Datenschutzgesetz Schweiz (nDSG): Was der EDÖB darf, und was nicht

Ein Schweizer Unternehmen, das von einer europäischen Aufsichtsbehörde liest, die ein Unternehmen wegen einer Datenschutzverletzung mit einer empfindlichen Busse belegt, und daraus schliesst, zu Hause drohe ihm eine vergleichbare Busse, zieht gleich zwei falsche Schlüsse. Die Schweiz ist nicht Mitglied der Europäischen Union, ihr Datenschutzgesetz ist nicht die DSGVO, und ihre Datenschutzbehörde kann überhaupt niemanden büssen.

Das heisst nicht, dass kein echtes Risiko besteht. Es läuft nur über eine andere Tür: die kantonale Strafverfolgung der verantwortlichen Einzelpersonen, nicht eine Verwaltungsbusse gegen das Unternehmen. Diese Seite geht durch, was das nDSG tatsächlich verlangt, was seine Aufsichtsbehörde darf und was nicht, und wo ein Schweizer Unternehmen trotzdem von der DSGVO erfasst wird.

Informationen zuletzt geprüft am 21. Juli 2026. Diese Seite enthält allgemeine rechtliche Informationen zum Schweizer Recht und stellt keine Rechtsberatung im Einzelfall dar.

Was sich am 1. September 2023 geändert hat, und was seither noch dazukam

Das Schweizer Datenschutzgesetz wurde in einer Totalrevision überarbeitet, also vollständig neu geschrieben statt bloss punktuell geändert, und das neue Gesetz, allgemein nDSG genannt, trat am 1. September 2023 in Kraft. Es löste ein Gesetz von 1992 ab, das aus einer Zeit vor den heutigen grenzüberschreitenden Datenflüssen stammte und keine der Rechenschaftspflichten kannte, die Unternehmen heute erwarten.

Der aktuelle konsolidierte Text ist nicht identisch mit der Fassung, die 2023 in Kraft trat. Seit 1. April 2025 enthält Art. 24 nDSG einen neuen Absatz, der es dem EDÖB erlaubt, eine Meldung mit Zustimmung des Verantwortlichen zur Analyse an das Bundesamt für Cybersicherheit weiterzuleiten. Die zentralen, für Betroffene relevanten Mechanismen, Auskunftsrechte, Fristen, Gebühren und die Strafbestimmungen, änderten sich zwischen den beiden Zeitpunkten nicht.

Das nDSG gilt für jede natürliche oder juristische Person, die Personendaten bearbeitet, und Art. 3 nDSG dehnt seine Geltung über die Landesgrenze hinaus aus, und zwar über das Auswirkungsprinzip: Das Gesetz erfasst einen Sachverhalt, der sich in der Schweiz auswirkt, selbst wenn er im Ausland ausgelöst wurde. Ein ausländisches Unternehmen, dessen Bearbeitung eine Person in der Schweiz betrifft, entgeht dem nDSG nicht einfach, weil seine Server und sein Personal anderswo sitzen.

Der am meisten missverstandene Punkt: Der EDÖB kann niemanden büssen

Der EDÖB, der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte, ist die Schweizer Bundesbehörde für Datenschutz und Öffentlichkeitsprinzip. Seine Befugnisse nach Art. 49 bis 51 nDSG sind untersuchender und korrigierender Natur, nicht strafender.

Art. 49 nDSG erlaubt dem EDÖB, von sich aus oder nach einer Anzeige eine Untersuchung zu eröffnen, und Art. 50 nDSG erlaubt ihm, Mitwirkung zu erzwingen, Unterlagen zu verlangen, Räumlichkeiten zu besichtigen und Auskunftspersonen einzuvernehmen, wenn eine Partei nicht freiwillig mitwirkt. Art. 51 nDSG erlaubt ihm, konkrete Massnahmen anzuordnen: eine Bearbeitung anzupassen, auszusetzen oder zu stoppen, Daten zu löschen, eine grenzüberschreitende Übermittlung zu sperren, oder einem Unternehmen eine bestimmte Pflicht aufzuerlegen, etwa eine Folgenabschätzung durchzuführen oder eine Vertretung in der Schweiz zu bestellen. Hat ein Unternehmen das Problem während der Untersuchung bereits behoben, kann sich der EDÖB stattdessen mit einer formellen Verwarnung begnügen.

