Marketing in der Schweiz: das revDSG

Hinweis Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung. Für die Beurteilung des eigenen Falls – besonders bei besonders schützenswerten Daten, Profiling oder Datenübermittlungen in Drittstaaten – ist eine Fachperson beizuziehen.

Das Wichtigste in Kürze

Das revDSG gilt seit dem 1. September 2023 und kennt keine Übergangsfrist.
Drei wesentliche Unterschiede zur DSGVO: keine Einwilligung als Regelfall, Sanktionen gegen natürliche Personen statt gegen Unternehmen, und kein allgemeines Verzeichnis für kleine Betriebe.
Wer EU-Kunden hat oder EU-Bürger anspricht, unterliegt zusätzlich der DSGVO – dann gilt in der Praxis der strengere Maßstab.
Sechs Punkte müssen auf einer Schweizer Unternehmenswebsite geregelt sein; die Datenschutzerklärung ist nur einer davon.

Die drei wesentlichen Unterschiede zur DSGVO

1. Bearbeitung ist grundsätzlich erlaubt

Die DSGVO verbietet die Verarbeitung personenbezogener Daten, solange keine Rechtsgrundlage vorliegt. Das revDSG dreht den Ausgangspunkt um: Bearbeitung ist zulässig, solange sie die Persönlichkeit nicht widerrechtlich verletzt.

In der Praxis: Der Unterschied ist kleiner, als er klingt. Transparenz, Zweckbindung, Verhältnismäßigkeit und Datensicherheit gelten auch hier. Bei besonders schützenswerten Daten und beim Profiling mit hohem Risiko wird eine ausdrückliche Einwilligung ebenfalls verlangt.

2. Sanktionen treffen Personen, nicht Unternehmen

Die DSGVO sieht Bußgelder gegen Unternehmen vor, prozentual zum Umsatz. Das revDSG sieht Bußen bis 250.000 Franken vor – gegen die verantwortliche natürliche Person, also die Geschäftsleitung oder die zuständige Führungskraft.

In der Praxis: Der niedrigere Betrag wird häufig als Entwarnung gelesen. Das ist ein Missverständnis: Die persönliche Haftung ändert die Verantwortungslage im Betrieb, und sie greift auch bei Vorsatz durch Unterlassen.

3. Kein Bearbeitungsverzeichnis für kleine Unternehmen

Unternehmen mit weniger als 250 Mitarbeitenden sind vom Verzeichnis der Bearbeitungstätigkeiten befreit – sofern die Bearbeitung kein hohes Risiko birgt und keine besonders schützenswerten Daten in grossem Umfang bearbeitet werden.

In der Praxis: Die Befreiung entfällt schnell. Wer Gesundheitsdaten bearbeitet oder umfangreiches Profiling betreibt, braucht das Verzeichnis trotzdem – und es ist ohnehin die nützlichste Übersicht, die man im Haus haben kann.

Wusstest du schon?

Die meisten Schweizer Unternehmen mit Website unterliegen faktisch beiden Regelwerken gleichzeitig. Die DSGVO greift bereits dann, wenn gezielt Personen in der EU angesprochen werden – etwa durch Preise in Euro, eine deutschsprachige Fassung mit EU-Bezug oder Versand in die EU.

Daraus folgt eine praktische Konsequenz: Wer beide Regelwerke erfüllen muss, orientiert sich sinnvollerweise am strengeren. Zwei getrennte Abläufe für zwei Regelwerke zu betreiben kostet mehr, als gleich nach dem höheren Maßstab zu arbeiten.

