Warum das nDSG für Ihr Unternehmen gilt
Das revidierte Datenschutzgesetz (nDSG/nLPD) ist am 1. September 2023 in Kraft getreten — ohne Übergangsfrist. Wer Personendaten bearbeitet, musste ab dem ersten Tag konform sein. Und das DSG ist nicht das einzige Gesetz, das mitspielt: Werbung, Cookies, Impressum, Personaldaten und Videoüberwachung sind in eigenen Erlassen geregelt.
Kein Bagatellthema: Verstösse gegen zentrale Pflichten sind strafbewehrt mit Bussen bis CHF 250’000 — und sie treffen in erster Linie die verantwortliche natürliche Person, nicht die Firma (Art. 60–64 DSG).
Für wen das Gesetz gilt
Jede Bearbeitung von Personendaten
Erfasst ist jeder Umgang mit Daten, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen — vom Kontaktformular über die Lohnbuchhaltung bis zur Kundendatenbank. Daten juristischer Personen sind seit der Revision nicht mehr geschützt.
Auswirkungsprinzip
Das DSG gilt für Sachverhalte, die sich in der Schweiz auswirken — auch wenn die Bearbeitung im Ausland stattfindet. Ausländische Verantwortliche brauchen unter Umständen eine Vertretung in der Schweiz (Art. 14 DSG).
Keine Untergrenze
Es gibt keine Mitarbeiterzahl, ab der das Gesetz erst greift. Kleine Unternehmen sind nur von der Pflicht zum Bearbeitungsverzeichnis entlastet — von Informationspflicht, Datensicherheit und Auskunftsrecht nicht.
Was das DSG konkret verlangt
Die folgenden Pflichten treffen private Unternehmen als Verantwortliche. Die Artikelangaben beziehen sich auf das DSG (SR 235.1) und die Datenschutzverordnung DSV (SR 235.11).
| Grundlage | Pflicht | Was das praktisch heisst |
|---|---|---|
| Art. 6 DSG | Bearbeitungsgrundsätze | Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Erkennbarkeit und Richtigkeit der Daten. Nicht mehr Daten erheben als nötig — und nur für den angegebenen Zweck verwenden. |
| Art. 7 DSG | Datenschutz durch Technik und Voreinstellung | Datenschutzfreundliche Grundeinstellungen ab Werk (Privacy by Design / by Default) — z. B. keine unnötigen Pflichtfelder, keine vorangekreuzten Werbe-Checkboxen. |
| Art. 8 DSG, Art. 1–6 DSV | Datensicherheit | Angemessene technische und organisatorische Massnahmen: Zugriffsberechtigungen, Verschlüsselung, Backups, Protokollierung, Schulung der Mitarbeitenden. |
| Art. 9 DSG | Auftragsbearbeitung | Wer Daten an Dienstleister auslagert (Hosting, Newsletter, IT-Support, Treuhand), braucht eine vertragliche Grundlage — den Auftragsverarbeitungsvertrag (AVV). |
| Art. 12 DSG, Art. 24 DSV | Verzeichnis der Bearbeitungstätigkeiten | Grundsätzlich Pflicht. Ausgenommen sind Unternehmen mit weniger als 250 Mitarbeitenden am 1. Januar — ausser sie bearbeiten besonders schützenswerte Personendaten in grossem Umfang oder betreiben Profiling mit hohem Risiko. |
| Art. 19–20 DSG | Informationspflicht | Betroffene müssen vor der Beschaffung angemessen informiert werden: Identität des Verantwortlichen, Bearbeitungszweck, Empfänger, Empfängerstaat und Garantien. In der Praxis: die Datenschutzerklärung. |
| Art. 21 DSG | Automatisierte Einzelentscheidung | Wird über eine Person automatisiert entschieden und hat das für sie rechtliche oder erhebliche Folgen, muss sie informiert werden und kann eine Überprüfung durch einen Menschen verlangen. |
