- Das revDSG ist seit über zwei Jahren in Kraft und in der Praxis angekommen.
- Die Meldepflicht bei Datensicherheitsverletzungen wird strenger gehandhabt als anfangs erwartet.
- Der Unterschied zur DSGVO bleibt bestehen, trotz einzelner inhaltlicher Annäherungen.
Am 1. September 2023 löste das revidierte Datenschutzgesetz das alte DSG von 1992 ab. Mittlerweile ist etwas Praxis vergangen. Zeit für einen Rückblick: was hat sich seither eingespielt, und was sollten Schweizer Website-Betreiber 2026 im Blick behalten?
Der Ausgangspunkt: warum das revDSG überhaupt kam
Das alte DSG von 1992 war für die heutige, datenintensive Praxis kaum noch passend. Das revDSG brachte deshalb unter anderem eine Informationspflicht bei der Beschaffung von Personendaten und das Konzept des Verantwortlichen mit sich.
Informationspflicht bei der Datenbeschaffung: die zweite Neuerung
Neben der Meldepflicht brachte das revDSG auch eine erweiterte Informationspflicht bei der Beschaffung von Personendaten mit sich (Art. 19 revDSG). Betroffene Personen müssen unter anderem erfahren, wer als Verantwortlicher auftritt und zu welchem Zweck ihre Daten bearbeitet werden. Für eine Website bedeutet das: die Datenschutzerklärung sollte diese Angaben vollständig und aktuell enthalten, nicht nur allgemein gehalten sein.
Wie reagieren Schweizer KMU in der Praxis?
Grössere Unternehmen mit eigener Rechtsabteilung haben ihre Prozesse meist zügig angepasst. Bei kleineren Website-Betreibern und Vereinen zeigt sich dagegen häufig eine Lücke: die Datenschutzerklärung wurde 2023 einmalig aktualisiert, seither aber nicht mehr überprüft, obwohl sich die eingesetzten Tools und Dienste in der Zwischenzeit verändert haben.
Was hat sich seit 2023 in der Praxis gezeigt?
Die Meldepflicht bei Datensicherheitsverletzungen (Art. 24 revDSG) wird vom EDÖB konsequenter eingefordert, als von vielen Unternehmen zunächst erwartet. Details dazu findest du im Begriff Meldepflicht bei Datensicherheitsverletzungen.
Ein Unterschied, der bleibt: revDSG versus DSGVO
Trotz einzelner inhaltlicher Annäherungen bleibt das revDSG ein eigenständiges Schweizer Gesetz mit eigener Aufsichtsbehörde, eigenen Fristen und eigenen Bussgeldregeln. Wer die Begriffe DSGVO und revDSG austauschbar verwendet, wie es auf manchen Schweizer Websites noch vorkommt, vermischt zwei unterschiedliche Rechtsordnungen.
Auftragsbearbeiter: ein Begriff, der öfter relevant wird
Mit wachsender Nutzung von Cloud-Diensten und externen Anbietern wird die Unterscheidung zwischen Verantwortlichem und Auftragsbearbeiter praktisch wichtiger: viele Website-Betreiber merken erst jetzt, dass ihr Hosting- oder E-Mail-Anbieter formal als Auftragsbearbeiter gilt und ein entsprechender Vertrag geprüft werden sollte.
Was heisst das konkret für deine Website?
Prüfe, ob deine Datenschutzerklärung weiterhin dem aktuellen Stand des revDSG entspricht, insbesondere bei neuen Diensten, die du seit 2023 eingebunden hast. Eine veraltete, noch am alten DSG oder gar an der DSGVO orientierte Erklärung wirkt spätestens 2026 nicht mehr zeitgemäss.
Was, wenn du deine Datenschutzerklärung noch nie aktualisiert hast?
Dann ist jetzt ein guter Zeitpunkt: liste zunächst alle Dienste auf, die auf deiner Website Personendaten bearbeiten, von Hosting über Kontaktformular bis zu einem allfälligen Newsletter-Tool. Prüfe für jeden Dienst, ob er als Auftragsbearbeiter gilt, und ergänze deine Erklärung entsprechend. Dieser einmalige Aufwand ist meist überschaubarer, als viele Betreiber zunächst annehmen.
Fazit
Das revDSG ist kein einmaliges Ereignis von 2023, sondern ein Rahmen, der sich in der Aufsichtspraxis laufend weiterentwickelt. Eine jährliche kurze Kontrolle deiner Datenschutzerklärung lohnt sich, ähnlich wie bei deinem Impressum selbst. Wer beide Seiten einmal pro Jahr gemeinsam prüft, etwa bei einer allgemeinen Website-Wartung, hält seine Website konsequent auf dem aktuellen Stand des Schweizer Rechts, ohne dafür einen grossen separaten Aufwand einplanen zu müssen.