„Unsere Website ist von Europa aus erreichbar, also unterliegen wir der DSGVO.” Dieser Satz taucht in fast jedem Gespräch mit Geschäftsführenden von KMU in der Romandie auf. Er ist in den allermeisten Fällen falsch.
Diese Verwechslung kommt teuer. Manche Unternehmen wenden europäische Regeln an, die sie nicht betreffen, und erlegen sich unnötige Einschränkungen auf. Andere wiederum richten sich tatsächlich auf den europäischen Markt aus, ohne es zu wissen, und übersehen Pflichten, die für sie wirklich gelten.
Dieser Artikel klärt zwei Dinge: wann welcher Text gilt, und was sich zwischen den beiden konkret unterscheidet. Wenn Sie zunächst Ihre Schweizer Pflichten im Detail suchen, beginnen Sie stattdessen mit Ihren nDSG-Pflichten.
Der Ausgangspunkt: Das nDSG gilt in jedem Fall
Zunächst ein Punkt, der viele falsche Überlegungen vermeidet: Es geht nicht darum, zwischen zwei Gesetzen zu wählen.
Ist Ihr Unternehmen in der Schweiz niedergelassen und bearbeitet es Personendaten, gilt das neue Bundesgesetz über den Datenschutz. Ohne Schwelle bei der Mitarbeiterzahl, ohne Schwelle beim Umsatz. Ein Einzelunternehmen ist genauso betroffen wie ein Konzern.
Es gibt einen dritten Text, den diese Gegenüberstellung oft vergessen lässt: die kantonalen Gesetze, die Gemeinden und öffentliche Einrichtungen regeln. Sie betreffen jedes KMU, das eine öffentliche Aufgabe wahrnimmt oder ein Gemeinwesen mit Leistungen versorgt, und der Freiburger Fall wird in unserem Artikel zum kantonalen Datenschutzgesetz (LPrD) und seinen Dienstleistern behandelt.
Die eigentliche Frage ist also eine andere. Sie lautet nicht „DSGVO oder nDSG”, sondern „nur das nDSG, oder das nDSG plus die DSGVO”. Die beiden Texte kommen kumulativ zur Anwendung, wenn die Voraussetzungen des zweiten erfüllt sind.
Wann gilt die DSGVO wirklich für ein Schweizer Unternehmen?
Die europäische Verordnung kann für ein Unternehmen gelten, das keine Niederlassung in der Union hat. Zwei Situationen sind erfasst.
Sie bieten Personen in der Union Waren oder Dienstleistungen an. Das ist der häufigste Fall. Massgebend ist nicht die Erreichbarkeit Ihrer Website, sondern Ihre Absicht, diesen Markt anzusprechen.
Sie verfolgen das Verhalten von Personen in der Union. Typischerweise Tracking, Werbeprofiling oder Verhaltensanalyse von Internetnutzenden in der EU.
Der erste Punkt verdient Beispiele, denn dort entscheidet sich alles.
Die Anzeichen dafür, dass Sie den europäischen Markt ansprechen:
- Sie zeigen Ihre Preise in Euro an, zusätzlich zum Franken oder anstelle davon;
- Sie bieten die Lieferung in EU-Länder an, mit Versandkosten, die für diese Ziele vorgesehen sind;
- Ihre Website ist in eine Sprache übersetzt, die sich an ein europäisches Publikum richtet, über die Schweizer Landessprachen hinaus;
- Sie betreiben gezielte Werbung gegenüber Internetnutzenden in der EU;
- Sie erwähnen europäische Kundschaft oder Referenzen, um diesen Markt zu erschliessen;
- Sie verwenden einen Domainnamen oder eine Suchmaschinenoptimierung, die auf ein EU-Land ausgerichtet sind.
