Revidiertes DSG.
Was Schweizer KMU jetzt tun müssen.

Was sich am 1. September 2023 geändert hat

Am 1. September 2023 ist das totalrevidierte Schweizer Datenschutzgesetz (DSG) in Kraft getreten. Es ersetzt das Vorgängergesetz von 1992 und bringt die Schweiz materiell deutlich näher an die EU-Datenschutz-Grundverordnung (DSGVO) heran — bleibt aber an mehreren Stellen pragmatischer und KMU-freundlicher.

Für Schweizer Unternehmen, die Personaldaten bearbeiten, sind diese Punkte besonders relevant:

1. Bearbeitungsverzeichnis

Verantwortliche und Auftragsbearbeiter müssen grundsätzlich ein Bearbeitungsverzeichnis führen. Die Ausnahme nach Art. 24 DSV greift für private Unternehmen nur, wenn sie am Jahresanfang weniger als 250 Mitarbeitende beschäftigen und ihre Bearbeitung ein geringes Risiko für die Persönlichkeit der betroffenen Personen mit sich bringt. Auch bei einer Ausnahme kann ein freiwilliges Verzeichnis die Übersicht und Rechenschaft erleichtern.

2. Datenschutzerklärung

Wer Personendaten beschafft, muss die betroffene Person klar und verständlich so informieren, dass sie ihre Rechte geltend machen kann und eine transparente Bearbeitung gewährleistet ist. Art. 19 DSG nennt als Mindestangaben insbesondere Identität und Kontaktdaten des Verantwortlichen, Bearbeitungszweck sowie gegebenenfalls Empfänger; bei Auslandbekanntgaben kommen Staat und je nach Fall Garantien hinzu. Weitere Angaben wie Aufbewahrungsfristen sind aufzunehmen, soweit sie für diese Transparenz erforderlich sind.

3. Verletzungsmeldepflicht

Eine Verletzung der Datensicherheit muss dem EDÖB nach Art. 24 DSG «so rasch als möglich» gemeldet werden, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt. Jede Verletzung ist zu dokumentieren; die betroffene Person wird informiert, wenn dies zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt.

4. Profiling und automatisierte Einzelentscheide

Art. 21 DSG erfasst Entscheidungen, die ausschliesslich auf automatisierter Bearbeitung beruhen und eine Rechtsfolge haben oder die betroffene Person erheblich beeinträchtigen. Dann bestehen grundsätzlich eine Informationspflicht sowie das Recht, den eigenen Standpunkt darzulegen und eine Überprüfung durch einen Menschen zu verlangen; das Gesetz kennt Ausnahmen. Eine Datenschutz-Folgenabschätzung ist davon zu trennen: Sie ist nach Art. 22 DSG nur nötig, wenn eine geplante Bearbeitung voraussichtlich ein hohes Risiko mit sich bringt.

Unterschiede zur EU-DSGVO

• Anderes Sanktionssystem. Art. 60–63 DSG bedrohen bestimmte vorsätzliche Pflichtverletzungen natürlicher Personen mit Bussen bis CHF 250'000.00. Unter den Voraussetzungen von Art. 64 DSG kann stattdessen das Unternehmen mit bis zu CHF 50'000.00 gebüsst werden, wenn die Ermittlung der verantwortlichen Person unverhältnismässig wäre.
• Datenschutzberater nach Schweizer DSG grundsätzlich freiwillig. Private Verantwortliche können nach Art. 10 DSG eine Datenschutzberaterin oder einen Datenschutzberater ernennen. Ob ausserhalb des DSG eine Pflicht besteht — etwa nach Art. 37 DSGVO bei anwendbarer DSGVO — ist separat zu prüfen.
• Eigene Schweizer Betroffenenrechte. Das DSG kennt unter anderem Auskunft, Berichtigung, Herausgabe oder Übertragung unter den gesetzlichen Voraussetzungen sowie zivilrechtliche Ansprüche. Auskunft ist grundsätzlich kostenlos und nach Art. 18 DSV in der Regel innert 30 Tagen zu erteilen; gesetzliche Ausnahmen bleiben vorbehalten.
• Internationale Datenbekanntgabe. Für Staaten ohne angemessenes Schutzniveau braucht es eine Grundlage nach Art. 16 oder 17 DSG, etwa anerkannte Standarddatenschutzklauseln. Die USA gelten seit 15. September 2024 für Empfänger als angemessen, die nach dem Swiss‑U.S. Data Privacy Framework zertifiziert sind; für nicht zertifizierte Empfänger gilt diese Angemessenheit nicht.

