Ein Schweizer Unternehmen braucht keine bestimmte Datenschutz-Software, um das Datenschutzgesetz (DSG) einzuhalten. Wenn daneben die DSGVO gilt, können gemeinsame Datenbestände und Workflows die Arbeit erleichtern. Die beiden Rechtsordnungen dürfen dabei nicht zu einer einzigen pauschalen Frist oder Sanktion verschmolzen werden. Entscheidend sind zuerst die anwendbaren Regeln für jede Bearbeitung, dann die Funktionen, die ein Werkzeug dafür tatsächlich bieten muss. Dieser Leitfaden gibt eine Prüfliste für Einkauf, Datenschutz und IT, ohne unbelegte Anbieterpreise oder Produktversprechen.
Das revidierte Schweizer DSG gilt seit dem 1. September 2023. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) veröffentlicht Erläuterungen zu Verzeichnissen, Vorfällen, Auslandsbekanntgaben und Vertretungen. Die DSGVO kann zusätzlich einschlägig sein, etwa wenn eine Schweizer Organisation Personen in der EU gezielt Waren oder Dienstleistungen anbietet oder ihr Verhalten dort beobachtet. Ein bloss in der EU abrufbarer deutschsprachiger Webauftritt genügt für diese Schlussfolgerung nicht automatisch. Prüfen Sie den konkreten Marktbezug und die Tätigkeit, bevor Sie einem Tool zwei Regime zuweisen. Unsere Übersicht zur DSGVO-Anwendbarkeit für US-Unternehmen erläutert das Marktortprinzip an einem weiteren Drittstaatenbeispiel.
Eine Matrix pro Bearbeitung statt ein globales Länderetikett
Erfassen Sie zunächst die juristische Einheit, den Zweck, die betroffenen Personen und ihren Aufenthaltsort, die eingesetzten Systeme, Empfänger und Zugriffe aus dem Ausland. Ordnen Sie danach zu, ob die Bearbeitung dem Schweizer DSG, der DSGVO oder beiden unterliegt. Ein Zürcher Betrieb mit rein lokaler Lohnabrechnung braucht nicht deshalb einen EU-Meldungsworkflow, weil er einen deutschen Lieferanten hat. Ein Schweizer Onlinedienst, der aktiv Kundschaft in der EU anspricht, kann dagegen für bestimmte Tätigkeiten DSGVO-Pflichten haben. Eine einheitliche Datenbank ist technisch möglich, wenn sie diese Unterschiede sichtbar hält.
Die Software sollte mehrere Rechtsregime auf Eintragsebene abbilden: Welche Einrichtung ist verantwortlich? Welches Recht ist für diese Tätigkeit einschlägig? Welche Kontaktdaten und Fristen gelten? Verlassen Sie sich nicht auf ein Feld „Land: Schweiz“, das automatisch alle EU-Pflichten ausschaltet. Ebenso wenig sollte ein EU-Template die Schweizer Besonderheiten verstecken. In einem Pilot lassen Sie dieselbe grenzüberschreitende Aktivität einmal als Schweizer Bearbeitungsverzeichnis und einmal als EU-Verarbeitungsverzeichnis ausgeben; vergleichen Sie die Pflichtfelder und die Begründungen.
Nicht jede Beziehung ist eine Auslandsbekanntgabe. Ein Schweizer Mitarbeitender kann von einem anderen Ort aus auf Systeme zugreifen, ohne dass daraus in jedem Fall dieselbe rechtliche Bewertung wie bei einer Weitergabe an eine fremde Stelle folgt. Der EDÖB beschreibt solche Kontextfragen für Arbeitgeber und Auslandzugriffe. Erfassen Sie konkrete Zugriffswege, Rollen und technische Kontrollen, statt allein den Standort eines Servers anzukreuzen.