Nirgends in Art. 49 bis 51 erhält der EDÖB die Befugnis, eine Geldbusse zu verhängen. Er kann ein Unternehmen wegen einer Datenschutzverletzung nicht büssen, wie es eine EU-Aufsichtsbehörde nach der DSGVO kann. Wer etwas anderes gehört hat, hat einen weitverbreiteten Irrtum gehört.

Wo das tatsächliche Risiko liegt

Die Bussen gibt es, nur darf sie eben nicht der EDÖB verhängen. Art. 60 bis 63 nDSG sehen für bestimmte Verstösse Bussen bis zu CHF 250000 vor, darunter falsche oder unvollständige Auskunft im Rahmen des Auskunftsrechts, unrechtmässige grenzüberschreitende Bekanntgabe von Daten, unzulässige Übertragung der Bearbeitung an Dritte, Missachtung der Mindestanforderungen an die Datensicherheit, Verletzung einer beruflichen Geheimhaltungspflicht, oder Missachtung einer Verfügung des EDÖB.

Jede dieser Bestimmungen ist auf vorsätzliches Handeln beschränkt. Jede verlangt als subjektives Tatbestandsmerkmal Vorsatz, und keine erfasst eine fahrlässige oder bloss unsorgfältige Bearbeitung von Daten. Ein Unternehmen, das durch ein ehrliches Sicherheitsversagen eine Verletzung erleidet, ist diesem Bussenrisiko nicht automatisch ausgesetzt, denn das Gesetz zielt auf vorsätzliche Verstösse ab.

Die Busse richtet sich zudem nicht gegen das Unternehmen als solches. Art. 60 bis 63 nennen als Adressaten private Personen, also die verantwortlichen natürlichen Personen innerhalb des Unternehmens, typischerweise eine leitende Person, die den massgeblichen Entscheid getroffen hat. Art. 65 nDSG weist die Verfolgung und Beurteilung dieser Straftaten den Kantonen zu, nicht dem EDÖB. Die einzige Rolle der Aufsichtsbehörde in einem Strafverfahren besteht darin, bei der zuständigen kantonalen Staatsanwaltschaft Anzeige zu erstatten und sich als Privatklägerschaft am Verfahren zu beteiligen.

Ein separater, engerer Mechanismus, Art. 64 nDSG, erlaubt einem Gericht, das Unternehmen selbst mit bis zu CHF 50000 zu büssen, aber nur als Auffanglösung, wenn die in Betracht kommende Busse CHF 50000 oder weniger beträgt und die Ermittlung der verantwortlichen Person einen zur drohenden Strafe unverhältnismässigen Untersuchungsaufwand erfordern würde. Es handelt sich um eine Auffanglösung für Fälle, die zu geringfügig sind, um die Suche nach einer bestimmten Person zu rechtfertigen, nicht um eine allgemeine Unternehmensbusse neben dem EDÖB.

Meldung von Datenschutzverletzungen: nicht die 72 Stunden der DSGVO

Art. 24 nDSG verpflichtet einen Verantwortlichen, dem EDÖB eine Verletzung der Datensicherheit so rasch als möglich zu melden, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt. Beide Hälften dieser Prüfung zählen für ein Unternehmen, das abklären will, ob ein konkreter Vorfall die Meldepflicht auslöst.

