Ich schreibe meistens über Dinge, die mich begeistern oder eben nicht. Mehr zu uns findest du auf der Agentur-Seite.
Schweizer Datenschutz Update 2025
Kein Copy-Paste, kein Juristengefasel – sondern Klartext. Wir fassen zusammen, was sich mit dem revidierten Datenschutzgesetz in der Schweiz geändert hat und wie du deine Website oder Organisation fit dafür machst. Das revDSG ist am 1. September 2023 in Kraft getreten und bringt einiges mit sich – auch wenn du vielleicht schon seit der DSGVO Anpassungen gemacht hast. Einiges bleibt ähnlich, aber vieles wird klarer geregelt und konkretisiert. Und vor allem: Es gilt jetzt für alle Datenbearbeitungen, die sich in der Schweiz auswirken – auch wenn sie im Ausland gestartet werden.
Neues Schweizer Datenschutzgesetz (revDSG) – was du jetzt wissen musst
Warum gibt es überhaupt ein neues Datenschutzgesetz?
Weil das alte aus dem Jahr 1993 stammt. Damals war das Internet noch Neuland, Smartphones gab es nicht, von Cloud und KI keine Spur. Heute ist unser Leben zu einem grossen Teil digital – und damit auch unsere Spuren, Vorlieben, Schwächen und Gewohnheiten.
Der Schutz dieser Daten ist nichts anderes als Personenschutz im digitalen Zeitalter. Und genau darum geht es: Das Recht auf informationelle Selbstbestimmung stärken, Missbrauch verhindern – ohne den digitalen Fortschritt auszubremsen.
Was ist neu im revDSG?
1. Informationspflicht – für alle Daten, nicht nur heikle
Neu musst du nicht nur bei besonders sensiblen Daten, sondern bei allen Personendaten offenlegen, was du sammelst und warum. Das betrifft z. B. Namen, E-Mail-Adressen, IP-Adressen oder Telefonnummern – also Daten, die du auf deiner Website oder in deinem CRM sowieso schon nutzt.
Die Infos gehören in eine klare, verständliche Datenschutzerklärung, die transparent macht: Wer sammelt was, für welchen Zweck, wie lange, und wer bekommt Zugriff darauf?
2. Recht auf Auskunft – ohne Wenn und Aber
Jede betroffene Person kann bei dir anklopfen und Auskunft darüber verlangen, welche Daten du über sie gespeichert hast, woher sie stammen, wie lange du sie aufbewahrst und ob du sie mit Dritten teilst.
Dieses Recht gilt bedingungslos – du musst also in der Lage sein, schnell und vollständig zu antworten.
3. Profiling mit hohem Risiko – nur mit Einwilligung
Erstellst du mit Hilfe von Daten ein detailliertes Profil einer Person, wie zu ihrer Gesundheit, ihren Interessen, ihrem Verhalten oder ihrem Aufenthaltsort? Dann spricht man von Profiling mit hohem Risiko – und dafür brauchst du die ausdrückliche Zustimmung der betroffenen Person.
Automatisierte Bewertungen, wie in HR-Systemen, Kreditprüfungen oder Werbeplattformen, können da schnell drunterfallen.
4. Meldepflicht bei Datenschutzverletzungen
Kommt es zu einer Datenpanne – z. B. durch einen Hackerangriff, eine Fehlkonfiguration oder ein internes Versehen – musst du das so schnell wie möglich dem EDÖB (Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten) melden. In manchen Fällen auch direkt den betroffenen Personen.
Wichtig: Nicht erst bei einem Mega-Datenleck reagieren – auch kleinere Vorfälle können relevant sein.
5. Datenschutz-Folgenabschätzung – wenn es heikel wird
Wenn du besonders sensible Daten in grossem Umfang verarbeitest oder beispielsweise Überwachungssysteme einsetzt, musst du vorab abschätzen, wie sich das auf die Persönlichkeitsrechte der Betroffenen auswirkt.
Bleibt trotz technischer und organisatorischer Massnahmen ein erhöhtes Risiko, musst du den EDÖB einbinden.
6. Pflicht zur Dateninventarisierung
Du brauchst ein internes Verzeichnis, das auflistet, welche Daten du wie und wofür verarbeitest. Nur ganz kleine Unternehmen mit wenig Risiko sind davon ausgenommen.
Das Inventar hilft nicht nur bei der Auskunftspflicht, sondern auch bei internen Prozessen, Audits oder Krisenfällen.
7. Privacy by Design & Default
Der Datenschutz muss von Anfang an mitgedacht werden – nicht erst im Nachhinein.
Heisst: Systeme, Tools und Prozesse müssen so gestaltet sein, dass sie nur die nötigsten Daten erfassen und schützen – und das standardmässig. Alles, was darüber hinausgeht, braucht eine bewusste, ausdrückliche Zustimmung (Opt-in).
8. Auslandbezug – Vertretungspflicht
Wenn du ein Unternehmen im Ausland bist, aber regelmässig Daten von Personen in der Schweiz verarbeitest, brauchst du eine offizielle Vertretung in der Schweiz.
Das betrifft unter anderen internationale Onlineshops oder Plattformen, die gezielt Schweizer Kundinnen ansprechen.
Was gilt als besonders schützenswert?
- Gesundheitsdaten
- Intimsphäre
- Religion & politische Meinung
- Ethnische Herkunft
- Genetische und biometrische Daten
- Strafrechtliche oder verwaltungsrechtliche Verfolgung
Praxisbeispiel: Google Analytics
Auch mit Google Analytics 4 werden IP-Adressen vor der Anonymisierung verarbeitet. Die IP gilt als personenbezogen – und möglicherweise als besonders schützenswert. Bedeutet: Einwilligung einholen, IP anonymisieren (z. B. via Google Tag Manager) und unbedingt alles in der Datenschutzerklärung sauber dokumentieren.
Was droht bei Verstössen?
- Privatpersonen können mit bis zu CHF 250’000 gebüsst werden
- Unternehmen mit bis zu CHF 50’000, wenn keine Einzelperson ermittelt werden kann
- Auch Verstösse gegen die berufliche Schweigepflicht können gebüsst werden
Wichtig: Auch Fahrlässigkeit oder Ignoranz kann bestraft werden – nicht nur klare Absicht. Darum lohnt sich der proaktive Weg.
Was solltest du jetzt tun?
Hier folgt eine Liste der Dinge, die du überprüfen und ggf. anpassen solltest:
- Datenschutzerklärung auf Vollständigkeit und Verständlichkeit überprüfen und ggf. überarbeiten.
- Cookie-Banner prüfen – nur notwendige Cookies voraktiviert lassen.
- Dateninventar erstellen – systematisch und aktuell halten.
- Verantwortlichkeiten abklären und schriftlich dokumentieren.
- Notfallpläne bei Datenschutzvorfällen bereithalten.
Fazit
Transparenz schaffen, Prozesse dokumentieren und Risiken im Griff behalten. Datenschutz ist kein Hindernis, sondern ein Wettbewerbsvorteil – und spätestens jetzt Pflicht.
Wenn du unsicher bist oder Hilfe brauchst: Wir sind da.
