Marketing in Zwitserland: het revDSG

Opmerking Deze bijdrage geeft een overzicht en vervangt geen juridisch advies. Voor de beoordeling van het eigen geval – zeker bij bijzonder gevoelige gegevens, profilering of gegevensdoorgifte naar derde landen – moet een deskundige worden ingeschakeld.

Het belangrijkste kort

Het revDSG geldt sinds 1 september 2023 en kent geen overgangstermijn.
Drie wezenlijke verschillen met de AVG: toestemming is niet het uitgangspunt, sancties richten zich tegen natuurlijke personen in plaats van tegen bedrijven, en er is geen algemeen register voor kleine ondernemingen.
Wie EU-klanten heeft of EU-burgers aanspreekt, valt daarnaast onder de AVG – dan geldt in de praktijk de strengste maatstaf.
Zes punten moeten op een Zwitserse bedrijfswebsite geregeld zijn; de privacyverklaring is er daar maar één van.

De drie wezenlijke verschillen met de AVG

1. Verwerking is in beginsel toegestaan

De AVG verbiedt de verwerking van persoonsgegevens zolang er geen rechtsgrondslag is. Het revDSG draait het uitgangspunt om: verwerking is toelaatbaar zolang ze de persoonlijkheid niet wederrechtelijk aantast.

In de praktijk: het verschil is kleiner dan het klinkt. Transparantie, doelbinding, evenredigheid en gegevensbeveiliging gelden hier evengoed. Bij bijzonder gevoelige gegevens en bij profilering met een hoog risico wordt eveneens uitdrukkelijke toestemming verlangd.

2. Sancties treffen personen, niet bedrijven

De AVG voorziet in boetes tegen bedrijven, procentueel ten opzichte van de omzet. Het revDSG voorziet in boetes tot 250.000 frank – tegen de verantwoordelijke natuurlijke persoon, dus de directie of de betreffende leidinggevende.

In de praktijk: het lagere bedrag wordt vaak als geruststelling gelezen. Dat is een misverstand: de persoonlijke aansprakelijkheid verandert de verantwoordelijkheidsverhoudingen in het bedrijf, en ze geldt ook bij opzet door nalaten.

3. Geen verwerkingsregister voor kleine ondernemingen

Bedrijven met minder dan 250 medewerkers zijn vrijgesteld van het register van verwerkingsactiviteiten – mits de verwerking geen hoog risico met zich meebrengt en er geen bijzonder gevoelige gegevens op grote schaal worden verwerkt.

In de praktijk: de vrijstelling vervalt snel. Wie gezondheidsgegevens verwerkt of uitgebreid aan profilering doet, heeft het register toch nodig – en het is sowieso het nuttigste overzicht dat je in huis kunt hebben.

Wist je dat?

De meeste Zwitserse bedrijven met een website vallen feitelijk tegelijk onder beide regelingen. De AVG grijpt al aan zodra gericht personen in de EU worden aangesproken – bijvoorbeeld door prijzen in euro, een taalversie die op de EU is gericht, of verzending naar de EU.

Daaruit volgt een praktisch gevolg: wie aan beide regelingen moet voldoen, richt zich verstandigerwijs naar de strengste. Twee gescheiden processen voor twee regelingen onderhouden kost meer dan meteen naar de hoogste maatstaf werken.

Zes punten die geregeld moeten zijn

Punt	Wat er wordt verlangd	Veelgemaakte fout
Privacyverklaring	Begrijpelijk, volledig, met alle ingezette dienstverleners	Dienstverleners genoemd die niet meer worden gebruikt – of omgekeerd
Verwerking in opdracht	Overeenkomst met elke dienstverlener die gegevens voor jullie verwerkt	Ontbreekt bij hosting, nieuwsbriefverzending en analyse
Doorgifte naar het buitenland	Passendheid toetsen, anders standaardcontractbepalingen	Amerikaanse diensten in gebruik zonder gedocumenteerde grondslag
Recht op inzage	Antwoord binnen 30 dagen, in de regel kosteloos	Geen proces vastgelegd – de termijn loopt toch
Gegevensbeveiliging	Passende technische en organisatorische maatregelen	Geen documentatie van wat er is gedaan
Melding van inbreuken	Melding aan de EDÖB als er een hoog risico bestaat	Niemand weet wie er in geval van nood meldt

Reclame per e-mail: een eigen regeling

E-mailreclame is in Zwitserland niet in de wet op de gegevensbescherming geregeld, maar in de wet tegen oneerlijke mededinging. Drie voorwaarden moeten samen vervuld zijn:

Toestemming van de ontvanger, of een bestaande klantrelatie met eigen, vergelijkbare producten.
Correcte afzendergegevens met een adres dat werkelijk bereikbaar is.
Verwijzing naar de afmeldmogelijkheid in elk bericht, kosteloos en zonder aanmelding.

Een overtreding is hier strafbaar gesteld – ook dat treft de verantwoordelijke persoon. Wie daarnaast EU-ontvangers aanschrijft, valt bovendien onder de strengere eisen aan aantoonbare toestemming; de Zwitserse uitzondering voor bestaande klantrelaties is daar enger geformuleerd.

Uit de praktijk

De meest voorkomende bevinding bij een doorlichting is altijd dezelfde: de privacyverklaring noemt diensten die in het bedrijf niet meer bestaan – en noemt andere niet die allang in gebruik zijn. Een analysegereedschap is vervangen, een nieuwsbriefdienst gewisseld, een leveringsnetwerk ingevoerd.

