Datenschutz Schweiz: Das nDSG, der EDÖB und Ihre Rechte im Überblick

Wer auf Deutsch nach Schweizer Datenschutzregeln sucht, erhält meist Antworten, die für eine deutsche oder europäische Leserschaft geschrieben sind. Das ist ein Problem, denn die Schweiz ist nicht Mitglied der Europäischen Union, und ihr Datenschutzgesetz ist nicht die DSGVO.

Das eigene Schweizer Gesetz ist das nDSG, das total revidierte Bundesgesetz über den Datenschutz, und es unterscheidet sich strukturell von der DSGVO in einer Weise, die fast jede und jeden überrascht, der zum ersten Mal damit in Berührung kommt. Dieser Themenbereich orientiert über das gesamte Gebiet: wen das Gesetz erfasst, was ein Unternehmen tatsächlich tun muss, wer es durchsetzt, und wo die DSGVO trotzdem von aussen hineinreicht. Er geht keinen einzelnen Mechanismus vollständig durch. Dieses Detail behandeln die zwei Seiten, an die er weiterverweist.

Informationen zuletzt geprüft am 21. Juli 2026. Diese Seite enthält allgemeine rechtliche Informationen zum Schweizer Recht und stellt keine Rechtsberatung im Einzelfall dar.

Das nDSG, nicht die DSGVO

Die Schweiz hat ihr Datenschutzgesetz in einer Totalrevision von Grund auf neu geschrieben, und das Ergebnis, allgemein nDSG genannt, trat am 1. September 2023 in Kraft. Es löste ein Gesetz von 1992 ab, das keine der Rechenschaftspflichten kannte, die ein Unternehmen heute erwartet.

Das nDSG ist keine lokale Umsetzung der DSGVO und folgt ihr nicht Wort für Wort. Beide Gesetze decken teilweise dieselben Bereiche ab, Informationspflichten, Meldung von Verletzungen, ein Auskunftsrecht, weichen aber bei der Durchsetzung, bei Fristen und bei der Frage voneinander ab, wer am Ende tatsächlich zur Verantwortung gezogen wird. Wer aus DSGVO-orientierten Suchergebnissen kommt, sollte jede konkrete Zahl als eigens für die Schweiz zu prüfende Grösse behandeln, statt anzunehmen, eine deutsche oder EU-Antwort gelte hier ebenso.

Art. 3 nDSG dehnt die Geltung des Gesetzes über ein Auswirkungsprinzip aus: Es erfasst einen Sachverhalt, der sich in der Schweiz auswirkt, selbst wenn das auslösende Verhalten im Ausland stattfand. Ein Unternehmen ohne Schweizer Niederlassung kann damit durchaus vollständig im Anwendungsbereich des nDSG stehen, wenn seine Bearbeitung eine Person in der Schweiz betrifft.

Der Punkt, den fast alle falsch verstehen: Der EDÖB kann nicht büssen

Der EDÖB, der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte, ist die Schweizer Datenschutzbehörde. Nach Art. 49 bis 51 nDSG kann er eine Untersuchung eröffnen, Mitwirkung erzwingen und einem Unternehmen anordnen, ein konkretes Problem zu beheben, eine Bearbeitung anzupassen oder zu stoppen, Daten zu löschen oder eine Vertretung zu bestellen.

Nirgends in diesem Instrumentarium findet sich eine Befugnis zur Verhängung einer Geldbusse. Der EDÖB kann ein Unternehmen nicht mit einer Verwaltungsbusse nach dem Vorbild der DSGVO belegen, in keiner Höhe, für keine Widerhandlung. Unsere Seite zum nDSG im Überblick legt dar, was die Aufsichtsbehörde stattdessen anordnen kann, und wo das tatsächliche finanzielle Risiko liegt: die kantonale Strafverfolgung der verantwortlichen Einzelperson nach Art. 60 bis 65 nDSG, nur bei vorsätzlichem Handeln, gedeckelt in Schweizer Franken statt als Prozentsatz des weltweiten Umsatzes.

Informationspflichten, Folgenabschätzungen und die Meldefrist

Ein Verantwortlicher muss eine betroffene Person grundsätzlich über die Bearbeitung ihrer Daten informieren, gestützt auf Art. 19 bis 21 nDSG, und vor einer Bearbeitung, die ein hohes Risiko zur Folge haben kann, eine Datenschutz-Folgenabschätzung nach Art. 22 nDSG durchführen. Keine der beiden Pflichten ist im Grundsatz eine Schweizer Besonderheit, doch jede hat ihren eigenen Schweizer Wortlaut und ihre eigenen Ausnahmen, die unsere Seite zum nDSG im Detail durchgeht.

