nDSG (Schweiz) vs. DSGVO (EU)
Das neue Schweizer Datenschutzgesetz (nDSG) ist per 1. September 2023 in Kraft getreten. Es orientiert sich zwar an der Datenschutz-Grundverordnung der EU (DSGVO), unterscheidet sich aber in wichtigen Punkten davon.
Die Schweiz greift mit dem nDSG auf einen liberaleren Ansatz zurück. Unternehmen benötigen in der Regel keine Einwilligung der Nutzer:innen, müssen sich aber an eine ausgeweitete Informationspflicht halten.
Wenig Zeit?
Optimaler Schutz für KMU: Beide Gesetze wirken auf den ersten Blick sehr ähnlich, unterscheiden sich jedoch in zentralen Aspekten. Dieser Vergleich zeigt die wichtigsten Unterschiede und hilft KMU, Handlungsbedarf zu erkennen.
Hinweis zum Rechtsstand: Dieser Beitrag wurde am 10. August 2023 veröffentlicht und dokumentiert den damaligen Informationsstand vor Inkrafttreten des nDSG. Er dient der Orientierung und stellt keine Rechtsberatung dar. Prüfen Sie aktuelle Vorgaben bei EDÖB, Fedlex oder einer qualifizierten Rechtsberatung.
Das nDSG verbessert nicht nur den Datenschutz, sondern wahrt auch den freien Datenverkehr mit der EU. Für jedes KMU, das bereits die Anforderungen der DSGVO erfüllt, kann dennoch Handlungsbedarf bestehen. Der folgende Vergleich hilft Unternehmen, sich bedarfsgerecht vorzubereiten und ihre Wettbewerbsfähigkeit zu wahren.
Die 11 wichtigsten Unterschiede auf einen Blick
| DSGVO | nDSG | |
|---|---|---|
| Sanktionen | Geldbussen an das verantwortliche Unternehmen bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes des Unternehmens. | Bei Verstoss gegen Regelungen strafrechtliche Bussen bis zu 250’000 CHF. Dabei ist die Strafe mit Ausnahmen an die verantwortliche natürliche Person geknüpft. |
| Melden von Datenschutzverletzungen | Pflicht, Datenschutzverletzungen mit Risiken für die betroffenen Personen der Datenschutzbehörde innerhalb von 72 Stunden zu melden. Besteht ein hohes Risiko für die Persönlichkeit, so muss die Person benachrichtigt werden. | Pflicht, sofern es zum Schutz der betroffenen Personen erforderlich ist. Das EDÖB muss vom Verantwortlichen nur bei einem hohen Risiko informiert werden, sprich, wenn es zum Schutz der betroffenen Person erforderlich ist. Dabei gilt keine Frist von 72 Stunden, sondern “möglichst schnell”. |
| Datenexporte | Die Europäische Kommission entscheidet über die Zulässigkeit. EU-Standardvertragsklauseln und verbindliche unternehmensinterne Vorschriften sind anwendbar. | Das gleiche Konzept. Der Bundesrat entscheidet über die Zulässigkeit von Datenexporten. Dieselben Standardvertragsklauseln und verbindlichen unternehmensinternen Vorschriften wie in der EU sind anwendbar. |
| Benennung eines Datenschutzbeauftragten | Pflicht, wenn das Unternehmen regelmässige und systematische Überwachung in grossem Umfang durchführt oder besondere Kategorien von Daten in grossem Umfang verarbeitet, gemäss Art. 37. | Keine Pflicht, aber ausdrücklich empfohlen. Die Benennung führt zu Erleichterung bei einer Datenverarbeitung mit einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person. |
| Datenschutz-Folgenabschätzung | Wenn trotz ergriffener Massnahmen ein hohes Risiko besteht, dann ist eine Rücksprache mit Aufsichtsbehörden obligatorisch. | Wenn ein hohes Risiko für die Persönlichkeit oder Grundrechte der betroffenen Personen besteht, so ist eine Datenschutz-Folgeabschätzung (DSFA) durchzuführen. Wenn trotz der Massnahmen das Risiko weiter besteht, dann ist die Rücksprache mit einem Datenschutzbeauftragten oder dem EDÖB möglich. |
| Datenschutzvertretung | Unternehmen mit einem Sitz ausserhalb eines EU/EWR-Landes, die ihr Angebot an Kunden in EU/EWR-Ländern richten, Daten verarbeiten oder das Verhalten beobachten, müssen einen offiziellen Vertreter in der EU/EWR bestimmen. | Bei der Datenverarbeitung durch einen Verantwortlichen mit einem Sitz im Ausland ist eine Vertretung in der Schweiz zu benennen. Ebenso wenn die Datenverarbeitung mit einem hohen Risiko hergeht, umfassend oder regelmässig ist. |
