Das revidierte Datenschutzgesetz (revDSG) ist das seit dem 1. September 2023 geltende Schweizer Datenschutzrecht. Es regelt, wie Unternehmen Personendaten bearbeiten dürfen, und ersetzt das Datenschutzgesetz von 1992.
Das revDSG ist nicht die Schweizer Fassung der DSGVO. Beide verfolgen dasselbe Ziel und ähneln sich in vielen Punkten, unterscheiden sich aber im Detail — am deutlichsten bei der Sanktion: Das revDSG richtet Bussen gegen die verantwortliche natürliche Person, nicht gegen das Unternehmen.
Für wen gilt das revDSG?
Das revDSG gilt für die Bearbeitung von Personendaten, die sich in der Schweiz auswirkt — unabhängig davon, wo das bearbeitende Unternehmen sitzt. Ein Schweizer KMU mit Kundinnen in der EU kann gleichzeitig dem revDSG und der DSGVO unterliegen; die strengere Anforderung gibt jeweils den Ausschlag.
Was heisst das für eine Website?
- Eine Datenschutzerklärung, die Bearbeitungszwecke und Empfänger konkret benennt.
- Ein Verzeichnis der Bearbeitungstätigkeiten — für kleinere Unternehmen mit Erleichterungen.
- Meldung von Verletzungen der Datensicherheit an den EDÖB, sobald ein hohes Risiko besteht.
- Transparenz bei Bekanntgabe ins Ausland, insbesondere bei Anbietern ausserhalb der Schweiz und der EU.
Was heisst das für Analytics und Tracking?
Das revDSG verlangt für Analyse-Werkzeuge nicht in jedem Fall eine vorgängige Einwilligung, sondern Transparenz und ein Widerspruchsrecht. Wer jedoch auch DSGVO-Adressaten erreicht, kommt an einer Einwilligungslösung praktisch nicht vorbei — deshalb ist die Einwilligung der pragmatische Weg.
PIXELS richtet Analytics-Setups in Luzern so ein, dass Messung erst nach erteilter Einwilligung auslöst — technisch über den Google Tag Manager, inhaltlich über eine Datenschutzerklärung, die revDSG und DSGVO getrennt adressiert.
Quelle: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), edoeb.admin.ch. Dieser Eintrag ist eine Einordnung und keine Rechtsberatung.
Was ist seit dem revDSG neu?
Neu sind unter anderem die Meldepflicht bei Verletzungen der Datensicherheit, die Pflicht zu Datenschutz-Folgenabschätzungen bei hohem Risiko, das Verzeichnis der Bearbeitungstätigkeiten und die ausdrückliche Verankerung von Datenschutz durch Technikgestaltung. Ebenfalls neu ist, dass Daten juristischer Personen nicht mehr geschützt sind.
Für die meisten KMU ist der praktische Kern kleiner als befürchtet: eine belastbare Datenschutzerklärung, Klarheit über eingesetzte Dienste und deren Standorte sowie ein Weg, auf Auskunftsbegehren zu reagieren.
Für die Website ergibt sich daraus eine überschaubare Prüfliste: Welche Dienste sind eingebunden, wohin fliessen dabei Daten, worauf stützt sich diese Bearbeitung, und steht das so auch in der Datenschutzerklärung? Diese vier Fragen decken den grössten Teil des praktischen Handlungsbedarfs ab.
Wer zusätzlich Personen in der EU anspricht, prüft dieselben Punkte ein zweites Mal gegen die strengeren Anforderungen der DSGVO — insbesondere bei der Einwilligung für Analyse- und Werbewerkzeuge.
Verwandt: Webanalyse & Tracking · DSGVO · Conversion Rate