Datenschutzrecht Schweiz: Leitfaden zum Bundesgesetz über den Datenschutz (nDSG)

Die Schweiz regelt den Datenschutz über das revidierte Bundesgesetz über den Datenschutz (nDSG, SR 235.1), das am 1. September 2023 in Kraft trat. Das Gesetz ist weltweit einzigartig: Strafrechtliche Bussen von bis zu 250.000 CHF treffen die verantwortliche Einzelperson, nicht das Unternehmen, und nur vorsätzliche Verstösse sind strafbar.

Die Schweiz betreibt eines der eigenständigsten Datenschutzsysteme der Welt. Das revidierte Bundesgesetz über den Datenschutz, im Englischen als nFADP oder FADP und auf Deutsch als revDSG (revidiertes Datenschutzgesetz) bezeichnet, SR 235.1, löste ein Gesetz von 1992 ab, das mit der Internetära nicht mehr Schritt gehalten hatte. Es trat am 1. September 2023 ohne Übergangsfrist in Kraft.

Das nDSG ist für jede Organisation relevant, die personenbezogene Daten von Personen mit Aufenthalt in der Schweiz verarbeitet, unabhängig davon, wo diese Organisation ihren Sitz hat. Sein Durchsetzungsmodell, das auf die verantwortliche natürliche Person statt auf die juristische Person abzielt, unterscheidet es von jedem grossen Datenschutzsystem in Europa und Nordamerika.

Dieser Leitfaden erläutert jede wesentliche Bestimmung des nDSG mit Stand September 2026, einschliesslich der wachsenden Zahl von Durchsetzungsentscheidungen des EDÖB seit Inkrafttreten des Gesetzes.

Anwendungsbereich: Dieser Artikel behandelt das Bundesdatenschutzrecht der Schweiz (SR 235.1, nDSG/revDSG) und die Rolle des EDÖB. Die Schweiz ist kein Mitglied der Europäischen Union; die EU-DSGVO gilt nicht unmittelbar für Schweizer Verantwortliche, die Daten innerhalb der Schweiz verarbeiten. Bietet eine Schweizer Organisation Waren oder Dienstleistungen für Personen in der EU/im EWR an oder beobachtet sie deren Verhalten, gelten parallel die Compliance-Pflichten der EU-DSGVO. Für die Regeln der Schweiz zur Einwilligung bei Tonaufnahmen siehe Aufnahmegesetze Schweiz.

---

Kurzantwort: Welches Gesetz regelt den Datenschutz in der Schweiz?

Das Schweizer Datenschutzrecht ist das Bundesgesetz über den Datenschutz, SR 235.1, in der im September 2023 revidierten Fassung (nDSG/revDSG). Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) mit Sitz in Bern überwacht die Einhaltung. Die EU-DSGVO gilt nicht unmittelbar, jedoch verfügt die Schweiz über einen Angemessenheitsbeschluss der EU, sodass Datenflüsse zwischen der Schweiz und der EU ohne zusätzliche Garantien erfolgen können. Das nDSG sieht Bussen von bis zu 250.000 CHF gegen Einzelpersonen bei vorsätzlichen Verstössen vor, nicht gegen Unternehmen. Die Verarbeitung durch private Stellen ist grundsätzlich rechtmässig, sofern sie nicht die Persönlichkeitsrechte verletzt. Die Meldung von Datenschutzverletzungen an den EDÖB muss "so rasch als möglich" erfolgen, ohne feste 72-Stunden-Frist.

---

Geschichte und gesetzgeberischer Hintergrund

Das erste Bundesgesetz über den Datenschutz der Schweiz wurde am 19. Juni 1992 erlassen (SR 235.1). Damals galt das Gesetz als fortschrittlich, war jedoch in den 2010er-Jahren veraltet. Es entstand vor Cloud-Computing, Smartphone-Tracking, Verhaltensprofiling und modernen Praktiken von Datenhändlern.

Der Bundesrat unterbreitete dem Parlament 2017 eine umfassende Revisionsvorlage. Das Parlament verabschiedete das revidierte Gesetz nach ausführlicher Debatte, insbesondere über das Sanktionsmodell, in der Herbstsession 2020. Die begleitende Datenschutzverordnung (DSV, SR 235.11) und die Verordnung über Datenschutzzertifizierungen (VDSZ, SR 235.13) wurden im August 2022 fertiggestellt.

Das nDSG trat am 1. September 2023 in Kraft. Es gab keine Übergangsfrist. Bestehende Datenverarbeitungstätigkeiten mussten die neuen Anforderungen ab dem ersten Tag erfüllen.

Abkürzungsübersicht

Das Gesetz erscheint in der rechtlichen und wirtschaftlichen Literatur unter mehreren Abkürzungen:

• nDSG oder revDSG (Deutsch): neues beziehungsweise revidiertes Datenschutzgesetz
• nFADP oder FADP (Englisch): new Federal Act on Data Protection
• revLPD (Französisch): Loi sur la protection des données, révisée
• SR 235.1: die offizielle Systematische Rechtssammlung, sprachübergreifend einheitlich

Alle Bezeichnungen beziehen sich auf dasselbe Gesetz.

---

Anwendungsbereich

Wer vom nDSG erfasst wird

Das nDSG gilt für die Bearbeitung von Personendaten natürlicher Personen durch:

• Privatpersonen und private Organisationen (Unternehmen, Vereine, Stiftungen, Einzelunternehmen)
• Bundesorgane

Eine bedeutende Änderung gegenüber dem Gesetz von 1992: Das nDSG schützt nur natürliche Personen. Das alte Gesetz erstreckte den Schutz auch auf juristische Personen (Unternehmen), was international ungewöhnlich war. Der Wegfall juristischer Personen als betroffene Personen bringt die Schweiz in Einklang mit dem Ansatz der DSGVO und mit dem Übereinkommen 108+ des Europarats.

Extraterritoriale Reichweite

Art. 3 nDSG legt einen ausdrücklichen extraterritorialen Geltungsbereich fest. Das Gesetz gilt für jede Bearbeitung, die Wirkungen in der Schweiz entfaltet, unabhängig davon, wo sich der Verantwortliche oder der Auftragsbearbeiter befindet.

In der Praxis erfasst dies drei Kategorien ausländischer Organisationen:

1. Organisationen, die Personen in der Schweiz Waren oder Dienstleistungen anbieten, sei es entgeltlich oder unentgeltlich
2. Organisationen, die das Verhalten von Personen in der Schweiz beobachten (zum Beispiel über Cookies, Tracking-Pixel oder Verhaltensanalysen)
3. Organisationen, die Personendaten im Auftrag von in der Schweiz ansässigen Verantwortlichen bearbeiten

Vertretungspflicht für ausländische Verantwortliche

Art. 14 nDSG erfasst private Verantwortliche mit Sitz oder Wohnsitz im Ausland. Er erfasst weder Auftragsbearbeiter noch Bundesorgane. Ein solcher Verantwortlicher muss nur dann eine Vertretung in der Schweiz bezeichnen, wenn alle vier gesetzlichen Voraussetzungen gleichzeitig erfüllt sind:

1. Die Bearbeitung steht im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen an Personen in der Schweiz oder mit der Beobachtung des Verhaltens solcher Personen
2. Die Bearbeitung erfolgt in erheblichem Umfang
3. Die Bearbeitung erfolgt regelmässig
4. Die Bearbeitung bringt ein hohes Risiko für die Persönlichkeit der betroffenen Personen mit sich

Die Vertretung ist die Anlaufstelle für betroffene Personen und für den EDÖB, und der Verantwortliche muss Name und Adresse der Vertretung veröffentlichen. Art. 15 nDSG regelt die Pflichten der Vertretung: Sie führt das Verzeichnis der Bearbeitungstätigkeiten des Verantwortlichen nach Art. 12 Abs. 2 nDSG, stellt es dem EDÖB auf Verlangen zu und erteilt betroffenen Personen auf Anfrage Auskunft darüber, wie sie ihre Rechte ausüben können.

