Wissen

revDSG: das revidierte Schweizer Datenschutzgesetz für KMU

6 Min. Lesezeit

TL;DR

Das revidierte Datenschutzgesetz (revDSG) ist seit dem 1. September 2023 in Kraft und löst das alte DSG von 1992 ab. Es richtet sich an alle Unternehmen, die Personendaten von Personen in der Schweiz bearbeiten — unabhängig von Sitz oder Grösse. Pflichten: Informationspflicht, Verzeichnis der Bearbeitungstätigkeiten (mit Ausnahmen für Unternehmen unter 250 Mitarbeitenden), Meldepflicht bei Datenpannen mit hohem Risiko, Datenschutz-Folgenabschätzung bei hohem Risiko. Sanktionen: Bussen bis CHF 250'000, persönlich gegen die verantwortliche natürliche Person. Das revDSG ist näher an der EU-DSGVO als das alte DSG, aber nicht identisch. Stand: Oktober 2026.

Definition

Das revidierte Bundesgesetz über den Datenschutz (revDSG, SR 235.1) regelt die Bearbeitung von Personendaten durch private Personen und Bundesorgane in der Schweiz. Es trat am 1. September 2023 in Kraft und ersetzte das DSG von 1992 vollständig. Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Das Gesetz dient dem Schutz der Persönlichkeit und der Grundrechte von Personen, deren Daten bearbeitet werden.

Die wichtigsten Eigenschaften

1In Kraft seit 1. September 2023, ersetzt DSG von 1992
2Anwendung: alle Unternehmen mit Schweizer Personendatenbezug, unabhängig von Sitz
3Aufsicht: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
4Verzeichnis der Bearbeitungstätigkeiten: Pflicht ab 250 Mitarbeitenden, darunter bei umfangreicher Bearbeitung besonders schützenswerter Daten oder Profiling mit hohem Risiko
5Meldepflicht bei Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko: 'so rasch als möglich'
6Datenschutz-Folgenabschätzung (DSFA) für hohe Risiken Pflicht
7Sanktionen: Bussen bis CHF 250'000, persönlich gegen verantwortliche natürliche Person
8Privacy by Design und Privacy by Default als Grundsätze verankert

Was bedeutet das revDSG für Schweizer KMU?

Auch kleine Schweizer KMU müssen die zentralen Pflichten des revDSG einhalten. Konkret: Jeder Webauftritt benötigt eine aktualisierte Datenschutzerklärung mit Informationen zu Bearbeitungszweck, Datenkategorien, Empfängern und Aufbewahrungsdauer. Ein Verzeichnis der Bearbeitungstätigkeiten ist ab 250 Mitarbeitenden Pflicht; auch kleineren Betrieben hilft eine einfache Übersicht, Auskunftsbegehren zu beantworten. Führt eine Datenpanne — etwa Hacking, verlorener Laptop, falsch versendete E-Mail mit Kundendaten — voraussichtlich zu einem hohen Risiko für die Betroffenen, muss das KMU den EDÖB 'so rasch als möglich' informieren. Wer Software-Dienstleister einsetzt, regelt die Auftragsbearbeitung per Vertrag (Art. 9 DSG). Bei Cloud-Software ist wichtig, wohin Daten übermittelt werden: EU/EWR gelten als angemessen, die USA für nach dem Swiss-U.S. Data Privacy Framework zertifizierte Unternehmen; für andere Länder braucht es Garantien wie Standardvertragsklauseln (SCC).

revDSG vs. DSGVO — wesentliche Unterschiede (Stand: Oktober 2026)

Aspekt	revDSG (Schweiz)	DSGVO (EU)
In Kraft seit	01.09.2023	25.05.2018
Maximale Busse	CHF 250'000 (natürliche Person)	EUR 20 Mio. oder 4% Umsatz
Auftragsverarbeiter-Vertrag	Vertrag oder Gesetz erforderlich (Art. 9 DSG), keine Formvorschrift	Pflicht (AVV)
Verzeichnis Bearbeitungstätigkeiten	Ab 250 Mitarbeitenden (darunter mit Ausnahmen)	Praktisch ab Tätigkeit
Datenschutzbeauftragter	Freiwillig	Pflicht ab bestimmten Bedingungen
Meldefrist Datenpanne	'So rasch als möglich', bei hohem Risiko	72 Stunden
Räumlicher Anwendungsbereich	Auswirkungsprinzip	Auswirkungsprinzip

Häufige Fragen zum revDSG

Gilt das revDSG auch für Einzelunternehmen?

Ja. Das revDSG kennt keine Schwellenwerte für die grundsätzliche Anwendbarkeit — sobald Personendaten bearbeitet werden, gelten die Pflichten. Erleichterungen gibt es beim Verzeichnis der Bearbeitungstätigkeiten: Unternehmen mit weniger als 250 Mitarbeitenden sind befreit, sofern sie nicht umfangreich besonders schützenswerte Personendaten bearbeiten und kein Profiling mit hohem Risiko betreiben (Art. 12 Abs. 5 DSG, Art. 24 DSV).

Brauchen wir einen Datenschutzbeauftragten?

Im Gegensatz zur DSGVO ist ein Datenschutzbeauftragter im revDSG nicht zwingend — er kann aber freiwillig benannt werden und bringt Vorteile bei der Konsultationspflicht. Bei umfangreicher oder sensibler Datenbearbeitung ist die freiwillige Benennung empfohlen.

Müssen wir alle Kundendaten in der Schweiz speichern?

Nein, das revDSG schreibt keinen Schweizer Serverstandort vor. Die Staaten der EU und des EWR haben laut Bundesrat ein angemessenes Datenschutzniveau (Anhang 1 DSV). Für die USA gilt dies seit 15. September 2024 für Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Für andere Empfänger in Ländern ohne angemessenen Schutz braucht es Garantien wie Standardvertragsklauseln (SCC), meist mit einer Risikobeurteilung.

Wie schnell muss ich eine Datenpanne melden?

Meldepflichtig ist eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt. Dann gilt 'so rasch als möglich' (Art. 24 Abs. 1 DSG) — keine fixe 72-Stunden-Frist wie in der DSGVO. Der EDÖB stellt dafür ein Meldeportal bereit.

Welche Sanktionen drohen bei Verstössen?

Bussen bis CHF 250'000, gerichtet gegen die verantwortliche natürliche Person — nicht das Unternehmen. Das ist ein erheblicher Unterschied zur DSGVO und macht persönliche Verantwortung greifbar.

Was muss in einer Datenschutzerklärung stehen?

Mindestens: Identität und Kontakt des Verantwortlichen, Bearbeitungszweck, Kategorien der Daten, Empfänger, Auslandstransfer mit Schutzmassnahmen, Aufbewahrungsdauer, Betroffenenrechte (Auskunft, Berichtigung, Löschung). Eine konkrete Vorlage gibt es bei privatim oder beim EDÖB.