DSGVO: Was die EU-Datenschutz-Grundverordnung für Schweizer Unternehmen bedeutet

Die DSGVO ist die Datenschutz-Grundverordnung der Europäischen Union (Verordnung (EU) 2016/679), die seit dem 25. Mai 2018 gilt und auch Schweizer Unternehmen erfasst, sobald sie eine Niederlassung in der EU haben, Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten in der EU beobachten. In der Schweiz selbst gilt in erster Linie das revidierte Datenschutzgesetz (DSG), das am 1. September 2023 in Kraft getreten ist.

Viele Schweizer Organisationen bewegen sich deshalb in zwei Regelwerken: Bietet ein Onlineshop aus Zürich Kundinnen in Konstanz oder Mailand gezielt Waren an, gilt für diese Bearbeitungen neben dem DSG auch die DSGVO. Die Personaldaten der eigenen Mitarbeitenden in Zürich unterstehen dagegen in der Regel nur dem DSG. Beide verlangen, dass Bearbeitungen dokumentiert, Zugriffe kontrolliert und Verletzungen der Datensicherheit gemeldet werden. Für die IT heisst das vor allem: nachvollziehbare Prozesse, klare Verantwortlichkeiten und belastbare Nachweise.

Das Wichtigste in Kürze

• Geltung: Die DSGVO gilt nicht unmittelbar in der Schweiz, kann aber über Art. 3 Abs. 2 auf Schweizer Unternehmen anwendbar sein. Dann ist meist ein Vertreter in der EU zu benennen (Art. 27).
• Datenfluss: Die EU-Kommission anerkennt den Datenschutz der Schweiz als angemessen, die Schweiz umgekehrt jenen der EU-Staaten. Daten können in beide Richtungen ohne zusätzliche Garantien fliessen.
• Unterschiede: Meldefrist, Auskunftsfrist und Sanktionsmodell weichen zwischen DSGVO und DSG ab.
• Nachweis: Beide Regelwerke setzen voraus, dass ein Unternehmen seine Bearbeitungen belegen kann.

Stand: November 2026 · Fachlich abgeglichen mit dem Verordnungstext auf EUR-Lex, dem DSG und der DSV auf Fedlex sowie Publikationen des EDÖB (Quellen am Ende des Artikels). Dieser Artikel ersetzt keine Rechtsberatung.

Wann die DSGVO für Schweizer Unternehmen gilt

Art. 3 der Verordnung kennt zwei Anknüpfungspunkte. Für Schweizer Unternehmen sind beide relevant, aber in unterschiedlichen Situationen.

Niederlassung in der EU

Hat ein Schweizer Unternehmen eine Tochtergesellschaft oder Zweigniederlassung in einem EU-Staat, gilt die DSGVO für alle Bearbeitungen im Rahmen dieser Niederlassung. Es spielt keine Rolle, ob die Server in Bern, Frankfurt oder anderswo stehen.

Angebot oder Beobachtung ohne Niederlassung

Auch ohne Niederlassung ist die DSGVO anwendbar, wenn sich das Angebot gezielt an Personen in der EU richtet oder ihr Verhalten in der EU beobachtet wird, etwa durch Tracking auf der Website. Der EDÖB nennt als Beispiel einen Schweizer Onlinehändler, der Uhren an Kundschaft in mehreren EU-Staaten verkauft. In diesen Fällen verlangt Art. 27 grundsätzlich einen schriftlich benannten Vertreter in der EU. Ausnahmen gelten nur für Behörden und für gelegentliche Bearbeitungen, die keine umfangreiche Bearbeitung besonders schützenswerter Daten einschliessen und voraussichtlich kein Risiko für die betroffenen Personen bergen.

Was für den Datenaustausch gilt

Die EU-Kommission hat der Schweiz im Jahr 2000 ein angemessenes Datenschutzniveau bescheinigt (Entscheidung 2000/518/EG) und diese Feststellung in ihrem Bericht vom 15. Januar 2024 bestätigt. Umgekehrt führt die Schweizer Datenschutzverordnung (DSV) in Anhang 1 unter anderem Deutschland und Österreich als Staaten mit angemessenem Schutz. Ein Schweizer SaaS-Anbieter darf deshalb Daten von EU-Kunden bearbeiten, ohne zusätzliche Standardvertragsklauseln für die Übermittlung. Die übrigen Pflichten, etwa der Vertrag mit dem Auftragsbearbeiter, bleiben bestehen.