Umgekehrt reicht nicht aus: eine Website, die schlicht aus dem Ausland sichtbar ist, eine überall erreichbare E-Mail-Adresse, ein europäischer Kunde, der Sie einmalig spontan kontaktiert, oder die Präsenz Ihres Unternehmens in internationalen Verzeichnissen.
Ein Schreiner aus Freiburg mit einer französischsprachigen Visitenkarten-Website und Baustellen ausschliesslich in der Romandie: allein das nDSG. Dass seine Website auch von Lyon aus abrufbar ist, ändert nichts.
Ein Online-Shop aus dem Waadtland, der seine Preise in CHF und EUR anzeigt und nach Frankreich und Deutschland liefert: nDSG und DSGVO. Er richtet sich klar auf den europäischen Markt aus.
Eine Genfer Beratungsfirma, die auf LinkedIn gezielte Werbung an französische Führungskräfte richtet: Die DSGVO gilt hier ebenfalls, aufgrund des Targetings.
Ein nützlicher Vorbehalt: Diese Kriterien werden von Fall zu Fall anhand eines Bündels von Indizien beurteilt. Kein einzelnes Element ist für sich allein entscheidend. Ist Ihre Situation unklar, insbesondere wenn nur ein Teil Ihrer Tätigkeit auf Europa ausgerichtet ist, lassen Sie Ihre Einschätzung von einer spezialisierten Anwältin oder einem spezialisierten Anwalt bestätigen.
Die fünf Unterschiede, die in der Praxis zählen
Die beiden Texte teilen dieselbe allgemeine Philosophie: Transparenz, Verhältnismässigkeit, Datensicherheit, Rechte der betroffenen Personen. Die Schweizer Revision von 2023 hat die beiden Regime im Übrigen bewusst angenähert.
Doch die verbleibenden Unterschiede sind genau jene, die sich zeigen, sobald etwas schiefläuft.
| Thema | nDSG (Schweiz) | DSGVO (Europäische Union) |
|---|---|---|
| Meldefrist bei einem Datenleck | „So rasch als möglich”, keine bezifferte Frist (Art. 24 DSG) | 72 Stunden nach Kenntnisnahme (Art. 33 DSGVO) |
| Schwelle für die Meldepflicht | Nur bei hohem Risiko für die betroffenen Personen | Meldung erforderlich, ausser das Risiko ist unwahrscheinlich |
| Ziel der Sanktion | Die verantwortliche natürliche Person | Das Unternehmen |
| Höchstbetrag | CHF 250’000 (Art. 60 bis 63 DSG) | Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, der höhere Betrag gilt |
| Subjektives Element | Nur vorsätzliche Verstösse sind strafbar | Fahrlässigkeit ist ebenfalls sanktionierbar |
| Verfolgungsart | Meist auf Antrag | Vorgehen der Aufsichtsbehörde |
| Verzeichnis der Bearbeitungstätigkeiten | Befreiung unter 250 Mitarbeitenden, mit zwei Ausnahmen | Engere Befreiung, verbunden mit kumulativen Bedingungen |
| Datenschutzbeauftragte/r | Freiwillig für ein privates Schweizer Unternehmen | Obligatorisch in bestimmten festgelegten Fällen |
Haben Sie in der Schweiz 72 Stunden Zeit, um ein Datenleck zu melden?
Das ist der Punkt, zu dem die meisten Ungenauigkeiten kursieren, auch in Unterlagen, die als Compliance-Vorlagen verkauft werden.
Das Schweizer Recht sieht keine 72-Stunden-Frist vor. Artikel 24 DSG verlangt eine Meldung an den EDÖB „so rasch als möglich”. Nicht 72 Stunden, nicht 24 Stunden, keine Zahl. Die DSGVO hingegen schreibt eine Benachrichtigung innerhalb von 72 Stunden nach Kenntnisnahme der Verletzung vor, mit einer obligatorischen Begründung bei Verzögerung.
Diesen Unterschied muss man richtig lesen, denn er wird oft in beide Richtungen missverstanden.