---

Grundprinzipien

Rechtmässigkeit und Treu und Glauben

Personendaten müssen rechtmässig und nach Treu und Glauben bearbeitet werden. Hier besteht ein grundlegender struktureller Unterschied zur DSGVO: Nach Schweizer Recht ist die Bearbeitung durch private Stellen grundsätzlich zulässig, sofern sie nicht die Persönlichkeit der betroffenen Person widerrechtlich verletzt (Art. 30 nDSG). Zivilrechtliche Klagen zum Schutz der Persönlichkeit richten sich nach den Art. 28, 28a sowie 28g bis 28l des Zivilgesetzbuchs, die Art. 32 Abs. 2 nDSG für anwendbar erklärt. Das nDSG verlangt von Verantwortlichen nicht, für jede Bearbeitungstätigkeit eine bestimmte Rechtsgrundlage (Einwilligung, berechtigtes Interesse, Vertrag usw.) zu benennen, wie dies Art. 6 DSGVO tut.

Das bedeutet, dass die Einwilligung in der Schweiz nicht die standardmässige Voraussetzung für die gewöhnliche Bearbeitung von Personendaten ist. Ein Rechtfertigungsgrund nach Art. 31 nDSG wird erst nötig, wenn die Bearbeitung die Persönlichkeit widerrechtlich verletzt. Art. 30 Abs. 2 nDSG zählt auf, was dazu gehört, namentlich eine Bearbeitung entgegen den Grundsätzen der Art. 6 und 8 nDSG, eine Bearbeitung gegen den ausdrücklichen Willen der betroffenen Person sowie die Bekanntgabe besonders schützenswerter Personendaten an Dritte.

Verhältnismässigkeit und Zweckbindung

Personendaten dürfen nur zu einem bestimmten Zweck erhoben werden, der für die betroffene Person erkennbar ist, und nur in einer mit diesem Zweck vereinbaren Weise bearbeitet werden. Die erhobenen Daten müssen auf das für den angegebenen Zweck Verhältnismässige beschränkt sein (Art. 6 nDSG).

Richtigkeit der Daten

Verantwortliche müssen sicherstellen, dass Personendaten richtig und aktuell sind. Sind Daten unrichtig, müssen sie berichtigt oder gelöscht werden. Diese Pflicht besteht fortlaufend und nicht nur im Zeitpunkt der Erhebung.

Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

Das nDSG kodifiziert in Art. 7 formell beide Grundsätze:

• Datenschutz durch Technikgestaltung (Privacy by Design) verlangt, dass Organisationen den Datenschutz von der frühesten Entwurfsphase an in Systeme und Prozesse einbauen und technische sowie organisatorische Massnahmen wählen, die die Datenbearbeitung minimieren.
• Datenschutzfreundliche Voreinstellungen (Privacy by Default) verlangen, dass die Standardeinstellungen die Datenbearbeitung auf das für den angegebenen Zweck notwendige Minimum beschränken. Nutzer sollen nicht aktiv werden müssen, um unnötige Datenerhebung einzuschränken; einschränkende Einstellungen müssen der Standard sein.

Keiner der beiden Grundsätze war im Gesetz von 1992 enthalten. Ihre formelle Kodifizierung schafft Compliance-Pflichten für Systemarchitekten, Produktverantwortliche und IT-Beschaffungsteams, nicht nur für Datenschutzjuristen.

---

Besonders schützenswerte Personendaten

Eine erweiterte Definition

Das nDSG hat die Kategorien besonders schützenswerter Personendaten erweitert. Nach Art. 5 lit. c nDSG umfassen besonders schützenswerte Personendaten:

Die letzten beiden Kategorien, Verwaltungs- und Strafverfahren sowie Massnahmen der sozialen Hilfe, erweitern die Schweizer Definition besonders schützenswerter Daten über die Liste des Art. 9 DSGVO hinaus. Art. 5 lit. c Ziff. 6 nDSG erfasst Daten über Massnahmen der sozialen Hilfe, also die Sozialhilfe im engeren Sinn, und nicht Sozialversicherungsdaten wie Renten- oder Versicherungsakten. Organisationen, die diese Datentypen in der Schweiz bearbeiten, unterliegen strengeren Anforderungen, als sie die DSGVO in der EU vorsieht.

Die Bearbeitung besonders schützenswerter Personendaten ist nicht schon für sich genommen unzulässig und erfordert nicht automatisch eine Einwilligung. Verletzt die Bearbeitung die Persönlichkeit widerrechtlich, braucht sie einen Rechtfertigungsgrund nach Art. 31 Abs. 1 nDSG: die Einwilligung der betroffenen Person, ein überwiegendes privates oder öffentliches Interesse oder das Gesetz.

Die Bekanntgabe besonders schützenswerter Personendaten an Dritte ist in Art. 30 Abs. 2 lit. c nDSG ausdrücklich als Persönlichkeitsverletzung aufgeführt. Stützt sich die Rechtfertigung auf die Einwilligung, muss diese nach Art. 6 Abs. 7 lit. a nDSG ausdrücklich erteilt werden.

---

Rechte der betroffenen Personen

Das nDSG hat die individuellen Rechte im Vergleich zum Gesetz von 1992 erheblich erweitert.

Auskunftsrecht (Art. 25)

Jede Person kann bei einem Verantwortlichen schriftlich anfragen, ob sie betreffende Personendaten bearbeitet werden. Bei einem berechtigten Auskunftsbegehren muss der Verantwortliche Folgendes mitteilen:

• seine Identität und Kontaktdaten
• die bearbeiteten Personendaten
• den Bearbeitungszweck
• die Aufbewahrungsdauer oder die Kriterien zu deren Festlegung
• die Herkunft der Daten, sofern sie nicht bei der betroffenen Person selbst erhoben wurden
• eine allfällige automatisierte Einzelentscheidung, einschliesslich Profiling
• die Empfänger oder Kategorien von Empfängern, denen Daten bekanntgegeben wurden oder werden

Die Auskunft muss kostenlos und in der Regel innerhalb von 30 Tagen erteilt werden (Art. 25 Abs. 6 und 7 nDSG; Art. 18 DSV). Das Schweizer Recht kennt den Gebührentest der DSGVO für offenkundig unbegründete oder exzessive Anträge nicht. Nach Art. 19 DSV kann ein Verantwortlicher die betroffene Person nur dann um eine Kostenbeteiligung ersuchen, wenn die Auskunft mit einem unverhältnismässigen Aufwand verbunden ist. Die Beteiligung beträgt höchstens 300 Franken, der Verantwortliche muss den Betrag vor der Auskunftserteilung mitteilen, und bestätigt die betroffene Person ihr Gesuch nicht innerhalb von zehn Tagen, gilt es als kostenlos zurückgezogen; die Frist von 30 Tagen beginnt in diesem Fall mit Ablauf dieser zehn Tage.

Ein offensichtlich unbegründetes Gesuch löst nach Schweizer Recht keine Gebühr aus. Es ist ein Grund, die Auskunft nach Art. 26 Abs. 1 lit. c nDSG zu verweigern, einzuschränken oder aufzuschieben. Die Entscheidung des EDÖB vom Januar 2025 gegen die Cembra Money Bank AG stellte fest, dass die Bank 9 von 13 Auskunftsbegehren ausserhalb der 30-Tage-Frist beantwortet hatte, was gegen Art. 25 nDSG verstiess, und dass sie einen standardisierten Antworttext verwendet hatte, der die erforderlichen individualisierten Angaben nicht enthielt.

Recht auf Datenherausgabe (Art. 28)

Betroffene Personen können verlangen, ihre Personendaten in einem gängigen, elektronischen Format zu erhalten, das ihre Weiterverwendung erlaubt, oder deren direkte Übermittlung an einen anderen Verantwortlichen verlangen. Dieses Recht gilt, wenn die Daten von der betroffenen Person selbst bereitgestellt wurden und mit ihrer Einwilligung oder zur Erfüllung eines Vertrags bearbeitet werden.