Was das für Cloud-Speicherung bedeutet

Cloud-HR-Software ist nicht allein wegen eines ausländischen Standorts verboten. Zu prüfen sind insbesondere Rolle und Vertrag des Anbieters, Zweck und Verhältnismässigkeit, Datensicherheit, Unterauftragsbearbeiter sowie bei Auslandbekanntgaben Art. 16 und 17 DSG. Ein Schweizer Rechenzentrum kann den Auslandtransfer vereinfachen, ersetzt diese Prüfung aber nicht.

Lokale Datenhaltung kann Drittbekanntgaben und Auslandtransfers reduzieren. Auch dann bleiben jedoch die Pflichten des Verantwortlichen bestehen — beispielsweise Informationspflicht, Verhältnismässigkeit, Datensicherheit, Betroffenenrechte und je nach Risiko weitere Massnahmen.

«Privacy by Design» heisst nicht «verschlüsselt in der Cloud». Es heisst, die Daten gar nicht erst irgendwohin zu schicken, wo sie nicht hin müssen.

Praxis-Checkliste für KMU

• Datenschutzerklärung aktualisieren. Auf der Website und in der App — mit konkreten Bearbeitungszwecken, nicht mit generischen Floskeln.
• Bearbeitungsverzeichnis prüfen und nötigenfalls führen. Wo Art. 12 DSG anwendbar ist, muss das Verzeichnis die dort und in Art. 24 DSV verlangten Angaben enthalten; auch bei einer Ausnahme kann eine freiwillige Übersicht zweckmässig sein.
• Rollen und Verträge prüfen. Ein Auftragsbearbeitungsvertrag ist nötig, wenn ein Dritter Personendaten weisungsgebunden im Auftrag bearbeitet; eigenständig Verantwortliche sind rechtlich anders einzuordnen.
• Meldeprozess für Verletzungen definieren. Wer entscheidet, wer meldet, wer dokumentiert.
• Mitarbeitende schulen. Eine kurze Awareness-Schulung, einmal jährlich: Phishing erkennen, Passwortmanager nutzen, USB-Sticks niemals unverschlüsselt.
• HR-Software risikobasiert wählen. Datenflüsse, Rollen, Standorte, Zugriffe, Verschlüsselung, Wiederherstellung und Löschprozesse anhand des konkreten Einsatzes prüfen.

Fazit

Das revidierte DSG ist für KMU mit einer risikobasierten Bestandsaufnahme umsetzbar. Ein aktuelles Bearbeitungsverzeichnis — freiwillig oder verpflichtend — und eine passende Datenschutzerklärung sind wichtige Bausteine, ersetzen aber weder technische und organisatorische Schutzmassnahmen noch die Prüfung des konkreten Datenflusses.

Quellen und weiterführende Links

• fedlex.admin.ch — DSG (SR 235.1), amtlicher Gesetzestext
• fedlex.admin.ch — DSV (SR 235.11), amtlicher Verordnungstext
• edoeb.admin.ch — EDÖB zum revidierten DSG und Bearbeitungsverzeichnis
• edoeb.admin.ch — EDÖB zu Auslandbekanntgaben und Swiss‑U.S. DPF
• eur-lex.europa.eu — DSGVO zum Vergleich