Zwei Gesetze, ein Problem?
Wer in der Schweiz eine Website betreibt, hat schnell den Eindruck: Überall steht DSGVO. Cookiebanner, Datenschutzrichtlinien, «Ihre Daten werden nach EU-Standard verarbeitet» — vieles wurde aus dem EU-Raum übernommen. Aber was gilt tatsächlich?
Seit dem 1. September 2023 hat die Schweiz ihr eigenes modernes Datenschutzgesetz: das revidierte nDSG. Es lehnt sich an die DSGVO an, hat aber eigene Regeln, eigene Aufsichtsbehörden und ein anderes Sanktionssystem. Und: Die DSGVO kann zusätzlich gelten, wenn Sie EU-Nutzer ansprechen.
Die wichtigsten Unterschiede auf einen Blick
| Aspekt | nDSG (Schweiz) | DSGVO (EU) |
|---|---|---|
| Geltungsbereich | Schweizer Verantwortliche; Schutz von Personen in CH | Marktortprinzip: gilt auch für Nicht-EU-Unternehmen mit EU-Bezug |
| Bussen gegen | Natürliche Personen (CHF 250k) | Unternehmen (bis EUR 20 Mio. / 4% Umsatz) |
| Rechtsgrundlagen | Einwilligung, Gesetz, überwiegendes Interesse | Art. 6: 6 Grundlagen (inkl. berechtigtes Interesse) |
| Datenschutzbeauftragter (DSB) | Keine generelle Pflicht, aber empfohlen | Pflicht für bestimmte Unternehmen (Art. 37 DSGVO) |
| Einwilligung | Freiwillig, ausdrücklich bei besonders schützenswerten Daten | Freiwillig, informiert, spezifisch, unmissverständlich |
| Aufsichtsbehörde | EDÖB (Bern) | Nationale DPA (je nach Mitgliedstaat) |
| Datenpannen (Meldepflicht) | An EDÖB bei hohem Risiko | 72h-Meldepflicht an Aufsichtsbehörde |
Wann gilt die DSGVO für Schweizer Unternehmen?
Die DSGVO hat einen weiten territorialen Anwendungsbereich (Art. 3 DSGVO). Sie gilt nicht nur für EU-Unternehmen, sondern auch für Unternehmen ausserhalb der EU, wenn:
- Sie Waren oder Dienstleistungen an Personen in der EU anbieten (auch kostenlos)
- Sie das Verhalten von Personen in der EU beobachten (z.B. via Tracking)
Konkret: Eine Schweizer Online-Agentur, die deutsche Kunden betreut, unterliegt der DSGVO. Ein Schweizer Shop, der nach Deutschland liefert, ebenfalls. Eine rein lokale Bäckerei in Zürich mit einer Informationswebsite wahrscheinlich nicht.
Praktische Konsequenzen für Ihre Datenschutzerklärung
Wenn Sie sowohl Schweizer als auch EU-Nutzer haben, müssen Ihre Datenschutzerklärung und Ihre Prozesse beide Gesetze erfüllen. In der Praxis bedeutet das:
- Nennen Sie sowohl den EDÖB (CH) als auch die relevante EU-Behörde als mögliche Anlaufstellen
- Führen Sie Rechtsgrundlagen nach nDSG und DSGVO-Terminologie auf
- Stellen Sie sicher, dass Ihre Einwilligungen den strengeren DSGVO-Anforderungen genügen
- Halten Sie die 72-Stunden-Meldepflicht für Datenpannen ein (DSGVO-Anforderung)
Was ist leichter einzuhalten — nDSG oder DSGVO?
Das nDSG ist in vielen Bereichen etwas weniger streng als die DSGVO (z.B. keine generelle DSB-Pflicht, flexiblere Rechtsgrundlagen). Gleichzeitig ist das persönliche Haftungsrisiko durch Bussen gegen natürliche Personen in der Schweiz besonders hoch. Eine vollständige, korrekte Datenschutzerklärung schützt Sie in beiden Systemen.