| Profiling | Allgemeine Pflicht zur Einholung der Zustimmung. | Allgemeine Pflicht zur Einholung der Zustimmung nur bei Profiling mit hohem Risiko. |
| Informationspflicht | Pflicht, betroffene Person bei Erhebung von personenbezogenen Daten zu informieren. | Der Verantwortliche muss die betroffene Person über die Beschaffung von Personendaten informieren, auch wenn die Daten nicht bei der betroffenen Person beschafft werden (gem. Art. 18a). |
| Bearbeitung von persönlichen Daten | Die Verarbeitung von Personendaten ist grundsätzlich verboten, es sei denn, es besteht eine rechtliche Grundlage (z.B. Einwilligung, Vertrag, gesetzliche Verpflichtung). | Hier ist die Bearbeitung von Personendaten generell erlaubt, es sei denn, es liegt eine unzulässige Verletzung der Persönlichkeitsrechte vor. |
| Auskunftsrecht | Betroffene Personen haben das Recht, Informationen zu ihren verarbeiteten personenbezogenen Daten zu erhalten. Dies umfasst unter anderen Verarbeitungszwecke und Datenherkunft. | Ähnlich wie in der DSGVO, jedoch mit mehr Ausnahmen. Die Auskunft kann z.B. verweigert werden, wenn die Privatsphäre Dritter oder überwiegende Interessen betroffen sind. |
| Verzeichnis der Verarbeitungstätigkeiten | Unternehmen müssen ein Verzeichnis über ihre Verarbeitungstätigkeiten führen, gemäss Art. 37. | Verantwortliche/Auftragsbearbeiter führen ein Verzeichnis der Bearbeitungstätigkeiten mit einer Mindestinhaltsvorgabe. Eine Ausnahme ist der Fall bei Unternehmen mit weniger als 250 Mitarbeitenden und Datenbearbeitungen mit geringen Risiken für Persönlichkeitsverletzungen. Es gibt jedoch keine Ausnahme bei einem Profiling mit hohem Risiko oder Bearbeitung von besonders schützenswerten Daten in einem grossen Umfang. |
Cookie-Banner für Schweizer Websites?
Wie sieht ein rechtskonformes Cookie-Banner aus?
Nach dem nDSG sind Cookie-Banner in der Schweiz nicht pauschal verpflichtend. Werden Cookies eingesetzt, müssen Nutzer:innen jedoch transparent, verständlich und leicht zugänglich darüber informiert werden. Werden besonders schützenswerte Personendaten bearbeitet, ist eine ausdrückliche Einwilligung erforderlich.
Ein Einwilligungsbanner darf einwilligungspflichtige Cookies nicht bereits standardmässig aktivieren, die Zustimmung nicht erzwingen und das blosse Weitersurfen nicht als Einwilligung werten. Der Zugriff auf eine Website darf grundsätzlich nicht von einer pauschalen Zustimmung abhängen; Auswahlmöglichkeiten sollten granular sein.
Welche Richtlinien gelten für Cookie-Banner?
Der EDÖB weist darauf hin, dass beim Webtracking neben dem Schweizer Datenschutzrecht je nach Zielgruppe und Angebot auch europäische Vorgaben relevant sein können.
Wann müssen Schweizer Websites DSGVO-konform sein?
Entscheidend ist unter anderem der Standort der Nutzer:innen und ob sich ein Angebot gezielt an Personen in der EU richtet. Schweizer Organisationen sollten daher individuell prüfen, ob neben dem nDSG auch die DSGVO anwendbar ist. Eine ausführlichere Einordnung bietet unsere DSGVO-Schweiz-Checkliste.
Fazit
Das nDSG setzt neue Datenschutzstandards für die Schweiz, schützt die Persönlichkeit der betroffenen Personen und orientiert sich in vielen Punkten an der europäischen DSGVO. Die Unterschiede sind für KMU dennoch relevant – insbesondere bei Sanktionen, Meldepflichten, Profiling, Vertretung und Dokumentation.
Unternehmen sollten ihre Prozesse, Datenschutzerklärungen und eingesetzten Tracking-Werkzeuge regelmässig prüfen und bei rechtlicher Unsicherheit fachkundige Beratung einholen.