Die Auslöseschwelle ist enger, als sie auf den ersten Blick wirkt. Nach der DSGVO gilt im Grundsatz: melden, ausser die Verletzung führe voraussichtlich zu keinem Risiko. Beim nDSG läuft der Grundsatz umgekehrt: nur melden, wenn die Verletzung voraussichtlich zu einem hohen Risiko führt. Ein geringfügiger Vorfall, der nach der breiteren Auslöseschwelle der DSGVO noch meldepflichtig wäre, kann unterhalb der Schwelle des nDSG völlig unbeachtlich bleiben.

Auch die Frist ist nicht die feste 72-Stunden-Uhr, die ein an die DSGVO gewöhntes Unternehmen erwarten könnte. So rasch als möglich ist ein qualitativer Massstab und keine ziffernmässige Frist, und keine Fassung des nDSG oder seiner Ausführungsverordnung setzt für diese Pflicht eine 72-Stunden-Zahl fest. Ein Verantwortlicher sollte dennoch zügig handeln, sobald er eine meldepflichtige Verletzung feststellt, denn so rasch als möglich ist nicht dasselbe wie nach eigenem Ermessen, sollte 72 Stunden aber nicht als Schweizer Gesetzesfrist behandeln, weil es diese Grenze hier schlicht nicht gibt.

Ein Auftragsbearbeiter, der eine Verletzung entdeckt, muss den Verantwortlichen so rasch als möglich informieren, und der Verantwortliche muss die betroffene Person benachrichtigen, wenn dies sie schützt oder der EDÖB es verlangt. Seit 1. April 2025 darf der EDÖB eine Meldung zudem zur Analyse an das Bundesamt für Cybersicherheit weiterleiten, jedoch nur mit Zustimmung des Verantwortlichen.

Auskunftsgesuche: grundsätzlich kostenlos, grundsätzlich innert 30 Tagen

Art. 25 nDSG gibt jeder Person das Recht, von einem Verantwortlichen zu erfahren, ob ihre Personendaten bearbeitet werden, und falls ja, bestimmte Angaben zu erhalten: die Identität des Verantwortlichen, die Daten selbst, den Zweck, die Aufbewahrungsdauer oder die Kriterien für deren Festlegung, die Herkunft der Daten, soweit bekannt, sowie ob eine automatisierte Entscheidung beteiligt war.

Das Gesetz sieht vor, dass Auskunft in der Regel innert 30 Tagen zu erteilen ist, und Art. 18 der Ausführungsverordnung, der DSV, macht das praktisch handhabbar: Kann der Verantwortliche die 30 Tage nicht einhalten, muss er dies der gesuchstellenden Person mitteilen und eine neue Frist nennen. Es handelt sich um eine Regelfrist mit eingebautem Verlängerungsmechanismus, nicht um eine absolute, unverrückbare Obergrenze.

Die Auskunft ist nach Art. 25 nDSG im Grundsatz kostenlos, doch Art. 19 DSV lässt eine enge Ausnahme zu: Erfordert die Auskunftserteilung einen unverhältnismässigen Aufwand, darf der Verantwortliche einen Kostenbeitrag verlangen, gedeckelt auf CHF 300, muss diesen Betrag aber vor der Beantwortung mitteilen und der gesuchstellenden Person zehn Tage einräumen, um zu bestätigen, dass sie am Gesuch festhält.

Art. 26 nDSG erlaubt es einem Verantwortlichen, die Auskunft in bestimmten Fällen zu verweigern, einzuschränken oder aufzuschieben: eine gesetzliche Geheimhaltungspflicht, überwiegende Interessen Dritter, oder ein offensichtlich unbegründetes oder querulatorisches Gesuch. Ein privater Verantwortlicher kann sich zudem auf ein eigenes überwiegendes Interesse berufen, sofern die Daten nicht an Dritte weitergegeben werden, und eine Bundesbehörde kann sich auf ein überwiegendes öffentliches Interesse berufen, etwa den Schutz einer laufenden Untersuchung. Eine Verweigerung muss begründen, weshalb die Auskunft eingeschränkt wurde; ein Unternehmen darf sich nicht einfach in Schweigen hüllen.

