ThemaBundesrecht, gilt für alle Branchen und 26 Kantone

Datenschutz in der Schweiz (nDSG / DSG)

Das revidierte Schweizer Datenschutzgesetz (DSG / nDSG) trat im September 2023 in Kraft und ist eng an die GDPR angelehnt. Dieser Hub behandelt, für wen es gilt, was Ihre Datenschutzerklärung enthalten muss, Bearbeitungsverzeichnisse und wo Schweizer und EU-Regeln auseinandergehen.

DSG

Bundesgesetz über den Datenschutz

EDÖB

Eidgenössische Datenschutzbehörde

CHF 250K

Maximale Verwaltungsbusse

Alle Branchen

Geltungsbereich DSG

Geprüft anhand offizieller Quellen in der Schweiz. ESTV, SECO, AHV-IV, EDÖB und kantonale Portale.

Status: aktuell

CantonGeneva Zurich Zug Bern Basel Vaud

TopicVAT Company Formation AHV Employment Data Protection Annual Obligations

Business typeFreelancer GmbH AG Employer

Kennzahlen

Datenschutz in der Schweiz (nDSG / DSG), auf einen Blick

DSG

Bundesgesetz über den Datenschutz

2023 revidiert. Gilt für die Bearbeitung von Personendaten durch private Personen und Bundesorgane in der Schweiz.

EDÖB

Eidgenössische Datenschutzbehörde

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter. Untersucht und vollzieht das DSG.

CHF 250K

Maximale Verwaltungsbusse

Bundesbusse gegen verantwortliche Einzelpersonen (nicht das Unternehmen) bei schweren Verstössen.

Alle Branchen

Geltungsbereich DSG

Gilt für jedes Unternehmen, das Personendaten bearbeitet, mit Angemessenheit zur GDPR.

Referenz

Registrierung, Einreichung und wichtige Regeln

Praktische Fakten für KMU in der Schweiz, die sich registrieren müssen oder bereits registriert sind.

Compliance-Grundlagen

Wer muss sich daran haltenJedes Unternehmen, das in der Schweiz Personendaten bearbeitet

Datenschutzerklärung erforderlichJa, vor der Erhebung

Bearbeitungsverzeichnis (Art. 12)Erforderlich, Ausnahmen für KMU

Meldung von VerletzungenSo rasch als möglich an den EDÖB

Rechte der betroffenen PersonAuskunft, Berichtigung, Löschung, Übertragbarkeit

DSB-PflichtFreiwillig, aber empfohlen

BehördeEDÖB (FDPIC / PFPDT)
edoeb.admin.ch

Grenzüberschreitend + GDPR-Überschneidung

Übermittlungen in die EU/den EWRErlaubt (Angemessenheit)

Übermittlungen in nicht angemessene LänderErfordert Garantien (SCC, BCR)

GDPR gilt für Schweizer Firmen, wennSie EU-Nutzer ansprechen oder EU-Verhalten beobachten

EU-VertreterFür Schweizer Firmen im GDPR-Geltungsbereich erforderlich

SanktionenDSG-Bussen gegen Einzelpersonen, nicht das Unternehmen

Einwilligung Kinder (unter 16)Elterliche Einwilligung empfohlen

Cookies + TrackingEinwilligung + Transparenz erforderlich

Achtung

Fehler, die KMU am häufigsten machen, Datenschutz in der Schweiz (nDSG / DSG)

Vier Punkte, die Behörden bei Prüfungen von KMU regelmässig beanstanden. Die meisten sind mit früher Einrichtung vermeidbar.

DSG-Bussen treffen Einzelpersonen, nicht das Unternehmen

Anders als bei der GDPR werden DSG-Bussen (bis CHF 250,000) gegen die verantwortliche natürliche Person verhängt, nicht gegen das Unternehmen. Eine klare datenschutzverantwortliche Person in der Datenschutzerklärung zu benennen und die Verantwortung korrekt zu delegieren, ist entscheidend, um die persönliche Haftung des CEO oder Compliance-Verantwortlichen zu vermeiden.

Die Datenschutzerklärung muss in der Sprache des Kunden sein

Schweizer betroffene Personen müssen eine Datenschutzerklärung in einer Sprache erhalten, die sie vernünftigerweise verstehen. Für die meisten KMU bedeutet das Deutsch, Französisch und Italienisch für Schweizer Kunden plus Englisch für internationale. Eine reine englische Erklärung reicht selten aus.

Das Bearbeitungsverzeichnis ist obligatorisch, sofern nicht ausgenommen

Artikel 12 DSG verlangt ein Bearbeitungsverzeichnis, das alle Datenflüsse auflistet. KMU mit unter 250 Mitarbeitenden und Bearbeitungen ohne Personendaten mit hohem Risiko können ausgenommen sein. Die meisten Online-Unternehmen (Analytics, Marketing-Automatisierung, Kundenkonten) qualifizieren sich nicht für die Ausnahme.

Cookie-Einwilligung muss dem Tracking vorausgehen

Das DSG und das Fernmeldegesetz verlangen eine Einwilligung, bevor nicht zwingende Cookies (Analytics, Werbe-Pixel) gesetzt werden. Stillschweigende Einwilligung durch fortgesetztes Surfen wird von Schweizer Behörden nicht mehr akzeptiert. Verwenden Sie ein konformes Einwilligungsbanner, bevor Analytics ausgelöst wird.

Verwandte Hubs