Das revidierte Datenschutzgesetz gilt seit September 2023 und ist an die europäische Systematik angeglichen, ohne mit ihr identisch zu sein. Wer eine DSGVO-Umsetzung hat, ist damit nicht automatisch fertig — und wer nur Schweizer Recht betrachtet, übersieht möglicherweise eine parallele Anwendbarkeit.
Was gilt für wen
Das Gesetz gilt für die Bearbeitung von Personendaten durch private Personen und Bundesorgane, sofern sich die Bearbeitung in der Schweiz auswirkt — unabhängig davon, wo sie stattfindet.
Anders als die DSGVO schützt es ausschliesslich Daten natürlicher Personen. Die frühere Erstreckung auf juristische Personen ist entfallen; Angaben über Unternehmen als solche sind damit nicht mehr erfasst.
Die wichtigsten Unterschiede zur DSGVO
Das Schweizer Recht kennt keine der DSGVO vergleichbare Systematik von Rechtsgrundlagen. Eine Bearbeitung ist grundsätzlich zulässig, solange die Bearbeitungsgrundsätze eingehalten werden und keine Persönlichkeitsverletzung vorliegt. Wer beide Regime bedient, arbeitet praktisch nach dem strengeren.
Bei den Sanktionen liegt der auffälligste Unterschied: Vorgesehen sind Bussen gegen natürliche Personen, nicht gegen das Unternehmen als solches. Verantwortliche haften damit persönlich — ein Punkt, der in der Praxis unterschätzt wird und die Zuweisung von Verantwortlichkeiten wichtiger macht.
Beim Verzeichnis der Bearbeitungstätigkeiten besteht eine Ausnahme für kleinere Unternehmen, die an die Mitarbeiterzahl und an das Risiko der Bearbeitung anknüpft. Sie greift nicht, wenn besonders schützenswerte Daten umfangreich bearbeitet werden oder ein Profiling mit hohem Risiko stattfindet.
Bei der Meldung von Verletzungen der Datensicherheit stellt das Schweizer Recht auf ein voraussichtlich hohes Risiko ab und verlangt eine Meldung so rasch als möglich — ohne die feste Frist von 72 Stunden, die die DSGVO kennt.
Was neu hinzugekommen ist
Die Informationspflicht bei der Beschaffung von Personendaten wurde ausgeweitet: Betroffene sind über die Beschaffung zu informieren, unabhängig davon, ob die Daten bei ihnen selbst erhoben werden.
Der Grundsatz des Datenschutzes durch Technik und durch datenschutzfreundliche Voreinstellungen ist ausdrücklich verankert.
Die Datenschutz-Folgenabschätzung ist eingeführt, mit der Besonderheit, dass eine Konsultation der Aufsichtsbehörde entfallen kann, wenn eine Datenschutzberaterin oder ein Datenschutzberater konsultiert wurde.
Und für die Bekanntgabe ins Ausland gilt eine eigene Systematik mit einer vom Bundesrat geführten Länderliste.
Bekanntgabe ins Ausland
Die Bekanntgabe ist zulässig, wenn der Bundesrat für den betreffenden Staat einen angemessenen Schutz festgestellt hat. Andernfalls braucht es geeignete Garantien — etwa Standardvertragsklauseln oder verbindliche unternehmensinterne Datenschutzvorschriften.
Praktisch heikel ist der Weitertransfer: Daten, die aus der EU in die Schweiz gelangen und von dort an einen Dienstleister in einem Drittstaat weitergehen. Diese Kette wird häufig nicht betrachtet, weil der erste Schritt unproblematisch ist.
Was Unternehmen konkret prüfen sollten
Ob ein Verzeichnis der Bearbeitungstätigkeiten geführt wird — und ob die Ausnahme wirklich greift. Sie greift seltener, als angenommen wird, und das Verzeichnis ist ohnehin die Grundlage für alles Weitere.
Ob die Datenschutzerklärung die erweiterte Informationspflicht abdeckt und dem tatsächlichen Produkt entspricht.
Ob ein Meldeweg für Verletzungen der Datensicherheit besteht, mit benannten Zuständigen und einer Vorstellung davon, wie die Bewertung des Risikos erfolgt.
Ob die Dienstleister, die Personendaten bearbeiten, vollständig erfasst und vertraglich gebunden sind.
Und ob zusätzlich die DSGVO anwendbar ist — was bei gezielter Ausrichtung auf Personen in der EU oder bei Verhaltensbeobachtung der Fall sein kann.
Der praktische Rat
Wer bei null anfängt, beginnt mit dem Verzeichnis. Es beantwortet in der Folge fast alle weiteren Fragen und ist der einzige Schritt, der ohne Rechtskenntnisse vollständig intern machbar ist.
Wer bereits eine DSGVO-Umsetzung hat, prüft gezielt die Abweichungen: Informationspflicht, Meldeweg, Länderliste für die Bekanntgabe ins Ausland und die persönliche Verantwortlichkeit.