Datenschutz in der Schweiz: Anspruch, Realität und ein trügerisches Sicherheitsgefühl

Die Schweiz gilt vielen als Inbegriff von Verlässlichkeit, Diskretion und Rechtsstaatlichkeit. Dieses Image wird im Datenschutz oft automatisch mitgedacht, nach dem Motto: Wenn es um Daten geht, ist die Schweiz schon sicher. Genau hier beginnt das Problem. Denn zwischen dem internationalen Ruf und der tatsächlichen Praxis liegen im Datenschutz nicht selten deutliche Unterschiede. Wer sich auf das Etikett „Schweiz“ verlässt, riskiert ein trügerisches Sicherheitsgefühl.

Auf dem Papier wirkt das Schweizer Datenschutzrecht modern. Mit dem revidierten Bundesgesetz über den Datenschutz (DSG, SR 235.1), in Kraft seit 1. September 2023, wurden wichtige Elemente nachgeschärft und an die DSGVO angenähert. Diese Annäherung ist jedoch nicht gleichbedeutend mit derselben Strenge wie in der EU. Die wesentliche Frage ist nicht, ob ein Gesetz existiert, sondern ob es konsequent durchgesetzt wird, ob Verstöße spürbare Folgen haben und ob Unternehmen spürbaren Druck haben, Datenschutz wirklich als Managementaufgabe zu behandeln.

Genau an dieser Stelle fällt die Schweiz in der Praxis häufig ab, und das ist zum Teil im Gesetz selbst angelegt. Bußen bis 250 000 Franken gibt es nach dem DSG nur für vorsätzliche Verstöße gegen bestimmte Pflichten; sie richten sich in erster Linie gegen die verantwortlichen natürlichen Personen, nicht gegen das Unternehmen, und sie werden von den kantonalen Strafbehörden verhängt (Art. 60 ff. DSG). Das Unternehmen selbst kann nur ausnahmsweise mit höchstens 50 000 Franken gebüßt werden, wenn die Ermittlung der verantwortlichen Person unverhältnismäßig wäre (Art. 64 DSG). Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) kann Untersuchungen führen und Verwaltungsmaßnahmen verfügen (Art. 49 ff. DSG), aber keine Bußgelder aussprechen. In der Europäischen Union ist in den letzten Jahren dagegen ein Trend zu mehr Durchsetzung zu beobachten:

Mehr Untersuchungen, mehr öffentliche Verfahren, mehr spürbare Sanktionen.

Das erzeugt Relevanz in den Geschäftsleitungen, und genau dort muss Datenschutz verankert sein. In der Schweiz dagegen erlebe ich die Vollzugspraxis oft als zurückhaltend. Das Ergebnis ist vorhersehbar: Datenschutz wird leichter zur Formalität, zur Dokumentationsübung, zum Haken in der Checkliste.

Und was im Alltag nicht weh tut, wird selten priorisiert.

Das zeigt sich besonders dort, wo Datenschutz eigentlich „harten“ Charakter haben müsste: bei Cloud-Nutzung, bei Outsourcing, bei konzernweiten Datenflüssen, bei datengetriebenen Geschäftsmodellen und bei der Verarbeitung sensibler Informationen. In der Praxis begegnet man häufig unklaren Verantwortlichkeiten, oberflächlichen Risikoabwägungen und technischen Maßnahmen, die eher Mindeststandard als ernsthafte Sicherheitsarchitektur sind. Nicht überall, nicht immer, aber oft genug, um kritisch zu sein. Und vor allem: oft genug, um sich nicht auf pauschale Annahmen zu verlassen.

Hinzu kommt ein Missverständnis, das gerade im europäischen Kontext gefährlich ist:

Die Schweiz als „automatisch sicherer Ort“ für personenbezogene Daten. Rechtlich ist die Übermittlung aus der EU in die Schweiz tatsächlich erleichtert: Die EU-Kommission hat der Schweiz ein angemessenes Datenschutzniveau bescheinigt (Entscheidung 2000/518/EG) und dies in ihrem Überprüfungsbericht vom 15. Januar 2024 bestätigt. Standardvertragsklauseln oder ein Transfer Impact Assessment sind deshalb nicht erforderlich. Der Gedanke vom sicheren Ort führt aber dazu, dass auch die übrigen Prüfpflichten in Projekten abgeschwächt werden. Man lässt Dinge schneller durchgehen, weil der Standort vermeintlich Vertrauen schafft. Dabei ist Datenschutz kein Standortversprechen. Datenschutz entsteht durch Governance, Kontrollen, Nachweisfähigkeit, technische Schutzmaßnahmen und eine Kultur der Verantwortung. Ohne diese Faktoren bleibt jedes Gesetz ein Rahmen ohne Wirkung.

Gerade Unternehmen, die DSGVO-geprägt arbeiten, sollten sich deshalb nicht von Symbolen leiten lassen. Der Angemessenheitsbeschluss regelt nur, ob Daten übermittelt werden dürfen. Die Prüfung des konkreten Anbieters, etwa nach Art. 28 und Art. 32 DSGVO, ersetzt er nicht. Wer Daten in der Schweiz verarbeitet oder dorthin übermittelt, muss den Dienstleister mit der gleichen Sorgfalt prüfen wie jeden anderen. Das bedeutet konkrete Prüfung statt Bauchgefühl. Welche Anbieter sind beteiligt. Welche Subunternehmerketten existieren. Wie sind Zugriffe geregelt. Wie wird protokolliert. Welche Lösch- und Aufbewahrungsregeln gelten tatsächlich. Wie sieht die Reaktionsfähigkeit bei Sicherheitsvorfällen aus. Wer kann was nachweisen, und zwar nicht als Aussage, sondern als belastbares Protokoll.

Mein Fazit ist bewusst kritisch:

Die Schweiz nimmt Datenschutz zwar rechtlich ernst, aber in der Praxis nicht immer ernst genug. Der Unterschied zwischen Anspruch und Alltag ist das eigentliche Risiko. Wer Datenschutz professionell betreibt, sollte sich nicht vom guten Ruf eines Standorts beruhigen lassen. Entscheidend ist allein, wie konkret Prozesse, Technik, Kontrolle und Verantwortlichkeiten umgesetzt sind.

Wenn Sie Projekte mit Datenbezug in der Schweiz planen oder bereits umsetzen, lohnt sich ein nüchterner Check:

Nicht mit Vorurteilen, sondern mit Fakten.

Genau dort trennt sich Datenschutz als Marketingbegriff von Datenschutz als gelebter Compliance.