DSGVO und revDSG: was sich für die Bearbeitung von EU-Daten ändert

Ein Schweizer Unternehmen, das an deutsche, französische oder italienische Kunden verkauft oder Daten von Personen mit Wohnsitz in der Europäischen Union bearbeitet, muss sich mit zwei Datenschutzregelwerken auseinandersetzen: dem neuen Bundesgesetz über den Datenschutz (revDSG), in Kraft seit dem 1. September 2023, und der europäischen DSGVO. Sie sind keine Alternativen: Beide können anwendbar sein. Sehen wir uns an, was sich ändert und was konkret zu tun ist.

Zwei Gesetze, ein gemeinsames Thema

Das revDSG hat das Schweizer Recht modernisiert und den europäischen Standards angenähert, gerade um sicherzustellen, dass die Schweiz von der EU weiterhin als Land mit einem angemessenen Schutzniveau gilt. Diese Anerkennung ist entscheidend: Sie ermöglicht den freien Datenfluss zwischen der EU und der Schweiz ohne zusätzliche Garantien.

Deshalb teilen revDSG und DSGVO die grundlegende Struktur: Transparenz gegenüber den betroffenen Personen, Datensicherheit, Auskunfts- und Löschrechte, Rechenschaftspflicht derjenigen, die Daten bearbeiten. Doch es bleiben praktische Unterschiede, die man kennen sollte.

Wer was anwenden muss

Der erste Schritt ist zu verstehen, welches Regelwerk gilt, und oft lautet die Antwort «beide».

• revDSG: gilt für Datenbearbeitungen, die in der Schweiz vorgenommen werden oder in der Schweiz Wirkungen entfalten. Es betrifft somit jedes Schweizer Unternehmen.
• DSGVO: hat extraterritoriale Reichweite. Sie gilt auch für ein Schweizer Unternehmen ohne feste Niederlassung in der EU, wenn es Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten überwacht.

In der Praxis muss das Schweizer Unternehmen, das Kunden in der EU hat, ein E-Commerce, das in Europa verkauft, oder das europäische Nutzer profiliert, auch die DSGVO berücksichtigen, zusätzlich zum revDSG.

Die praktischen Unterschiede, die zählen

Trotz der ähnlichen Struktur weichen einige Punkte ab und müssen bewältigt werden.

Daten juristischer Personen

Das revDSG schützt nur die Daten natürlicher Personen. Ebenso die DSGVO. In diesem Punkt hat sich das neue Schweizer Gesetz angeglichen: Anders als das frühere sind die Daten von Unternehmen nicht mehr erfasst.

Sanktionen

Hier ist der Unterschied ausgeprägt. Die DSGVO sieht Verwaltungssanktionen von bis zu 20 Millionen Euro oder 4 % des weltweiten Umsatzes vor. Das revDSG sieht hingegen Bussen bis zu 250’000 CHF gegen die verantwortlichen natürlichen Personen vor (nicht gegen das Unternehmen als solches), typischerweise die Entscheidungsträger. Unterschiedliche Logiken, aber beide mit realen Folgen.

Verzeichnis der Bearbeitungstätigkeiten

Beide verlangen es, doch das revDSG sieht Ausnahmen für KMU mit weniger als 250 Mitarbeitenden vor, ausser bei Bearbeitungen mit hohem Risiko oder umfangreicher Bearbeitung besonders schützenswerter Daten.

Datenschutzberater

Die DSGVO schreibt ihn in bestimmten Fällen vor. Das revDSG macht ihn nicht obligatorisch, sieht aber die Figur des Datenschutzberaters auf freiwilliger Basis vor, mit einigen verfahrensrechtlichen Vorteilen.

Meldung von Verletzungen

Beide verlangen sie, doch mit unterschiedlichen Schwellen und Fristen: Die DSGVO setzt die bekannte Frist von 72 Stunden, das revDSG verlangt die Meldung «so rasch als möglich», wenn das Risiko für die betroffenen Personen hoch ist.

Was konkret zu tun ist

Für ein Schweizer Unternehmen mit EU-Kunden sieht der praktische Weg so aus.

• Bearbeitungen erfassen: welche Daten Sie sammeln, von wem, zu welchen Zwecken, wo sie landen. Ohne diese Grundlage lässt sich nichts aufbauen.
• Doppelte Anwendbarkeit prüfen: Wenn Sie Daten von Personen in der EU bearbeiten, um Dienstleistungen anzubieten oder deren Verhalten zu überwachen, richten Sie die Abläufe auf das anspruchsvollere Niveau aus, in der Regel die DSGVO.
• Datenschutzerklärungen aktualisieren: transparent, vollständig und im Einklang mit beiden Regelwerken.
• Übermittlungen in Drittstaaten sorgfältig behandeln: In die EU wird der Fluss durch die gegenseitige Angemessenheit erleichtert; in andere Länder braucht es besondere Garantien.
• Verfahren für die Rechte der betroffenen Personen vorbereiten: Auskunft, Berichtigung, Löschung, Widerspruch. Sie müssen fristgerecht antworten können.
• Einen Plan für Verletzungen bereithalten: wer was macht, bis wann, gegenüber welchen Behörden.

Der zu vermeidende Fehler

Das häufigste Risiko ist zu denken «Ich bin Schweizer, das revDSG genügt mir». Wenn Sie Kunden oder Nutzer in der EU haben, erreicht Sie die DSGVO ohnehin, mit ihrem weit schwereren Sanktionsapparat. Besser richtet man von Anfang an Prozesse ein, die beide erfüllen, statt sich nach einer Beschwerde oder einer Kontrolle notfallmässig anpassen zu müssen.

Unser Ansatz

Bei SIH ONE helfen wir Schweizer Unternehmen, ihre Bearbeitungen zu erfassen, zu verstehen, welche Regelwerke wirklich auf ihren Fall zutreffen, und eine einzige Compliance aufzubauen, die sowohl dem revDSG als auch der DSGVO entspricht. Keine doppelten oder unnötigen Pflichten: Prozesse, abgestimmt auf die Daten, die Sie bearbeiten, und die Märkte, in denen Sie tätig sind.

Bearbeiten Sie Daten von Kunden in der EU und möchten mit beiden Gesetzen in Ordnung sein? Prüfen wir es gemeinsam.