Sechs Punkte, die geregelt sein müssen

Punkt	Was verlangt wird	Häufiger Fehler
Datenschutzerklärung	Verständlich, vollständig, mit allen eingesetzten Dienstleistern	Dienstleister genannt, die nicht mehr im Einsatz sind – oder umgekehrt
Auftragsverarbeitung	Vertrag mit jedem Dienstleister, der Daten für euch bearbeitet	Fehlt bei Hosting, Newsletter-Versand und Analyse
Bekanntgabe ins Ausland	Angemessenheit prüfen, sonst Standardvertragsklauseln	USA-Dienste im Einsatz ohne dokumentierte Grundlage
Auskunftsrecht	Antwort binnen 30 Tagen, in der Regel kostenlos	Kein Ablauf definiert – die Frist läuft trotzdem
Datensicherheit	Angemessene technische und organisatorische Massnahmen	Keine Dokumentation, was getan wurde
Meldung von Verletzungen	Meldung an den EDÖB, wenn ein hohes Risiko besteht	Niemand weiss, wer im Ernstfall meldet

Werbung per E-Mail: eine eigene Regelung

E-Mail-Werbung ist in der Schweiz nicht im Datenschutzgesetz geregelt, sondern im Gesetz gegen den unlauteren Wettbewerb. Drei Bedingungen müssen zusammen erfüllt sein:

Einwilligung des Empfängers, oder eine bestehende Kundenbeziehung mit eigenen, vergleichbaren Produkten.
Korrekte Absenderangabe mit einer tatsächlich erreichbaren Adresse.
Hinweis auf die Abmeldemöglichkeit in jeder Nachricht, kostenlos und ohne Anmeldung.

Ein Verstoß ist hier strafbewehrt – auch das trifft die verantwortliche Person. Wer zusätzlich EU-Empfänger anschreibt, unterliegt außerdem den strengeren Anforderungen an die nachweisbare Einwilligung; die Schweizer Ausnahme für bestehende Kundenbeziehungen ist dort enger gefasst.

Aus der Praxis

Der häufigste Befund bei einer Durchsicht ist immer derselbe: Die Datenschutzerklärung nennt Dienste, die es im Unternehmen nicht mehr gibt – und nennt andere nicht, die längst im Einsatz sind. Ein Analysewerkzeug wurde ausgetauscht, ein Newsletter-Dienst gewechselt, ein Auslieferungsnetzwerk eingeführt.

Das ist kein formaler Mangel: Eine Erklärung, die einen nicht genutzten Dienst nennt, ist ebenso falsch wie eine, die einen genutzten verschweigt. Ein fester Termin einmal im Jahr, an dem die Liste der Dienstleister gegen die Erklärung geprüft wird, beseitigt den mit Abstand häufigsten Mangel.

Dienste aus den USA und anderen Drittstaaten

Der Punkt, an dem es in der Praxis am ehesten hakt – weil fast jedes Marketingwerkzeug betroffen ist.

Die Schweiz führt eine Liste von Staaten mit angemessenem Datenschutzniveau. Für die USA besteht seit 2024 ein Rahmenwerk, das eine Übermittlung an zertifizierte Empfänger erlaubt. Zwei Dinge sind dabei zu prüfen:

Ist der konkrete Anbieter zertifiziert? Das Rahmenwerk gilt nicht pauschal für alle US-Unternehmen, sondern nur für die, die sich haben zertifizieren lassen. Das ist im öffentlichen Verzeichnis nachprüfbar.
Falls nicht: Standardvertragsklauseln plus eine eigene Risikoeinschätzung. Die Klauseln allein genügen nicht; es braucht die Beurteilung, ob im Zielland ein gleichwertiger Schutz tatsächlich möglich ist.

Tipp Führt eine einfache Liste aller Dienste, die Personendaten bearbeiten: Anbieter, Zweck, Standort der Server, Grundlage der Übermittlung, Datum der letzten Prüfung. Diese Liste beantwortet die meisten Fragen einer Prüfung in wenigen Minuten – und sie ist die Grundlage für das Verzeichnis, falls ihr eines braucht.

Prompt

Hilf mir, unsere Datenschutz-Unterlagen auf Lücken zu prüfen.
Wir sind ein Schweizer Unternehmen.