Bei der Meldung von Verletzungen fällt der Unterschied zu DSGVO-Gewohnheiten am stärksten auf. Art. 24 nDSG verlangt eine Meldung an den EDÖB so rasch als möglich, jedoch nur, wenn die Verletzung voraussichtlich ein hohes Risiko für die betroffene Person zur Folge hat. Eine feste 72-Stunden-Frist kennt das Schweizer Recht für diese Pflicht nirgends, und die Auslöseschwelle selbst ist enger gefasst als der Grundsatz der DSGVO, wonach im Zweifel gemeldet wird, ausser das Risiko sei gering. Ein Unternehmen, das entweder die Frist oder die breitere Auslöseschwelle der DSGVO hier einfach übernimmt, wird seine eigenen Pflichten in beide Richtungen falsch einschätzen.

Der aktuelle konsolidierte Gesetzestext ist zudem nicht mehr identisch mit jenem, der 2023 in Kraft trat. Seit 1. April 2025 enthält Art. 24 nDSG mit Art. 24 Abs. 5bis eine neue Bestimmung, die es dem EDÖB erlaubt, eine Meldung mit Zustimmung des Verantwortlichen zur Analyse an das Bundesamt für Cybersicherheit weiterzuleiten.

Das Auskunftsrecht in einem Satz

Art. 25 nDSG erlaubt jeder Person, einen Verantwortlichen zu fragen, ob er ihre Personendaten bearbeitet, und falls ja, bestimmte Angaben dazu zu erhalten. Die Frist, die Gebührenregeln und die Gründe, aus denen ein Verantwortlicher ein Gesuch rechtmässig ablehnen oder einschränken darf, sind eigene Mechaniken mit eigenen Ausnahmen, und sie stehen vollständig auf unserer eigenen Seite zum Auskunftsgesuch statt hier.

Strafrechtliche Verantwortung liegt bei der Einzelperson, nicht beim Unternehmen

Art. 60 bis 63 nDSG sehen Bussen bis zu CHF 250000 gegen die verantwortliche Einzelperson vor, für bestimmte vorsätzliche Widerhandlungen: falsche Auskunft im Rahmen eines Auskunftsgesuchs, unrechtmässige Bekanntgabe von Daten ins Ausland, Missachtung der Mindestanforderungen an die Datensicherheit, oder Verletzung einer beruflichen Geheimhaltungspflicht. Jede dieser Bestimmungen setzt Vorsatz voraus, blosse Fahrlässigkeit löst sie nicht aus.

Eine engere Auffangregelung in Art. 64 nDSG erlaubt es einem Gericht, das Unternehmen selbst mit bis zu CHF 50000 zu büssen, aber nur dort, wo die Ermittlung der verantwortlichen Einzelperson einen im Verhältnis zur drohenden Strafe unverhältnismässigen Untersuchungsaufwand erfordern würde. Die Verfolgung und Beurteilung all dessen obliegt den Kantonen nach Art. 65 nDSG, nicht dem EDÖB, dessen einzige Rolle in einem Strafverfahren darin besteht, Anzeige zu erstatten und sich als Privatklägerschaft zu beteiligen. Die meisten dieser Tatbestände sind zudem Antragsdelikte: Art. 60 Abs. 1 und Art. 61 nDSG werden nur auf Antrag verfolgt, während die Missachtung einer Verfügung des EDÖB nach Art. 60 Abs. 2 von Amtes wegen verfolgt wird. Unsere Seite zum nDSG im Überblick geht diese Struktur mit konkreten Zahlen durch.

Die Pflicht zur Vertretung in der Schweiz

Ein ausländischer Verantwortlicher ohne Niederlassung in der Schweiz muss nach Art. 14 nDSG eine Vertretung in der Schweiz bestellen, aber nur, wenn vier Voraussetzungen gemeinsam erfüllt sind: Die Bearbeitung steht im Zusammenhang mit dem Anbieten von Waren oder Dienstleistungen oder der Beobachtung des Verhaltens von Personen in der Schweiz, sie ist umfangreich, sie ist regelmässig, und sie birgt ein hohes Risiko für die betroffene Person.

Weder Art. 14 noch Art. 15 nennen eine ziffernmässige Schwelle, keine bestimmte Anzahl Kundinnen und Kunden oder Datensätze, die die Pflicht für sich allein auslöst. Es handelt sich um einen kumulativen, qualitativen Test, und ein Unternehmen sollte nicht nach einer Mitarbeiterzahl suchen, die im Gesetz schlicht nicht vorkommt.

Wo die DSGVO trotzdem hineinreicht

Die Anerkennung der Schweiz durch die EU wirkt nur in eine Richtung. Die Europäische Kommission erkannte den Schweizer Datenschutz erstmals im Jahr 2000 als angemessen an und erneuerte diese Anerkennung am 15. Januar 2024, was Personendaten ohne zusätzliche vertragliche Garantien aus der EU in die Schweiz fliessen lässt. Das bedeutet nicht, dass die Schweiz die DSGVO übernommen hätte, und es schützt ein Schweizer Unternehmen auch nicht vor der eigenen Reichweite der DSGVO.