Recht auf Berichtigung und Löschung

Betroffene Personen können die Berichtigung unrichtiger Personendaten verlangen (Art. 32 Abs. 1 nDSG). Die Löschung wird über die Persönlichkeitsklage geltend gemacht, die Art. 32 Abs. 2 nDSG den Art. 28 ff. des Zivilgesetzbuchs zuweist; danach kann die klagende Person verlangen, dass Personendaten gelöscht oder vernichtet werden. Unabhängig davon verpflichtet Art. 6 Abs. 4 nDSG den Verantwortlichen, Personendaten zu vernichten oder zu anonymisieren, sobald sie für den Bearbeitungszweck nicht mehr erforderlich sind.

Widerspruchsrecht

Betroffene Personen können der Bearbeitung ihrer Personendaten widersprechen. Der Widerspruch ist deshalb von Bedeutung, weil Art. 30 Abs. 2 lit. b nDSG eine Bearbeitung gegen den ausdrücklichen Willen der betroffenen Person als Persönlichkeitsverletzung einstuft. Der Verantwortliche darf die Bearbeitung nur fortsetzen, wenn er einen Rechtfertigungsgrund nach Art. 31 Abs. 1 nDSG darlegen kann, in der Praxis ein überwiegendes privates oder öffentliches Interesse.

Automatisierte Entscheidungsfindung

Personen haben das Recht, keiner ausschliesslich auf automatisierter Bearbeitung, einschliesslich Profiling, beruhenden Entscheidung mit erheblicher Wirkung unterworfen zu werden, sofern sie nicht eingewilligt haben, die Entscheidung gesetzlich vorgesehen ist oder zur Vertragserfüllung erforderlich ist. Wird eine automatisierte Entscheidung getroffen, kann die betroffene Person verlangen, dass diese von einer natürlichen Person überprüft wird.

---

Transparenz: Informationspflicht

Nach den Art. 19 bis 21 nDSG müssen Verantwortliche betroffene Personen bei der Erhebung ihrer Personendaten aktiv informieren. Diese Pflicht gilt für alle Personendaten, nicht nur für besonders schützenswerte Daten, was strenger ist als unter dem Gesetz von 1992.

Zu den erforderlichen Angaben gehören:

• Identität und Kontaktdaten des Verantwortlichen sowie der Schweizer Vertretung, sofern der Verantwortliche seinen Sitz im Ausland hat
• Bearbeitungszweck
• Empfänger oder Kategorien von Empfängern der Daten
• Bei Übermittlung ins Ausland: das Zielland und die getroffenen Garantien

Werden Daten nicht direkt bei der betroffenen Person erhoben, muss der Verantwortliche diese Informationen spätestens innerhalb eines Monats nach Erhalt der Daten oder, falls dies früher erfolgt, vor der ersten Bekanntgabe an Dritte bereitstellen.

Ausnahmen gelten, wenn die Information unverhältnismässig aufwendig wäre, die Daten der betroffenen Person bereits bekannt waren, die Erhebung oder Bekanntgabe ausdrücklich gesetzlich vorgesehen ist oder überwiegende Interessen Dritter Vertraulichkeit erfordern.

---

Profiling nach Schweizer Recht

Das nDSG trifft eine zweistufige Unterscheidung, die vom Ansatz der DSGVO abweicht.

Standard-Profiling, das heisst die automatisierte Bearbeitung von Personendaten zur Bewertung bestimmter persönlicher Aspekte, erfordert nach Schweizer Recht keine Einwilligung. Eine Rechtsgrundlage ist nur erforderlich, wenn das Profiling Persönlichkeitsrechte verletzt.

Art. 5 lit. f nDSG definiert das gewöhnliche Profiling. Art. 5 lit. g nDSG definiert das Profiling mit hohem Risiko als ein Profiling, das ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.

Eine Einwilligung ist keine Voraussetzung für ein Profiling mit hohem Risiko. Verletzt es die Persönlichkeit, braucht es einen Rechtfertigungsgrund nach Art. 31 nDSG: die Einwilligung der betroffenen Person, ein überwiegendes privates oder öffentliches Interesse oder das Gesetz. Stützt sich die Rechtfertigung auf die Einwilligung, muss diese nach Art. 6 Abs. 7 lit. b nDSG ausdrücklich erteilt werden. Ein Weg ist verschlossen: Das Interesse an einer Kreditwürdigkeitsprüfung nach Art. 31 Abs. 2 lit. c nDSG steht nicht zur Verfügung, wenn ein Profiling mit hohem Risiko vorliegt.

Die DSGVO verlangt demgegenüber für jedes Profiling eine Rechtsgrundlage und gewährt betroffenen Personen nach Art. 21 ein allgemeines Widerspruchsrecht gegen Profiling, mit stärkerem Schutz für ausschliesslich automatisiertes Profiling nach Art. 22. Das Schweizer Modell gibt Organisationen mehr Spielraum für Standard-Profiling; ein Profiling mit hohem Risiko, das die Persönlichkeit verletzt, muss sich hingegen auf einen Rechtfertigungsgrund nach Art. 31 nDSG stützen, und stützt es sich auf die Einwilligung, muss diese ausdrücklich sein.

---

Datenschutz-Folgenabschätzungen

Art. 22 nDSG verlangt eine Datenschutz-Folgenabschätzung vor jeder Bearbeitung, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder Grundrechte betroffener Personen führt. Art. 22 Abs. 2 nDSG nennt zwei gesetzliche Beispiele, in denen ein solches Risiko besteht:

• die umfangreiche Bearbeitung besonders schützenswerter Personendaten
• die systematische Überwachung umfangreicher öffentlicher Bereiche (zum Beispiel eine CCTV-Abdeckung eines Stadtzentrums)

Das Profiling mit hohem Risiko gehört nicht zu diesen beiden aufgezählten Beispielen, erfüllt aber in aller Regel den allgemeinen Test von Art. 22 Abs. 1 nDSG, der auf Art, Umfang, Umstände und Zweck der Bearbeitung abstellt.

Ergibt die Folgenabschätzung, dass die geplante Bearbeitung trotz vorgesehener Massnahmen weiterhin ein hohes Risiko darstellt, muss der Verantwortliche vor Beginn der Bearbeitung die Stellungnahme des EDÖB einholen. Ein privater Verantwortlicher kann darauf nur verzichten, wenn er seine Datenschutzberaterin oder seinen Datenschutzberater zu dieser konkreten Bearbeitung tatsächlich konsultiert hat (Art. 23 Abs. 4 nDSG) und wenn zugleich alle vier Voraussetzungen von Art. 10 Abs. 3 nDSG erfüllt sind. Eine beratende Person im Organigramm genügt für sich allein nicht.

Für Datenschutz-Folgenabschätzungen schreibt das nDSG kein bestimmtes Format vor. Organisationen können der DSGVO-Methodik folgen, die der EDÖB als angemessen erachtet, oder eigene strukturierte Bewertungen entwickeln.

---

Meldung von Datenschutzverletzungen

Das nDSG führte erstmals eine verpflichtende Meldung von Datenschutzverletzungen im Schweizer Datenschutzrecht ein.

Pflichten des Verantwortlichen

Nach Art. 24 nDSG muss ein Verantwortlicher dem EDÖB so rasch als möglich melden, wenn eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder Grundrechte der betroffenen Personen führt. Es gibt keine feste Frist entsprechend dem 72-Stunden-Fenster der DSGVO. Der EDÖB hat ausführliche Leitlinien zu Datenschutzverletzungen veröffentlicht und betreibt ein eigenes Online-Meldeportal.

Verantwortliche müssen zudem betroffene Personen benachrichtigen, wenn dies zu deren Schutz erforderlich ist oder der EDÖB dies verlangt.

Pflichten des Auftragsbearbeiters

Auftragsbearbeiter müssen den Verantwortlichen so rasch als möglich über jede Verletzung informieren. Der Verantwortliche trägt sodann die Verantwortung zu beurteilen, ob eine Meldung an den EDÖB und an die betroffenen Personen erforderlich ist.