Unsere Lage:
- Mitarbeitende: [Anzahl]
- Haben wir Kunden in der EU oder sprechen wir EU-Bürger an? [ja/nein]
- Dienste, die Personendaten bearbeiten: [Liste mit Zweck und
  Serverstandort, soweit bekannt]
- Was wir bereits haben: [Datenschutzerklärung / AV-Verträge /
  Verzeichnis / nichts davon]

Aufgaben:
1. Nenne je Dienst, welche Grundlage die Bekanntgabe ins Ausland
   braucht und was wir dafür vorliegen haben müssen.
2. Prüfe anhand unserer Angaben, ob wir ein Verzeichnis der
   Bearbeitungstätigkeiten führen müssen. Begründe.
3. Nenne, welche Angaben in unserer Datenschutzerklärung
   voraussichtlich fehlen.
4. Liste die Punkte auf, bei denen zusätzlich die DSGVO greift,
   und was dort strenger ist.
5. Markiere alles, was zwingend eine Fachperson beurteilen muss.

Erfinde keine Gesetzesartikel und keine Fristen. Wenn du eine
Angabe nicht sicher weisst, kennzeichne sie als zu prüfen.

Fazit

Das revDSG ist weniger streng als die DSGVO und trotzdem kein Grund zur Entspannung – vor allem, weil die Haftung persönlich ist und weil die meisten Schweizer Unternehmen ohnehin beiden Regelwerken unterliegen.

Praktisch führt das zu einer einfachen Empfehlung: nach dem strengeren Maßstab arbeiten, eine gepflegte Liste aller Dienstleister führen und einmal im Jahr prüfen, ob die Datenschutzerklärung noch beschreibt, was tatsächlich im Einsatz ist. Das deckt den größten Teil dessen ab, was bei einer Prüfung tatsächlich auffällt.

Häufige Fragen

Gilt die DSGVO für Schweizer Unternehmen?

Ja, sobald gezielt Personen in der EU angesprochen werden – etwa durch Preise in Euro, Versand in die EU oder eine auf EU-Kunden ausgerichtete Sprachfassung – oder wenn deren Verhalten beobachtet wird. In diesem Fall gelten revDSG und DSGVO gleichzeitig, und in der Praxis ist es einfacher, gleich nach dem strengeren Maßstab zu arbeiten.

Was ist der wichtigste Unterschied zwischen revDSG und DSGVO?

Der Ausgangspunkt: Die DSGVO verbietet die Bearbeitung, solange keine Rechtsgrundlage vorliegt; das revDSG erlaubt sie, solange die Persönlichkeit nicht widerrechtlich verletzt wird. Praktisch relevanter sind zwei andere Unterschiede – Bußen von bis zu 250.000 Franken richten sich gegen die verantwortliche natürliche Person, und kleine Unternehmen sind unter Bedingungen vom Bearbeitungsverzeichnis befreit.

Braucht ein kleines Schweizer Unternehmen ein Bearbeitungsverzeichnis?

Unternehmen mit weniger als 250 Mitarbeitenden sind befreit, sofern die Bearbeitung kein hohes Risiko birgt und keine besonders schützenswerten Daten in grossem Umfang bearbeitet werden. Die Befreiung entfällt schnell – etwa bei umfangreichem Profiling. Unabhängig davon ist eine Liste der eingesetzten Dienste die nützlichste Übersicht im Haus.

Darf man aus der Schweiz US-Dienste einsetzen?

Ja, unter Bedingungen. Zu prüfen ist, ob der konkrete Anbieter nach dem seit 2024 bestehenden Rahmenwerk zertifiziert ist – das gilt nicht pauschal für alle US-Unternehmen. Ist er es nicht, braucht es Standardvertragsklauseln und zusätzlich eine eigene Einschätzung, ob im Zielland ein gleichwertiger Schutz tatsächlich möglich ist.

Welche Regeln gelten in der Schweiz für E-Mail-Werbung?

Nicht das Datenschutzgesetz, sondern das Gesetz gegen den unlauteren Wettbewerb. Verlangt werden drei Dinge zusammen: Einwilligung oder eine bestehende Kundenbeziehung mit vergleichbaren eigenen Produkten, eine korrekte und erreichbare Absenderangabe, und ein kostenloser Abmeldehinweis in jeder Nachricht. Bei EU-Empfängern gelten zusätzlich die strengeren Anforderungen an die nachweisbare Einwilligung.