Die häufigste Fehlannahme in Schweizer KMU lautet: Wir sind nicht in der EU, also gilt für uns nur das Schweizer Recht. Die zweithäufigste lautet: Wir haben EU-Kunden, also müssen wir alles nach DSGVO machen. Beide führen zu falschen Investitionen.
Richtig ist: Das revidierte Datenschutzgesetz gilt für Schweizer Unternehmen immer. Die DSGVO kommt hinzu, wenn ein bestimmter Bezug zur EU besteht — und dieser Bezug ist enger definiert, als viele annehmen.
Wann die DSGVO für ein Schweizer Unternehmen gilt
Die DSGVO greift für Unternehmen ausserhalb der EU im Wesentlichen in zwei Konstellationen. Erstens, wenn Waren oder Dienstleistungen gezielt Personen in der EU angeboten werden. Zweitens, wenn das Verhalten von Personen in der EU beobachtet wird, soweit dieses Verhalten in der EU erfolgt.
Entscheidend ist beim ersten Punkt die Ausrichtung, nicht die Zugänglichkeit. Eine Website, die von der EU aus erreichbar ist, genügt für sich allein nicht. Anhaltspunkte für eine gezielte Ausrichtung sind etwa Preise in Euro, Sprachfassungen für EU-Märkte, Lieferoptionen in EU-Länder oder Werbung, die sich an EU-Publikum richtet.
Der zweite Punkt trifft häufiger, als es scheint. Wer Besucherverhalten auf der eigenen Website mit Analyse- oder Tracking-Werkzeugen auswertet und dabei Personen in der EU erfasst, bewegt sich in Richtung dieser Konstellation. Für viele Schweizer KMU ist das der eigentliche Anknüpfungspunkt, nicht der Verkauf.
Wo revDSG und DSGVO auseinanderlaufen
Die beiden Regelwerke sind bewusst angeglichen, unterscheiden sich aber in Punkten, die im Alltag zählen.
Das revDSG kennt keine der DSGVO vergleichbare Systematik von Rechtsgrundlagen. Die Bearbeitung personenbezogener Daten ist grundsätzlich zulässig, solange die Bearbeitungsgrundsätze eingehalten werden und keine Persönlichkeitsverletzung vorliegt. Die DSGVO verlangt umgekehrt für jede Verarbeitung eine benannte Rechtsgrundlage. Wer beide Regime bedient, arbeitet praktisch nach dem strengeren.
Beim Verzeichnis der Bearbeitungstätigkeiten sieht das Schweizer Recht eine Ausnahme für kleinere Unternehmen vor, die an Mitarbeiterzahl und Risiko anknüpft. Die DSGVO kennt eine ähnlich gelagerte, aber anders ausgestaltete Ausnahme. Für ein Unternehmen mit EU-Bezug ist die Ausnahme praktisch selten tragfähig — und ein Verzeichnis ist ohnehin die Grundlage für fast alles Weitere.
Bei Datenschutzverletzungen unterscheiden sich Meldeschwelle und Frist. Das revDSG stellt auf ein voraussichtlich hohes Risiko ab und verlangt eine Meldung so rasch als möglich; die DSGVO setzt eine niedrigere Schwelle und eine ausdrückliche Frist von 72 Stunden. Wer beides bedient, richtet sich sinnvollerweise nach dem engeren Rahmen.
Bei den Sanktionen liegt der auffälligste Unterschied. Das revDSG sieht Bussen gegen natürliche Personen vor, nicht gegen das Unternehmen als solches. Das verschiebt die Verantwortung persönlich auf Verantwortliche — ein Aspekt, der in der Praxis unterschätzt wird.
Der Vertreter in der EU
Unternehmen ohne Niederlassung in der EU, die der DSGVO unterliegen, müssen unter bestimmten Voraussetzungen einen Vertreter in der EU benennen. Ausnahmen bestehen für gelegentliche Verarbeitungen ohne besondere Datenkategorien und mit geringem Risiko.
Umgekehrt kennt auch das revDSG eine Vertretungspflicht für ausländische Unternehmen mit Schweizer Bezug. Für ein Schweizer KMU mit EU-Geschäft ist die relevante Frage die erste — sie wird regelmässig übersehen, weil sie in keiner Checkliste zum Schweizer Recht auftaucht.
Der Datentransfer in die Schweiz und aus ihr heraus
Die Schweiz verfügt aus EU-Sicht über einen Angemessenheitsbeschluss. Für den Datenfluss aus der EU in die Schweiz bedeutet das, dass es keiner zusätzlichen Garantien bedarf. Umgekehrt führt der Bundesrat eine eigene Liste von Staaten mit angemessenem Schutzniveau.
Der praktisch heiklere Fall ist der Weitertransfer: Daten, die aus der EU in die Schweiz gelangen und von dort an einen Dienstleister in einem Drittstaat weitergehen. Diese Kette wird häufig nicht betrachtet, weil der erste Schritt unproblematisch ist.
Was jetzt sinnvoll ist
Erstens: Klären, ob überhaupt ein EU-Bezug besteht. Diese Frage lässt sich in einer Stunde beantworten und entscheidet über den gesamten Umfang der weiteren Arbeit. Wer sie nicht stellt, macht entweder zu viel oder zu wenig.
Zweitens: Ein Verzeichnis der Bearbeitungstätigkeiten anlegen, auch wenn eine Ausnahme greifen könnte. Es ist die Grundlage für die Datenschutzerklärung, für Auskunftsersuchen, für die Beurteilung von Dienstleistern und für jede spätere Prüfung.
Drittens: Die eingesetzten Dienstleister erfassen, die personenbezogene Daten bearbeiten — einschliesslich der kleinen, die im Alltag eingebunden wurden. Diese Liste ist bei den meisten KMU unvollständig, und sie ist der Ausgangspunkt für die Vertragsfrage.
Was offen bleibt
Die Auslegung des Merkmals der gezielten Ausrichtung auf EU-Personen ist im Einzelfall nicht immer eindeutig, besonders bei Unternehmen mit gemischtem Kundenkreis in der Grenzregion. Wer sich hier bewusst gegen eine DSGVO-Anwendung entscheidet, sollte die Gründe festhalten — die Frage kommt später verlässlich wieder.