Die Schwelle des "hohen Risikos"

Die Meldeschwelle des nDSG, "hohes Risiko für die Persönlichkeit oder Grundrechte", liegt höher als der Standard der DSGVO, "Risiko für die Rechte und Freiheiten natürlicher Personen". Verletzungen mit mässigem oder geringem Risiko lösen nach Schweizer Recht keine Meldepflicht aus. Organisationen, die sowohl in der Schweiz als auch in der EU tätig sind, können daher DSGVO-Meldepflichten für Vorfälle haben, die unter der Schweizer Meldeschwelle liegen.

---

Grenzüberschreitende Datenübermittlungen

Angemessenheitsbeschlüsse

Der Bundesrat führt eine offizielle Liste von Ländern, deren Datenschutzniveau nach Art. 16 nDSG und Art. 8 DSV als angemessen anerkannt ist. Personendaten können ohne zusätzliche Garantien frei in Länder dieser Liste fliessen. Massgebend ist Anhang 1 der Datenschutzverordnung auf Fedlex; er ist die Liste selbst und wird jedes Mal geändert, wenn ein Staat aufgenommen wird. Die Angemessenheitsseite des EDÖB erläutert, wie die Liste funktioniert, und die Datenschutzseite des Bundesamts für Justiz enthält die gesetzgeberischen Hintergründe.

Angemessenheitsstatus der Schweiz gegenüber der EU

Der Angemessenheitsbericht der Europäischen Kommission vom 15. Januar 2024 bestätigte, dass die Schweiz weiterhin ein nach der DSGVO angemessenes Datenschutzniveau bietet. Die Prüfung der Kommission hob insbesondere die Modernisierung durch das nDSG als Stärkung der Angemessenheitsgrundlage hervor. Die nächste planmässige Überprüfung durch die Kommission nach Art. 97 Abs. 2 DSGVO ist erst um das Jahr 2028 fällig. Datenübermittlungen von der Schweiz in die EU und umgekehrt können ohne zusätzliche Garantien fortgesetzt werden.

Swiss-US Data Privacy Framework

Am 14. August 2024 entschied der Bundesrat, dass das Swiss-US Data Privacy Framework (Swiss-US DPF) für Übermittlungen personenbezogener Daten an zertifizierte US-Unternehmen ein angemessenes Schutzniveau bietet. Das Swiss-US DPF trat am 15. September 2024 in Kraft. Im Rahmen des Frameworks zertifizierte und auf der Website des Data Privacy Framework gelistete US-Organisationen können Schweizer Personendaten ohne zusätzliche Übermittlungsgarantien erhalten.

Das Framework ist weiterhin in Kraft. Die Vereinigten Staaten sind Eintrag 44 in Anhang 1 der Datenschutzverordnung, aufgenommen durch die Verordnung vom 14. August 2024, in Kraft seit dem 15. September 2024 (AS 2024 435). Anhang 1 hält auch fest, worauf die Schweizer Anerkennung beruht: Executive Order 14086 vom 7. Oktober 2022, die Regelung zur Einsetzung des Data Protection Review Court beim US-Justizminister, Intelligence Community Directive 126 sowie die Bezeichnung der Schweiz am 7. Juni 2024 als Staat, der vom zweistufigen Rechtsschutzmechanismus erfasst wird. Ein Wegfall dieser Voraussetzungen wäre es, was die Anerkennung gefährden würde.

Organisationen sollten dennoch alternative Übermittlungsmechanismen wie Standardvertragsklauseln mit Swiss Finish bereithalten. Der aktuelle Grund dafür sind nicht Schrems I oder Schrems II, sondern die laufende Anfechtung des parallelen EU-Frameworks: Das Gericht der Europäischen Union wies die Klage Latombe gegen Kommission (T-553/23) am 3. September 2025 ab, und Herr Latombe legte am 31. Oktober 2025 beim Gerichtshof Rechtsmittel ein (Rechtssache C-703/25 P), das noch hängig ist.

Standardvertragsklauseln: Der "Swiss Finish"

Für Übermittlungen in Länder ohne Angemessenheitsbeschluss sind Schweizer Standardvertragsklauseln der am häufigsten verwendete Mechanismus. Der EDÖB hat Orientierungshilfen veröffentlicht, wonach Organisationen die von der EU genehmigten SCCs für Schweizer Zwecke anpassen können, indem sie Klauseln mit "Swiss Finish" hinzufügen. Diese Anpassungen bestehen typischerweise darin,

• Verweise auf die DSGVO durch Verweise auf das nDSG zu ersetzen,
• die Schweizer Gerichte oder den EDÖB als zuständige Aufsichtsbehörde zu bezeichnen,
• Schweizer Rechte betroffener Personen einzubeziehen.

Eine Transfer Impact Assessment sollte SCC-basierte Übermittlungen in Jurisdiktionen begleiten, die für betroffene Personen ein erhöhtes rechtliches Risiko darstellen (zum Beispiel Jurisdiktionen mit weitreichenden staatlichen Überwachungsbefugnissen).

Weitere Übermittlungsmechanismen

Weitere anerkannte Übermittlungsmechanismen nach Art. 16 nDSG umfassen:

• vom EDÖB genehmigte verbindliche unternehmensinterne Vorschriften (Binding Corporate Rules)
• vom EDÖB genehmigte Standarddatenschutzklauseln
• vom EDÖB genehmigte Verhaltenskodizes
• die ausdrückliche Einwilligung der betroffenen Person, nachdem sie über das Zielland und das Fehlen eines angemessenen Schutzniveaus informiert wurde
• die Erfüllung eines Vertrags mit der betroffenen Person oder in ihrem Interesse
• überwiegende öffentliche Interessen

---

Der EDÖB: Die Aufsichtsbehörde der Schweiz

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist die unabhängige nationale Datenschutzbehörde der Schweiz. Die Behörde hat ihren Sitz in Bern. Die oder der Beauftragte wird von der Vereinigten Bundesversammlung gewählt (Art. 43 Abs. 1 nDSG) und erstattet der Bundesversammlung jährlich Bericht; der Bericht geht gleichzeitig an den Bundesrat (Art. 57 Abs. 1 nDSG). Einen Verweis aussprechen kann die Gerichtskommission, nicht der Bundesrat (Art. 44a nDSG).

Erweiterte Befugnisse unter dem nDSG

Das nDSG hat die Aufsichtsinstrumente des EDÖB im Vergleich zum Gesetz von 1992, unter dem der Beauftragte lediglich unverbindliche Empfehlungen aussprechen konnte, deutlich gestärkt:

• Vorabklärungen: Niederschwellige vorläufige Abklärungen bei Verdacht auf ein datenschutzrechtliches Problem. Diese können ohne Eröffnung einer förmlichen Untersuchung abgeschlossen werden.
• Förmliche Untersuchungen: Eröffnet nach Art. 49 ff. nDSG bei klaren Anhaltspunkten für einen Verstoss. Der EDÖB kann Beweise erheben und die Herausgabe von Unterlagen verlangen.
• Verbindliche Verwaltungsanordnungen: Nach einer Untersuchung kann der EDÖB rechtsverbindliche Anordnungen erlassen, die einen Verantwortlichen oder Auftragsbearbeiter verpflichten, bestimmte Bearbeitungstätigkeiten zu ändern oder einzustellen. Diese Anordnungen sind vollstreckbar und können beim Bundesverwaltungsgericht angefochten werden.
• Verpflichtende Konsultation bei Folgenabschätzungen: Verantwortliche müssen die Stellungnahme des EDÖB einholen, bevor sie fortfahren, wenn eine Datenschutz-Folgenabschätzung ein hohes Restrisiko ergibt, ausser die enge Ausnahme von Art. 23 Abs. 4 in Verbindung mit Art. 10 Abs. 3 nDSG greift.
• Beteiligung als Amicus: Der EDÖB kann sich an Gerichtsverfahren beteiligen, die den Datenschutz betreffen.

Was der EDÖB nicht tun kann

Der EDÖB kann keine Bussen verhängen. Dies ist ein grundlegender struktureller Unterschied zu den EU-Datenschutzbehörden, die nach der DSGVO Verwaltungsgeldbussen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes verhängen können. In der Schweiz liegen Geldstrafen ausschliesslich bei den kantonalen Strafverfolgungsbehörden, und nur bei vorsätzlichen Verstössen.

