Blog › nDSG Grundlagen
nDSG Grundlagen
nDSG für Schweizer KMU: Was Sie jetzt wissen und umsetzen müssen
Das revidierte Datenschutzgesetz ist seit dem 1. September 2023 in Kraft — ohne Übergangsfrist und ohne Untergrenze bei der Unternehmensgrösse. Wer heute noch keine Datenschutzerklärung hat oder nicht weiss, wohin seine Kundendaten fliessen, arbeitet seit drei Jahren im rechtsfreien Blindflug. Dieser Beitrag ordnet ein, was tatsächlich verlangt wird.
Was ist das nDSG?
Das nDSG — auch revDSG oder auf Französisch nLPD genannt — ist die totalrevidierte Fassung des Bundesgesetzes über den Datenschutz (SR 235.1). Es löst ein Gesetz aus den 1990er-Jahren ab und bringt das Schweizer Datenschutzrecht näher an die europäische DSGVO heran, ohne sie zu kopieren.
Der wichtigste Unterschied zum alten Recht liegt in der Haltung: Datenschutz ist keine Formalie mehr, die man mit einem Absatz im Impressum erledigt, sondern ein Prozess. Unternehmen müssen wissen, welche Daten sie bearbeiten, warum, wie lange und mit wem sie diese teilen — und sie müssen das auf Nachfrage belegen können.
Eine Neuerung, die viele übersehen: Das revidierte Gesetz schützt nur noch Daten natürlicher Personen. Angaben über juristische Personen fallen nicht mehr darunter. Das entlastet den B2B-Bereich — allerdings nur scheinbar, denn hinter jeder Firmenadresse steht in der Regel eine Ansprechperson mit Namen und E-Mail-Adresse.
Wer ist betroffen?
Praktisch jedes Unternehmen. Das Gesetz kennt keine Mitarbeiterzahl, ab der es erst greift. Sobald Sie Personendaten bearbeiten — und das tun Sie mit einem Kontaktformular, einer Lohnbuchhaltung, einer Kundenkartei oder einem Newsletter — sind Sie Verantwortlicher im Sinne des Gesetzes.
Räumlich gilt das Auswirkungsprinzip: Das nDSG erfasst Sachverhalte, die sich in der Schweiz auswirken, auch wenn die Bearbeitung im Ausland stattfindet. Ein deutscher Webshop, der Schweizer Kundschaft beliefert, kommt also nicht darum herum. Umgekehrt kann ein Schweizer Betrieb zusätzlich unter die DSGVO fallen, wenn er Personen in der EU gezielt anspricht oder deren Verhalten beobachtet.
Eine einzige echte Erleichterung gibt es für kleinere Betriebe: Wer am 1. Januar weniger als 250 Mitarbeitende beschäftigt, muss kein Verzeichnis der Bearbeitungstätigkeiten führen. Diese Ausnahme entfällt allerdings, sobald besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden oder ein Profiling mit hohem Risiko stattfindet.
Was muss konkret umgesetzt werden?
Die folgenden Punkte betreffen fast jeden Betrieb — unabhängig von Branche und Grösse:
- Datenschutzerklärung (Art. 19 nDSG): Betroffene müssen vor der Beschaffung informiert werden — über Identität des Verantwortlichen, Zweck, Empfänger und allfällige Empfängerstaaten.
- Datensicherheit (Art. 8 nDSG): Angemessene technische und organisatorische Massnahmen. Konkret: Zugriffsberechtigungen, Verschlüsselung, Backups, geschulte Mitarbeitende.
- Auftragsverarbeitungsverträge (Art. 9 nDSG): Für jeden Dienstleister, der Daten sieht — Hosting, Newsletter-Tool, IT-Support, Treuhand.
- Auskunftsrecht (Art. 25 nDSG): Ein definierter Ablauf, wenn jemand wissen will, welche Daten Sie über ihn haben.
- Datenpannen (Art. 24 nDSG): Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko sind dem EDÖB so rasch als möglich zu melden.
- Auslandbekanntgabe (Art. 16–18 nDSG): Prüfen, wohin Daten fliessen. Bei Staaten ohne angemessenes Schutzniveau braucht es Garantien wie Standardvertragsklauseln.
Häufigster Fehler in der PraxisEine Datenschutzerklärung, die von einer fremden Website kopiert wurde. Sie beschreibt dann Tools, die gar nicht im Einsatz sind — und verschweigt jene, die tatsächlich Daten abfliessen lassen. Damit ist die Informationspflicht nicht erfüllt, sondern verletzt.
Welche Strafen drohen?
Das nDSG kennt keine Verwaltungsbussen gegen Unternehmen, wie sie die DSGVO vorsieht. Stattdessen sind einzelne Pflichtverletzungen als Straftatbestände ausgestaltet — mit Bussen bis CHF 250’000 (Art. 60 bis 63 nDSG). Erfasst sind unter anderem die Verletzung der Informationspflicht, falsche oder unvollständige Auskünfte, Verstösse bei der Auslandbekanntgabe und das Missachten von Verfügungen des EDÖB.
Der Punkt, der Geschäftsleitungen betrifft: Gebüsst wird nach Art. 64 nDSG die verantwortliche natürliche Person — nicht die Firma. Nur wenn eine Busse von höchstens CHF 50’000 in Frage kommt und die Ermittlung der verantwortlichen Person unverhältnismässig wäre, kann das Unternehmen an ihre Stelle treten.
Dazu kommt die aufsichtsrechtliche Ebene: Der EDÖB kann von Amtes wegen untersuchen und Massnahmen verfügen — bis hin zur Anpassung, Unterbrechung oder Einstellung einer Datenbearbeitung. Und unabhängig davon können betroffene Personen zivilrechtlich vorgehen.
Nächste Schritte
Wer bei null anfängt, arbeitet diese Reihenfolge sinnvollerweise ab:
- Bestandsaufnahme: Welche Daten erheben Sie, wo liegen sie, wer hat Zugriff?
- Dienstleister erfassen: Jedes Tool, das Daten sieht — inklusive der Frage, wo dessen Server stehen.
- Datenschutzerklärung erstellen, die Ihren tatsächlichen Betrieb abbildet.
- Abläufe festlegen für Auskunftsbegehren und Datenpannen, schriftlich und intern bekannt.
- Jährlich prüfen: Neue Tools, neue Prozesse, neue Rechtslage.
Der Aufwand für einen typischen KMU-Betrieb ist überschaubar — vorausgesetzt, man geht strukturiert vor statt punktuell auf Zuruf. Eine ausführliche Übersicht über alle relevanten Gesetze finden Sie ebenfalls auf dieser Website.
Wissen, wo Sie stehen
Der nDSG-Grundcheck prüft Website, Formulare und Dienstleister — und zeigt konkret, was bei Ihnen offen ist.
Grundlagen: Bundesgesetz über den Datenschutz (DSG, SR 235.1), Datenschutzverordnung (DSV, SR 235.11) sowie die Erläuterungen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Stand: September 2026. Dieser Beitrag dient der Orientierung und ersetzt keine Rechtsberatung im Einzelfall.