revDSG-Compliance für Schweizer Konzerne — entwickelt von einem Schweizer Team, gehostet in der Schweiz

Das Wichtigste in Kürze — revDSG-Compliance mit Priverion

Das revidierte Datenschutzgesetz (revDSG/nDSG), das seit dem 01.09.2023 in Kraft ist, verpflichtet Verantwortliche, ein Verarbeitungsverzeichnis zu führen, für risikoreiche Tätigkeiten DSFA durchzuführen, dem EDÖB schwerwiegende Verletzungen zu melden und grenzüberschreitende Datentransfers mit angemessenen Garantien zu dokumentieren. Priverion ist eine in der Schweiz gehostete SaaS-Plattform, die alle sieben Compliance-Bereiche automatisiert — Verarbeitungsverzeichnis, Governance, Datenschutzerklärungen, DSFA, Lieferantenmanagement, Meldung von Datenschutzverletzungen und grenzüberschreitende Datentransfers — unter dem revDSG und der DSGVO in einem einzigen Arbeitsbereich.

Was ist das revidierte Datenschutzgesetz (revDSG/nDSG)?

Das Schweizer Bundesgesetz über den Datenschutz (revDSG), auf Deutsch bekannt als Datenschutzgesetz (DSG), ist die zentrale Datenschutzvorschrift der Schweiz. Die vollständig revidierte Fassung trat am 01.09.2023 in Kraft und ersetzte das Gesetz von 1992. Sie richtet den Schweizer Datenschutz stärker an der DSGVO aus, behält jedoch schweizspezifische Merkmale bei, etwa die individuelle strafrechtliche Verantwortlichkeit und das beratende Durchsetzungsmodell des EDÖB. Der vollständige konsolidierte Text ist verfügbar unter fedlex.admin.ch.

Wie unterscheidet sich das revDSG von der DSGVO?

Während beide Rechtsrahmen Kernprinzipien teilen — Rechtmässigkeit, Zweckbindung, Datenminimierung und Rechenschaftspflicht — bestehen wesentliche Unterschiede. Das revDSG kennt keine Rechtsgrundlage des «berechtigten Interesses»; stattdessen erlaubt das Schweizer Recht die Bearbeitung gestützt auf ein «überwiegendes privates oder öffentliches Interesse» (Art. 31 revDSG). Strafrechtliche Bussen nach Art. 60–63 revDSG richten sich gegen verantwortliche Einzelpersonen (bis zu CHF 250'000), nicht gegen die Organisation. Der EDÖB erlässt Empfehlungen statt verbindliche Anordnungen mit direkten Bussen. Laut der IAPP ist dieses Modell der individuellen Haftung unter den grossen Datenschutzregimen weltweit einzigartig.

Wer muss das revDSG einhalten?

Alle privaten Personen und Bundesorgane, die Personendaten von Einzelpersonen in der Schweiz bearbeiten, müssen es einhalten. Das revDSG gilt extraterritorial: Ausländische Unternehmen, deren Bearbeitung sich in der Schweiz auswirkt, unterstehen ebenfalls dem Gesetz (Art. 3 Abs. 1 revDSG). Der EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter) überwacht die Einhaltung und veröffentlicht Leitlinien für inländische und ausländische Verantwortliche.

Was ist eine DSFA unter dem revDSG?

Nach Art. 22 revDSG muss eine Datenschutz-Folgenabschätzung durchgeführt werden, wenn eine geplante Bearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen mit sich bringt. Die Abschätzung muss die Bearbeitung beschreiben, Erforderlichkeit und Verhältnismässigkeit bewerten, Risiken identifizieren und Massnahmen zur Risikominderung dokumentieren. Verbleibt nach den Massnahmen ein hohes Restrisiko, muss der Verantwortliche vor der Durchführung den EDÖB konsultieren (Art. 23 revDSG). Die DSFA-Leitlinien des EDSA werden, obwohl EU-fokussiert, von Schweizer Fachleuten weithin als methodische Orientierung herangezogen (EDSA-Leitlinien 4/2017).

Welche Anforderungen gelten unter dem revDSG für die Meldung von Datenschutzverletzungen?

Art. 24 revDSG verpflichtet Verantwortliche, dem EDÖB Verletzungen des Schutzes von Personendaten, die ein hohes Risiko darstellen, «so rasch als möglich» zu melden. Der EDÖB empfiehlt eine Meldefrist von 72 Stunden, im Einklang mit der Praxis der DSGVO. Betroffene Personen müssen ebenfalls informiert werden, sofern dies zu ihrem Schutz erforderlich ist. Ein dokumentiertes Register der Datenschutzverletzungen — mit Datum, Art, Umfang, Risikobeurteilung und Abhilfemassnahmen — ist ein wesentlicher Nachweis der Compliance.

Welche Sanktionen drohen bei Verstössen gegen das revDSG?

Vorsätzliche Verstösse gegen zentrale Pflichten — darunter die Verletzung der Informationspflicht (Art. 60), die Verweigerung der Mitwirkung gegenüber dem EDÖB (Art. 63) und die Verletzung der beruflichen Schweigepflicht (Art. 62) — können mit Bussen von bis zu CHF 250'000 gegen die verantwortliche Einzelperson geahndet werden. Laut einer Umfrage der IAPP aus dem Jahr 2024 gaben 68% der Schweizer Datenschutzfachleute an, dass das Modell der individuellen Haftung die Aufmerksamkeit auf Geschäftsleitungsebene für die Datenschutz-Compliance erhöht hat.

Wie automatisiert Priverion die revDSG-Compliance?

Priverion ordnet jede Verarbeitungstätigkeit gleichzeitig dem revDSG und der DSGVO zu. Die Plattform automatisiert das Verarbeitungsverzeichnis mit schweizspezifischen Mindestinhaltsfeldern, erstellt EDÖB-taugliche DSFA-Dokumentation, verfolgt Auftragsverarbeiterverträge und Unterauftragsverarbeiterketten, steuert die Fristen für die Meldung von Datenschutzverletzungen und dokumentiert grenzüberschreitende Datentransfers mit Transfer-Folgenabschätzungen (TIA) nach Art. 16–17 revDSG. Alle Daten werden auf Google Cloud Schweiz (Region Zürich) mit ISO-27001-Zertifizierung gehostet.

Statistiken und Kontext

Laut dem IAPP-EY Privacy Governance Report 2023 wendet eine durchschnittliche Organisation rund 54% ihres Datenschutzbudgets für operative Compliance-Aufgaben auf, etwa die Pflege des Verarbeitungsverzeichnisses, die Durchführung von DSFA und Lieferantenbewertungen. Eine Prognose von Gartner aus dem Jahr 2024 geht davon aus, dass bis 2026 60% der grossen Unternehmen automatisierte Plattformen für das Datenschutzmanagement einsetzen werden, gegenüber weniger als 15% im Jahr 2021. Der Tätigkeitsbericht 2023–2024 des EDÖB verzeichnete einen deutlichen Anstieg der Konsultationsanfragen nach Inkrafttreten des revDSG und unterstreicht damit die Compliance-Last für Schweizer Organisationen. Der Bericht zur Bedrohungslage 2023 der ENISA (ENISA) identifizierte Ransomware und Angriffe auf die Lieferkette als die grössten Bedrohungen für Personendaten und unterstreicht damit die Bedeutung robuster Prozesse für die Meldung von Datenschutzverletzungen und das Lieferantenmanagement.

revDSG vs. DSGVO — Vergleichstabelle