Ein Schweizer Softwareunternehmen gewinnt Kundschaft in Deutschland, ein Onlineshop liefert nach Österreich oder ein HR-Dienstleister betreut Mitarbeitende eines französischen Konzerns: In solchen Konstellationen reicht der Blick auf das Schweizer Datenschutzgesetz allein oft nicht aus. Die DSGVO für Schweizer Unternehmen wird relevant, sobald ein konkreter Bezug zur EU besteht. Entscheidend ist nicht der Sitz in der Schweiz, sondern welche Personen betroffen sind, welche Leistungen angeboten werden und wo Datenbearbeitungen stattfinden.
Für KMU ist diese Abgrenzung mehr als eine juristische Frage. Sie beeinflusst Verträge, Datenschutzerklärungen, Marketingprozesse, Sicherheitsvorkehrungen und die Organisation im Alltag. Wer den Anwendungsbereich früh klärt, kann Aufwand gezielt steuern - statt bei einer Kundenanfrage, einem Audit oder einem Sicherheitsvorfall unter Zeitdruck Unterlagen zusammenzustellen.
Wann gilt die DSGVO für Schweizer Unternehmen?
Das Schweizer Datenschutzgesetz, das seit dem 1. September 2023 in Kraft ist, gilt für viele Datenbearbeitungen Schweizer Unternehmen. Die DSGVO kann zusätzlich zur Anwendung kommen. Ihr räumlicher Anwendungsbereich ist in Art. 3 DSGVO geregelt. Nach Absatz 1 gilt sie, wenn ein Unternehmen eine Niederlassung in der EU betreibt und die Datenbearbeitung mit deren Tätigkeit zusammenhängt.
Auch ohne EU-Niederlassung kann die DSGVO greifen, und zwar nach Art. 3 Abs. 2 DSGVO: Typische Auslöser sind das gezielte Angebot von Waren oder Dienstleistungen an Personen in der EU oder die Beobachtung ihres Verhaltens innerhalb der EU. Ein Beispiel: Ein Schweizer Online-Händler für Outdoor-Ausrüstung schaltet gezielt Werbung für Personen in Süddeutschland, führt einen Shop mit Euro-Preisen und Lieferung nach Deutschland und Österreich und analysiert dort das Nutzungsverhalten seiner Kundschaft. Hier spricht vieles für einen relevanten EU-Bezug.
Nicht jede Website, die aus der EU erreichbar ist, führt automatisch zur DSGVO. Eine englischsprachige Unternehmensseite oder einzelne Bestellungen aus dem Ausland genügen für sich allein häufig nicht. Relevant sind die gesamten Umstände: Richtet sich das Angebot erkennbar an EU-Märkte? Werden Preise, Lieferoptionen oder Kampagnen darauf ausgerichtet? Werden Personen in der EU systematisch mittels Analyse-, Tracking- oder Profiling-Massnahmen beobachtet?
Eine weitere Konstellation betrifft Schweizer Dienstleister, die im Auftrag von EU-Kunden Personendaten bearbeiten. Ob und in welchem Umfang die DSGVO dabei gilt, hängt von Rollen, Vertragsverhältnissen und den einzelnen Bearbeitungen ab. Gerade bei Cloud-Services, Lohnadministration, Support oder Marketingdienstleistungen sollte diese Frage nicht pauschal beantwortet werden. Welche Regelwerke sich im Detail wie unterscheiden, erklärt der Beitrag zu den Unterschieden zwischen DSG und DSGVO.
DSG und DSGVO: zwei Regelwerke, ein praktischer Prozess
Wenn sowohl Schweizer DSG als auch DSGVO relevant sind, entstehen nicht automatisch zwei vollständig getrennte Datenschutzprogramme. Viele Grundlagen überschneiden sich: Transparenz gegenüber betroffenen Personen, eine nachvollziehbare Datenbearbeitung, angemessene technische und organisatorische Massnahmen sowie klare Regeln für externe Dienstleister.