| Art. 22–23 DSG | Datenschutz-Folgenabschätzung | Bei Bearbeitungen mit voraussichtlich hohem Risiko vorab nötig. Bleibt trotz Massnahmen ein hohes Risiko, ist der EDÖB zu konsultieren. |
| Art. 24 DSG | Meldung von Verletzungen der Datensicherheit | Datenpannen mit voraussichtlich hohem Risiko sind dem EDÖB so rasch als möglich zu melden. Abgewehrte Angriffsversuche sind nicht meldepflichtig. |
| Art. 25–27 DSG | Auskunftsrecht | Jede Person kann kostenlos erfahren, ob und welche Daten über sie bearbeitet werden — inklusive Zweck, Empfänger, Aufbewahrungsdauer und Herkunft. Wer diese Auskunft verweigert oder falsch erteilt, macht sich strafbar. |
| Art. 28 DSG | Datenherausgabe und -übertragung | Datenportabilität: Herausgabe der selbst bekanntgegebenen Daten in einem gängigen elektronischen Format oder Übertragung an einen anderen Anbieter. |
| Art. 16–18 DSG | Bekanntgabe ins Ausland | Zulässig, wenn der Staat angemessenen Schutz bietet (Länderliste in Anhang 1 DSV) — sonst nur mit Garantien wie Standardvertragsklauseln oder verbindlichen unternehmensinternen Datenschutzvorschriften. |
| Art. 10 DSG | Datenschutzberater/-in | Für private Unternehmen freiwillig. Wer eine solche Person benennt und die Voraussetzungen erfüllt, kann bei der Folgenabschätzung von Erleichterungen profitieren. |
Weitere Schweizer Erlasse, die Sie betreffen
Datenschutz endet nicht beim DSG. Diese Bestimmungen greifen je nach Tätigkeit zusätzlich — und werden in der Praxis am häufigsten übersehen.
| Erlass | Worum es geht |
|---|---|
| Art. 13 BV | Verfassungsrechtlicher Anspruch auf Schutz der Privatsphäre und auf Schutz vor Missbrauch persönlicher Daten. Grundlage des gesamten Datenschutzrechts. |
| DSV (SR 235.11) | Datenschutzverordnung: konkretisiert das DSG — Mindestanforderungen an die Datensicherheit, Inhalt des Bearbeitungsverzeichnisses, Ausnahmen für KMU, Länderliste mit angemessenem Datenschutzniveau (Anhang 1). |
| VDSZ (SR 235.13) | Verordnung über die Datenschutzzertifizierungen: Anforderungen an die freiwillige Zertifizierung von Managementsystemen, Produkten und Dienstleistungen. |
| Art. 28 ff. ZGB | Persönlichkeitsschutz. Wer widerrechtlich in seiner Persönlichkeit verletzt wird, kann auf Unterlassung, Beseitigung und Feststellung klagen — flankiert von Schadenersatz und Genugtuung. |
| Art. 328b OR | Arbeitnehmerdaten. Der Arbeitgeber darf nur Daten bearbeiten, die die Eignung für das Arbeitsverhältnis betreffen oder zur Vertragserfüllung nötig sind. Alles darüber hinaus ist grundsätzlich unzulässig. |
| Art. 26 ArGV 3 | Überwachung am Arbeitsplatz. Systeme zur gezielten Verhaltensüberwachung der Mitarbeitenden sind verboten. Zulässige Kameras (z. B. gegen Diebstahl) brauchen Hinweisschilder; Aufnahmen sind in der Regel innert 24 bis 72 Stunden zu löschen. |
| Art. 3 Abs. 1 lit. o UWG | E-Mail-Werbung. Newsletter und Akquise-Mails brauchen grundsätzlich eine vorgängige Einwilligung (Opt-in). Ausnahme: bestehende Kundschaft bei ähnlichen Produkten. Immer nötig: korrekte Absenderangabe und ein einfacher, kostenloser Abmeldelink. |
| Art. 3 Abs. 1 lit. s UWG | Impressumspflicht. Wer online Waren, Werke oder Leistungen anbietet, muss Name bzw. vollständige Firma, Postadresse (kein Postfach) und E-Mail-Adresse klar angeben. Gilt weit über klassische Online-Shops hinaus. |