Verzeichnis nach DSG und DSGVO
Art. 12 DSG verlangt von Verantwortlichen und Auftragsbearbeitern ein Verzeichnis ihrer Bearbeitungstätigkeiten. Die Datenschutzverordnung sieht für private Unternehmen und andere privatrechtliche Organisationen mit weniger als 250 Mitarbeitenden am 1. Januar eine Ausnahme vor, solange nicht besonders schützenswerte Personendaten in grossem Umfang bearbeitet oder Profiling mit hohem Risiko durchgeführt wird. Die Ausnahme ist anders gestaltet als Art. 30 Abs. 5 DSGVO: Dort kann bereits nicht nur gelegentliche Verarbeitung die Freistellung ausschliessen. Ein Tool, das die EU-Ausnahme unverändert für die Schweiz verwendet, kann deshalb falsche Hinweise geben. Der EDÖB-Leitfaden zu technischen und organisatorischen Massnahmen beschreibt auch diese Schweizer Schwelle.
Das gemeinsame Datenmodell sollte Pflichtfelder beider Normen unterscheiden und zusätzliche Informationen zulassen. Erfassen Sie Zwecke, Kategorien von Personen und Daten, Empfänger, Aufbewahrung, technische Massnahmen und Auslandzugriffe so, dass die zuständige Person die jeweiligen gesetzlichen Anforderungen prüfen kann. Das Werkzeug darf einen Eintrag nicht deshalb als „vollständig“ kennzeichnen, weil irgendein Freitextfeld gefüllt ist. Es sollte anzeigen, welche Angaben für Schweizer DSG, welche für DSGVO und welche freiwillige interne Steuerung sind. Für die EU-Seite hilft der DSGVO-Software-Vergleich, die Anforderungen an ein Verzeichnis zu konkretisieren.
Testen Sie die Änderung eines Cloud-Dienstleisters. Kann der Bearbeitungsverantwortliche sehen, welche Tätigkeiten, Transfers und Auftragsbearbeitungsverträge betroffen sind? Kann er den historischen Stand nachvollziehen und einen lesbaren Export erstellen? Ein Schweizer KMU ohne gesetzliche Verzeichnispflicht kann ein freiwilliges Inventar für Betroffenenanfragen und Löschung führen; daraus folgt keine automatische Pflicht zum Kauf einer Plattform. Das VVT-Software-Auswahlverfahren ist für diese funktionale Prüfung auch im grenzüberschreitenden Betrieb nützlich, wenn Schweizer Pflichtfelder separat geprüft werden.
Vorfälle: unterschiedliche Auslöser und Uhren
Nach Art. 24 DSG ist eine Datensicherheitsverletzung dem EDÖB so rasch als möglich zu melden, wenn sie voraussichtlich zu einem hohen Risiko für Persönlichkeit oder Grundrechte der betroffenen Person führt. Der EDÖB-Leitfaden zur Meldung erläutert die frühe Risikoentscheidung: Die Organisation soll nicht eine lange Untersuchung abwarten, bis sie das wahrscheinliche hohe Risiko endgültig beweisen kann. Ein Auftragsbearbeiter informiert den Verantwortlichen über eine Verletzung, unabhängig von dessen späterer Meldeschwelle. Die Betroffeneninformation hat eine eigene Prüfung nach Art. 24.
Art. 33 DSGVO hat einen anderen Auslöser: Eine Verletzung des Schutzes personenbezogener Daten ist der zuständigen Aufsicht zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten natürlicher Personen. Die Meldung erfolgt unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden; bei Verspätung sind Gründe anzugeben. Hohe Risiken können zusätzlich Art. 34 und die Information betroffener Personen auslösen. Der Schweizer Schwellenwert „voraussichtlich hohes Risiko“ ist also nicht identisch mit der EU-Schwelle. Ein Tool muss beide Bewertungen dokumentieren. Unsere Anleitung zur DSGVO-Datenpannenmeldung erklärt den EU-Prozess.
Stellen Sie im Test eine Ransomware-Lage nach. Ein Incident-Manager erfasst Kenntniszeit, betroffene Systeme, Datenkategorien, verfügbare Massnahmen und vorläufige Auswirkungen. Die Schweizer und EU-Rechtsprüfung erhalten je einen eigenen Entscheid, Empfänger und Zeitstempel. Ein gemeinsamer Fall ist effizient; eine einzige Checkbox „meldepflichtig“ ist zu grob. Die EU-72-Stunden-Frist ist kein automatischer Beweis, dass eine Schweizer Meldung „so rasch als möglich“ rechtzeitig ist. Wenn das hohe Risiko in der Schweiz früher erkennbar wird, kann Zuwarten bis Stunde 72 zu spät sein. Umgekehrt gilt die EU-Meldung nicht für jeden blossen Schweizer Vorfall.
