Das Schweizer Datenschutzgesetz im Überblick

Seit dem 1. September 2023 gilt in der Schweiz das revidierte Bundesgesetz über den Datenschutz (DSG). Es regelt, wie Unternehmen, Vereine, Privatpersonen und Bundesbehörden mit Angaben über Menschen umgehen dürfen.

Wen das Gesetz schützt

Das DSG schützt die Persönlichkeit und die Grundrechte von natürlichen Personen (Art. 1). Daten über Firmen, Vereine oder Stiftungen fallen nicht darunter. Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 5 Bst. a) – etwa Name, Adresse, Telefonnummer, Kundennummer oder Kaufverhalten.

Einen erhöhten Schutz geniessen besonders schützenswerte Personendaten, zum Beispiel Angaben über die Gesundheit, religiöse oder politische Ansichten, genetische und biometrische Daten oder strafrechtliche Verfolgungen (Art. 5 Bst. c).

Für wen das Gesetz gilt

Das DSG gilt für private Personen – also Unternehmen, Vereine und Einzelpersonen – sowie für Bundesorgane (Art. 2). Nicht erfasst ist, was Sie ausschliesslich zum persönlichen Gebrauch bearbeiten, etwa Ihr privates Adressbuch. Für kantonale und kommunale Behörden, etwa öffentliche Schulen oder Kantonsspitäler, gilt das Datenschutzgesetz des jeweiligen Kantons. Auch Unternehmen im Ausland müssen das DSG beachten, wenn sich ihre Datenbearbeitung in der Schweiz auswirkt (Art. 3).

Grundsätze statt allgemeiner Einwilligungspflicht

Anders als oft angenommen braucht es für die Bearbeitung von Personendaten nicht grundsätzlich Ihre Einwilligung. Zulässig ist eine Bearbeitung, wenn sie die Grundsätze von Art. 6 einhält:

• rechtmässig, nach Treu und Glauben und verhältnismässig,
• nur zu einem bestimmten, für Sie erkennbaren Zweck,
• Vernichtung oder Anonymisierung, sobald die Daten nicht mehr nötig sind,
• Sorge für richtige Daten.

Wer diese Grundsätze nicht einhält, verletzt Ihre Persönlichkeit, es sei denn, eine Einwilligung, ein überwiegendes Interesse oder ein Gesetz rechtfertigt die Bearbeitung (Art. 30 und 31). Die Einwilligung ist also nur ein möglicher Rechtfertigungsgrund. Stützt sich ein Unternehmen bei besonders schützenswerten Daten oder bei einem Profiling mit hohem Risiko auf Ihre Einwilligung, muss diese ausdrücklich erfolgen (Art. 6 Abs. 7).

Aufsicht und Strafen

Die Aufsicht liegt beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Bestimmte vorsätzliche Verstösse, etwa eine falsche Auskunft, werden mit Busse bis zu CHF 250 000 bestraft – meist nur auf Strafantrag und grundsätzlich gegen die verantwortlichen natürlichen Personen, nicht gegen das Unternehmen (Art. 60–66). Die Strafverfolgung ist Sache der Kantone.

Unterschiede zur DSGVO

Die Datenschutz-Grundverordnung der EU verfolgt ähnliche Ziele. Das DSG verlangt von Privaten aber keine Rechtsgrundlage für jede einzelne Bearbeitung, sieht Bussen gegen Personen statt umsatzabhängige Bussen gegen Unternehmen vor und kennt für die Meldung von Datenschutzverletzungen keine feste Stundenfrist.

Zum Gesetzestext: Art. 6 DSG – Grundsätze.