Begriffe in beiden Rechtsordnungen

• DSGVO «personenbezogene Daten», DSG «Personendaten»: in beiden Fällen nur Daten natürlicher Personen
• DSGVO «Verarbeitung», DSG «Bearbeitung»
• DSGVO «Auftragsverarbeiter», DSG «Auftragsbearbeiter»
• DSGVO «besondere Kategorien», DSG «besonders schützenswerte Personendaten»

DSGVO und revidiertes DSG im Vergleich

Das DSG lehnt sich in vielen Punkten an die DSGVO an, ist aber kein Abbild. Die Unterschiede betreffen vor allem Fristen, Ausnahmen und Sanktionen.

Warum das Sanktionsmodell für die IT zählt

Nach Art. 60 und 61 DSG werden private Personen gebüsst, nicht in erster Linie das Unternehmen. Strafbar ist unter anderem, vorsätzlich die Mindestanforderungen an die Datensicherheit zu missachten oder Daten einem Auftragsbearbeiter zu übergeben, ohne die Voraussetzungen von Art. 9 zu erfüllen. Für Verantwortliche in IT und Fachbereichen ist eine dokumentierte Entscheidung deshalb auch persönlicher Schutz.

Nachvollziehbarkeit als Governance-Aufgabe

DSGVO und DSG verlangen nicht nur richtiges Handeln, sondern auch den Beleg dafür. Die DSGVO nennt das Rechenschaftspflicht (Art. 5 Abs. 2), das DSG verpflichtet über Art. 7 zu Datenschutz durch Technik ab der Planung. In regulierten Branchen kommt die Erwartung von Revision und Aufsicht hinzu, Entscheidungen lückenlos rekonstruieren zu können.

Was dokumentiert sein sollte

• Bearbeitungsverzeichnis: Zweck, Kategorien, Empfänger, Aufbewahrungsdauer, Massnahmen zur Datensicherheit und Staaten bei Bekanntgabe ins Ausland (Art. 12 DSG, Art. 30 DSGVO)
• Verträge mit Auftragsbearbeitern: inklusive Genehmigung für Unterauftragsbearbeiter
• Freigaben: Wer hat einen Zugriff, eine Datenherausgabe oder eine Löschung genehmigt, und wann?
• Vorfälle: Sachverhalt, Bewertung des Risikos, Entscheid über die Meldung, ergriffene Massnahmen

Protokollierung nach DSV

Art. 4 DSV verlangt von privaten Verantwortlichen eine Protokollierung, wenn besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeitet werden oder ein Profiling mit hohem Risiko stattfindet und präventive Massnahmen nicht genügen. Protokolliert werden dann mindestens Speichern, Verändern, Bekanntgeben, Löschen und Vernichten sowie das Zugreifen auf die Daten. Liegen HR-, Gesundheits- oder Sozialversicherungsdaten in grossem Umfang im Ticketsystem, kann diese Pflicht relevant werden.

Vier-Augen-Prinzip bei sensiblen Vorgängen

Auskunftsbegehren, Löschungen und Datenherausgaben an Dritte eignen sich für einen Workflow mit getrennter Erfassung und Freigabe. Ein Beispiel: Die Sachbearbeitung stellt die Daten für eine Auskunft zusammen, die Datenschutzverantwortliche prüft Vollständigkeit und Schwärzungen, erst dann geht die Antwort hinaus. Jeder Schritt bleibt im Verlauf sichtbar.

Ein Beispiel aus der Verwaltung

Das Personalamt des Kantons Thurgau steuert Probezeitgespräche, Zielvereinbarungen und Beurteilungen mit ky2help^®. Laut Referenzbericht sind die Daten bereits während der Prozessbearbeitung so archiviert, dass sie für alle Beteiligten transparent und nachvollziehbar sind.

Referenz Thurgau lesen

Meldepflichten und Risiken nach Priorität

Bei einem Sicherheitsvorfall können in der Schweiz bis zu drei Meldewege parallel laufen. Wer sie vorab im Incident-Prozess hinterlegt, verliert im Ernstfall keine Zeit mit Zuständigkeitsfragen.

Drei Meldewege

1. EDÖB nach Art. 24 DSG: so rasch als möglich, wenn die Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt. Auftragsbearbeiter melden dem Verantwortlichen ebenfalls so rasch als möglich.
2. EU-Aufsichtsbehörde nach Art. 33 DSGVO: wenn die DSGVO anwendbar ist, unverzüglich und möglichst binnen 72 Stunden, bereits ab einem Risiko, nicht erst bei hohem Risiko.
3. BACS nach Art. 74a ff. ISG: Die in Art. 74b ISG genannten Behörden und Organisationen, vor allem Betreiberinnen kritischer Infrastrukturen, müssen seit 1. April 2025 bestimmte Cyberangriffe innert 24 Stunden nach der Entdeckung dem Bundesamt für Cybersicherheit melden, etwa wenn die Funktionsfähigkeit gefährdet ist, Informationen abgeflossen sind oder eine Erpressung vorliegt. Diese Pflicht dient der Cyberabwehr und ersetzt keine Datenschutzmeldung.