Bilanz der Durchsetzung (2023-2026)

Das jüngste Berichtsjahr des EDÖB zeichnet das klarste Bild der bisherigen Durchsetzungstätigkeit:

• In seinem 33. Tätigkeitsbericht für den Zeitraum vom 1. April 2025 bis zum 31. März 2026 verzeichnet der EDÖB 2.447 eingegangene Meldungen, davon 2.347 gegen private Stellen, ferner 156 niederschwellige Interventionen, 22 Vorabklärungen und 9 förmliche Untersuchungen, von denen 6 im Berichtsjahr eröffnet wurden. Zwei Verfahren waren am Ende des Berichtsjahres beim Bundesverwaltungsgericht hängig.
• Vermittlungsanfragen sind keine datenschutzrechtliche Durchsetzungsmassnahme. Sie gehören zum Öffentlichkeitsgesetz: Wer mit dem Entscheid einer Bundesbehörde über den Zugang zu amtlichen Dokumenten nicht einverstanden ist, stellt beim EDÖB einen Schlichtungsantrag. Der EDÖB erhielt 2025 deren 203, einen mehr als im Vorjahr, und erzielte in 73 Prozent der durchgeführten Sitzungen eine einvernehmliche Lösung. Diese Zahlen sagen nichts über die Durchsetzung des nDSG aus.

Zu den wichtigen Durchsetzungsmassnahmen seit Inkrafttreten des nDSG zählen die folgenden. Ein Eintrag, die Untersuchung gegen Digitec Galaxus, wurde noch nach dem früheren Recht entschieden und ist entsprechend gekennzeichnet.

---

Strafrechtliche Sanktionen: Das einzigartige Modell der individuellen Haftung in der Schweiz

Struktur des Sanktionsregimes

Die Art. 60 bis 66 nDSG legen den strafrechtlichen Sanktionsrahmen fest. Die Höchstbusse beträgt 250.000 CHF. Diese Busse wird gegen die natürliche Person verhängt, die den Verstoss begangen hat, nicht gegen die Organisation als solche. Die Gesetzesmaterialien zum nDSG stellen klar, dass das Parlament mit diesen Sanktionen Führungskräfte und Entscheidungsträger treffen wollte, nicht Mitarbeitende, die lediglich Anweisungen ausführen.

Dieses Modell ist weltweit praktisch einzigartig. Die DSGVO verhängt Verwaltungsgeldbussen gegen die Organisation selbst. Der kanadische PIPEDA sieht Bussen gegen Organisationen vor. Der australische Privacy Act sieht Sanktionen gegen juristische Einheiten vor. Die Entscheidung der Schweiz, die Einzelperson ins Visier zu nehmen, ist eine bewusste gesetzgeberische Grundsatzentscheidung, die in der schweizerischen strafrechtlichen Tradition verwurzelt ist, wonach eine strafrechtliche Sanktion in der Regel eine verantwortliche natürliche Person voraussetzt.

Vorsatzerfordernis: Nur vorsätzliche Verstösse sind strafbar

Nur vorsätzliche Verstösse lösen strafrechtliche Sanktionen nach dem nDSG aus. Fahrlässige Verstösse, einschliesslich solcher, die aus mangelhafter Datenschutz-Governance, unzureichenden Systemen oder organisatorischen Versäumnissen entstehen, sind nicht strafbar. Die Strafverfolgungsbehörden müssen nachweisen, dass die beschuldigte Person mit Vorsatz gegen das Gesetz verstossen hat.

Dieses Vorsatzerfordernis engt den Umfang der strafrechtlichen Verantwortlichkeit im Vergleich zur DSGVO, bei der Verwaltungsbussen auch für fahrlässige Verstösse verhängt werden können, erheblich ein. Es schafft jedoch ein besonderes Risiko für Personen, die bewusst klare Compliance-Pflichten missachten.

Konkrete Straftatbestände

Die Unterlassung der Bezeichnung einer Schweizer Vertretung ist in keinem der Art. 60 bis 63 nDSG als Straftatbestand ausgestaltet. Das Mittel des EDÖB ist verwaltungsrechtlich: Nach Art. 51 Abs. 4 nDSG kann er einen privaten Verantwortlichen mit Sitz oder Wohnsitz im Ausland verpflichten, eine Vertretung nach Art. 14 nDSG zu bezeichnen. Strafbar wird es erst, wenn die Organisation dieser Verfügung anschliessend vorsätzlich zuwiderhandelt, was unter Art. 63 fällt.

Haftung des Unternehmens als Ausnahme

Erfordert die Ermittlung der konkret verantwortlichen Einzelperson innerhalb eines Unternehmens einen unverhältnismässigen Untersuchungsaufwand, kann das Unternehmen selbst mit einer Busse von bis zu 50.000 CHF belegt werden. Diese subsidiäre Unternehmenshaftung ist die Ausnahme und nicht die Regel und gilt nur, wenn die individuelle Zurechnung tatsächlich undurchführbar ist.

Strafverfolgung durch kantonale Behörden

Die Verfolgung und Beurteilung strafbarer Handlungen ist nach Art. 65 Abs. 1 nDSG Sache der Kantone. Der EDÖB führt selbst keine Strafverfahren. Vom Strafweg ausgeschlossen ist er aber nicht: Nach Art. 65 Abs. 2 nDSG kann der EDÖB bei der zuständigen Strafverfolgungsbehörde Anzeige erstatten und im Verfahren die Rechte einer Privatklägerschaft wahrnehmen.

Der EDÖB hat von dieser Befugnis Gebrauch gemacht. Am 14. August 2025 erstattete er bei der Staatsanwaltschaft St. Gallen Strafanzeige gegen die Datenhändlerin Add Conti GmbH wegen Verweigerung der Mitwirkung in einer Untersuchung nach Art. 49 nDSG; öffentlich kommuniziert wurde der Schritt am 21. August 2025.

Welche Straftatbestände überhaupt zu einer Strafverfolgungsbehörde gelangen, hängt davon ab, wer Anzeige erstatten kann. Die Tatbestände von Art. 60 Abs. 1, Art. 61 und Art. 62 nDSG werden nur auf Antrag verfolgt. Falsche Auskünfte gegenüber dem EDÖB und die Verweigerung der Mitwirkung in einer Untersuchung (Art. 60 Abs. 2) sowie die Missachtung einer Verfügung des EDÖB (Art. 63) werden von Amtes wegen verfolgt.

Dieses dezentrale Modell bedeutet, dass die Durchsetzung von Kanton zu Kanton variieren kann. Mit Stand September 2026 wurden noch keine strafrechtlichen Verurteilungen unter dem neuen Gesetz öffentlich bekannt, und das Strafverfahren gegen Add Conti war bei Redaktionsschluss des 33. Tätigkeitsberichts des EDÖB noch hängig.

---

Verzeichnis von Bearbeitungstätigkeiten

Verantwortliche und Auftragsbearbeiter müssen nach Art. 12 nDSG ein schriftliches Verzeichnis ihrer Bearbeitungstätigkeiten führen. Das Verzeichnis muss Folgendes enthalten:

• Identität des Verantwortlichen oder Auftragsbearbeiters
• Zweck jeder Bearbeitungstätigkeit
• Kategorien betroffener Personen und bearbeiteter Personendaten
• Kategorien von Empfängern, einschliesslich grenzüberschreitender Empfänger
• Zielländer und Garantien bei grenzüberschreitenden Übermittlungen
• Aufbewahrungsdauer oder Kriterien zu deren Festlegung
• allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmassnahmen

Ausnahme für KMU

Art. 24 DSV befreit Unternehmen und andere private Organisationen, die am 1. Januar eines Jahres weniger als 250 Mitarbeitende beschäftigen, sowie natürliche Personen von der Pflicht, ein Verzeichnis der Bearbeitungstätigkeiten zu führen. Diese Ausnahme hat in der DSGVO keine Entsprechung, da diese unabhängig von der Grösse für alle Organisationen gilt, abgesehen von einer engen Ausnahme für die gelegentliche Verarbeitung durch KMU.