Trotzdem bestehen Unterschiede bei Begriffen, Dokumentationsanforderungen und einzelnen Pflichten. Die wichtigsten Zusatzpflichten unter der DSGVO sind:
- Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO, ohne die grosszügige KMU-Ausnahme des Schweizer Rechts.
- Rechtsgrundlage für jede Bearbeitung nach Art. 6 DSGVO, während das DSG eine Bearbeitung grundsätzlich erlaubt, solange die Grundsätze eingehalten werden.
- Meldung von Datenpannen innert 72 Stunden an die zuständige Aufsichtsbehörde nach Art. 33 DSGVO. Das DSG verlangt in Art. 24 eine Meldung «so rasch als möglich», aber nur bei hohem Risiko.
- EU-Vertretung nach Art. 27 DSGVO für Unternehmen ohne Niederlassung in der EU, sofern keine Ausnahme greift.
- Bussen bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes gegen das Unternehmen, während das DSG natürliche Personen mit bis zu 250'000 Franken büsst.
Eine Datenschutzerklärung, die nur auf die Schweiz ausgerichtet ist, kann für eine gezielte EU-Ansprache unvollständig sein. Umgekehrt ersetzt ein umfangreiches DSGVO-Muster nicht die Prüfung, ob die tatsächlichen Prozesse im Schweizer Unternehmen korrekt abgebildet sind.
Der sinnvollere Ansatz lautet deshalb: Prozesse einmal sauber erfassen und die Anforderungen anschliessend gezielt ergänzen. Wer etwa die Bearbeitungen in HR, CRM, Newsletter, Support und Website kennt, kann daraus sowohl ein Bearbeitungsverzeichnis als auch passende Informationen für Betroffene und Vertragsunterlagen ableiten. Das reduziert Doppelspurigkeiten und macht Änderungen beherrschbar.
Die Rolle der Verantwortlichkeiten klären
Am Anfang steht die Frage, wer über Zweck und Mittel einer Datenbearbeitung entscheidet. Diese Stelle ist in der Regel verantwortlich und trägt die wesentlichen Organisationspflichten. Bearbeitet ein IT-Provider, ein Lohnbüro oder eine Marketingagentur Daten ausschliesslich nach Weisung, handelt er typischerweise als Auftragsbearbeiter.
In der Praxis verschwimmen diese Rollen schnell. Eine Agentur nutzt etwa Kundendaten für einen vereinbarten Versand, wertet Kampagnenergebnisse aber zusätzlich für eigene Zwecke aus. Solche Mischsituationen gehören geklärt, bevor Verträge und Datenschutzhinweise erstellt werden. Klare Rollen vermeiden Missverständnisse, besonders wenn mehrere Unternehmen an einem Prozess beteiligt sind.
Diese Grundlagen sollten KMU dokumentiert haben
Datenschutz wird belastbar, wenn die Dokumentation den tatsächlichen Arbeitsablauf widerspiegelt. Ein Ordner mit Mustern genügt nicht, wenn niemand sagen kann, welche Systeme Daten enthalten, wer Zugriff hat oder wie eine Anfrage von Kundinnen und Kunden bearbeitet wird.
Für die praktische Umsetzung sind insbesondere folgende Unterlagen und Abläufe zentral:
- Ein Bearbeitungsverzeichnis nach Art. 12 DSG und Art. 30 DSGVO, das Zweck, Datenkategorien, betroffene Personengruppen, Empfänger, Speicherfristen und eingesetzte Systeme verständlich abbildet.
- Dokumentierte technische und organisatorische Massnahmen, etwa Berechtigungskonzepte, Mehrfaktor-Authentisierung, Verschlüsselung, Backup, Protokollierung und Regeln für mobile Geräte.
