Digitale Anforderungen EU & Schweiz

Praxisleitfaden für Schweizer KMU und EU-Unternehmen

Dual Compliance · DSGVO & revDSG · Regulierungslandkarte · Typische Fehler

Vorbemerkung

Diese Leitfadenreihe ist aus einer spezifischen Perspektive heraus geschrieben: der einer General Counsel / Senior Vice President, die über viele Jahre in leitender Inhouse-Funktion in regulierten Unternehmen gearbeitet hat – in der Schweiz und in der EU. Die Autorin verfügt über eine juristische und betriebswirtschaftliche Ausbildung in der Schweiz und in Deutschland sowie über langjährige operative Erfahrung als interne Rechts- und Compliance-Verantwortliche in internationalen Konzernen und KMU-Umfeldern.

Diese Kombination – juristische Tiefe, operatives Management-Know-how und direkte Erfahrung mit den Realitäten von Lieferketten, Vertragsverhandlungen und Aufsichtsbehörden – ist der Grund, warum die Texte so geschrieben sind, wie sie sind: nicht als formale Gesetzeskommentare, sondern als Arbeitsinstrumente. Sie richten sich gleichzeitig an Führungskräfte, die schnell einordnen müssen, was eine Regulierung für ihr Unternehmen bedeutet, und an Fachabteilungen, die wissen müssen, was operativ zu tun ist.

Der interdisziplinäre Ansatz ist bewusst: Digitale Regulierung berührt gleichzeitig IT, Recht, Procurement, Geschäftsführung, HR und Lieferkette. Eine Perspektive, die nur eine dieser Dimensionen kennt, liefert unvollständige Antworten. Die Leitfäden versuchen, alle relevanten Dimensionen gleichzeitig zu adressieren – mit dem Bewusstsein, dass in der Praxis selten ein Team allein zuständig ist und die wirklichen Herausforderungen meistens an den Schnittstellen entstehen.

Die Perspektive «Schweizer KMU im EU-Kontext» ist nicht zufällig. Sie spiegelt langjährige Arbeit an der Schnittstelle zwischen Schweizer Geschäftspraxis und europäischem Regulierungsrahmen: die Erfahrung, was es konkret bedeutet, wenn ein EU-Kundenvertrag plötzlich DORA-Klauseln enthält, wenn ein Procurement-Fragebogen AI-Act-Anforderungen stellt oder wenn ein Lieferant keine NIS2-konformen Sicherheitsnachweise liefern kann. Diese Leitfäden sind aus genau diesen Situationen heraus entstanden – nicht aus dem Lesen von Gesetzestexten, sondern aus der Erfahrung ihrer Auswirkungen.

Vorwort: Warum dieser Leitfaden anders aufgebaut ist

Dieser Leitfaden hat zwei Zielgruppen: Schweizer KMU, die in der EU aktiv sind, und EU-Unternehmen, die in der Schweiz Fuss fassen. Beide sehen sich mit einem doppelten Regulierungsumfeld konfrontiert – und beide machen systematisch dieselben Fehler.

Der wichtigste Fehler: Wer in beiden Märkten aktiv ist, behandelt die Regulierungsanforderungen als zwei separate Compliance-Projekte. Das verdoppelt den Aufwand. Die Realität ist, dass DSGVO und revDSG, AI Act und eine mögliche Schweizer KI-Regulierung, NIS2 und ISG erhebliche Überschneidungen haben. Diese betreffen vor allem Sicherheitsorganisation und Risikomanagement; Adressaten, Sektoren, Meldewege, Aufsicht, Schwellen und Rechtsfolgen unterscheiden sich jedoch – eine gemeinsame Governance-Basis bedeutet keine materielle Gleichwertigkeit. Wer die Überschneidungen kennt, spart signifikant Zeit und Geld.

1. Regulierungslandkarte: Was gilt wo

Überblick über die zentralen Regulierungsrahmen für digitale Dienste – wer unter welchem Regime steht und was der praktische Unterschied ist.

1.1 Die wichtigsten Regime im Vergleich

1.2 Die wichtigste Frage zuerst: Bin ich extraterritorial exponiert?

2. Schweizer KMU, die in der EU tätig sind

Dieser Abschnitt richtet sich an Schweizer KMU, die EU-Kunden haben, EU-Märkte bedienen oder Teil europäischer Lieferketten sind.

2.1 Datenschutz: DSGVO für Schweizer Unternehmen

DSGVO gilt extraterritorial. Wenn Sie Daten von Personen in der EU verarbeiten – Kundendaten, Mitarbeiterdaten, Websitebesucher – gilt DSGVO unabhängig von Ihrem Unternehmenssitz.

2.2 Welche EU-Regulierungen Sie konkret betreffen

Nicht jedes EU-Gesetz gilt für jedes Schweizer Unternehmen. Hier ist die Entscheidungsmatrix:

2.3 Die EU-Vertreter-Pflicht: wann und wie

Mehrere EU-Regime verlangen, dass Nicht-EU-Unternehmen einen formalen Vertreter in der EU benennen. Das ist kein bürokratisches Detail – es ist der Ansprechpartner für Behörden und Betroffene.