Zum einen erlaubt „so rasch als möglich” kein Zuwarten. Der Massstab bleibt anspruchsvoll. Sie müssen handeln, sobald Sie den Vorfall eingeschätzt haben, und eine unbegründete Verzögerung würde Ihnen zur Last gelegt. In der Praxis meldet ein gut organisiertes Unternehmen innerhalb weniger Tage.
Zum anderen verändert das Fehlen einer Uhr die Art, wie Sie die ersten Stunden bewältigen. Unter der DSGVO drängt der Zeitdruck manchmal dazu, zu melden, bevor der Vorfall verstanden wurde. In der Schweiz haben Sie die vernünftigerweise nötige Zeit, um den Sachverhalt festzustellen, das Risiko zu bewerten und eine vollständige Meldung vorzubereiten.
Der zweite Unterschied ist mindestens ebenso wichtig: die Schwelle. Das nDSG verlangt die Meldung nur, wenn die Verletzung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt. Die DSGVO folgt der umgekehrten Logik: Man meldet, ausser das Risiko ist unwahrscheinlich.
Die Folge ist sehr konkret. In der Schweiz sind deutlich weniger Vorfälle meldepflichtig. Ein verlorenes, verschlüsseltes Notebook ohne mögliche Zugriffsmöglichkeit auf die Daten löst in der Regel keine Meldepflicht nach Schweizer Recht aus, während die europäische Betrachtung von einem strengeren Ausgangspunkt ausgeht. Das vollständige Schweizer Verfahren wird in unserem Artikel zur Meldung einer Datenschutzverletzung an den EDÖB im Detail erläutert.
Zwei Hinweise, die in beiden Regimen gelten: Sind Sie Auftragsbearbeiterin oder Auftragsbearbeiter, müssen Sie jede Verletzung ohne Schwellenwert Ihrer Auftraggeberin oder Ihrem Auftraggeber melden. Und die betroffenen Vorfälle sind in erster Linie jene, die in unserem Artikel zu Datendiebstahl und -leck beschrieben werden.
Die Sanktionen: zwei entgegengesetzte Philosophien
Das ist der tiefste strukturelle Unterschied, und er erklärt viele Missverständnisse.
Die DSGVO sanktioniert das Unternehmen. Verwaltungsbussen können bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für die weniger schweren Verstösse erreichen, und 20 Millionen Euro oder 4 % für die schwersten, wobei der höhere Betrag gilt. Die Logik ist abschreckend und proportional zur Grösse der Organisation.
Das nDSG sanktioniert die verantwortliche natürliche Person. Die Busse kann gemäss Art. 60 bis 63 DSG bis zu CHF 250’000 erreichen, richtet sich aber gegen die betroffene Führungsperson oder Mitarbeiterin bzw. den Mitarbeiter, nicht gegen das Unternehmen. Eine Ausnahme besteht: Wenn die in Aussicht genommene Busse CHF 50’000 nicht überschreitet und die Ermittlung der verantwortlichen Person unverhältnismässige Untersuchungsmassnahmen erfordern würde, kann die Behörde das Unternehmen dazu verurteilen, an ihrer Stelle zu zahlen (Art. 64 Abs. 2 DSG).
Zwei weitere Filter verringern die praktische Tragweite der Schweizer Zahl zusätzlich. Nur vorsätzliche Verstösse sind strafbar: Ein gutgläubiger Irrtum oder eine Fahrlässigkeit führt nicht zu einer Strafbusse. Und die Verfolgung erfolgt meist auf Antrag, was voraussetzt, dass jemand, in der Regel eine betroffene Person, diesen stellt. Der EDÖB kann zudem ein Verfahren eröffnen und verbindliche Entscheide treffen.