- Auftragsbearbeitungsvereinbarungen mit Dienstleistern, die Personendaten im Auftrag bearbeiten, einschliesslich eines Überblicks über weitere eingesetzte Unterauftragnehmer.
- Datenschutzhinweise für Website, Bewerbungen, Kundschaft und Mitarbeitende, die zur tatsächlichen Bearbeitung passen und nicht nur Standardformulierungen enthalten.
- Ein Prozess für Betroffenenrechte, Datenschutzverletzungen, Löschungen und interne Freigaben bei neuen Tools oder Projekten.
Nicht jede Organisation braucht dieselbe Detailtiefe. Ein kleiner Handwerksbetrieb mit lokaler Kundendatei hat andere Risiken als ein Medtech-Unternehmen mit sensiblen Gesundheitsdaten oder ein SaaS-Anbieter mit vielen EU-Nutzenden. Die Dokumentation muss deshalb verhältnismässig sein, aber sie muss im Ernstfall nutzbar bleiben.
Besondere Aufmerksamkeit für Website, Marketing und HR
Viele DSGVO-Themen entstehen nicht im Kernsystem, sondern in alltäglichen Werkzeugen. Auf Websites sind Cookie-Banner, Analyse-Tools, eingebettete Karten, Videos, Chat-Funktionen und Formulare typische Prüfpunkte. Wer ein Tool aktiviert, sollte wissen, welche Daten wohin fliessen, zu welchem Zweck sie verwendet werden und wie Besucherinnen und Besucher darüber informiert werden.
Im Marketing sind Newsletter, Lead-Formulare, CRM-Segmentierungen und Remarketing besonders relevant. Ein sauberer Prozess beantwortet einfache operative Fragen: Woher stammt die Einwilligung? Wie wird ein Widerruf umgesetzt? Wer darf Kontaktlisten exportieren? Und was passiert mit Daten, wenn ein Lead nicht weiterverfolgt wird?
Im HR-Bereich geht es um Bewerbungsunterlagen, Personalakten, Krankheitsmeldungen und Zugriffsrechte. Hier ist Zurückhaltung häufig die beste Organisation: Nur die Personen erhalten Zugriff, die ihn für ihre Aufgabe benötigen. Gleichzeitig helfen definierte Aufbewahrungs- und Löschfristen dabei, Daten nicht unbegrenzt in Postfächern, Laufwerken oder Recruiting-Tools liegen zu lassen.
Braucht Ihr Unternehmen eine EU-Vertretung?
Nach Art. 27 DSGVO muss ein Unternehmen ohne Niederlassung in der EU, das in den Anwendungsbereich von Art. 3 Abs. 2 fällt, eine Vertretung in der EU benennen. Ausgenommen sind nur gelegentliche Bearbeitungen ohne besonders schützenswerte Daten, die voraussichtlich kein Risiko für die Betroffenen mit sich bringen. Diese ist nicht mit einer Datenschutzbeauftragten oder einem Datenschutzbeauftragten gleichzusetzen. Die EU-Vertretung dient als Anlaufstelle für betroffene Personen und Behörden im Zusammenhang mit den relevanten Datenbearbeitungen.
Ob diese Pflicht besteht, hängt unter anderem davon ab, wie regelmässig und in welchem Umfang Daten von Personen in der EU bearbeitet werden, welche Daten betroffen sind und ob besondere Risiken vorliegen. Für ein Schweizer KMU ist deshalb eine strukturierte Einordnung sinnvoll, bevor vorschnell Rollen vergeben oder Verträge abgeschlossen werden. Wann die Vertreterpflicht konkret greift, ist in einem eigenen Beitrag beschrieben; datenschutzkonform.ch bietet die EU-Vertretung für Schweizer Unternehmen als Dienstleistung an. Umgekehrt müssen ausländische Unternehmen mit Bezug zur Schweiz nach Art. 14 DSG unter Umständen eine Vertretung in der Schweiz benennen.