Vertreterpflichten richtig filtern
Art. 14 DSG kann einen privaten Verantwortlichen mit Sitz im Ausland verpflichten, eine Vertretung in der Schweiz zu benennen. Nach der Erläuterung des EDÖB zu Art. 14 müssen die Voraussetzungen kumulativ vorliegen: Bezug zum Angebot von Waren oder Dienstleistungen an Personen in der Schweiz oder zur Beobachtung ihres Verhaltens, umfangreiche und regelmässige Bearbeitung sowie hohes Risiko für ihre Persönlichkeit. Ein deutsches Unternehmen braucht daher nicht schon wegen eines einzelnen Schweizer Kunden automatisch eine Schweizer Vertretung. Die Risikobetrachtung für die Vertretung umfasst die Gesamtheit der einschlägigen Bearbeitungen und unterscheidet sich von der Prüfung einer einzelnen Datenschutz-Folgenabschätzung.
Auf EU-Seite verlangt Art. 27 DSGVO bei einschlägigem Art. 3 Abs. 2 grundsätzlich einen EU-Vertreter, enthält aber Ausnahmen, unter anderem für nur gelegentliche Verarbeitung ohne bestimmte umfangreiche sensible Daten und ohne wahrscheinliches Risiko sowie für Behörden. Die genauen Bedingungen sollten im Fall geprüft werden. Erfassen Sie Vertreter und ihre Kontaktdaten erst nach dieser rechtlichen Einordnung; das Produkt darf aus „Kunde in der EU“ nicht automatisch „Vertreter bestellen“ machen. Vertreter ersetzen weder Verantwortlichen noch Datenschutzbeauftragten. Bei grenzüberschreitenden Betroffenenanfragen muss der richtige Ansprechpartner trotzdem gefunden werden.
Datenschutz-Folgenabschätzung und Beratung
Art. 22 DSG sieht eine Datenschutz-Folgenabschätzung vor, wenn eine Bearbeitung ein hohes Risiko für Persönlichkeit oder Grundrechte mit sich bringen kann. Die DSGVO regelt ihre eigene DSFA in Art. 35. Beide Prüfungen können auf denselben technischen Fakten beruhen, doch Formulierungen, Konsultationswege und Ausnahmen sind getrennt zu prüfen. Ein Fragebogen, der lediglich „DSFA ja/nein“ ausgibt, ohne die Rechtsordnung, das Ausgangsrisiko und die Schutzmassnahmen zu zeigen, hilft wenig. Der ausführliche Leitfaden zur Datenschutz-Folgenabschätzung deckt die EU-Seite ab; die Schweizer Fassung muss anhand des DSG beurteilt werden.
Für den Test wählen Sie einen konkreten Fall, etwa die Einführung biometrischer Zutrittskontrolle. Lassen Sie das Werkzeug Zweck, Alternativen, Datenfluss, betroffene Personen, Ausgangsrisiken, Schutzmassnahmen und verbleibende Risiken erfassen. Prüfen Sie, ob die Entscheidung nach beiden Rechtsregimen nachvollziehbar ist. Vermeiden Sie die Behauptung, dass dieselbe mathematische Risikozahl automatisch beide gesetzlichen Schwellen erfüllt. Verknüpfungen zum Verzeichnis und zu Verträgen sind praktisch, aber die rechtliche Bewertung bleibt bei der Organisation.
Auslandsbekanntgabe und Angemessenheit
Die Europäische Kommission führt die Schweiz in ihrer Liste der Angemessenheitsentscheidungen. Für Übermittlungen aus dem EWR in die Schweiz ist deshalb grundsätzlich kein zusätzliches Instrument wie Standardvertragsklauseln allein wegen dieses Ziellandes nötig. Auf Schweizer Seite ist zu prüfen, ob das Zielland nach der schweizerischen Rechtsordnung ein angemessenes Schutzniveau bietet. Diese Feststellungen sind richtungsabhängig. Sie beantworten nicht, ob ein Cloud-Anbieter von einem weiteren Land aus zugreift oder Daten an Unterauftragnehmer weiterleitet.
