Ashio whistleblowing software

Für Schweizer Unternehmen: DSGVO und Daten mit lückenlosem Nachweis

Überprüfung der Einhaltung bei dokumentierter Datenverarbeitung

Kurz: Die DSGVO kann auf Schweizer Datenverarbeitungen Anwendung finden, wenn Niederlassungs‑ oder Marktortprinzip greifen. Die EU hat die Schweiz zugleich als angemessenes Drittland anerkannt, was Datentransfers erheblich vereinfacht. Trotzdem bleibt das revidierte Schweizer Datenschutzgesetz eigenständig. Wer beide Regime gleichzeitig erfüllen muss, kommt an Doppel‑Compliance nicht vorbei.

Kurz gesagt:

  • Schweizer Unternehmen, die gezielt europäische Kunden ansprechen oder in der EU tätig sind, müssen die DSGVO beachten, auch ohne Niederlassung in der EU.
  • Das revidierte Schweizer Datenschutzgesetz (revDSG) gilt seit September 2023, erfordert mehr Transparenz und ahndet Verstöße mit hohen Bußgeldern gegen natürliche Personen.
  • Die Unterschiede zwischen DSGVO und revDSG bei Informationspflichten, Rechtsgrundlagen und Verarbeitungsverzeichnissen können bei Audits zu zusätzlichen Aufwänden führen.
  • Der formale Angemessenheitsstatus der Schweiz erleichtert grenzüberschreitende Datenflüsse, ersetzt aber nicht eine klare Dokumentation der Datenübermittlungen.
  • Für den Compliance-Erfolg gilt es, eine einheitliche Dokumentation und Verantwortlichkeitsmatrix zu schaffen, um im Falle einer Überprüfung Wirksamkeit und Nachweisbarkeit zu sichern.
Ashio
Meldungen sicher und nachvollziehbar verwalten
Ashio bietet einen anonymen Meldekanal, vollständige Audit-Trails und ein Dashboard zur transparenten Verwaltung von Vorfällen.
Ashio kennenlernen

Inhaltsverzeichnis

Wann gilt die DSGVO für Schweizer Unternehmen?

Die DSGVO greift nicht nur für Firmen mit Sitz in der EU. Artikel 3 DSGVO kennt zwei Anknüpfungspunkte: das Niederlassungsprinzip und das Marktortprinzip. Eine Schweizer Firma ohne jede EU‑Niederlassung kann also trotzdem unter die DSGVO fallen, sobald sie gezielt Personen in der EU anspricht oder deren Verhalten beobachtet.

Typische Fälle, die Schweizer Unternehmen betreffen:

  • Ein Onlineshop mit Sitz in Zürich verkauft aktiv nach Deutschland oder Österreich und akzeptiert Euro als Zahlungswährung.
  • Ein Newsletter geht regelmäßig an Empfänger in Frankreich oder Italien, mit Tracking von Öffnung‑ und Klickraten.
  • Ein Schweizer Konzern beschäftigt Mitarbeitende in einer EU‑Tochtergesellschaft und verarbeitet deren Personaldaten zentral in Bern.

Wer unsicher ist, sollte zwei Dinge prüfen: welche Datenkategorien verarbeitet werden und wie weit die eigene Marktreichweite tatsächlich in die EU hineinreicht. Schon ein einziges gezieltes Angebot an EU‑Kundschaft reicht oft aus.

Überblick: Das revidierte Schweizer Datenschutzgesetz (revDSG)

Das revidierte DSG ist am 1. September 2023 in Kraft getreten und hat das alte Gesetz von 1992 grundlegend ersetzt. Ziel war eine Annäherung an europäische Standards, ohne die DSGVO eins zu eins zu kopieren.

Die wichtigsten Neuerungen betreffen drei Bereiche:

  • Erweiterte Informationspflichten bei der Beschaffung von Personendaten, ähnlich den DSGVO‑Transparenzpflichten, aber nicht identisch formuliert.
  • Eine Pflicht zur Meldung von Datensicherheitsverletzungen an den Eidgenössischen Datenschutz‑ und Öffentlichkeitsbeauftragten, sobald ein hohes Risiko besteht.
  • Strafrechtliche Sanktionen, die sich gegen natürliche Personen richten, nicht primär gegen das Unternehmen als Ganzes.

Wichtige Zahl: Verstöße gegen bestimmte Pflichten im revDSG können mit Bussen bis CHF 250’000 gegen die verantwortliche natürliche Person geahndet werden, nicht gegen die Firma selbst.

