Das neue Bundesgesetz über den Datenschutz (revDSG) gilt in der Schweiz seit dem 1. September 2023. Es schützt die Daten natürlicher Personen, die von Unternehmen und von der Bundesverwaltung bearbeitet werden. Es schreibt eine Informationspflicht und die Meldung schwerwiegender Verletzungen an den Eidgenössischen Datenschutzbeauftragten vor und bestraft bestimmte Widerhandlungen mit einer Busse von höchstens 250'000 Franken.

Der Text trägt das Datum vom 25. September 2020, dem Tag seiner Verabschiedung durch das Parlament. Er ist in der Systematischen Rechtssammlung des Bundes (Fedlex) unter der Nummer SR 235.1 aufgeführt. Gemäss der Medienmitteilung des Bundesrates vom 31. August 2022 wird er von zwei Verordnungen begleitet: der Datenschutzverordnung (DSV) und der Verordnung über Datenschutzzertifizierungen (VDSZ).

Warum hat die Schweiz ihr Gesetz von 1992 ersetzt?

Das erste Bundesgesetz über den Datenschutz stammte gemäss Fedlex vom 19. Juni 1992. Das KMU-Portal des Bundes (kmu.admin.ch) erinnert daran, dass es vor dem Aufkommen der Cloud und vernetzter Geräte konzipiert und nur teilweise revidiert worden war, 2009 und 2019.

Der zweite Grund ist europäisch. Laut dem Bundesamt für Justiz (BJ) nähert die Revision das Schweizer Recht der Datenschutz-Grundverordnung der Europäischen Union (DSGVO) an. Es geht um den freien Datenverkehr mit der EU. Das BJ gibt an, dass die Europäische Kommission am 15. Januar 2024 bestätigt hat, dass die Schweiz ein angemessenes Schutzniveau bietet. Dieser Angemessenheitsbeschluss, erlassen am 26. Juli 2000, lässt Daten aus der EU ohne zusätzliche Garantien fliessen.

Die wichtigsten Zahlen

  • 1. September 2023: Inkrafttreten des revDSG, der DSV und der VDSZ;
  • 250'000 Franken: in Artikel 60 vorgesehene Höchstbusse, gemäss dem Online-Kommentar zu diesem Artikel das 25-Fache der früheren Obergrenze;
  • 30 Tage: Frist für die Antwort auf ein Auskunftsbegehren, in der Regel;
  • 250 Mitarbeitende: Schwelle, unter der der Bundesrat Ausnahmen vom Verzeichnis der Bearbeitungstätigkeiten vorsieht;
  • 455 Meldungen von Verletzungen, die 2026 bis zum 25. Oktober beim Beauftragten eingegangen sind, gegenüber 343 im ganzen Jahr 2025.

Für wen gilt das revDSG?

Das Gesetz betrifft die Daten natürlicher Personen, die von privaten Personen oder von Bundesorganen bearbeitet werden (Art. 2). Die Daten juristischer Personen wie Gesellschaften sind nicht mehr erfasst, hält das KMU-Portal fest. Die Bearbeitung ausschliesslich zum persönlichen Gebrauch fällt nicht unter das Gesetz.

Das Gesetz erfasst auch Sachverhalte im Ausland, die sich in der Schweiz auswirken (Art. 3). Ein ausländisches Unternehmen, das sich an Personen in der Schweiz richtet, bezeichnet eine Vertretung in der Schweiz, wenn seine Bearbeitung regelmässig, umfangreich und mit einem hohen Risiko verbunden ist (Art. 14).

Welche Grundsätze muss ein Unternehmen einhalten?

Artikel 6 legt die Grundregeln jeder Bearbeitung von Personendaten fest:

  • sie muss rechtmässig, nach Treu und Glauben und verhältnismässig sein;
  • die Daten dienen einem bestimmten und für die betroffene Person erkennbaren Zweck;
  • sie müssen richtig sein;
  • sie werden vernichtet oder anonymisiert, sobald sie nicht mehr benötigt werden.

Die Einwilligung muss bei besonders schützenswerten Personendaten ausdrücklich erfolgen; zu diesen zählen neu auch genetische und biometrische Daten (Art. 5).