Laufende Pflichten über ein einzelnes Gesuch hinaus

Art. 19 bis 21 nDSG verpflichten einen Verantwortlichen, eine betroffene Person bei der Beschaffung ihrer Daten von sich aus zu informieren, über die Identität des Verantwortlichen, den Zweck, und, falls Daten ins Ausland gehen, das Zielland und die dafür herangezogene Garantie. Werden die Daten nicht direkt bei der betroffenen Person beschafft, müssen dieselben Angaben grundsätzlich innert eines Monats gemacht werden.

Art. 22 nDSG verlangt vor einer Bearbeitung, die voraussichtlich ein hohes Risiko zur Folge hat, eine vorgängige Datenschutz-Folgenabschätzung, ausdrücklich einschliesslich der umfangreichen Bearbeitung besonders schützenswerter Personendaten und der systematischen, umfangreichen Überwachung öffentlicher Bereiche. Ein Verantwortlicher, der ein zertifiziertes System einsetzt oder einem geprüften Verhaltenskodex folgt, kann für diese Bearbeitung auf eine erneute Abschätzung verzichten.

Art. 21 nDSG gibt einer betroffenen Person das Recht, über einen ausschliesslich automatisiert getroffenen Entscheid, der eine Rechtswirkung entfaltet oder sie erheblich beeinträchtigt, informiert zu werden und diesen in bestimmten Fällen anzufechten. Dieses Recht gilt nicht, wenn der automatisierte Entscheid unmittelbar mit einem Vertrag mit der betroffenen Person zusammenhängt und ihr gewährt, was sie beantragt hat, oder wenn sie ausdrücklich in eine vollständig automatisierte Bearbeitung eingewilligt hat.

Ein Beispiel aus der Praxis

Ein Schweizer Onlinehändler erleidet eine Verletzung, bei der Namen, Adressen und Bestellverläufe von Kundinnen und Kunden offengelegt werden, nicht aber Kartennummern oder Passwörter. Der Händler muss nach Art. 24 nDSG beurteilen, ob diese Verletzung voraussichtlich ein hohes Risiko für diese Kundinnen und Kunden zur Folge hat, nicht einfach, ob überhaupt eine Verletzung vorliegt.

Eine blosse Offenlegung von Namen und Lieferadressen ist ein deutlich anderes Risiko als eine Offenlegung, die auch Passwörter oder Kontonummern umfasst, weshalb die eigene Risikobeurteilung des Händlers und nicht eine feste Liste auslösender Datentypen darüber entscheidet, ob eine Meldung an den EDÖB erforderlich ist. Entscheidet er sich für eine Meldung, muss er den EDÖB so rasch als möglich informieren und dabei die Art der Verletzung, ihre Folgen sowie die getroffenen oder geplanten Massnahmen beschreiben, und er muss die betroffenen Kundinnen und Kunden benachrichtigen, wenn dies sie schützt oder der EDÖB dies verlangt.

Entdeckt der Händler später, dass eine Mitarbeiterin oder ein Mitarbeiter die Verletzung absichtlich verschwiegen hat, um den Papierkram zu vermeiden, ist diese Einzelperson, nicht das Unternehmen, dem möglichen Risiko nach Art. 61 nDSG von bis zu CHF 250000 ausgesetzt, und eine Strafverfolgung würde über den Kanton laufen, in dem die Tat begangen wurde, nicht über den EDÖB.

Wo die DSGVO ein Schweizer Unternehmen trotzdem erfasst

Die Schweiz ist weder EU- noch EWR-Mitglied, und die DSGVO ist kein Schweizer Landesrecht. Die beiden Systeme laufen parallel, und die Europäische Kommission anerkennt das Schweizer Datenschutzniveau bereits seit 2000 als angemessen, wobei die Kommission am 15. Januar 2024 einen neuen Angemessenheitsbeschluss erliess. Diese Anerkennung lässt Personendaten ohne zusätzliche Garantien aus der EU in die Schweiz fliessen; sie macht die DSGVO aber nicht zu Schweizer Recht.