Für KMU bedeutet das oft mehr Aufwand als für Konzerne, weil klare Zuständigkeiten und Dokumentationsprozesse häufig fehlen. Große Unternehmen haben meist schon DSGVO‑Strukturen, die sich anpassen lassen.

DSGVO vs. revDSG: Wo die Unterschiede in der Praxis wehtun

Die Annahme, DSGVO‑Konformität decke automatisch das Schweizer Recht ab, ist einer der teuersten Irrtümer im Schweizer Datenschutzalltag. Beide Gesetze überschneiden sich zwar in vielen Grundgedanken, unterscheiden sich aber in Details, die für die Praxis entscheidend sind, wie eine Analyse der Unterschiede zeigt.

Drei Reibungspunkte tauchen in der Beratung immer wieder auf:

  • Informationspflichten: Die DSGVO verlangt eine sehr detaillierte Datenschutzerklärung mit Rechtsgrundlage pro Verarbeitungszweck. Das revDSG ist hier etwas offener formuliert, verlangt aber trotzdem klare Angaben zur Datenbeschaffung.
  • Rechtsgrundlagen: Die DSGVO kennt sechs klar benannte Rechtsgrundlagen (Einwilligung, Vertrag, berechtigtes Interesse und so weiter). Das schweizerische Recht arbeitet eher mit dem Prinzip von Persönlichkeitsverletzung und Rechtfertigungsgründen, was die Dokumentation anders strukturiert.
  • Verzeichnis, DSFA, Datenschutzbeauftragter: Die Schwellenwerte, ab wann ein Verarbeitungsverzeichnis oder eine Datenschutz‑Folgenabschätzung nötig wird, unterscheiden sich zwischen beiden Regimen spürbar.

Wer beide Pflichtenkataloge sauber trennt, statt sie zu vermischen, spart sich später Nacharbeit bei Audits.

Datenübermittlungen: Angemessenheitsbeschluss, SCCs und was zusätzlich nötig ist

Die EU‑Kommission hat die Schweiz formal als angemessenes Drittland eingestuft. Konkret heißt das: Personenbezogene Daten dürfen aus der EU in die Schweiz fließen, ohne dass zusätzliche Garantien wie Standardvertragsklauseln nötig sind.

Ganz sauber ist die Sache trotzdem nicht immer, insbesondere wenn es um den Déménagement d’archives d’entreprise en Suisse geht:

  • Bei Weiterleitung an Subprozessoren ausserhalb von EU und Schweiz braucht es weiterhin eine Prüfung, etwa in Form einen Transfer Impact Assessments.
  • Sektorspezifische Regeln oder besonders sensible Datenkategorien können zusätzliche vertragliche Absicherung sinnvoll machen.
  • Vertragsklauseln mit Cloud‑Anbietern oder IT‑Dienstleistern sollten trotz Angemessenheitsstatus klare Regelungen zu Subunternehmern enthalten.

Der Angemessenheitsstatus erleichtert vieles, ersetzt aber keine saubere Dokumentation der eigenen Datenflüsse.

Datenschutzerklärung, AVV und TOM: Die tägliche Pflichtenliste

Wer beide Gesetze gleichzeitig erfüllen muss, kommt um eine strengere Formulierung nicht herum. Fachliche Empfehlungen für kleine Unternehmen raten dazu, die Datenschutzerklärung konsequent am höheren Standard beider Regime auszurichten, statt zwei separate Versionen zu pflegen.

  1. Datenschutzerklärung: Muss Verarbeitungszwecke, Rechtsgrundlage, Speicherdauer und Empfänger nennen, inklusive Hinweis auf allfällige Drittlandübermittlungen.
  2. Auftragsverarbeitervertrag (AVV): Regelt Weisungsgebundenheit, Unterauftragsverarbeiter, technische Schutzmassnahmen und Löschpflichten. Der EDÖB stellt dafür Mustervorlagen bereit, die sich eng an EU‑Standardklauseln orientieren.
  3. Technische und organisatorische Massnahmen (TOM): Zugriffskontrollen, Verschlüsselung, Protokollierung. Ohne lückenlosen Audit‑Trail lässt sich im Streitfall kaum nachweisen, wer wann worauf zugegriffen hat.

Profi-Tipp: Führen Sie einen durchgängigen Audit‑Trail für alle Meldungen und Zugriffsereignisse. Bei einer Prüfung durch den EDÖB zählt weniger, was Sie behaupten, sondern was Sie belegen können.