Das Gesetz führt zudem den Datenschutz durch Technik und durch datenschutzfreundliche Voreinstellungen ein (Art. 7). Konkret müssen die Voreinstellungen eines Dienstes die Bearbeitung auf das für den Zweck nötige Mindestmass beschränken. Die Datensicherheit muss dem Risiko angemessen sein (Art. 8). Ein Auftragsbearbeiter muss diese Sicherheit gewährleisten können (Art. 9).

Welche konkreten Pflichten gelten für ein KMU?

An erster Stelle steht die Informationspflicht. Gemäss dem KMU-Portal umfasst sie neu die Beschaffung sämtlicher Personendaten und nicht mehr nur jene besonders schützenswerter Daten. Artikel 19 verlangt mindestens die Identität und die Kontaktdaten des Verantwortlichen, den Bearbeitungszweck und allfällige Empfänger. Eine Bekanntgabe von Daten ins Ausland ist unter Angabe des betreffenden Staates mitzuteilen. Stammen die Daten nicht von der betroffenen Person, wird sie spätestens einen Monat nach deren Erhalt informiert.

Drei weitere Instrumente ergänzen das System:

  • das Verzeichnis der Bearbeitungstätigkeiten (Art. 12), mit Ausnahmen für Unternehmen mit weniger als 250 Mitarbeitenden, deren Bearbeitungen ein begrenztes Risiko darstellen;
  • die Datenschutz-Folgenabschätzung (Art. 22), vorgeschrieben vor einer Bearbeitung mit hohem Risiko;
  • der Datenschutzberater (Art. 10), für ein privates Unternehmen freiwillig.

Bleibt nach der Folgenabschätzung ein hohes Risiko bestehen, konsultiert das Unternehmen den Beauftragten, der zwei Monate Zeit hat, um seine Einwände mitzuteilen (Art. 23). Ein unabhängiger Berater im Sinne von Artikel 10 ermöglicht es, darauf zu verzichten.

Welche Rechte haben die betroffenen Personen?

Am Anfang steht das Auskunftsrecht. Jede Person kann von einem Unternehmen Auskunft darüber verlangen, ob es Daten über sie bearbeitet (Art. 25). Die Auskunft ist kostenlos und erfolgt in der Regel innert 30 Tagen. Sie umfasst die Daten, den Zweck, die Aufbewahrungsdauer und die Empfänger. Eine Verweigerung bleibt möglich, etwa bei einem offensichtlich unbegründeten Begehren, muss aber begründet werden (Art. 26).

Die Person kann ihre Daten in einem gängigen elektronischen Format erhalten (Art. 28). Sie kann vor dem Zivilgericht zudem die Berichtigung unrichtiger Daten, das Verbot einer Bearbeitung oder die Löschung ihrer Daten verlangen (Art. 32).

Wann muss eine Datenschutzverletzung dem Beauftragten gemeldet werden?

Eine Verletzung der Datensicherheit bezeichnet einen Verlust, eine Veränderung, eine Vernichtung, eine Offenlegung oder einen unbefugten Zugang, ob versehentlich oder widerrechtlich (Art. 5). Artikel 24 verlangt, sie dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) «so rasch als möglich» zu melden. Die Pflicht gilt, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt.

Die Meldung nennt mindestens die Art der Verletzung, deren Folgen und die ergriffenen oder vorgesehenen Massnahmen. Ein Auftragsbearbeiter muss seinerseits jeden Vorfall seinem Kunden melden, ohne Schwelle für den Schweregrad. Die betroffenen Personen werden informiert, wenn es zu ihrem Schutz erforderlich ist oder der Beauftragte es verlangt. Seit dem 1. April 2025 kann der Beauftragte die Meldung mit Zustimmung des Verantwortlichen an das Bundesamt für Cybersicherheit (BACS) zur Analyse weiterleiten.

Die Zahl der Meldungen steigt. In einem Interview mit dem SonntagsBlick, das die Agentur Keystone-SDA am 25. Oktober 2026 aufgriff, sprach der Beauftragte Adrian Lobsiger von 455 Meldungen seit Jahresbeginn, gegenüber 343 im Jahr 2025. Er geht davon aus, dass ihn viele Vorfälle nie erreichen, wie 2clics zu den Datenschutzverletzungen in der Schweiz berichtete. Die Rubrik Datenschutz von 2clics verfolgt diese Dossiers.

