revDSG einfach erklärt: Das neue Schweizer Datenschutzgesetz
Das revidierte Datenschutzgesetz (revDSG) ist das Schweizer Bundesgesetz über den Datenschutz (DSG, SR 235.1) in der seit dem 1. September 2023 geltenden Fassung. Es regelt, wie Unternehmen Personendaten natürlicher Personen bearbeiten dürfen, und trat ohne Übergangsfrist in Kraft: Die Pflichten galten ab dem ersten Tag.
Das revDSG bringt das Schweizer Datenschutzrecht auf ein Niveau, das die EU als gleichwertig anerkennt. Der Aufbau folgt derselben Logik wie die DSGVO – Grundsätze, Betroffenenrechte, Dokumentationspflichten, Regeln für die Bekanntgabe ins Ausland. Die Unterschiede liegen im Detail, und genau dort entscheiden sie darüber, was ein Unternehmen konkret tun muss.
Für den KI-Einsatz ist das revDSG der zentrale Rahmen: Jede Eingabe in ein KI-Tool ist eine Datenbearbeitung, sobald sie Personendaten enthält. Wer zusätzlich Kundinnen und Kunden im EU-Raum betreut, erfüllt parallel die DSGVO – beide Regelwerke lassen sich in einem gemeinsamen Konzept abbilden, statt zweimal aufgebaut zu werden.
Für wen das revDSG gilt
Das revDSG gilt für die Bearbeitung von Personendaten natürlicher Personen durch private Personen und Bundesorgane. Anders als das alte DSG schützt es keine juristischen Personen mehr: Daten über eine AG oder GmbH fallen nicht mehr in den Anwendungsbereich.
Maßgeblich ist das Auswirkungsprinzip. Das Gesetz erfasst auch Unternehmen mit Sitz im Ausland, sofern sich ihre Bearbeitung in der Schweiz auswirkt. Ein deutscher Anbieter, der Schweizer Kunden betreut, unterliegt damit beiden Regelwerken. Unternehmen ohne Sitz in der Schweiz müssen unter bestimmten Voraussetzungen zusätzlich eine Vertretung in der Schweiz bezeichnen.
Die wichtigsten Pflichten im Überblick
Das revDSG baut auf den Grundsätzen aus Art. 6 DSG auf: Rechtmäßigkeit, Treu und Glauben, Verhältnismäßigkeit, Zweckbindung, Richtigkeit und Datensicherheit. Daraus folgen sechs konkrete Pflichten.
- Informationspflicht (Art. 19 DSG): Betroffene müssen bei der Beschaffung über Zweck, Verantwortlichen und Empfängerkategorien informiert werden – in der Regel über die Datenschutzerklärung.
- Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG): Dokumentation, welche Daten wofür bearbeitet werden. Unternehmen mit weniger als 250 Mitarbeitenden sind ausgenommen, sofern ihre Bearbeitung kein hohes Risiko birgt.
- Meldepflicht (Art. 24 DSG): Verletzungen der Datensicherheit, die voraussichtlich zu einem hohen Risiko führen, sind dem EDÖB so rasch als möglich zu melden.
- Datenschutz-Folgenabschätzung (Art. 22 DSG): Pflicht, wenn eine Bearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte mit sich bringt.
- Privacy by Design und by Default (Art. 7 DSG): Datenschutz muss technisch und organisatorisch eingebaut sein, nicht nachträglich konfiguriert werden.
- Auskunftsrecht (Art. 25 DSG): Betroffene können Auskunft über die Bearbeitung ihrer Daten verlangen; die Auskunft ist in der Regel innert 30 Tagen und kostenlos zu erteilen.
revDSG und DSGVO: die Unterschiede, die Arbeit machen
Wer die DSGVO bereits umgesetzt hat, erfüllt einen großen Teil des revDSG mit. Vier Unterschiede verlangen dennoch eine eigene Betrachtung.
| revDSG (Schweiz) | DSGVO (EU) | |
|---|---|---|
| Buße richtet sich gegen | Die verantwortliche natürliche Person | Das Unternehmen |
| Höhe | Bis CHF 250 000 | Bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes |
| Meldung von Datenpannen | So rasch als möglich, an den EDÖB | Binnen 72 Stunden, an die zuständige Aufsichtsbehörde |
| Rechtfertigung der Bearbeitung | Bearbeitung ist grundsätzlich erlaubt; ein Rechtfertigungsgrund wird erst bei einer Persönlichkeitsverletzung nötig | Jede Bearbeitung braucht von Anfang an eine Rechtsgrundlage nach Art. 6 DSGVO |
| Datenschutzberater bzw. -beauftragter | Freiwillig; die Bezeichnung bringt Verfahrenserleichterungen | Pflicht in den Fällen von Art. 37 DSGVO |
Bußen: Wer haftet und in welcher Höhe?