DSGVO Art. 27: Wenn Sie systematisch Daten von Personen in der EU verarbeiten ohne EU-Niederlassung. Vertreter muss in einem EU-Mitgliedstaat ansässig sein.

AI Act: Für Nicht-EU-Provider, die High-Risk-KI in der EU in Verkehr bringen. EU-Bevollmächtigter erforderlich.

NIS2: Gilt direkt nur für EU-Unternehmen – aber de facto können EU-Kunden verlangen, dass Sie einen Ansprechpartner benennen.

2.4 Dual Compliance: DSGVO und revDSG gleichzeitig erfüllen

Das ist die zentrale Effizienzfrage: Wie bauen Sie eine Datenschutzorganisation, die beide Regime gleichzeitig abdeckt?

3. EU-Unternehmen, die in der Schweiz tätig sind

Dieser Abschnitt richtet sich an EU-Unternehmen, die Schweizer Kunden haben, Schweizer Daten verarbeiten oder in der Schweiz Dienstleistungen anbieten.

3.1 revDSG: Die wichtigsten Unterschiede zu DSGVO

Das revidierte Datenschutzgesetz (revDSG, seit 1. September 2023 in Kraft) ist in weiten Teilen an DSGVO angelehnt – aber nicht identisch. Die Unterschiede sind klein, aber relevant.

3.2 Schweizer Sektorialrecht: Was EU-Unternehmen kennen müssen

3.3 Datentransfers CH↔EU

Der Datentransfer zwischen der Schweiz und der EU ist durch gegenseitige Angemessenheitsentscheide weitgehend erleichtert – aber nicht unbeschränkt.

EU→CH: Die EU-Kommission hat die Schweiz als Drittland mit angemessenem Datenschutzniveau anerkannt. Transfers sind grundsätzlich ohne Zusatzmassnahmen möglich – aber unter Vorbehalt der FINMA-Regeln im Finanzbereich.

CH→EU: Die Schweiz anerkennt EU-Mitgliedstaaten als adäquate Drittländer. Transfers sind ohne zusätzliche Vertragsklauseln möglich.

Ausnahmen: Sensitive Daten (Gesundheit, Finanzen, biometrische Daten) unterliegen strengeren Regeln. Immer separat prüfen.

4. Die häufigsten Fehler – für beide Seiten

Fehler 1 (CH-Unternehmen): DSGVO als optional behandeln

'Wir sitzen in der Schweiz, DSGVO gilt für uns nicht.' Das ist falsch. DSGVO gilt extraterritorial sobald Sie Daten von Personen in der EU verarbeiten – auch wenn Ihre Server in der Schweiz stehen und Sie keine EU-Niederlassung haben. Ein Enforcement-Verfahren einer nationalen EU-Datenschutzaufsichtsbehörde gegen ein Schweizer Unternehmen ist nur eine Frage der Zeit (der Europäische Datenschutzausschuss koordiniert, vollzieht aber nicht selbst — durchgesetzt wird durch die nationalen Behörden).

Fehler 2 (EU-Unternehmen): revDSG als DSGVO-Kopie behandeln

'revDSG ist doch nur das Schweizer DSGVO, das läuft mit.' Falsch. Die Unterschiede bei Sanktionen (persönliche Haftung statt Unternehmensbussen), beim Verarbeitungsverzeichnis (keine Grössenschwelle) und beim One-Stop-Shop (gibt es nicht) sind substanziell und führen zu Compliance-Lücken.

Fehler 3: Regulierungen als separate Projekte behandeln

Separate Teams für DSGVO, AI Act, NIS2, revDSG, FINMA. Das bedeutet viermal dasselbe Verarbeitungsverzeichnis, viermal derselbe Datenkatalog, viermal dieselbe Lieferantenliste. Das ist das teuerste Missverständnis in der digitalen Compliance.

Fehler 4: Sektoralrecht vergessen

DSGVO und revDSG sind die Basisanforderungen – aber wer im Finanzsektor, Gesundheitsbereich oder als kritische Infrastruktur tätig ist, hat zusätzliche Pflichten, die DSGVO und revDSG nicht abdecken. FINMA-Rundschreiben, ISG, kantonale Gesundheitsdatenschutzgesetze – das sind separate Compliance-Pfade.

Fehler 5: Digital Omnibus als Entschuldigung nutzen

'Wir warten, bis der Digital Omnibus die Anforderungen vereinfacht.' Der Digital Omnibus ist eine politische Initiative, die Fristen verschieben könnte – aber keine Compliance-Pflichten abschaffen wird. Die Grundrichtung der EU-Digitalregulierung ändert sich nicht.

5. Branchenprofile: Dual-Compliance konkret

Profil A: Schweizer Fintech mit EU- und CH-Kunden

Profil B: EU-Cloud-Anbieter mit CH-Unternehmenskunden

6. Was Sie jetzt tun – nach Profil

Kontakt & weitere Informationen