Ein rein binnenschweizerisches Unternehmen ohne Niederlassung in der EU und ohne Geschäfte mit Personen in der EU ist grundsätzlich überhaupt nicht direkt von der DSGVO erfasst. Die DSGVO erreicht ein Schweizer Unternehmen nur über ihre eigene extraterritoriale Regel, die einen Verantwortlichen ohne Niederlassung in der EU erfasst, der Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet, unabhängig davon, wo das Unternehmen selbst seinen Sitz hat. Ein Schweizer Händler, der an deutsche Kundschaft liefert und einen deutschsprachigen Webshop betreibt, kommt für diese Regel durchaus infrage; ein Schweizer Unternehmen, das nur Schweizer Kundschaft bedient, in der Regel nicht.

Die Pflicht zur Vertretung in der Schweiz

Ein ausländischer Verantwortlicher ohne Niederlassung in der Schweiz muss eine Vertretung in der Schweiz bestellen, aber nur, wenn die vier Voraussetzungen von Art. 14 nDSG gemeinsam erfüllt sind: Die Bearbeitung steht im Zusammenhang mit dem Anbieten von Waren oder Dienstleistungen oder der Beobachtung des Verhaltens von Personen in der Schweiz, die Bearbeitung ist umfangreich, sie ist regelmässig, und sie birgt ein hohes Risiko für die betroffene Person.

Art. 14 kennt keine ziffernmässige Schwelle, keine bestimmte Anzahl betroffener Personen oder Mitarbeitender, die die Pflicht auslöst. Es handelt sich um einen qualitativen, kumulativen Test, und ein Unternehmen sollte nicht annehmen, es sei bereits sicher, nur weil es weniger als eine bestimmte Anzahl Schweizer Datensätze bearbeitet. Ebenso sollte ein Unternehmen nicht annehmen, die Pflicht gelte schon deshalb, weil es einige Schweizer Kundinnen und Kunden hat, denn alle vier Voraussetzungen müssen erfüllt sein.

Häufig mit der DSGVO verwechselt: Wo sich die beiden Gesetze wirklich unterscheiden

Die Aufsichtsbehörden der DSGVO können unmittelbar Verwaltungsbussen verhängen, festgelegt in ihrem Art. 83 als der höhere Betrag aus einer festen gesetzlichen Obergrenze oder einem Prozentsatz des weltweiten Jahresumsatzes. Das nDSG gibt seiner Aufsichtsbehörde überhaupt keine Bussenkompetenz und leitet das eigentliche finanzielle Risiko über kantonale Strafgerichte gegen Einzelpersonen, gedeckelt in Schweizer Franken, nicht als Prozentsatz des Umsatzes.

Bei der DSGVO gilt im Grundsatz: melden, ausser das Risiko sei gering. Beim nDSG gilt der umgekehrte Grundsatz, nur melden, wenn ein hohes Risiko wahrscheinlich ist, und der Massstab für die Frist ist qualitativ statt eine feste Uhr. Die Auskunftsfrist der DSGVO beträgt einen Monat, verlängerbar um zwei weitere Monate. Jene des nDSG beträgt in der Regel 30 Tage, verlängerbar mit Mitteilung, und anders als die DSGVO lässt sie zudem unter bestimmten Voraussetzungen einen gedeckelten Kostenbeitrag zu.

Genau dort geraten Unternehmen in Schwierigkeiten, wo sie die beiden Gesetze in die eine oder andere Richtung für austauschbar halten: indem sie annehmen, Schweizer Recht sei dort so streng wie die DSGVO, wo es tatsächlich enger gefasst ist, oder indem sie annehmen, die Schweiz habe kein ernsthaftes Datenschutzregime, nur weil sie ausserhalb der EU liegt.

Diese Seite gehört zu unserer umfassenderen Berichterstattung zum Schweizer Datenschutzrecht, die wiederum Teil unseres Leitfadens zum Schweizer Recht ist.