Datenpannen melden: Fristen und die Rolle des EDÖB

Die DSGVO verlangt eine Meldung an die Aufsichtsbehörde ohne verzögerte Frist nach Kenntnisnahme. Das revDSG formuliert eine Meldung „so rasch als möglich“ ohne feste Stundenfrist. In der Praxis wird jedoch zügiges Handeln erwartet, sobald ein hohes Risiko für die Betroffenen erkennbar ist.

Eine Meldung an den EDÖB sollte enthalten:

  • Art und Umfang der betroffenen Daten
  • Vermutete Ursache und Zeitpunkt der Entdeckung
  • Bereits ergriffene und geplante Gegenmassnahmen
  • Ansprechperson für Rückfragen der Behörde

Eine interne Checkliste für den Ernstfall hilft, in der Hektik keinen Fristpunkt zu vergessen.

Sanktionen und persönliche Haftung: Wer am Ende zahlt

Die DSGVO sanktioniert primär das Unternehmen, mit Bussen bis zu vierstelligen Millionenbeträgen oder Prozentsätzen des weltweiten Umsatzes, je nachdem, was höher ist. Das revDSG geht einen anderen Weg: Es adressiert gezielt natürliche Personen, mit Bussen bis CHF 250’000 gegen Geschäftsführung oder verantwortliche Mitarbeitende.

Genau dieser Unterschied wird in der Beratungspraxis oft unterschätzt. Wer als Geschäftsleitung persönlich haftbar gemacht werden kann, sollte drei Dinge klären: wer im Unternehmen für welche Datenverarbeitung verantwortlich zeichnet, wie diese Verantwortung dokumentiert ist, und ob im Streitfall ein lückenloser Nachweis vorliegt. Eine klare Zuständigkeitsmatrix schützt handelnde Personen wirksamer als eine nachträglich angepasste Datenschutzerklärung.

Compliance‑Fahrplan: Was zuerst, was später kommt

Nicht alles muss gleichzeitig passieren. Eine sinnvolle Reihenfolge:

  1. Sofort: Datenschutzerklärung auf beide Regime prüfen, bestehende AVV‑Verträge sichten, einen groben Notfallprozess für Datenpannen skizzieren.
  2. Mittelfristig: Verarbeitungsverzeichnis vollständig führen, Datenschutz‑Folgenabschätzungen für risikoreiche Verarbeitungen durchführen, Mitarbeitende zu Meldewegen schulen.
  3. Langfristig: Governance‑Struktur mit klaren Zuständigkeiten aufbauen, regelmässige interne Audits einplanen, Meldekanäle technisch robust und revisionssicher gestalten.

Profi-Tipp: Ein zentraler, gut dokumentierter Meldekanal für interne Hinweise erleichtert genau diesen dritten Schritt erheblich, weil Nachweise automatisch entstehen, statt nachträglich rekonstruiert werden zu müssen.

Wer nach dieser Reihenfolge arbeitet, deckt die dringendsten Risiken zuerst ab und baut Governance‑Strukturen erst, wenn die Grundlagen stehen.

Redaktionelle Perspektive: Warum strengere Umsetzung beiden Regimen hilft

Viele Unternehmen behandeln DSGVO und revDSG wie zwei getrennte Projekte. Das ist ineffizient. Sinnvoller ist eine zweistufige Prüfung: erst die rechtliche Einordnung, welches Gesetz wann greift, dann die operative Umsetzung mit einem einzigen, durchgängigen Workflow für Dokumentation und Meldungen.

Revisionssichere Nachweise sind dabei der eigentliche Hebel, nicht die perfekte Formulierung einer Datenschutzerklärung. Wer im Ernstfall zeigen kann, wer wann was gewusst und getan hat, übersteht eine Prüfung durch den EDÖB deutlich entspannter als jemand mit makelloser Erklärung, aber lückenhafter Historie. Ein einheitlicher Reporting‑Workflow für interne Meldungen, Datenpannen und Auskunftsersuchen spart am Ende genau die Zeit, die in der Krise fehlt.

Quellen

Für die rechtliche Detailprüfung durch Juristinnen und Datenschutzverantwortliche empfehlen sich die Primärquellen direkt: die Seite des EDÖB, der Gesetzestext auf Fedlex sowie die Angemessenheitsentscheidungen der EU‑Kommission. Diese Links ersetzen keine Rechtsberatung, bilden aber die verlässliche Ausgangsbasis.

Empfehlungen

Für Schweizer Unternehmen: DSGVO und Daten mit lückenlosem Nachweis | Ashio