Die Ausnahme entfällt in genau zwei Fällen, und diese beiden sind abschliessend: wenn besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden oder wenn ein Profiling mit hohem Risiko durchgeführt wird. Einen allgemeinen Test des erheblichen Risikos gibt es nicht. Die systematische Überwachung von Personen ist kein Ausschlussgrund; ein KMU, das Personen systematisch überwacht, aber weder besonders schützenswerte Daten in grossem Umfang bearbeitet noch ein Profiling mit hohem Risiko durchführt, behält die Ausnahme.

---

Datenschutzberaterin oder Datenschutzberater

Freiwillig für private Organisationen

Anders als die DSGVO, die für bestimmte Kategorien von Verantwortlichen (Behörden, Organisationen mit umfangreicher systematischer Überwachung oder umfangreicher Bearbeitung besonders schützenswerter Daten) einen Datenschutzbeauftragten vorschreibt, verlangt das nDSG von privaten Organisationen nicht die Bestellung einer Datenschutzberaterin oder eines Datenschutzberaters.

Der Compliance-Anreiz

Die Bestellung einer Datenschutzberaterin oder eines Datenschutzberaters kann einen konkreten Compliance-Vorteil bringen, doch dieser Vorteil folgt weder automatisch aus der Bestellung noch gilt er unbedingt. Nach Art. 23 Abs. 4 nDSG kann ein privater Verantwortlicher nur dann auf die Konsultation des EDÖB verzichten, wenn er seine Datenschutzberaterin oder seinen Datenschutzberater zu der betreffenden Bearbeitung tatsächlich konsultiert hat. Nach Art. 10 Abs. 3 nDSG kann er sich auf diese Ausnahme nur berufen, wenn alle vier folgenden Voraussetzungen erfüllt sind:

• Die beratende Person übt ihre Funktion gegenüber dem Verantwortlichen fachlich unabhängig und weisungsungebunden aus
• Sie übt keine Tätigkeiten aus, die mit ihren Aufgaben als Beraterin oder Berater unvereinbar sind
• Sie verfügt über die erforderlichen Fachkenntnisse
• Der Verantwortliche veröffentlicht die Kontaktdaten der beratenden Person und teilt sie dem EDÖB mit

Eine Organisation, die eine nicht unabhängige interne Beratungsperson bestellt oder die Meldung an den EDÖB unterlässt, bleibt zur vorgängigen Konsultation vollumfänglich verpflichtet. Wer die Konsultation in der irrigen Annahme unterlässt, die Ausnahme greife, riskiert eine Verfügung des EDÖB und, bei deren Missachtung, die Strafdrohung von Art. 63 nDSG.

Bundesorgane sind nach Art. 25 DSV verpflichtet, eine Datenschutzberaterin oder einen Datenschutzberater zu bestellen; diese Bestimmung setzt die Delegationsnorm von Art. 10 Abs. 4 nDSG um. Art. 10 nDSG selbst regelt die von privaten Verantwortlichen bestellten Beraterinnen und Berater.

---

Vergleich zwischen dem nDSG und der DSGVO

Das nDSG wurde zwar so konzipiert, dass es mit der DSGVO vereinbar bleibt und den Angemessenheitsbeschluss der EU wahrt, dennoch bestehen bedeutsame Unterschiede, die Organisationen bei einer Tätigkeit in beiden Jurisdiktionen im Blick behalten müssen.

---

KI und Datenschutz

Der EDÖB hat bestätigt, dass das nDSG unmittelbar auf die KI-gestützte Datenbearbeitung anwendbar ist. Das Gesetz ist technologieneutral formuliert: KI-Systeme, die Personendaten von Personen in der Schweiz bearbeiten, müssen die Grundsätze der Rechtmässigkeit, Zweckbindung, Verhältnismässigkeit und Datenminimierung des nDSG einhalten.

Konkrete vom EDÖB veröffentlichte Orientierungshilfen legen fest, dass:

• Hersteller, Anbieter und Nutzer von KI-Anwendungen sicherstellen müssen, dass betroffene Personen ein grösstmögliches Mass an Kontrolle über ihre Personendaten behalten
• KI-Systeme ihren Zweck, ihre Funktionsweise und ihre Datenquellen transparent machen müssen
• eine KI-gestützte Bearbeitung mit hohem Risiko eine Datenschutz-Folgenabschätzung erfordert
• verbotene KI-Anwendungen die biometrische Echtzeit-Massenerkennung im öffentlichen Raum und Systeme des sozialen Scorings umfassen

Im März 2025 unterzeichnete die Schweiz das Übereinkommen des Europarats über Künstliche Intelligenz, Menschenrechte, Demokratie und Rechtsstaatlichkeit (das "Übereinkommen von Vilnius"). Der Bundesrat kündigte an, dass die für die Ratifizierung erforderlichen Anpassungen des Schweizer Rechts vorbereitet würden. Dies zeigt, dass sich der KI-Ordnungsrahmen der Schweiz weiterentwickeln wird und dass Datenschutz und KI-Regulierung als eng miteinander verknüpft behandelt werden.

Am 23. Februar 2026 schloss sich der EDÖB 60 weiteren nationalen Datenschutzbehörden in einer gemeinsamen Erklärung zu KI-generierten Bildern und dem Schutz der Privatsphäre an und bestätigte, dass die Erzeugung realistischer Abbildungen realer Personen ohne deren Einwilligung einen Verstoss gegen das Datenschutzrecht darstellen kann. Unabhängig davon beteiligte sich der EDÖB am Datenschutztag vom 28. Januar 2026 mit einem Konferenzbeitrag zu generativer KI und Datenschutz.

---

Orientierungshilfen zu Cookies und Tracking-Technologien

Der EDÖB veröffentlichte am 22. Januar 2025 Cookie-Leitlinien für Website- und App-Betreiber und gab am 7. Oktober 2025 eine aktualisierte Fassung dieser Leitlinien heraus (das PDF selbst trägt das Datum 6. Oktober 2025). Diese aktualisierte Fassung ist das für Unternehmen massgebende Dokument. Am 31. März 2026 veröffentlichte der EDÖB zusätzlich ein Merkblatt, das sich an Nutzerinnen und Nutzer von Websites richtet und erklärt, wie sie Tracking einschränken können; es ist eine Sensibilisierungshilfe und ändert nichts an der Orientierungshilfe für Verantwortliche. Zu den wichtigsten Schlussfolgerungen der Orientierungshilfe für Verantwortliche gehören:

• Verhaltensbasierte Werbung: Die Einbindung von Drittanbieter-Cookies oder ähnlichen Technologien, die Besucherdaten gegen Entgelt mit Werbetreibenden teilen, erfordert die Einwilligung der betroffenen Person, da dies eine Bekanntgabe von Personendaten an Dritte zu Zwecken darstellt, die aus der ursprünglichen Erhebung nicht ersichtlich sind.
• Standortdaten: Profiling auf Grundlage von Standortdaten stellt häufig ein Profiling mit hohem Risiko dar, da Standortdaten die Identifizierung der Person ermöglichen und wesentliche Aspekte der Persönlichkeit offenbaren können. Ein solches Profiling braucht daher einen Rechtfertigungsgrund nach Art. 31 nDSG, und eine darauf gestützte Einwilligung muss ausdrücklich sein.
• Cookie-Bezahlschranken: Ob eine Wahl zwischen Einwilligung und einem kostenpflichtigen Abonnement eine gültige Einwilligung darstellt, muss anhand der konkreten Umstände beurteilt werden. Die Orientierungshilfe des EDÖB legt die Voraussetzungen fest, unter denen eine solche Einwilligung rechtmässig eingeholt werden kann.