Welche Befugnisse hat der Eidgenössische Beauftragte?

Der EDÖB ist eine unabhängige Behörde, die gemäss ihrer Website die Bundesorgane und die privaten Unternehmen beaufsichtigt. Er eröffnet von Amtes wegen oder auf Anzeige hin eine Untersuchung, wenn genügend Anzeichen bestehen, dass eine Bearbeitung gegen das Gesetz verstösst (Art. 49). Stellt er eine Verletzung fest, kann er anordnen, dass eine Bearbeitung angepasst, unterbrochen oder abgebrochen wird oder dass Daten gelöscht werden (Art. 51).

Ein datiertes Beispiel veranschaulicht dieses Verfahren. Am 23. Oktober 2026 eröffnete der Beauftragte eine formelle Untersuchung gegen PK Softech, Softwareanbieterin mehrerer Schweizer Pensionskassen, darunter die Pensionskasse des Bundes Publica. Das Unternehmen hatte ihm am 8. Oktober selbst einen Cyberangriff gemeldet. Wie 2clics zur Untersuchung des Beauftragten gegen PK Softech berichtete, will der Beauftragte klären, welche Daten die Kassen dem Unternehmen anvertraut hatten, auf welcher Rechtsgrundlage, und was gestohlen wurde.

Welche Sanktionen sieht das revDSG vor?

Die Bussen zielen auf bestimmte Pflichtverletzungen. Artikel 60 bestraft private Personen mit einer Busse von höchstens 250'000 Franken, wenn sie vorsätzlich:

  • bei der Information oder bei einem Auskunftsbegehren falsche oder unvollständige Auskünfte erteilen;
  • es unterlassen, die betroffene Person über die Beschaffung ihrer Daten oder über eine automatisierte Einzelentscheidung zu informieren;
  • dem Beauftragten falsche Auskünfte erteilen oder die Mitwirkung an seiner Untersuchung verweigern.

Gemäss dem Online-Kommentar zu Artikel 60, verfasst von Jonas D. Gassmann auf Onlinekommentar.ch, ist Fahrlässigkeit nicht strafbar. Eventualvorsatz genügt hingegen. Die ersten beiden Fälle werden auf Antrag verfolgt, der dritte von Amtes wegen.

Derselbe Kommentar hebt den Unterschied zur DSGVO hervor: In der Schweiz richtet sich die Busse gegen die natürlichen Personen, die für das Unternehmen handeln, Führungskräfte oder andere Verantwortliche. Diese Bussen fallen in die Zuständigkeit der Strafjustiz, nicht des Beauftragten.

revDSG und DSGVO: Welche Unterschiede gibt es?

Inhaltlich ähneln sich die beiden Texte. Gemäss dem KMU-Portal des Bundes muss ein Unternehmen, das die DSGVO bereits einhält, nur wenig ändern. Die folgende Tabelle fasst die wichtigsten Unterschiede zwischen den beiden Texten zusammen.

PunktrevDSG (Schweiz)DSGVO (Europäische Union)
AufsichtsbehördeEDÖB, in BernNationale Behörde, zum Beispiel die Commission nationale de l’informatique et des libertés (CNIL) in Frankreich
Schwelle für die Meldung einer VerletzungVoraussichtlich hohes Risiko für die PersonenRisiko für die Rechte und Freiheiten der Personen
Meldefrist«So rasch als möglich», ohne bezifferte FristUnverzüglich, mit einer ersten Meldung möglichst innert 72 Stunden
Wer wird bestraftDie verantwortlichen natürlichen Personen, Busse von höchstens 250'000 FrankenDas betroffene Unternehmen

Die CNIL, die französische Behörde, präzisiert, dass eine Verzögerung über 72 Stunden hinaus begründet werden muss. Ein Schweizer KMU, das ebenfalls der DSGVO untersteht, muss diesen Richtwert daher im Auge behalten.

Was noch nicht bekannt ist

  • Die Zahl der nie gemeldeten Verletzungen: Der Beauftragte schätzt sie als hoch ein, ohne sie zu beziffern.

Quellen