Risiken nach Priorität

1. Unklare Anwendbarkeit: Niemand hat geprüft, ob die DSGVO für das EU-Geschäft gilt. Folge: fehlender Vertreter, falsche Meldefrist.
2. Fehlende Meldelogik: Vorfälle werden technisch gelöst, aber nicht auf ihre Meldepflicht geprüft.
3. Ungeregelte Auftragsbearbeitung: Supportpartner und Cloud-Dienste ohne Vertrag nach Art. 9 DSG bzw. Art. 28 DSGVO.
4. Zu weite Zugriffe: Sensible Tickets für alle Agentinnen und Agenten sichtbar, keine regelmässige Überprüfung der Berechtigungen.
5. Unbegrenzte Aufbewahrung: Art. 6 Abs. 4 DSG verlangt, Personendaten zu vernichten oder zu anonymisieren, sobald sie für den Zweck nicht mehr erforderlich sind.

Wo die Daten liegen, ist dabei Teil der Risikobeurteilung. Eine eigene Instanz in einem Rechenzentrum in der Schweiz vereinfacht die Dokumentation der Bekanntgabe ins Ausland.

Häufige Fragen zur DSGVO in der Schweiz

Gilt die DSGVO in der Schweiz?

Nicht unmittelbar. Sie gilt aber für Schweizer Unternehmen mit einer Niederlassung in der EU und für Unternehmen, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten in der EU beobachten. Für alle anderen Bearbeitungen gilt das Schweizer Datenschutzgesetz.

Was ist der wichtigste Unterschied zwischen DSGVO und DSG?

Das Sanktionsmodell. Unter der DSGVO verhängen Aufsichtsbehörden Geldbussen gegen Unternehmen bis 20 Millionen Euro oder 4 % des weltweiten Umsatzes. Das DSG sieht Bussen bis CHF 250'000 gegen verantwortliche natürliche Personen vor, und nur bei vorsätzlichem Handeln.

Wie schnell muss eine Datenpanne in der Schweiz gemeldet werden?

Das DSG verlangt eine Meldung an den EDÖB so rasch als möglich, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Betroffenen führt. Eine feste Stundenfrist nennt das Gesetz nicht. Gilt zusätzlich die DSGVO, ist die EU-Aufsichtsbehörde möglichst binnen 72 Stunden zu informieren.

Dürfen Personendaten aus der EU in die Schweiz übermittelt werden?

Ja. Die EU-Kommission hat der Schweiz ein angemessenes Datenschutzniveau bescheinigt und das im Januar 2024 bestätigt. Übermittlungen sind deshalb ohne zusätzliche Garantien wie Standardvertragsklauseln möglich.

Brauchen Schweizer Unternehmen einen EU-Vertreter?

Wenn die DSGVO wegen eines Angebots an Personen in der EU oder wegen der Beobachtung ihres Verhaltens gilt, verlangt Art. 27 grundsätzlich einen schriftlich benannten Vertreter in der EU. Ausgenommen sind Behörden und gelegentliche Bearbeitungen ohne umfangreiche sensible Daten, die voraussichtlich kein Risiko für die Betroffenen bergen.

Wo liegen die Daten bei ky2help®?

ky2help^® läuft entweder On-Premises bei Ihnen oder als SaaS auf einer eigenen, getrennten Instanz im Rechenzentrum wahlweise in der Schweiz oder in Deutschland. Der Hersteller KYBERNA ist nach ISO/IEC 27001 zertifiziert. Details besprechen wir gern in einem Beratungstermin.

Quellen und weiterführende Artikel

Quellen

• EUR-Lex: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung)
• Fedlex: Bundesgesetz über den Datenschutz (DSG), SR 235.1
• Fedlex: Verordnung über den Datenschutz (DSV), SR 235.11
• Fedlex: Informationssicherheitsgesetz (ISG), Meldepflicht für Cyberangriffe
• EDÖB: Das neue Datenschutzgesetz aus Sicht des EDÖB
• EDÖB: Die EU-DSGVO und ihre Auswirkungen auf die Schweiz (PDF)
• EUR-Lex: Entscheidung 2000/518/EG zur Angemessenheit des Datenschutzes in der Schweiz und Bericht der Kommission vom 15. Januar 2024

Weiterlesen im Glossar und in der Wissenswelt

• DSGVO im Glossar der Cloud & IT Services
• ISO 27001 und Active Directory
• Incident und ITIL Change Management
• ky2help® für Finanzdienstleister und Banken
• Cloud vs. On-Premises im ITSM