten, mit Ausnahme des rein persönlichen und familiären Bereichs.

Fazit

revDSG und DSGVO teilen das gleiche Ziel: den Schutz personenbezogener Daten. Für Schweizer Unternehmen mit EU-Bezug bedeutet das praktisch eine doppelte Compliance-Prüfung. Der Schlüssel liegt in einer transparenten Dokumentation, einer aktuellen Datenschutzerklärung und bewussten Entscheidungen bei Tools, die Daten über die Schweizer Grenze hinaus verarbeiten. Auch wenn die schweizerischen Bussen absolut gesehen niedriger ausfallen, richten sie sich nach Art. 60 DSG gegen die verantwortliche natürliche Person, während DSGVO-Bussen direkt beim Unternehmen erhoben werden. Für die individuelle Entscheidungsträgerin oder den Entscheidungsträger ist das revDSG deshalb nicht automatisch das mildere Regime.

Nächste Schritte

Wenn Sie unsicher sind, ob Ihre Website revDSG- oder DSGVO-konform ist, melden Sie sich bei mir. Ich prüfe Ihr Datenschutzsetup und zeige Ihnen konkrete, umsetzbare Schritte.

Hinweis: Dieser Artikel stellt eine allgemeine Information dar und ersetzt keine rechtsanwaltliche Beratung. Für verbindliche Einzelfallbeurteilungen konsultieren Sie bitte eine qualifizierte Rechtsperson.

Quellen

• Bundesgesetz über den Datenschutz (DSG), revidierte Fassung
• Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) – KI und Datenschutz
• Verordnung (EU) 2016/679 (DSGVO)
• Verordnung (EU) 2024/1689 (EU AI Act)

Experten-Tipp aus der Praxis: Dokumentiere zu jedem Tool, das personenbezogene Daten verarbeitet, den Verarbeitungszweck, den Standort und die Rechtsgrundlage. Eine aktuelle Datenschutzerklärung allein reicht nicht aus, wenn im Ernstfall keine nachvollziehbare Prozessebene dahintersteht.

Christopher Matt, Matt Interfaces Luzern

Zuletzt aktualisiert am 8. September 2026. Verantwortlich: Christopher Matt.