Dat is geen formeel gebrek: een verklaring die een ongebruikte dienst noemt, is even onjuist als een die een gebruikte verzwijgt. Eén vast moment per jaar waarop de lijst met dienstverleners tegen de verklaring wordt gelegd, ruimt het veruit meest voorkomende gebrek op.

Diensten uit de VS en andere derde landen

Het punt waarop het in de praktijk het snelst wringt – omdat vrijwel elk marketinggereedschap eronder valt.

Zwitserland houdt een lijst bij van staten met een passend beschermingsniveau. Voor de VS bestaat sinds 2024 een raamwerk dat doorgifte aan gecertificeerde ontvangers toestaat. Twee dingen zijn daarbij te toetsen:

Is de concrete aanbieder gecertificeerd? Het raamwerk geldt niet zonder meer voor alle Amerikaanse bedrijven, maar alleen voor de bedrijven die zich hebben laten certificeren. Dat is in het openbare register na te gaan.
Zo niet: standaardcontractbepalingen plus een eigen risico-inschatting. De bepalingen alleen volstaan niet; er is een beoordeling nodig of in het land van bestemming een gelijkwaardige bescherming werkelijk mogelijk is.

Tip Houd een eenvoudige lijst bij van alle diensten die persoonsgegevens verwerken: aanbieder, doel, locatie van de servers, grondslag van de doorgifte, datum van de laatste toetsing. Die lijst beantwoordt de meeste vragen bij een controle in enkele minuten – en ze is de basis voor het register, mocht je er een nodig hebben.

Prompt

Help me onze privacydocumenten op hiaten te toetsen.
Wij zijn een Zwitsers bedrijf.

Onze situatie:
- Medewerkers: [aantal]
- Hebben we klanten in de EU of spreken we EU-burgers aan? [ja/nee]
- Diensten die persoonsgegevens verwerken: [lijst met doel en
  serverlocatie, voor zover bekend]
- Wat we al hebben: [privacyverklaring / verwerkersovereenkomsten /
  register / niets daarvan]

Opdrachten:
1. Noem per dienst welke grondslag de doorgifte naar het
   buitenland nodig heeft en wat we daarvoor moeten hebben liggen.
2. Toets aan de hand van onze gegevens of we een register van
   verwerkingsactiviteiten moeten bijhouden. Onderbouw dat.
3. Noem welke gegevens in onze privacyverklaring vermoedelijk
   ontbreken.
4. Som de punten op waarop daarnaast de AVG aangrijpt, en wat
   daar strenger is.
5. Markeer alles wat dwingend door een deskundige moet worden
   beoordeeld.

Verzin geen wetsartikelen en geen termijnen. Als je een gegeven
niet zeker weet, merk het dan aan als te toetsen.

Conclusie

Het revDSG is minder streng dan de AVG en toch geen reden om te ontspannen – vooral omdat de aansprakelijkheid persoonlijk is en omdat de meeste Zwitserse bedrijven sowieso onder beide regelingen vallen.

Praktisch leidt dat tot een eenvoudige aanbeveling: naar de strengste maatstaf werken, een bijgehouden lijst van alle dienstverleners voeren en eens per jaar toetsen of de privacyverklaring nog beschrijft wat er werkelijk in gebruik is. Dat dekt het grootste deel af van wat bij een controle daadwerkelijk opvalt.

Veelgestelde vragen

Geldt de AVG voor Zwitserse bedrijven?

Ja, zodra gericht personen in de EU worden aangesproken – bijvoorbeeld door prijzen in euro, verzending naar de EU of een taalversie die op EU-klanten is gericht – of wanneer hun gedrag wordt gevolgd. In dat geval gelden het revDSG en de AVG tegelijk, en in de praktijk is het eenvoudiger meteen naar de strengste maatstaf te werken.

Wat is het belangrijkste verschil tussen het revDSG en de AVG?

Het uitgangspunt: de AVG verbiedt de verwerking zolang er geen rechtsgrondslag is; het revDSG staat haar toe zolang de persoonlijkheid niet wederrechtelijk wordt aangetast. Praktisch relevanter zijn twee andere verschillen – boetes tot 250.000 frank richten zich tegen de verantwoordelijke natuurlijke persoon, en kleine bedrijven zijn onder voorwaarden vrijgesteld van het verwerkingsregister.

Heeft een klein Zwitsers bedrijf een verwerkingsregister nodig?

Bedrijven met minder dan 250 medewerkers zijn vrijgesteld, mits de verwerking geen hoog risico met zich meebrengt en er geen bijzonder gevoelige gegevens op grote schaal worden verwerkt. De vrijstelling vervalt snel – bijvoorbeeld bij uitgebreide profilering. Los daarvan is een lijst van de ingezette diensten het nuttigste overzicht in huis.

Mag je vanuit Zwitserland Amerikaanse diensten inzetten?

Ja, onder voorwaarden. Te toetsen is of de concrete aanbieder gecertificeerd is volgens het raamwerk dat sinds 2024 bestaat – dat geldt niet zonder meer voor alle Amerikaanse bedrijven. Is hij dat niet, dan zijn standaardcontractbepalingen nodig en daarnaast een eigen inschatting of in het land van bestemming een gelijkwaardige bescherming werkelijk mogelijk is.

Welke regels gelden in Zwitserland voor e-mailreclame?

Niet de wet op de gegevensbescherming, maar de wet tegen oneerlijke mededinging. Er worden drie dingen samen verlangd: toestemming of een bestaande klantrelatie met vergelijkbare eigen producten, correcte en bereikbare afzendergegevens, en een kosteloze afmeldverwijzing in elk bericht. Bij EU-ontvangers gelden daarnaast de strengere eisen aan aantoonbare toestemming.