revDSG einfach erklärt: Das neue Schweizer Datenschutzgesetz
Das revidierte Datenschutzgesetz (revDSG) ist seit dem 1. September 2023 in Kraft und regelt, wie Unternehmen in der Schweiz Personendaten bearbeiten dürfen. Es bringt das Schweizer Datenschutzrecht auf ein mit der europäischen DSGVO vergleichbares Niveau – trat aber ohne Übergangsfrist in Kraft: Die Pflichten gelten seit dem ersten Tag.
Für Unternehmen, die KI-Tools einsetzen wollen, ist das revDSG der zentrale rechtliche Rahmen. Wer zusätzlich Kundinnen und Kunden im EU-Raum betreut, erfüllt parallel die DSGVO – beide Regelwerke lassen sich in einem gemeinsamen Datenschutzkonzept abbilden, statt zweimal aufgebaut zu werden.
Die wichtigsten Pflichten im Überblick
Das revDSG baut auf Grundsätzen wie Transparenz, Zweckbindung und Verhältnismäßigkeit auf. Konkret müssen Unternehmen insbesondere folgende Pflichten erfüllen:
- Informationspflicht: Betroffene müssen über die Beschaffung von Personendaten informiert werden, in der Regel über eine Datenschutzerklärung
- Verzeichnis der Bearbeitungstätigkeiten: Dokumentation, welche Daten wofür bearbeitet werden (Erleichterungen für KMU unter 250 Mitarbeitenden)
- Meldepflicht: Verletzungen der Datensicherheit mit hohem Risiko sind dem EDÖB so rasch als möglich zu melden
- Datenschutz-Folgenabschätzung: Pflicht bei Bearbeitungen mit voraussichtlich hohem Risiko
- Privacy by Design und by Default: Datenschutz muss technisch und organisatorisch eingebaut sein
- Auskunftsrecht: Betroffene können Auskunft über die Bearbeitung ihrer Daten verlangen
Bußen: Wer haftet und in welcher Höhe?
Anders als die DSGVO büßt das revDSG primär nicht das Unternehmen, sondern die verantwortliche natürliche Person – etwa Geschäftsführerin oder Datenschutzverantwortlichen. Bei vorsätzlichen Verstößen gegen bestimmte Pflichten drohen Bußen bis CHF 250 000.
Zum Vergleich: Die DSGVO sieht Bußen bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor – gerichtet an das Unternehmen. Wer Kunden in der EU hat, muss beide Regelwerke im Blick behalten.
Besonders schützenswerte Personendaten
Für bestimmte Datenkategorien gelten erhöhte Anforderungen: Gesundheitsdaten, biometrische Daten, Angaben zu religiösen oder politischen Ansichten, genetische Daten sowie Daten über strafrechtliche Verfolgungen. Wer solche Daten bearbeitet – etwa Arztpraxen, Personalberatungen oder Sozialbehörden – braucht in vielen Fällen eine ausdrückliche Einwilligung und besonders sorgfältige technische Schutzmaßnahmen.
Was bedeutet das revDSG für den KI-Einsatz?
Jede Eingabe in ein KI-Tool ist eine Datenbearbeitung – das revDSG gilt also uneingeschränkt auch für KI. Kritische Punkte sind der Transfer in Drittstaaten, die Verwendung von Eingaben für das Modelltraining und die fehlende Kontrolle über private KI-Accounts von Mitarbeitenden.
Unternehmen fahren am sichersten mit einer zentral verwalteten KI-Plattform: Hosting in der Schweiz oder der EU, vertraglich zugesicherter Verzicht auf Training mit Kundendaten, Auftragsverarbeitungsvertrag und nachvollziehbare Zugriffe.
Häufige Fragen
Gilt das revDSG auch für kleine Unternehmen?
Ja. Das revDSG gilt für alle, die Personendaten bearbeiten – unabhängig von der Größe. KMU unter 250 Mitarbeitenden profitieren lediglich von Erleichterungen beim Verzeichnis der Bearbeitungstätigkeiten, sofern kein hohes Risiko besteht.
Was ist der Unterschied zwischen revDSG und DSGVO?
Beide verfolgen ähnliche Grundsätze. Wesentliche Unterschiede: Das revDSG büßt natürliche Personen (bis CHF 250 000), die DSGVO Unternehmen (bis 4 Prozent des Weltumsatzes). Die DSGVO verlangt zudem mehr formale Nachweise, etwa Rechtsgrundlagen für jede Bearbeitung.
Was ist bei einer Datenpanne zu tun?
Verletzungen der Datensicherheit, die voraussichtlich zu einem hohen Risiko für Betroffene führen, müssen dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch als möglich gemeldet werden. Intern gehören Ablauf und Zuständigkeiten dafür in ein Incident-Konzept.
Weiterführende Inhalte
Bringen Sie KI sicher in Ihr Unternehmen.
Testen Sie Vidimas mit Ihrem Team – und erleben Sie, wie schnell sichere KI produktiv wird.
- Mit dem ganzen Team testen
- In Minuten eingerichtet
- Sofort produktiver arbeiten