Die Strafbestimmungen stehen in Art. 60 ff. DSG. Gebüßt werden vorsätzliche Verstöße gegen bestimmte Pflichten – etwa gegen die Informations- und Auskunftspflichten, gegen die Sorgfaltspflichten bei der Bekanntgabe ins Ausland oder gegen Verfügungen des EDÖB. Fahrlässigkeit ist nicht strafbar.
Adressat ist die verantwortliche natürliche Person, nicht das Unternehmen. Möglich sind Bußen bis CHF 250 000. Das Gesetz erlaubt es, stattdessen das Unternehmen mit bis zu CHF 50 000 zu büßen, wenn die Ermittlung der verantwortlichen Person einen unverhältnismäßigen Aufwand bedeuten würde.
Anders als in der EU verhängt nicht die Aufsichtsbehörde die Buße: Der EDÖB untersucht und verfügt Maßnahmen, die Strafverfolgung liegt bei den kantonalen Strafbehörden. Praktisch rückt damit die Frage in den Vordergrund, wer im Unternehmen für Datenschutzentscheidungen zuständig ist – und ob das dokumentiert ist.
Besonders schützenswerte Personendaten
Art. 5 DSG zählt auf, welche Daten als besonders schützenswert gelten: Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten und Tätigkeiten, Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie, genetische Daten, biometrische Daten, die eine natürliche Person eindeutig identifizieren, Daten über verwaltungs- und strafrechtliche Verfolgungen sowie Daten über Maßnahmen der sozialen Hilfe.
Wer solche Daten bearbeitet – Arztpraxen, Personalberatungen, Sozialbehörden, Kanzleien –, braucht in mehr Fällen eine ausdrückliche Einwilligung und muss die technischen Schutzmaßnahmen entsprechend auslegen. Auch die Schwelle zur Datenschutz-Folgenabschätzung ist schneller erreicht.
Bekanntgabe ins Ausland: Wo Daten liegen dürfen
Art. 16 DSG erlaubt die Bekanntgabe von Personendaten ins Ausland, wenn der Bundesrat festgestellt hat, dass der betreffende Staat einen angemessenen Schutz gewährleistet. Die Liste dieser Staaten steht in Anhang 1 der Datenschutzverordnung und umfasst unter anderem den gesamten Europäischen Wirtschaftsraum.
Fehlt ein solcher Beschluss, braucht es eine der Garantien aus Art. 16 Abs. 2 DSG – in der Praxis meist Standardvertragsklauseln. Für die USA hat der Bundesrat das Swiss-U.S. Data Privacy Framework anerkannt; es trägt aber nur für Unternehmen, die dort zertifiziert sind.
Für den KI-Einsatz folgt daraus eine Unterscheidung, die in Ausschreibungen oft untergeht: Der Standort des Rechenzentrums und der Sitz des Anbieters sind zwei verschiedene Fragen. Beide müssen beantwortet sein, bevor Personendaten in ein Modell fließen.
Was das revDSG für den KI-Einsatz bedeutet
Die Schweiz kennt bisher kein eigenes KI-Gesetz. Für KI gilt deshalb das allgemeine Datenschutzrecht – uneingeschränkt, sobald ein Prompt oder ein angehängtes Dokument Personendaten enthält. Fünf Punkte sind dabei entscheidend.
- Zweckbindung: Daten, die für die Auftrags- oder Mandatsbearbeitung erhoben wurden, dürfen nicht ohne Weiteres für das Training eines Modells verwendet werden.
- Auftragsbearbeitung (Art. 9 DSG): Wer einen KI-Anbieter einsetzt, braucht einen Vertrag, der die Bearbeitung regelt, und muss sich vergewissern, dass der Anbieter die Datensicherheit gewährleistet.
- Bekanntgabe ins Ausland: Der Verarbeitungsstandort des Modells muss bekannt und nach Art. 16 DSG zulässig sein.
