DSGVO und revDSG im Vergleich: was Unternehmen in Deutschland und der Schweiz beachten müssen

Kurzantwort: DSGVO und revidiertes Schweizer Datenschutzgesetz (revDSG, in Kraft seit 1. September 2023) folgen denselben Grundsätzen, unterscheiden sich aber in drei praktisch wichtigen Punkten. Die DSGVO verlangt die Meldung einer Datenschutzverletzung möglichst binnen 72 Stunden, das revDSG „so rasch als möglich“ und nur bei voraussichtlich hohem Risiko (Art. 33 DSGVO; Art. 24 DSG). Die DSGVO sieht Bussgelder gegen Unternehmen bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes vor, das revDSG Bussen bis CHF 250’000 gegen verantwortliche natürliche Personen. Einen Datenschutzbeauftragten verlangen nur die DSGVO in bestimmten Fällen und das deutsche BDSG; in der Schweiz ist ein Datenschutzberater freiwillig (Art. 10 DSG).

Dieser Vergleich richtet sich an Datenschutzverantwortliche, General Counsel und Compliance-Teams mit Geschäft in Deutschland und der Schweiz. Er zeigt die Unterschiede zwischen DSGVO und revDSG in einer Tabelle, erklärt Meldung, Sanktionen, Dokumentation und Auslandtransfer und gibt eine Checkliste für Gruppen mit Bezug zu beiden Ländern.

Vergleichstabelle der wichtigsten Pflichten

Die wichtigsten Unterschiede liegen beim Anwendungsbereich, bei den Meldepflichten, bei den Sanktionen und bei den Beauftragten.

Meldung von Datenschutzverletzungen

Nach der DSGVO meldet der Verantwortliche eine Verletzung unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde; nach dem revDSG meldet er sie dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch als möglich, aber nur bei voraussichtlich hohem Risiko für die Betroffenen. In der Schweiz ist die Schwelle höher, eine feste Stundenfrist fehlt.

Die Meldung an den EDÖB nennt mindestens Art und Folgen der Verletzung und die ergriffenen oder geplanten Massnahmen (Art. 24 Abs. 2 DSG). Auftragsbearbeiter melden dem Verantwortlichen so rasch als möglich (Art. 24 Abs. 3 DSG). Eine Meldung darf in einem Strafverfahren gegen die meldepflichtige Person nur mit deren Einverständnis verwendet werden (Art. 24 Abs. 6 DSG).

Ablauf bei einem Vorfall mit Bezug zu beiden Ländern

1. Vorfall erfassen, Zeitpunkt der Kenntnis dokumentieren und Eindämmung einleiten.
2. Betroffene Personen und Länder bestimmen: Wo sind die Betroffenen, welche Gesellschaft ist verantwortlich?
3. Risiko nach beiden Massstäben bewerten: „Risiko“ nach DSGVO, „hohes Risiko“ nach revDSG.
4. EU-Meldung innerhalb der 72-Stunden-Frist vorbereiten, verspätete Meldungen begründen.
5. Meldung an den EDÖB parallel prüfen und bei hohem Risiko so rasch als möglich einreichen.
6. Information der Betroffenen nach Art. 34 DSGVO und Art. 24 Abs. 4 DSG entscheiden.
7. Entscheidungen, Fristen und Massnahmen dokumentieren.

Sanktionen: Unternehmen gegen natürliche Personen

Die DSGVO richtet Bussgelder gegen Unternehmen, das revDSG richtet Bussen grundsätzlich gegen die verantwortlichen natürlichen Personen. Das betrifft Führungskräfte in der Schweiz direkt.

• DSGVO: Bei Verstössen etwa gegen die Grundsätze der Verarbeitung drohen bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO).
• revDSG: Bussen bis CHF 250’000 drohen privaten Personen, die vorsätzlich Informations- und Auskunftspflichten verletzen, Daten unzulässig ins Ausland bekanntgeben, Auftragsbearbeiter ohne die nötigen Voraussetzungen beiziehen, Mindestanforderungen an die Datensicherheit missachten, die berufliche Schweigepflicht verletzen oder Verfügungen des EDÖB nicht befolgen (Art. 60–63 DSG). Mehrere Tatbestände werden nur auf Antrag verfolgt.
• Unternehmen in der Schweiz: Fällt höchstens eine Busse von CHF 50’000 in Betracht und wäre die Ermittlung der verantwortlichen Person unverhältnismässig, kann der Geschäftsbetrieb gebüsst werden (Art. 64 DSG).
• Verfahren: In der Schweiz verfolgen die Kantone die Widerhandlungen; die Verfolgung verjährt nach fünf Jahren (Art. 65, 66 DSG).

Die Pflicht zur Meldung einer Datensicherheitsverletzung (Art. 24 DSG) ist in den Strafbestimmungen der Art. 60–63 DSG nicht aufgeführt. Der EDÖB kann aber eine Untersuchung führen und Verfügungen erlassen; wer eine solche Verfügung vorsätzlich missachtet, macht sich nach Art. 63 DSG strafbar.

