von Christophe Vallois
10. August 2026
14 Min. Lesezeit
Was ist das revDSG? Definition und Pflichten für Schweizer Unternehmen
revDSG: Definition, Unterschiede zur DSGVO, konkrete Pflichten und Sanktionen. Der vollständige Leitfaden für Schweizer Unternehmen, einfach erklärt.
Zusammenfassung
Das revDSG (revidiertes Bundesgesetz über den Datenschutz) ist das Schweizer Gesetz, das die Bearbeitung von Personendaten regelt. Es trat am 1. September 2023 in Kraft, ersetzte das alte DSG und näherte sich der europäischen DSGVO an, behält aber wichtige Schweizer Besonderheiten: es schützt ausschliesslich natürliche Personen, und seine Sanktionen, bis zu CHF 250'000, richten sich gegen die individuell verantwortliche Person statt gegen das Unternehmen. Dieser Artikel erklärt die Definition, die konkreten Pflichten und die Risiken bei Nichteinhaltung.
Einleitung
Jede Organisation, die Daten von Personen in der Schweiz bearbeitet, ob schweizerisch oder ausländisch, ist seit Inkrafttreten im September 2023 vom revDSG betroffen. Trotzdem bleibt das Gesetz oft missverstanden: mit der DSGVO verwechselt, auf eine Compliance-Formalität reduziert, oder als reines Juristen-Thema wahrgenommen.
Bei Ketl begleiten wir seit 2019 Schweizer KMU und regulierte Unternehmen bei ihrer dokumentenbezogenen Compliance. Dieser Artikel erklärt, was das revDSG ist, wie es sich von der DSGVO unterscheidet, wen es betrifft, und welche konkreten Pflichten es einem Unternehmen auferlegt.
Was ist das revDSG?
Das revDSG, revidiertes Bundesgesetz über den Datenschutz, ist der Rechtstext, der in der Schweiz die Erhebung, Bearbeitung und Aufbewahrung von Personendaten regelt. Vom Parlament im Herbst 2020 nach einer Totalrevision verabschiedet, trat es am 1. September 2023 in Kraft und ersetzte das alte, aus den 1990er-Jahren stammende Gesetz, das angesichts der heutigen digitalen Nutzung überholt war.
Diese Revision verfolgte zwei Hauptziele: den Datenschutz an die technologische Entwicklung anzupassen, und die Kompatibilität des Schweizer Rechts mit dem europäischen Recht, DSGVO eingeschlossen, zu erhalten, um den freien Datenverkehr zwischen der Schweiz und der Europäischen Union zu bewahren. Diese Kompatibilität wurde durch einen Angemessenheitsbeschluss der Europäischen Kommission bestätigt, der allerdings eine überprüfbare politische Entscheidung bleibt, keine dauerhafte Garantie.
revDSG und DSGVO: die wichtigsten Unterschiede
Das revDSG orientiert sich stark an der DSGVO, unterscheidet sich aber in mehreren konkreten Punkten, die vor jeder Compliance-Massnahme bekannt sein sollten.
Der Kreis der geschützten Personen. Das revDSG schützt ausschliesslich natürliche Personen. Das alte Schweizer Gesetz deckte auch juristische Personen (Unternehmen, Vereine) ab, ein Schutz, der mit der Revision entfällt und die Schweiz an den DSGVO-Ansatz angleicht.
Die Art der Sanktionen. Das ist der bedeutendste Unterschied. Die DSGVO sieht Verwaltungsbussen von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes vor, gerichtet gegen das Unternehmen als juristische Person. Das revDSG sieht strafrechtliche Sanktionen vor, die grundsätzlich gegen die für den Verstoss verantwortliche natürliche Person gerichtet sind, mit einer Höchststrafe von CHF 250'000, gegenüber CHF 10'000 unter dem alten Gesetz.
Die Meldefrist bei Verletzungen. Die DSGVO verlangt eine Meldung innerhalb von 72 Stunden. Das revDSG verlangt eine Meldung "so rasch als möglich" (Art. 24), eine im Text weniger starre Formulierung, die in der Praxis aber die Anforderung an rasches Handeln nicht mindert.
Die Aufsichtsbehörde. In der Schweiz führt der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) die Untersuchungen und kann Massnahmen anordnen, spricht die Bussen aber nicht selbst aus: diese fallen in die Zuständigkeit der kantonalen Strafbehörden, die auf Anzeige des EDÖB tätig werden.
| Kriterium | DSGVO | revDSG |
|---|---|---|
| Geschützte Personen | Natürliche und teilweise juristische Personen je nach Land | Nur natürliche Personen |
| Art der Sanktionen | Verwaltungsrechtlich, gegen das Unternehmen | Strafrechtlich, gegen die verantwortliche Person |
| Höchststrafe | 20 Mio. € oder 4% des weltweiten Umsatzes | CHF 250'000 |
| Meldefrist bei Verletzung | 72 Stunden | So rasch als möglich |
| Fahrlässigkeit strafbar | Ja | Nein, nur Vorsatz ist strafbar |
Wer ist vom revDSG betroffen?