Bei anderen Zielländern können Garantien, Ausnahmen und zusätzliche Massnahmen nötig sein. Erfassen Sie jeweils Absender, Empfänger, Land, Zugriffszweck, Vertragskette und anwendbares Instrument. Der Leitfaden zu internationalen Datenübermittlungen und die Erklärung der EU-Standardvertragsklauseln vertiefen die DSGVO-Seite; für das Schweizer DSG sind die eigenen Vorgaben und Anerkennungen zu prüfen. Ein einziger Serverstandort lässt Auslandszugriffe, Support und Backups möglicherweise unsichtbar.
Schweizer Organisationen dürfen Daten in ein angemessenes Land nicht ohne Weiteres für jeden Zweck weitergeben. Zweckbindung, Transparenz, Auftragsbearbeitung und Datensicherheit bleiben relevant. Ebenso müssen EU-Unternehmen bei einem Transfer in die Schweiz ihre sonstigen DSGVO-Pflichten erfüllen. Die Angemessenheit betrifft das Transferinstrument und ersetzt keine Datenschutzprüfung des gesamten Dienstes.
Bussen und Zuständigkeiten ohne Schlagzeilenlogik
Die Darstellung der Strafbestimmungen durch den EDÖB erklärt: Die Straftatbestände der Art. 60 bis 63 DSG erfassen bestimmte vorsätzliche Pflichtverletzungen. In erster Linie werden natürliche Personen verfolgt; die kantonalen Strafverfolgungsbehörden sind zuständig. Die gesetzliche Höchstbusse beträgt 250 000 Franken für die bezeichneten Straftaten, nicht für jede Datenschutzpanne und nicht als allgemeines Unternehmensbussgeld. Unter den engen Voraussetzungen des Art. 64 kann statt der Person der Geschäftsbetrieb bis 50 000 Franken gebüsst werden, wenn die personenbezogenen Ermittlungen unverhältnismässig wären. Der EDÖB selbst verhängt diese strafrechtlichen Bussen nicht.
Daneben können aufsichtsrechtliche Anordnungen, privatrechtliche Ansprüche und für EU-Bearbeitungen DSGVO-Folgen auftreten. Eine Tool-Demo mit einem grossen Strafbetrag sagt wenig über die Eignung des Systems. Fragen Sie lieber, ob Entscheidungen, Rollen und Massnahmen in einem konkreten Fall nachvollziehbar dokumentiert werden. Ein Produkt kann keine vorsätzliche Pflichtverletzung durch ein grünes Dashboard ausschliessen.
Beschaffung: fünf reale Testfälle
Führen Sie einen kurzen Pilot mit Bearbeitungen durch, die Ihre Organisation wirklich hat. Testfall eins: eine rein schweizerische Personalbearbeitung mit Schweizer Pflichtfeldern. Testfall zwei: ein gezieltes EU-Angebot und die Prüfung der DSGVO-Anwendbarkeit. Testfall drei: ein Dienstleisterwechsel mit Auslandzugriff. Testfall vier: ein Sicherheitsvorfall mit unterschiedlicher schweizerischer und EU-Risikoschwelle. Testfall fünf: eine Anfrage einer betroffenen Person, bei der die zuständige Einheit, Vertretung und Auftragsbearbeiter gefunden werden müssen. Wenn das Tool diese Fälle verständlich abbildet, ist es aussagekräftiger als eine lange Liste von Funktionen.
Prüfen Sie ferner Zugriffsrechte, Sicherheitsmassnahmen, Datenexport, Löschung nach Vertragsende, Unterauftragnehmer, Supportland und Kostenbestandteile im verbindlichen Angebot. Preise hängen von Nutzerzahl, Modulen, Beratung und Laufzeit ab; eine pauschale jährliche CHF-Spanne aus dem ursprünglichen Artikel war nicht belegt. Testen Sie mit einem Export, ob das eigene Verzeichnis vollständig wieder herauskommt. Ein Produkt, das die DSGVO gut abbildet, kann für den Schweizer Teil genügen, wenn die notwendigen Unterschiede fachlich gepflegt werden. Eine „native Schweizer“ Oberfläche garantiert umgekehrt keine rechtsrichtige Anwendung. Für allgemeine Auswahlfragen zeigt der Vergleich von DSGVO-Software zusätzliche Kriterien; das Pendant in Österreich zeigt andere nationale Anforderungen.