| Art. 45c FMG | Cookies und Daten auf fremden Geräten. Verlangt eine klare Information über Zweck und Umfang sowie den Hinweis, dass die Bearbeitung abgelehnt werden kann. Schweizer Recht verlangt kein Opt-in — die Information plus Ablehnungsmöglichkeit genügt. |
| Art. 179novies StGB | Unbefugtes Beschaffen von Personendaten. Wer besonders schützenswerte Personendaten unbefugt aus einer nicht allgemein zugänglichen Datensammlung beschafft, macht sich strafbar. |
| Kantonale Datenschutzgesetze | Gelten für kantonale und kommunale Organe. Relevant, sobald Sie als Unternehmen im Auftrag einer Behörde Daten bearbeiten. |
| Branchenrecht | Im Gesundheits-, Banken- und Versicherungsbereich gelten zusätzliche Geheimhaltungs- und Aufbewahrungspflichten, die dem DSG vorgehen können. |
Wann zusätzlich die DSGVO gilt
Viele Schweizer KMU unterstehen neben dem DSG auch der EU-Datenschutz-Grundverordnung. Entscheidend ist nicht der Firmensitz, sondern wen Sie ansprechen.
Marktortprinzip
Die DSGVO greift, wenn Sie Personen in der EU gezielt Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten — etwa mit einem Online-Shop, der in die EU liefert, oder mit Tracking von EU-Besuchern.
Vertretung in der EU
Fällt Ihr Unternehmen unter die DSGVO, ohne dort niedergelassen zu sein, brauchen Sie in der Regel einen schriftlich benannten Vertreter in der EU.
Deutlich höhere Bussen
Der Rahmen reicht bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Anders als im DSG haftet hier das Unternehmen.
Angemessenheitsbeschluss EU–Schweiz
Die EU-Kommission hat der Schweiz auch unter dem revidierten DSG ein angemessenes Datenschutzniveau bestätigt. Datenflüsse aus der EU in die Schweiz sind damit ohne Zusatzgarantien möglich.
Swiss–U.S. Data Privacy Framework
Seit diesem Datum können Personendaten an in den USA zertifizierte Unternehmen übermittelt werden, ohne dass zusätzliche Standardvertragsklauseln nötig sind. Prüfen Sie vorab, ob der konkrete Anbieter tatsächlich zertifiziert ist.
Zwei Regime, ein Prozess
Wo beide Regelwerke gelten, lohnt sich der strengere Standard als gemeinsame Basis — etwa ein Cookie-Banner, das für EU-Besucher Opt-in verlangt und für Schweizer Besucher informiert.
Was bei Verstössen tatsächlich droht
Das DSG kennt keine Verwaltungsbussen gegen Unternehmen wie die DSGVO. Stattdessen sind einzelne Pflichtverletzungen als Straftatbestände ausgestaltet — und sie richten sich gegen die verantwortliche natürliche Person.
Art. 60 – Informations-, Auskunfts- und Mitwirkungspflichten
Wer vorsätzlich die Informationspflicht verletzt, eine Auskunft falsch oder unvollständig erteilt oder bei einer Untersuchung des EDÖB nicht mitwirkt.
Art. 61 – Verletzung von Sorgfaltspflichten
Vorsätzliche Bekanntgabe ins Ausland ohne die nötigen Voraussetzungen, Einsatz von Auftragsbearbeitern ohne die verlangte Grundlage oder Missachtung der Mindestanforderungen an die Datensicherheit.
Art. 62 – Berufliche Schweigepflicht
Wer geheime Personendaten offenbart, von denen er bei der Berufsausübung Kenntnis erlangt hat.
Art. 63 – Missachten von Verfügungen
Wer einer Verfügung des EDÖB nicht nachkommt, obwohl auf die Strafdrohung hingewiesen wurde.