Das revDSG gilt für jede Organisation, schweizerisch oder ausländisch, die Daten von Personen in der Schweiz bearbeitet, unabhängig davon, wo die Bearbeitung tatsächlich stattfindet. Das betrifft Mitarbeitende, Kunden, Interessenten, Verwaltete sowie deren Auftragsbearbeiter und Partner.
Ein ausländisches Unternehmen, das in grossem Umfang Daten von Personen in der Schweiz bearbeitet, ohne Sitz oder Niederlassung in der Schweiz, kann je nach Umständen verpflichtet sein, eine Vertretung in der Schweiz zu bestimmen. Die extraterritoriale Reichweite des Gesetzes folgt hier der Logik der DSGVO.
Die wichtigsten Pflichten für ein Unternehmen
Das Verarbeitungsverzeichnis
Art. 12 revDSG verlangt die Führung eines Verzeichnisses aller durchgeführten Bearbeitungen von Personendaten. Unternehmen mit weniger als 250 Mitarbeitenden sind grundsätzlich davon befreit, ausser sie bearbeiten besonders schützenswerte Daten in grossem Umfang oder betreiben Profiling mit hohem Risiko.
Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
Art. 7 revDSG verankert die Prinzipien Privacy by Design und Privacy by Default: der Datenschutz muss von Beginn der Konzeption einer Bearbeitung oder eines Produkts an integriert werden, nicht nachträglich hinzugefügt.
Die minimalen Sicherheitsmassnahmen
Art. 8 revDSG verlangt dem Risiko angemessene technische und organisatorische Massnahmen, um Daten vor unbefugtem Zugriff, Verlust oder Veränderung zu schützen.
Die Informationspflicht
Art. 19 revDSG verlangt, die betroffenen Personen bei der Beschaffung ihrer Daten zu informieren: Zweck der Bearbeitung, Identität des Verantwortlichen, allfällige Empfänger.
Die Datenschutz-Folgenabschätzung
Art. 22 revDSG verlangt eine Folgenabschätzung, wenn eine Bearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt.
Die Meldung bei Verletzungen
Art. 24 revDSG verlangt, dem EDÖB so rasch als möglich jede Verletzung der Datensicherheit zu melden, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt.
Die Regeln für die Bekanntgabe ins Ausland
Art. 16 und 17 revDSG regeln die Bekanntgabe von Personendaten ins Ausland. Die Übermittlung in ein Land mit anerkannt angemessenem Schutz, dessen Liste vom Bundesrat veröffentlicht wird, bleibt ohne zusätzliche vertragliche Garantie möglich. Die Schweiz und sämtliche EU-Länder stehen auf dieser Liste.
Sanktionen und Risiken bei Nichteinhaltung
Art. 60-66 revDSG definieren das strafrechtliche Sanktionssystem. Drei Elemente verdienen besondere Beachtung.
Die Höhe. Die Höchststrafe beträgt CHF 250'000 pro Verstoss, gegenüber CHF 10'000 unter dem alten Gesetz.
Das Ziel. Im Gegensatz zur DSGVO richtet sich die Sanktion grundsätzlich gegen die für den Verstoss verantwortliche natürliche Person innerhalb der Organisation, nicht gegen das Unternehmen selbst. Diese persönliche Verantwortung hat direkte Auswirkungen auf den Ruf und die berufliche Situation der betroffenen Person. Unter bestimmten Bedingungen, insbesondere wenn die vorgesehene Busse CHF 50'000 nicht übersteigt und die Untersuchung eine natürliche Person unverhältnismässig belasten würde, kann die Behörde stattdessen das Unternehmen verurteilen.
Das Vorsatzerfordernis. Nur vorsätzliche Verstösse sind strafbar. Fahrlässigkeit führt, anders als bei der DSGVO, unter dem revDSG zu keiner strafrechtlichen Sanktion, was selbstverständlich nicht von einem sorgfältigen Umgang mit Daten entbindet.
Zu beachten: ein Eintrag ins Strafregister wird möglich, sobald eine Busse CHF 5'000 übersteigt, was das Schweizer System klar von einer blossen Verwaltungssanktion unterscheidet.
revDSG und Dokumentenmanagement: die konkrete Verbindung
Die meisten revDSG-Pflichten übersetzen sich in der Praxis in dokumentarische Anforderungen: ein aktuelles Verzeichnis führen, nachweisen, dass Sicherheitsmassnahmen bestehen, die Daten einer Person bei einer Auskunfts- oder Löschanfrage rasch wiederfinden, eine Folgenabschätzung dokumentieren, eine Verletzung mit den notwendigen, so rasch als möglich zusammengetragenen Informationen melden.
