Daten & Datenschutz · Switzerland
Daten & Datenschutz — Switzerland (2026)
Die Schweiz verfügt über ein umfassendes, sektorübergreifendes Datenschutzsystem im Rahmen des revidierten Bundesgesetzes über den Datenschutz (BDSG), das am 1. September 2023 in Kraft getreten ist und weitgehend an die EU-DSGVO angepasst wurde. Der unabhängige Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) überwacht die Einhaltung der Vorschriften sowohl bei Bundesbehörden als auch bei privaten Einrichtungen. Am 15. Januar 2024 bestätigte die Europäische Kommission, dass die Schweiz weiterhin ein angemessenes Datenschutzniveau im Sinne der DSGVO gewährleistet, wodurch der freie Datenfluss von der EU/dem EWR in die Schweiz ermöglicht wird.
Primäres RahmenwerkBundesgesetz über den Datenschutz (BDSG / nBDSG) vom 25. September 2020, in Kraft seit dem 1. September 2023, mit seiner Ausführungsverordnung (DPO); beaufsichtigt durch den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).
Kernpunkte
Das überarbeitete FADP (25. September 2020, in Kraft seit 1. September 2023) trat an die Stelle des Gesetzes von 1992 und gilt für alle Sektoren, sowohl im öffentlichen als auch im privaten Bereich. Es wurde bewusst so überarbeitet, dass es dem Schutzniveau der DSGVO entspricht und gleichzeitig die für die Schweiz spezifischen Merkmale beibehält.
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist die unabhängige Aufsichtsbehörde für das DSG (und das Gesetz über den Zugang zu Informationen). Er kann von sich aus oder aufgrund einer Meldung Untersuchungen einleiten und Massnahmen anordnen, darunter die Anpassung, Aussetzung oder Beendigung der Datenbearbeitung sowie die Löschung von Daten.
Das Gesetz führte neue Pflichten ein bzw. verschärfte bestehende, darunter die Aufzeichnung von Verarbeitungsvorgängen, Datenschutz-Folgenabschätzungen (DPIA), „Privacy by Design“ und „Privacy by Default“, Transparenz- und Informationspflichten sowie Vorschriften zur Profilerstellung. Die Kategorien sensibler Daten wurden um genetische und biometrische Daten erweitert.
Die für die Datenverarbeitung Verantwortlichen müssen den FDPIC so schnell wie möglich über eine Datenschutzverletzung informieren, wenn diese voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt; die betroffenen Personen müssen informiert werden, sofern dies zu ihrem Schutz erforderlich ist oder der FDPIC dies verlangt.
Im Gegensatz zu den verwaltungsrechtlichen Geldbußen der DSGVO sieht das FADP strafrechtliche Geldbußen von bis zu 250'000 CHF vor, die gegen verantwortliche Privatpersonen wegen Verstößen gegen bestimmte Pflichten verhängt werden können; gegen ein Unternehmen kann eine Geldbuße von bis zu 50'000 CHF verhängt werden, wenn die Identifizierung der betroffenen Person einen unverhältnismäßigen Aufwand erfordern würde.
Am 15. Januar 2024 bestätigte die Europäische Kommission die Angemessenheit der Schweiz im Sinne der DSGVO (und ersetzte damit die Entscheidung aus dem Jahr 2000 gemäß der Richtlinie 95/46/EG), sodass personenbezogene Daten ohne zusätzliche Schutzmaßnahmen wie Standardvertragsklauseln aus der EU/dem EWR in die Schweiz übermittelt werden können.
Diese Seite ist eine Übersetzung, die lediglich der Übersichtlichkeit dient; die englische Fassung ist maßgebend und stellt keine Rechtsberatung dar.