Ein konkreter Beschaffungstest kann die Grenzen einer gemeinsamen Datenbasis zeigen. Eine Schweizer Gesundheitsdienstleisterin bietet zusätzlich eine App gezielt in Frankreich an. Der Einkauf legt einen französischen Testfall mit EU-Nutzern und einen schweizerischen Fall mit lokalen Patientendaten an. Der Export muss zeigen, welche juristische Person jeweils verantwortlich ist, welche besonders schützenswerten Daten oder besonderen Kategorien betroffen sind und welche Auftragsbearbeiter Zugang haben. Bei einem späteren Wechsel des Hostingpartners prüft das Team, ob sich die schweizerische Auslandsbekanntgabe und der EU-Transfer gleich oder verschieden ändern. Bei einer Testpanne muss die Fallakte zwei begründete Risikoentscheidungen und die richtigen Behördenwege zeigen. So wird ein unbrauchbares „wir unterstützen beide Gesetze“ schnell sichtbar, ohne das Produkt vorschnell als rechtskonform oder rechtswidrig zu etikettieren.
Für den Vertrag sollten Sie ausserdem definieren, wer rechtliche Inhalte aktualisiert. Neue Behördenhinweise, eine andere Anerkennung eines Ziellandes oder veränderte Geschäftstätigkeit können die bisherige Konfiguration überholen. Ein Anbieter kann Aktualisierungen liefern; die Organisation muss dennoch prüfen, ob sie auf ihre Bearbeitungen passen. Halten Sie deshalb die Verantwortung für Rechtsprüfung, Freigabe und Datenqualität getrennt von der technischen Betreuung. Dieser Ablauf ist auch ohne Spezialsoftware möglich. Entscheidend ist, dass er im Betrieb funktioniert, wenn sich Dienstleister, Marktbezug und Datenflüsse ändern.
Häufige Fragen
Gilt die DSGVO für jeden Schweizer Onlineshop?
Nein. Art. 3 Abs. 2 hängt von einem gezielten Angebot an Personen in der EU oder der Beobachtung ihres Verhaltens dort ab. Allein die Abrufbarkeit einer Website oder ihre deutsche Sprache entscheidet das nicht. Die konkreten Marktindikatoren und Datenverarbeitungen sind zu prüfen.
Benötigt jedes EU-Unternehmen eine Schweizer Vertretung?
Nein. Art. 14 DSG enthält kumulative Voraussetzungen, darunter umfangreiche und regelmässige Bearbeitung und hohes Risiko für Personen in der Schweiz. Ein einzelner Schweizer Kontakt reicht nicht automatisch. Eine freiwillige Vertretung bleibt möglich.
Ist die 72-Stunden-Frist auch die Schweizer Meldefrist?
Nein. Art. 24 DSG fordert die Meldung voraussichtlich hochriskanter Datensicherheitsverletzungen so rasch als möglich. Die DSGVO hat einen anderen Risikoschwellenwert und nennt bei ihrer Behördenmeldung möglichst 72 Stunden. Beide Entscheidungen müssen getrennt getroffen werden.
Dürfen Daten zwischen EU und Schweiz frei fliessen?
Die EU anerkennt die Schweiz als angemessenes Zielland für DSGVO-Transfers; die Schweiz beurteilt Zielländer nach eigenen Regeln. Andere Pflichten bleiben bestehen, und Weitergaben oder Zugriffe aus weiteren Ländern müssen separat geprüft werden. „Frei“ wäre deshalb eine zu weite Aussage.
Ist die Schweizer Busse von 250 000 Franken eine Unternehmensbusse?
Sie ist die Höchstbusse für bestimmte vorsätzliche Straftatbestände und trifft grundsätzlich natürliche Personen. Der Geschäftsbetrieb kann nur unter einer besonderen gesetzlichen Ausnahme bis 50 000 Franken gebüsst werden. Die kantonalen Strafbehörden entscheiden; der EDÖB ist nicht die Strafbehörde.