Eine über E-Mail-Postfächer, lokale Ordner und Tabellenblätter verstreute Dokumentenverwaltung macht diese Pflichten schwer zuverlässig erfüllbar. Ein DMS, das Dokumente automatisch klassiert, jeden Zugriff und jede Änderung protokolliert, und eine Information in Sekunden statt Stunden wiederfindet, verwandelt diese theoretischen Pflichten in einen alltagstauglichen Prozess.
Ketl ist revDSG-nativ konzipiert: Hosting ausschliesslich in der Schweiz, vollständiger Revisionspfad auf jedem Dokument, und automatische KI-Klassifizierung, die die Führung eines aktuellen Verarbeitungsverzeichnisses vereinfacht.
In Zahlen: Ketl verarbeitet über 46 Millionen Dokumente in 11 regulierten Sektoren, mit Infrastruktur und KI-Modellen, die ausschliesslich in der Schweiz gehostet werden.
FAQ
Was bedeutet die Abkürzung revDSG?
revDSG steht für revidiertes Bundesgesetz über den Datenschutz. Es ist das Schweizer Gesetz, das am 1. September 2023 in Kraft trat und die Erhebung, Bearbeitung und Aufbewahrung von Personendaten regelt.
Was ist der Unterschied zwischen dem revDSG und der DSGVO? Der Hauptunterschied liegt in der Art der Sanktionen: die DSGVO sieht Verwaltungsbussen gegen das Unternehmen vor, bis zu 20 Millionen Euro oder 4% des weltweiten Umsatzes. Das revDSG sieht strafrechtliche Sanktionen gegen die verantwortliche natürliche Person vor, bis zu CHF 250'000. Das revDSG schützt zudem ausschliesslich natürliche Personen, im Gegensatz zum alten Schweizer Gesetz, das auch juristische Personen abdeckte.
Ist ein ausländisches Unternehmen vom revDSG betroffen? Ja, wenn es Daten von Personen in der Schweiz bearbeitet, unabhängig davon, wo die Bearbeitung tatsächlich stattfindet. Je nach Umfang der Bearbeitung kann ein ausländisches Unternehmen ohne Niederlassung in der Schweiz verpflichtet sein, eine Vertretung auf Schweizer Territorium zu bestimmen.
Müssen alle Unternehmen ein Verarbeitungsverzeichnis führen? Nein. Unternehmen mit weniger als 250 Mitarbeitenden sind davon befreit, ausser sie bearbeiten besonders schützenswerte Daten in grossem Umfang oder betreiben Profiling mit hohem Risiko.
Wer kann bei einer Verletzung des revDSG verurteilt werden? Grundsätzlich die für den Verstoss verantwortliche natürliche Person innerhalb des Unternehmens, zum Beispiel eine Geschäftsleitungsperson oder die als Datenschutzverantwortliche bezeichnete Person. Das Unternehmen selbst kann unter bestimmten präzisen Bedingungen anstelle der natürlichen Person verurteilt werden, insbesondere wenn die vorgesehene Busse moderat bleibt.
Fazit
Das revDSG regelt seit September 2023 die Bearbeitung von Personendaten in der Schweiz, mit einer der DSGVO inhaltlich nahen Architektur, aber konkreten Unterschieden bei der Art der Sanktionen und beim Schutzbereich. Für ein Unternehmen führt Compliance weniger über eine punktuelle juristische Lektüre als über ein Dokumentenmanagement, das jederzeit nachweisen kann, dass die Pflichten tatsächlich eingehalten werden.
Der konkrete nächste Schritt: prüfen Sie, ob Ihr Unternehmen bereits ein aktuelles Verarbeitungsverzeichnis führt, und ob Sie eine Auskunftsanfrage einer betroffenen Person innert weniger Minuten beantworten könnten. Diese zwei Tests zeigen rasch den tatsächlichen Stand Ihrer Compliance.
Verfasst nach einem Gespräch mit James McGill, Mitgründer von Ketl. Strukturiert und optimiert mit Ketl AI, unserer in der Schweiz gehosteten souveränen KI.
Dieser Artikel dient Informationszwecken und stellt keine Rechtsberatung dar. Für eine auf Ihre Situation zugeschnittene Compliance-Analyse konsultieren Sie eine auf Datenschutz spezialisierte Fachperson.
Quellen:
- revDSG — Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
- Neues Datenschutzgesetz (revDSG) — KMU.admin.ch
- Gesetzestexte — revDSG, gültig ab 1. September 2023