Verzeichnis, Folgenabschätzung, Beauftragte

Beide Rechtsordnungen verlangen ein Verzeichnis der Bearbeitungstätigkeiten und bei voraussichtlich hohem Risiko eine Folgenabschätzung; verschieden sind die Ausnahmen und die Rolle der Beauftragten.

Verzeichnis

In der Schweiz sind Unternehmen mit weniger als 250 Mitarbeitenden ausgenommen, wenn ihre Bearbeitung ein geringes Risiko birgt (Art. 12 Abs. 5 DSG). Nach der DSGVO greift die Ausnahme für kleinere Unternehmen nur, wenn die Verarbeitung kein Risiko birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien betrifft (Art. 30 Abs. 5 DSGVO). Wer beide Rechtsordnungen bedient, führt in der Praxis ein gemeinsames Verzeichnis mit den Angaben beider Gesetze, etwa zum Empfängerstaat und zu den Garantien nach Art. 12 Abs. 2 lit. g DSG.

Folgenabschätzung

Ergibt die Folgenabschätzung in der Schweiz trotz Massnahmen ein hohes Risiko, muss der EDÖB vorgängig konsultiert werden. Darauf kann verzichtet werden, wenn der Datenschutzberater konsultiert wurde und die Voraussetzungen nach Art. 10 Abs. 3 DSG erfüllt sind (Art. 23 Abs. 4 DSG).

Beauftragte

In Deutschland ist ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung beschäftigt sind (§ 38 Abs. 1 BDSG). Bund und Länder haben in der Föderalen Modernisierungsagenda vom 4. Dezember 2025 vereinbart, dass der Bund bis zum 31. Dezember 2026 eine Aufhebung von § 38 Abs. 1 BDSG einbringt; die Pflicht soll sich dann nur noch nach Art. 37 DSGVO richten. Ein Gesetz ist bisher nicht verabschiedet, die 20-Personen-Regel gilt unverändert (Stand 31. Oktober 2026). Ein externer Datenschutzbeauftragter auf Basis eines Dienstleistungsvertrags ist zulässig (Art. 37 Abs. 6 DSGVO). In der Schweiz kann ein Unternehmen freiwillig einen Datenschutzberater ernennen (Art. 10 DSG).

Auslandtransfer

Beide Gesetze erlauben Übermittlungen in Staaten mit angemessenem Schutzniveau ohne Zusatzmassnahmen; sonst braucht es geeignete Garantien wie Standardvertragsklauseln. Unterschiedlich sind die zuständigen Stellen und Formalitäten.

• Schweiz: Der Bundesrat legt fest, welche Staaten angemessenen Schutz bieten (Art. 16 Abs. 1 DSG, Anhang 1 DSV). Seit dem 15. September 2024 gilt das für Unternehmen in den USA, die nach dem Swiss-US Data Privacy Framework zertifiziert sind. Vertragsklauseln, die der EDÖB nicht vorgängig genehmigt oder anerkannt hat, sind ihm vorgängig mitzuteilen (Art. 16 Abs. 2 DSG).
• EU: Übermittlungen in Drittländer sind auf Grundlage eines Angemessenheitsbeschlusses der Kommission oder mit geeigneten Garantien zulässig (Art. 45, 46 DSGVO). Für die Schweiz besteht ein Angemessenheitsbeschluss der Kommission (Entscheidung 2000/518/EG), den die Kommission in ihrem Überprüfungsbericht vom Januar 2024 bestätigt hat. Daten aus der EU dürfen deshalb ohne zusätzliche Garantien in die Schweiz fliessen. Umgekehrt führt Anhang 1 DSV die EU- und EWR-Staaten als Staaten mit angemessenem Schutz auf.
• Information: Nach revDSG ist bei der Beschaffung auch der Empfängerstaat und gegebenenfalls die Garantie zu nennen (Art. 19 Abs. 4 DSG).

Ein unzulässiger Auslandtransfer kann in der Schweiz bei Vorsatz für die verantwortliche Person strafbar sein (Art. 61 lit. a DSG). Datenflüsse zwischen Gesellschaften und zu Cloud-Anbietern gehören deshalb in ein aktuelles Transfer-Mapping.

Was Unternehmen mit Bezug zu beiden Ländern tun

Unternehmen mit Gesellschaften oder Kunden in Deutschland und der Schweiz fahren am besten mit einem Programm, das den strengeren Massstab als Basis nimmt und Schweizer Besonderheiten ergänzt.

• Anwendbarkeit klären: Für welche Gesellschaften und Kundengruppen gelten DSGVO, revDSG oder beide?
• Ein gemeinsames Verzeichnis führen, das die Pflichtangaben beider Gesetze abdeckt.
• Incident-Playbook mit beiden Meldeschwellen, beiden Behörden und der 72-Stunden-Frist aufsetzen.
• Datenschutzerklärungen auf die Mindestangaben nach Art. 19 DSG und Art. 13, 14 DSGVO prüfen.
• Transferinstrumente je Datenfluss dokumentieren, inklusive Mitteilungen an den EDÖB.
• Verantwortlichkeiten in der Schweiz klar zuweisen und schulen, weil Bussen dort Personen treffen.