---

Sektorspezifische Überlegungen

Finanzdienstleistungen

Die schweizerische Tradition des Bankgeheimnisses, verankert im Bankengesetz (SR 952.0) und in Art. 47 des Bankengesetzes, verbindet sich auf komplexe Weise mit dem nDSG. Finanzinstitute müssen Datenschutzanforderungen mit Pflichten zur Geldwäschebekämpfung, Abkommen zum steuerlichen Informationsaustausch und Anforderungen der Finanzmarktaufsicht unter der Aufsicht der FINMA in Einklang bringen. Die Entscheidung des EDÖB von 2025 gegen die Cembra Money Bank ist bislang das deutlichste Signal, dass die Datenpraktiken des Finanzsektors unter dem neuen Gesetz genau geprüft werden.

Gesundheitswesen

Gesundheitsdaten gelten nach Art. 5 lit. c nDSG als besonders schützenswert. Gesundheitsdienstleister, Versicherer, Pharmaunternehmen und Forschungseinrichtungen, die Gesundheitsdaten bearbeiten, müssen erhöhte Schutzmassnahmen anwenden, für umfangreiche Bearbeitungen von Gesundheitsdaten Folgenabschätzungen durchführen und in der Lage sein, überall dort einen Rechtfertigungsgrund nach Art. 31 nDSG zu benennen, wo die Bearbeitung die Persönlichkeit widerrechtlich verletzt, insbesondere bei der Bekanntgabe von Gesundheitsdaten an Dritte (Art. 30 Abs. 2 lit. c nDSG). Grenzüberschreitende klinische Studien mit Bezug zur Schweiz müssen die Anforderungen an Übermittlungsmechanismen für Gesundheitsdatenflüsse berücksichtigen.

Technologie, Cloud-Dienste und SaaS

Cloud-Anbieter, SaaS-Plattformen und IT-Dienstleistungsunternehmen, die Schweizer Kunden bedienen, agieren nach dem nDSG als Auftragsbearbeiter und müssen die Anforderungen von Art. 9 erfüllen: Bearbeitung nur gemäss dokumentierten Anweisungen des Verantwortlichen, Umsetzung angemessener technischer und organisatorischer Sicherheitsmassnahmen, unverzügliche Meldung von Verletzungen an den Verantwortlichen sowie Unterstützung des Verantwortlichen bei der Erfüllung von Anträgen betroffener Personen. Art. 14 nDSG gilt nicht für Auftragsbearbeiter; einen ausländischen SaaS-Anbieter, der ausschliesslich als Auftragsbearbeiter handelt, trifft daher keine eigene Vertretungspflicht. Ein ausländischer Anbieter, der für eigene Zwecke als Verantwortlicher handelt, muss unter Umständen eine Schweizer Vertretung bezeichnen, aber nur, wenn alle vier Voraussetzungen von Art. 14 Abs. 1 nDSG erfüllt sind.

---

Praktische Compliance-Checkliste

Dem nDSG unterliegende Organisationen sollten folgende Schritte durchführen:

1. Bearbeitungstätigkeiten erfassen. Dokumentieren Sie jede Bearbeitung von Personendaten von Personen in der Schweiz. Prüfen Sie, ob die KMU-Ausnahme von der Verzeichnispflicht zutrifft.
2. Datenschutzerklärungen aktualisieren. Stellen Sie sicher, dass die Erklärungen Identität des Verantwortlichen und der Schweizer Vertretung (sofern zutreffend), Bearbeitungszwecke, Empfänger, Zielländer und Garantien bei grenzüberschreitenden Übermittlungen sowie die Rechte betroffener Personen offenlegen.
3. Rechtfertigungsgründe nach Art. 31 nDSG prüfen. Ermitteln Sie, welche Bearbeitungen die Persönlichkeit widerrechtlich verletzen, insbesondere die Bekanntgabe besonders schützenswerter Daten an Dritte, und halten Sie den herangezogenen Rechtfertigungsgrund nach Art. 31 nDSG fest; stützt er sich auf die Einwilligung, muss diese ausdrücklich sein.
4. Grenzüberschreitende Übermittlungen prüfen. Vergewissern Sie sich, dass alle internationalen Datenflüsse in Länder ohne Angemessenheitsbeschluss SCCs mit Swiss Finish, verbindliche unternehmensinterne Vorschriften oder einen anderen anerkannten Mechanismus verwenden. Führen Sie, wo erforderlich, Transfer Impact Assessments durch.
5. Verfahren zur Reaktion auf Verletzungen einrichten. Richten Sie interne Prozesse ein, um Verletzungen zu erkennen, zu bewerten und über das Online-Portal des EDÖB zu melden. Weisen Sie angesichts der persönlichen strafrechtlichen Verantwortlichkeit klare Verantwortlichkeiten bestimmten Personen zu.
6. Datenschutz-Folgenabschätzungen bei hohem Risiko durchführen. Ermitteln Sie alle risikoreichen Bearbeitungen und schliessen Sie Folgenabschätzungen vor deren Einführung ab. Wenn Sie eine Datenschutzberaterin oder einen Datenschutzberater bestellen, um von der vorgängigen Konsultationspflicht des EDÖB befreit zu sein, erfüllen Sie sämtliche Voraussetzungen von Art. 10 Abs. 3 nDSG und konsultieren Sie die beratende Person zu jeder Bearbeitung mit hohem Risiko, sonst greift die Ausnahme nicht.
7. Auftragsbearbeitungsverträge überprüfen. Stellen Sie sicher, dass alle Verarbeitungsvereinbarungen die Anforderungen des nDSG an Sicherheit, Meldung von Verletzungen, Einschränkungen von Unterauftragsbearbeitern und Unterstützung beim Auskunftsrecht erfüllen.
8. Mitarbeitende zur individuellen Haftung schulen. Da das nDSG strafrechtliche Sanktionen gegen Einzelpersonen vorsieht, muss die Schulung Entscheidungsträger erreichen. Mitarbeitende, die Datenbearbeitungen genehmigen, müssen verstehen, dass sie persönlich das strafrechtliche Risiko für vorsätzliche Verstösse tragen.
9. Durchsetzungspraxis des EDÖB verfolgen. Der EDÖB veröffentlicht regelmässig neue Orientierungshilfen, Untersuchungsergebnisse und verbindliche Anordnungen. Abonnieren Sie die Mitteilungen des EDÖB unter edoeb.admin.ch.

---

Aktuelle Entwicklungen

---

Dieser Artikel stellt allgemeine rechtliche Informationen über das Bundesgesetz über den Datenschutz der Schweiz (nDSG/revDSG, SR 235.1) mit Stand September 2026 dar. Er stellt keine Rechtsberatung dar und berücksichtigt keine individuellen Umstände einer Person oder Organisation. Das Datenschutzrecht und seine Durchsetzungspraxis entwickeln sich fortlaufend weiter. Dem nDSG unterliegende Organisationen sollten für eine Beratung zu ihren spezifischen Compliance-Pflichten eine in der Schweiz zugelassene Anwältin oder einen zugelassenen Anwalt konsultieren.

---

---

Häufig gestellte Fragen

Gilt die EU-DSGVO für Schweizer Unternehmen?

Die DSGVO gilt nicht unmittelbar für in der Schweiz ansässige Unternehmen, die Daten innerhalb der Schweiz bearbeiten. Die Schweiz ist kein Mitglied der EU oder des EWR und verfügt über ihr eigenes nDSG (SR 235.1). Ein Schweizer Unternehmen, das Personen in der EU oder im EWR Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet, muss jedoch nach Art. 3 Abs. 2 DSGVO für diese Tätigkeiten die DSGVO einhalten, unabhängig vom nDSG. Viele Schweizer Organisationen unterliegen daher parallel beiden Regelwerken.

Wie unterscheiden sich die Sanktionen des nDSG von den Bussen der DSGVO?

Das nDSG sieht strafrechtliche Bussen von bis zu 250.000 CHF gegen die für einen Verstoss verantwortliche natürliche Person vor, nicht gegen das Unternehmen. Nur vorsätzliche Verstösse sind strafbar; Fahrlässigkeit ist nicht erfasst. Die DSGVO verhängt demgegenüber Verwaltungsgeldbussen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes gegen die Organisation selbst und erfasst sowohl vorsätzliche als auch fahrlässige Verstösse. Ist die Ermittlung der verantwortlichen Person mit unverhältnismässigem Untersuchungsaufwand verbunden, kann ein Schweizer Unternehmen subsidiär mit einer Busse von bis zu 50.000 CHF belegt werden.