Der Vergleich der Beträge vermittelt ein falsches Sicherheitsgefühl. Für ein Schweizer KMU bleibt die strafrechtliche Sanktion selten. Das eigentliche Risiko liegt anderswo: der Vertrauensverlust Ihrer Kundschaft nach einem Datenleck, die vertragliche Haftung gegenüber einer Auftraggeberin oder einem Auftraggeber, die Garantien verlangt hat, und die Betriebsunterbrechung. Diese drei Risiken bestehen unabhängig davon, welcher Text anwendbar ist.
Müssen Sie in der Schweiz ein Verzeichnis der Bearbeitungstätigkeiten führen?
Das ist der Unterschied, der KMU im Alltag am meisten entlastet.
Artikel 12 Abs. 5 DSG beauftragt den Bundesrat, Ausnahmen für Unternehmen mit weniger als 250 Mitarbeitenden vorzusehen, deren Bearbeitung ein begrenztes Risiko darstellt. Diese Voraussetzungen sind in Artikel 24 der Datenschutzverordnung festgelegt.
Kurz gesagt: Ein Unternehmen mit **weniger als 250 Mitarbeitenden am
- Januar des Jahres** ist von der Führung eines Verzeichnisses befreit, ausser es bearbeitet besonders schützenswerte Personendaten in grossem Umfang oder betreibt ein Profiling mit hohem Risiko. Diese beiden Ausnahmen sind alternativ: Eine allein genügt, um die Befreiung entfallen zu lassen. Eine Arztpraxis, eine Pensionskasse oder ein Treuhandbüro, das Inkassodossiers verwaltet, sind daher betroffen, selbst mit fünf Mitarbeitenden.
Auch wenn die Befreiung gilt, bleibt die Führung eines knappen Verzeichnisses von ein bis zwei Seiten nützlich. Es hilft Ihnen, im Falle eines Vorfalls rasch zu reagieren, und zeigt Kundschaft oder Versicherung, dass Sie das Thema ernst nehmen. Und fällt ein Teil Ihrer Tätigkeit unter die DSGVO, wird dieses Dokument ohnehin notwendig.
Was ist konkret zu tun?
Die gute Nachricht ist, dass beide Regime dieselben grundlegenden Massnahmen erwarten. Hier die wirksamste Reihenfolge.
- Bestimmen Sie Ihre Situation. Sprechen Sie aktiv den europäischen Markt an, oder arbeiten Sie ausschliesslich in der Schweiz? Der „Bin ich vom nDSG betroffen?”-Test ordnet Sie in wenigen Fragen ein.
- Bringen Sie sich zuerst mit dem nDSG in Ordnung. Es gilt in jedem Fall und deckt das Wesentliche der Erwartungen ab.
- Kommt die DSGVO hinzu, richten Sie sich bei jedem Punkt am strengeren Text aus: 72-Stunden-Frist, niedrigere Meldeschwelle, Verzeichnis.
- Halten Sie Ihre Vorgehensweise im Falle eines Datenlecks schriftlich fest. Wer entscheidet, wer meldet, in welcher Reihenfolge. Das ist das Dokument, das am entscheidenden Tag den Unterschied macht.
- Sichern Sie den Zugriff auf Ihre Daten. Zwei-Faktor-Authentifizierung, Löschung der Konten ausgeschiedener Mitarbeitender, getestete Backups.
Ein letztes Wort der Vorsicht: Dieser Artikel liefert allgemeine Orientierungspunkte und ersetzt keine Analyse Ihrer konkreten Situation. Mischfälle, teilweise auf Europa ausgerichtete Tätigkeiten und Datenübermittlungen ins Ausland verdienen die Einschätzung einer spezialisierten Anwältin oder eines spezialisierten Anwalts.
Um Ihr Unternehmen in drei Minuten einzuordnen, gibt Ihnen der Cyber-Check-up einen Score und Ihre drei Prioritäten. Die weiteren für Schweizer Unternehmen geltenden Pflichten sind im Themenbereich Vorschriften zusammengefasst.