Für Projekte wie Verzeichnis, Playbook oder Transfer-Mapping lassen sich temporär zusätzliche Datenschutzjuristinnen und -juristen einsetzen. Alpinum Solutions stellt solche Fachkräfte über Staff Leasing und Freelancing bereit, in Teilzeit oder Vollzeit; auch die formale Funktion als Datenschutzbeauftragte ist grundsätzlich in beiden Modellen möglich. Wie solche Projekte ablaufen, beschreibt der Beitrag Juristische Unterstützung im Datenschutzprojekt; zur Vakanz im Amt siehe Datenschutzbeauftragte: Vakanz überbrücken.

Ausblick und Grenzen

• Digital Omnibus: Die EU-Kommission schlug am 19. November 2025 Änderungen an der DSGVO vor, unter anderem zur Meldefrist für Datenpannen. Der Rat legte sein Verhandlungsmandat am 21. Oktober 2026 fest (Ratsdokument 14756/26). Danach soll eine Datenpanne nur noch bei voraussichtlich hohem Risiko an die Aufsichtsbehörde gemeldet werden. Bis eine Änderung in Kraft ist, gilt die 72-Stunden-Frist (Stand Oktober 2026).
• Verantwortung: Die Verantwortung für die Einhaltung bleibt beim Unternehmen und seinen Organen, auch wenn Interim-Fachkräfte Dokumente vorbereiten.
• Keine Rechtsberatung: Alpinum ist keine Kanzlei. Auslegungsfragen, etwa zur Anwendbarkeit der DSGVO auf eine Schweizer Gesellschaft, klären Unternehmen mit ihrer Rechtsabteilung oder externen Beratern.

Häufige Fragen zu DSGVO und revDSG

Gilt die DSGVO für Schweizer Unternehmen?

Ja, wenn ein Schweizer Unternehmen eine Niederlassung in der EU hat oder Personen in der EU Waren oder Dienstleistungen anbietet bzw. ihr Verhalten in der EU beobachtet (Art. 3 DSGVO). Dann muss es grundsätzlich auch einen Vertreter in der Union benennen (Art. 27 DSGVO). Für die übrigen Bearbeitungen gilt das revDSG, das auf Auswirkungen in der Schweiz abstellt.

Wer wird nach revDSG gebüsst?

Das revDSG richtet Bussen bis CHF 250’000 grundsätzlich gegen die verantwortlichen natürlichen Personen, nicht gegen das Unternehmen (Art. 60–63 DSG). Strafbar ist nur vorsätzliches Handeln, mehrere Tatbestände werden nur auf Antrag verfolgt. Das Unternehmen kann subsidiär mit bis zu CHF 50’000 gebüsst werden, wenn die Suche nach der verantwortlichen Person unverhältnismässig wäre (Art. 64 DSG).

Braucht ein Unternehmen in der Schweiz einen Datenschutzberater?

Nein, private Unternehmen können einen Datenschutzberater freiwillig ernennen (Art. 10 DSG). Ein Vorteil: Ergibt eine Folgenabschätzung ein hohes Restrisiko, kann die Konsultation des EDÖB entfallen, wenn stattdessen der Datenschutzberater konsultiert wurde und dieser unabhängig, weisungsfrei und dem EDÖB gemeldet ist. Für deutsche Gesellschaften gelten dagegen Art. 37 DSGVO und § 38 BDSG.

Muss eine Datenpanne in beiden Ländern gemeldet werden?

Das hängt von den Betroffenen und vom Risiko ab. Sind Personen in der EU betroffen, gilt die 72-Stunden-Frist nach Art. 33 DSGVO, ausser die Verletzung führt voraussichtlich zu keinem Risiko. Sind Personen in der Schweiz betroffen und ist das Risiko voraussichtlich hoch, ist zusätzlich der EDÖB so rasch als möglich zu informieren (Art. 24 DSG).

Ändert der Digital Omnibus die 72-Stunden-Frist?

Noch nicht. Der Rat hat am 21. Oktober 2026 ein Verhandlungsmandat beschlossen, das eine Meldung an die Aufsichtsbehörde nur noch bei voraussichtlich hohem Risiko vorsieht; Fachberichte nennen zudem eine Frist von 96 Stunden. Das Europäische Parlament hat noch keine Position, die Verhandlungen mit dem Rat beginnen erst danach (Stand Oktober 2026). Bis eine Änderung in Kraft ist, gilt Art. 33 DSGVO unverändert.

Nächster Schritt

Wenn Sie ein Datenschutzprogramm für Deutschland und die Schweiz harmonisieren oder eine Vakanz im Datenschutz überbrücken müssen, besprechen Sie den Bedarf mit uns. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

• IT, Technologie und Datenschutzrecht: Projektjuristinnen und -juristen
• Datenschutzbeauftragte: Vakanz überbrücken und Interim-Benennung
• Juristische Unterstützung im Datenschutzprojekt
• Bedarf besprechen

Stand: 31. Oktober 2026.