Wer bezahlt
Gebüsst wird grundsätzlich die für die Verletzung verantwortliche natürliche Person — also Geschäftsleitung oder die zuständige Führungsperson, nicht die Firma. Nur wenn eine Busse von höchstens CHF 50’000 in Frage kommt und die Ermittlung der verantwortlichen Person unverhältnismässig wäre, kann das Unternehmen an ihrer Stelle gebüsst werden.
Aufsicht und Zivilrecht
Der EDÖB kann von Amtes wegen untersuchen und Massnahmen verfügen — bis hin zur Anpassung, Unterbrechung oder Einstellung einer Datenbearbeitung. Unabhängig davon können betroffene Personen zivilrechtlich vorgehen: Unterlassung, Beseitigung, Feststellung sowie Schadenersatz und Genugtuung.
Zehn Punkte, die in jedem Betrieb sitzen müssen
- Aktuelle Datenschutzerklärung auf der Website, die alle Punkte nach Art. 19 DSG abdeckt
- Impressum mit Firma, Postadresse und E-Mail-Adresse
- Cookie-Hinweis mit Zweckangabe und Ablehnungsmöglichkeit
- Auftragsverarbeitungsverträge mit allen Dienstleistern, die Daten sehen
- Übersicht, wohin Daten fliessen — insbesondere ins Ausland
- Bearbeitungsverzeichnis, falls Sie nicht unter die KMU-Ausnahme fallen
- Definierter Ablauf für Auskunftsbegehren betroffener Personen
- Definierter Ablauf für Datenpannen inklusive Meldung an den EDÖB
- Hinweisschilder bei Videoüberwachung und geregelte Löschfristen
- Einwilligungen und Abmeldelink für Newsletter und Werbe-E-Mails
Fünf verbreitete Irrtümer
„Wir sind zu klein, das gilt für uns nicht.“
Falsch. Die Grösse befreit einzig von der Pflicht zum Bearbeitungsverzeichnis — und auch das nur unter Bedingungen. Informationspflicht, Datensicherheit und Auskunftsrecht gelten ab der ersten Kundenadresse.
„Wir haben ein Cookie-Banner, also sind wir konform.“
Zu kurz gegriffen. Der Cookie-Hinweis erfüllt Art. 45c FMG. Die Informationspflicht nach Art. 19 DSG verlangt zusätzlich eine vollständige Datenschutzerklärung.
„Es gibt sicher eine Übergangsfrist.“
Nein. Das revidierte DSG gilt seit dem 1. September 2023 vollumfänglich und ohne Schonfrist.
„Eine Busse trifft im schlimmsten Fall die Firma.“
Umgekehrt. Nach Art. 64 DSG wird primär die verantwortliche natürliche Person gebüsst. Die Firma tritt nur bei Bussen bis CHF 50’000 an ihre Stelle.
„Wir arbeiten nur mit Schweizer Anbietern, also gibt es keinen Auslandtransfer.“
Oft nicht zutreffend. Entscheidend ist, wo Server, Support und Subunternehmer tatsächlich sitzen. Das steht im Auftragsverarbeitungsvertrag — nicht im Firmennamen.
Diese Übersicht beruht auf den offiziellen Rechtstexten und den Erläuterungen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Stand: September 2026.
- Bundesgesetz über den Datenschutz (DSG, SR 235.1) und Datenschutzverordnung (DSV, SR 235.11) auf fedlex.admin.ch
- Erläuterungen und Merkblätter des EDÖB auf edoeb.admin.ch
- Verordnung über die Datenschutzzertifizierungen (VDSZ, SR 235.13)
Diese Seite dient der Orientierung und ersetzt keine Rechtsberatung im Einzelfall. Bei komplexen Konstellationen empfehlen wir den Beizug einer Anwältin oder eines Anwalts.
Wissen, wo Sie stehen
Der nDSG-Grundcheck prüft Ihre Website, Ihre Formulare und Ihre Dienstleister — und zeigt konkret, welche der oben genannten Punkte bei Ihnen offen sind.