Ist eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter nach Schweizer Recht erforderlich?

Nein. Das nDSG verlangt von privaten Organisationen nicht die Bestellung einer Datenschutzberaterin oder eines Datenschutzberaters, dem Schweizer Pendant zu einem Datenschutzbeauftragten. Die Bestellung ist freiwillig. Sie kann einen praktischen Vorteil bringen, aber nicht automatisch: Nach Art. 23 Abs. 4 nDSG darf ein privater Verantwortlicher die Konsultation des EDÖB bei einer Bearbeitung mit hohem Restrisiko nur dann unterlassen, wenn er seine Datenschutzberaterin oder seinen Datenschutzberater zu dieser Bearbeitung tatsächlich konsultiert hat und alle vier Voraussetzungen von Art. 10 Abs. 3 nDSG erfüllt sind, namentlich die fachliche Unabhängigkeit und Weisungsungebundenheit der beratenden Person sowie die Veröffentlichung ihrer Kontaktdaten und deren Mitteilung an den EDÖB. Bundesorgane sind nach Art. 25 DSV verpflichtet, eine Datenschutzberaterin oder einen Datenschutzberater zu bestellen; diese Bestimmung setzt Art. 10 Abs. 4 nDSG um.

Können Personendaten von der Schweiz in die Vereinigten Staaten übermittelt werden?

Ja, über mehrere Mechanismen. Seit dem 15. September 2024 erlaubt das Swiss-US Data Privacy Framework Übermittlungen an zertifizierte US-Unternehmen, die auf dataprivacyframework.gov gelistet sind. Für nicht zertifizierte US-Unternehmen sollten Organisationen Standardvertragsklauseln mit Swiss Finish verwenden und diese mit einer Transfer Impact Assessment begleiten. Vom EDÖB genehmigte verbindliche unternehmensinterne Vorschriften stehen ebenfalls zur Verfügung. Organisationen wird empfohlen, alternative Mechanismen bereitzuhalten, weil das parallele EU-Framework aktuell angefochten ist: Das Gericht der Europäischen Union wies die Klage Latombe gegen Kommission (T-553/23) am 3. September 2025 ab, und das am 31. Oktober 2025 eingelegte Rechtsmittel in der Rechtssache C-703/25 P ist noch hängig.

Innerhalb welcher Frist muss eine Datenschutzverletzung dem EDÖB gemeldet werden?

Das nDSG verlangt eine Meldung 'so rasch als möglich', wenn eine Verletzung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder Grundrechte der betroffenen Personen führt. Es gibt keine feste Frist vergleichbar mit der 72-Stunden-Regel der DSGVO. Der EDÖB hat Leitlinien veröffentlicht und betreibt unter edoeb.admin.ch ein eigenes Meldeportal für Datenschutzverletzungen. Auftragsbearbeiter müssen ihre Verantwortlichen so rasch als möglich informieren; die Verantwortlichen müssen sodann beurteilen und erforderlichenfalls den EDÖB und die betroffenen Personen benachrichtigen.

Verlangt das schweizerische nDSG eine Einwilligung zur Bearbeitung von Personendaten?

Nicht für gewöhnliche Personendaten. Anders als die DSGVO, die für jede Bearbeitung eine bestimmte Rechtsgrundlage verlangt, erlaubt das nDSG die Bearbeitung durch private Stellen standardmässig, sofern sie nicht die Persönlichkeitsrechte der betroffenen Person verletzt. Ein Rechtfertigungsgrund nach Art. 31 nDSG ist nur erforderlich, wenn die Bearbeitung die Persönlichkeit widerrechtlich verletzt, etwa wenn sie den Grundsätzen von Art. 6 nDSG zuwiderläuft, gegen den ausdrücklichen Willen der betroffenen Person erfolgt oder besonders schützenswerte Personendaten an Dritte bekanntgibt (Art. 30 Abs. 2 nDSG). Stützt sich die Rechtfertigung auf die Einwilligung, muss diese nach Art. 6 Abs. 7 nDSG bei besonders schützenswerten Personendaten und beim Profiling mit hohem Risiko ausdrücklich sein. Diese Unterscheidung ist für Organisationen bedeutsam, die von DSGVO-konformen Praktiken umstellen: Ihre bestehende Einwilligungsinfrastruktur kann umfangreicher sein, als das Schweizer Recht strikt verlangt.

Welche Rolle spielt der EDÖB?

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist die unabhängige nationale Aufsichtsbehörde der Schweiz für den Datenschutz. Der EDÖB überwacht die Einhaltung des nDSG, eröffnet Vorabklärungen und förmliche Untersuchungen, erlässt rechtsverbindliche Verwaltungsanordnungen zur Änderung oder Einstellung von Bearbeitungen, stellt Orientierungshilfen und Empfehlungen bereit, muss konsultiert werden, wenn eine Folgenabschätzung ein hohes Restrisiko ergibt, ausser die enge Ausnahme von Art. 23 Abs. 4 in Verbindung mit Art. 10 Abs. 3 nDSG greift, und beteiligt sich an Vernehmlassungen. Der EDÖB kann keine Bussen verhängen; strafrechtliche Bussen liegen bei den kantonalen Strafverfolgungsbehörden.

Gelten Schweizer Datenschutzgesetze für ausländische Unternehmen?

Ja. Art. 3 nDSG legt einen extraterritorialen Geltungsbereich fest. Jede Organisation, die Personendaten von Personen in der Schweiz bearbeitet, ihnen Waren oder Dienstleistungen anbietet oder ihr Verhalten beobachtet, muss das nDSG einhalten, unabhängig davon, wo die Organisation ihren Sitz hat. Private Verantwortliche mit Sitz oder Wohnsitz im Ausland, nicht aber Auftragsbearbeiter, müssen zudem nach Art. 14 nDSG eine Schweizer Vertretung bezeichnen, und dies nur, wenn alle vier Voraussetzungen von Art. 14 Abs. 1 nDSG erfüllt sind: Die Bearbeitung steht im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen an Personen in der Schweiz oder mit der Beobachtung ihres Verhaltens, sie erfolgt in erheblichem Umfang, sie erfolgt regelmässig und sie bringt ein hohes Risiko für die Persönlichkeit der betroffenen Personen mit sich.

Was ist das Swiss-US Data Privacy Framework?

Das Swiss-US Data Privacy Framework (Swiss-US DPF) ist ein bilateraler Übermittlungsmechanismus, der personenbezogene Daten von der Schweiz an US-Unternehmen fliessen lässt, die ihre Einhaltung der Datenschutzgrundsätze des Frameworks selbst zertifiziert haben. Der Bundesrat stellte die Angemessenheit des Frameworks am 14. August 2024 fest, und es trat am 15. September 2024 in Kraft. Zertifizierte Unternehmen sind auf dataprivacyframework.gov gelistet. Organisationen sollten den Status des Frameworks verfolgen und alternative Übermittlungsmechanismen wie Schweizer SCCs bereithalten.

Was ist die KMU-Ausnahme nach Schweizer Datenschutzrecht?

Nach Art. 24 der Datenschutzverordnung (DSV, SR 235.11) sind Unternehmen und andere private Organisationen, die am 1. Januar eines Jahres weniger als 250 Mitarbeitende beschäftigen, sowie natürliche Personen von der Pflicht befreit, ein Verzeichnis von Bearbeitungstätigkeiten zu führen. Art. 24 DSV kennt keinen allgemeinen Test des erheblichen Risikos. Die Ausnahme entfällt nur in zwei abschliessend geregelten Fällen: wenn besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden oder wenn ein Profiling mit hohem Risiko durchgeführt wird. Die systematische Überwachung allein hebt sie nicht auf. Eine vergleichbare Ausnahme besteht unter der DSGVO nicht.