Ein Schweizer Unternehmen ohne Niederlassung in der EU kann direkt von der eigenen extraterritorialen Regel der DSGVO erfasst werden, wenn es Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet. Ein Schweizer Detailhändler mit einem deutschsprachigen Webshop, der nach Deutschland liefert, ist ein plausibles Beispiel; ein Unternehmen, das ausschliesslich Schweizer Kundschaft bedient, in aller Regel nicht. Diese Abgrenzung, und was auf jeder Seite davon Compliance bedeutet, behandelt unsere Seite zum nDSG.

Wie es weitergeht

Wer die vollständige Struktur der Durchsetzung, die tatsächlichen Befugnisse des EDÖB, die strafrechtlichen Bussenstufen und den Vergleich mit der DSGVO im Detail lesen möchte, findet dies auf unserer Seite zum nDSG im Überblick. Wer konkret wissen möchte, wie ein Auskunftsgesuch gestellt oder beantwortet wird, die Frist, die Gebühr und die rechtmässigen Ablehnungsgründe, findet dies auf unserer Seite zum Auskunftsgesuch.

Beide Seiten gehören zu unserem umfassenderen Leitfaden zum Schweizer Recht, der die Gesetzbücher, Gerichte und Institutionen hinter diesem Themenbereich und unserer übrigen Berichterstattung zur Schweiz behandelt.

Häufig gestellte Fragen

Gilt die DSGVO für ein Unternehmen, das ausschliesslich in der Schweiz tätig ist?

Nein, nicht als innerstaatliches Recht. Ein rein schweizerisches Unternehmen ohne Niederlassung in der EU und ohne Geschäftsbeziehungen zu Personen in der EU untersteht dem nDSG, nicht der DSGVO. Die DSGVO kann dennoch direkt greifen, wenn das Unternehmen Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet.

Wer setzt das Datenschutzrecht in der Schweiz durch?

Der EDÖB untersucht und kann Verwaltungsmassnahmen anordnen, darf aber keine Bussen verhängen. Strafrechtliche Bussen werden von den kantonalen Behörden gegen die verantwortliche Einzelperson verfolgt, nicht durch den EDÖB selbst. Die meisten dieser Tatbestände sind zudem Antragsdelikte: Art. 60 Abs. 1 und Art. 61 nDSG werden nur auf Antrag verfolgt, sodass die betroffene Person in der Regel selbst einen Strafantrag stellen muss. Die Verweigerung der Mitwirkung bei einer Untersuchung des EDÖB nach Art. 60 Abs. 2 ist eine der Ausnahmen und wird von Amtes wegen verfolgt.

Wo beginne ich, wenn ich vermute, dass ein Schweizer Unternehmen meine Daten falsch bearbeitet hat?

Beginnen Sie damit zu verstehen, was der EDÖB darf und was nicht, behandelt auf unserer Seite zum nDSG im Detail, und falls Sie konkret erfahren möchten, welche Daten ein Unternehmen über Sie besitzt, behandelt unsere Seite zum Auskunftsgesuch, wie ein solches Gesuch gestellt wird.

Ist der Datenschutz in der Schweiz schwächer als die DSGVO, weil die Schweiz nicht EU-Mitglied ist?

Nicht durchgehend. Manche Regeln des nDSG sind enger gefasst als die DSGVO, etwa dessen Meldeschwelle bei Datenschutzverletzungen, während andere, wie die strafrechtliche Verantwortung von Einzelpersonen, in der DSGVO gar keine direkte Entsprechung haben. Die beiden Systeme unterscheiden sich, statt dass das eine schlicht strenger wäre als das andere.

Muss sich ein Schweizer Unternehmen überhaupt um die DSGVO kümmern?

Nur, wenn es Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet. Ein Unternehmen ohne solche Geschäftsbeziehungen untersteht allein dem nDSG.

Was ist das nDSG?

Das nDSG ist das total revidierte Schweizer Datenschutzgesetz, in Kraft seit 1. September 2023 und seither ergänzt. Es ist das eigenständige Schweizer Gesetz, getrennt von der DSGVO und strukturell anders aufgebaut.

Kann ich nach Schweizer Datenschutzrecht persönlich gebüsst werden?

Ja, wenn Sie als Einzelperson für eine vorsätzliche Widerhandlung nach Art. 60 bis 63 nDSG verantwortlich gemacht werden, verfolgt durch den Kanton, in dem die Tat begangen wurde. Unsere Seite zum nDSG legt die einzelnen Widerhandlungen und die dazugehörigen Beträge dar.