Das revidierte Schweizer Datenschutzgesetz gilt seit dem 1. September 2023 und hat sich in vielen Punkten der DSGVO angenähert. Wer in der Schweiz und in der EU tätig ist, kann deshalb vieles einheitlich umsetzen. Die Unterschiede sind aber nicht nur Details: Bei der Rechtsgrundlage, den Sanktionen und einigen Fristen gehen die beiden Regelwerke deutlich auseinander. Dieser Überblick zeigt, wo.
Rechtsgrundlage: Erlaubnis oder Rechtfertigung
Der grundlegendste Unterschied liegt im Ansatz. Die DSGVO verlangt für jede Verarbeitung eine Rechtsgrundlage, etwa Vertrag, Einwilligung oder berechtigtes Interesse. Das revDSG geht vom Gegenteil aus: Private dürfen Personendaten bearbeiten, solange sie die Bearbeitungsgrundsätze einhalten und die Persönlichkeit der Betroffenen nicht widerrechtlich verletzen. Eine Rechtfertigung braucht es erst, wenn eine Verletzung vorliegt. In der Praxis führt das oft zu ähnlichen Ergebnissen, aber Schweizer Datenschutzerklärungen müssen nicht für jede Bearbeitung eine Rechtsgrundlage nennen.
Sanktionen: Unternehmen oder Personen
Die DSGVO sieht Verwaltungsbussen gegen Unternehmen vor, die bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes erreichen können. Das revDSG kennt keine Unternehmensbussen dieser Art. Es enthält Strafbestimmungen mit Bussen bis CHF 250'000, die sich gegen die verantwortlichen natürlichen Personen richten und Vorsatz voraussetzen. Verfolgt werden sie von den kantonalen Strafbehörden; der EDÖB kann Untersuchungen führen und Verfügungen erlassen, aber keine Bussen aussprechen.
Meldung von Datenschutzverletzungen
Unter der DSGVO ist eine Verletzung innerhalb von 72 Stunden an die Aufsicht zu melden, ausser sie führt voraussichtlich zu keinem Risiko. Das revDSG verlangt eine Meldung an den EDÖB «so rasch als möglich», aber nur, wenn die Verletzung voraussichtlich zu einem hohen Risiko führt. Die Schwelle ist also höher, die Frist weniger starr. Wer beiden Regimen unterliegt, richtet den Ablauf am besten an der strengeren 72-Stunden-Regel aus.
Verzeichnis der Bearbeitungstätigkeiten
Beide verlangen ein Verzeichnis, beide kennen Ausnahmen für Unternehmen mit weniger als 250 Mitarbeitenden. Unter dem revDSG greift die Ausnahme, wenn keine besonders schützenswerten Personendaten in grossem Umfang bearbeitet werden und kein Profiling mit hohem Risiko stattfindet. Die DSGVO formuliert ihre Ausnahme enger, etwa wenn die Verarbeitung nicht nur gelegentlich erfolgt — was bei den meisten SaaS-Anbietern der Fall ist.
Datenschutzberater und Datenschutzbeauftragter
Die DSGVO verlangt in bestimmten Fällen zwingend einen Datenschutzbeauftragten, etwa bei umfangreicher regelmässiger Überwachung oder umfangreicher Verarbeitung besonderer Datenkategorien. Das revDSG kennt nur einen freiwilligen Datenschutzberater. Wer einen benennt, kann bei einer Datenschutz-Folgenabschätzung mit hohem Restrisiko auf die Konsultation des EDÖB verzichten, wenn der Berater konsultiert wurde.
Informationspflichten
Beide verlangen, dass Betroffene bei der Beschaffung informiert werden. Die DSGVO verlangt mehr Pflichtangaben, etwa die Rechtsgrundlage und die Speicherdauer. Das revDSG verlangt dafür ausdrücklich die Nennung der Länder, in die Daten übermittelt werden, und gegebenenfalls der Garantien. Eine Datenschutzerklärung, die beide Regime abdeckt, enthält deshalb die Pflichtangaben beider.
Vertreter für ausländische Unternehmen
Die DSGVO verlangt von Unternehmen ohne Niederlassung in der EU, die Personen in der EU gezielt ansprechen, unter Umständen einen Vertreter in der EU. Das revDSG kennt das Spiegelbild: Ausländische Verantwortliche, die Personen in der Schweiz umfangreich und regelmässig ansprechen oder beobachten, müssen unter bestimmten Voraussetzungen einen Vertreter in der Schweiz bezeichnen.
Was gleich ist
In vielen Punkten sind die Regelwerke inzwischen nah beieinander: Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen, Datenschutz-Folgenabschätzung bei hohem Risiko, Auskunftsrecht mit einer Frist von in der Regel 30 Tagen bzw. einem Monat, Recht auf Datenherausgabe, Informationspflicht bei automatisierten Einzelentscheidungen und der Schutz ausschliesslich natürlicher Personen. Die EU hat der Schweiz ein angemessenes Datenschutzniveau bescheinigt, sodass Daten zwischen beiden Räumen ohne zusätzliche Garantien fliessen können.
Praktische Konsequenz
Für Unternehmen, die beiden Regimen unterliegen, ist der pragmatische Weg, Prozesse am jeweils strengeren Standard auszurichten und die Dokumentation so zu gestalten, dass sie die Pflichtangaben beider erfüllt: Meldeablauf nach 72-Stunden-Logik, Verzeichnis nach DSGVO-Massstab, Datenschutzerklärung mit Rechtsgrundlagen und Empfängerländern. Innopulse setzt das in eigenen Produkten so um und unterstützt Unternehmen bei der technischen und organisatorischen Umsetzung; für rechtliche Einzelfragen empfehlen wir eine spezialisierte Kanzlei.