Von der Standortbestimmung zur laufenden Steuerung
Der effizienteste Einstieg ist selten, jedes Dokument neu zu schreiben. Beginnen Sie mit einer Standortbestimmung: Welche Personendaten bearbeitet das Unternehmen? In welchen Systemen? Für welche Zwecke? Welche externen Anbieter erhalten Zugriff? Und welche Märkte werden konkret angesprochen?
Danach lassen sich die grössten Lücken priorisieren. Oft bringen ein bereinigtes Bearbeitungsverzeichnis, klare Zuständigkeiten und ein verbindlicher Freigabeprozess für neue Software bereits spürbare Ordnung. Erst dann lohnt sich die Vertiefung bei komplexeren Themen wie Datenschutz-Folgenabschätzungen, internationalen Datenübermittlungen oder umfangreichen Tracking-Konzepten.
Eine zentrale Datenschutzplattform kann diese Arbeit deutlich vereinfachen, wenn sie nicht nur Dokumente ablegt, sondern Aufgaben, Freigaben, Fristen und Verantwortlichkeiten abbildet. Mit einer Lösung wie DSMS+ lassen sich Bearbeitungsverzeichnisse, technische und organisatorische Massnahmen, Auftragsbearbeitungen und Prozesse für Betroffenenrechte an einem Ort pflegen. Entscheidend bleibt jedoch der Inhalt: Ein Tool schafft Transparenz, ersetzt aber keine gelebten Abläufe.
Datenschutz ist dann gut organisiert, wenn eine neue Kampagne, ein neues HR-Tool oder ein Kundenprojekt nicht zuerst Unsicherheit auslöst. Legen Sie für solche Vorhaben eine kurze Standardprüfung fest und benennen Sie eine verantwortliche Person. So wird die DSGVO nicht zum Sonderprojekt, sondern zu einem nachvollziehbaren Teil guter Unternehmensführung.
Häufige Fragen
Gilt die DSGVO automatisch, wenn eine Schweizer Website aus der EU erreichbar ist?
Nein. Erreichbarkeit allein genügt nicht. Entscheidend ist nach Art. 3 Abs. 2 DSGVO, ob sich das Angebot erkennbar an Personen in der EU richtet (etwa durch Euro-Preise, Lieferung in EU-Länder oder gezielte Werbung) oder ob deren Verhalten in der EU beobachtet wird, zum Beispiel durch Tracking und Profiling.
Reicht das Schweizer DSG, wenn die DSGVO ebenfalls gilt?
Nein, beide Regelwerke gelten dann nebeneinander. Vieles überschneidet sich, aber die DSGVO verlangt zusätzlich eine Rechtsgrundlage für jede Bearbeitung, ein Verarbeitungsverzeichnis ohne KMU-Ausnahme, die 72-Stunden-Meldung bei Datenpannen und gegebenenfalls eine EU-Vertretung. Die Datenschutzerklärung muss beide Anforderungen abdecken.
Braucht ein Schweizer KMU mit EU-Kunden einen Datenschutzbeauftragten?
Nicht zwingend. Die DSGVO verlangt einen Datenschutzbeauftragten nach Art. 37 nur bei umfangreicher regelmässiger Überwachung oder umfangreicher Bearbeitung besonderer Datenkategorien als Kerntätigkeit. Davon zu unterscheiden ist die EU-Vertretung nach Art. 27 DSGVO, die Unternehmen ohne EU-Niederlassung meist benennen müssen.
Wie hoch sind die Bussen nach DSGVO im Vergleich zum DSG?
Die DSGVO sieht Bussen bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes gegen das Unternehmen vor. Das Schweizer DSG büsst bei vorsätzlichen Verstössen die verantwortlichen natürlichen Personen mit bis zu 250'000 Franken (Art. 60 und 61 DSG). Für Schweizer KMU mit EU-Bezug ist damit das DSGVO-Risiko finanziell deutlich grösser.