- Transparenz: Die Datenschutzerklärung muss den KI-Einsatz abdecken, wenn dabei Personendaten bearbeitet werden.
- Kontrolle: Private KI-Accounts von Mitarbeitenden entziehen sich der Dokumentations- und Sorgfaltspflicht vollständig – sie sind aus Sicht des revDSG der schwierigste Fall.
In fünf Schritten zur Umsetzung
Die Reihenfolge ist bewusst gewählt: Ohne Inventar lässt sich keine der folgenden Pflichten sauber erfüllen.
- Bearbeitungen inventarisieren: Welche Personendaten fallen wo an, wer greift darauf zu, wo liegen sie? Das Verzeichnis nach Art. 12 DSG ist auch dann nützlich, wenn die Ausnahme für kleine Unternehmen greift.
- Zwecke und – wo nötig – Rechtfertigungsgründe pro Bearbeitung festhalten und besonders schützenswerte Daten markieren.
- Datenschutzerklärung und Informationspflichten aktualisieren, einschließlich der eingesetzten Dienstleister und des Auslandsbezugs.
- Verträge mit Auftragsbearbeitern prüfen und, wo nötig, Garantien für die Bekanntgabe ins Ausland ergänzen.
- Prozesse für Datenpannen und Auskunftsbegehren festlegen: Wer meldet, an wen, in welcher Frist, mit welcher Dokumentation?
Häufige Fragen
Gilt das revDSG auch für kleine Unternehmen?
Ja. Das revDSG kennt keine Untergrenze. Unternehmen mit weniger als 250 Mitarbeitenden sind lediglich vom Verzeichnis der Bearbeitungstätigkeiten befreit, sofern ihre Bearbeitung kein hohes Risiko birgt. Alle übrigen Pflichten gelten unverändert.
Brauchen wir einen Datenschutzbeauftragten?
Für private Unternehmen ist die Bezeichnung eines Datenschutzberaters in der Schweiz freiwillig. Sie bringt aber einen konkreten Vorteil: Wer einen Berater bezeichnet und ihn konsultiert, kann unter bestimmten Voraussetzungen darauf verzichten, den EDÖB nach einer Datenschutz-Folgenabschätzung beizuziehen.
Was passiert bei einem Verstoß gegen das revDSG?
Der EDÖB kann eine Untersuchung eröffnen und Maßnahmen verfügen, etwa die Anpassung oder Einstellung einer Bearbeitung. Bußen verhängt er nicht selbst. Die Strafverfolgung liegt bei den kantonalen Behörden und richtet sich gegen die verantwortliche natürliche Person.
Reicht eine DSGVO-Umsetzung für das revDSG aus?
Weitgehend, aber nicht vollständig. Unterschiedlich sind vor allem der Adressat der Buße, die Meldefrist bei Datenpannen und die Systematik der Rechtfertigungsgründe. Wer DSGVO-konform arbeitet, sollte diese Punkte gezielt nachziehen, statt ein zweites Datenschutzkonzept aufzubauen.
Dürfen wir unter dem revDSG KI-Tools einsetzen?
Ja. Das revDSG verbietet den KI-Einsatz nicht, sondern stellt Anforderungen an ihn: Zweckbindung, Vertrag mit dem Auftragsbearbeiter, geklärter Verarbeitungsstandort, Transparenz und Datensicherheit. Entscheidend ist, dass die Bearbeitung dokumentiert und kontrollierbar bleibt.
Gilt das revDSG auch für Unternehmen im Ausland?
Ja, wenn sich die Bearbeitung in der Schweiz auswirkt. Das Auswirkungsprinzip erfasst auch Anbieter ohne Sitz in der Schweiz. Unter bestimmten Voraussetzungen müssen sie zusätzlich eine Vertretung in der Schweiz bezeichnen.
Quellen
- Bundesgesetz über den Datenschutz (DSG, SR 235.1) · Fedlex – Schweizerische Bundeskanzlei
- Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter · EDÖB
- Verordnung (EU) 2016/679 (DSGVO) · EUR-Lex
Weiterführende Inhalte
Bringen Sie KI sicher in Ihr Unternehmen.
Testen Sie Custodos mit Ihrem Team – und erleben Sie, wie schnell sichere KI produktiv wird.
- Mit dem ganzen Team testen
- In Minuten eingerichtet
- Sofort produktiver arbeiten