Dieselbe Lage. Zwei Brillen. Fünf Fälle.
Für Unternehmen mit EU- und Schweiz-Bezug gelten zwei Datenschutzordnungen gleichzeitig. Hier sehen Sie an fünf realen Fällen, wo sie zusammenlaufen — und wo sie auseinandergehen.
Ein Schweizer KMU mit EU-Kunden. Ein deutsches Scale-up mit einer Tochter in Zürich. Die meisten Unternehmen, mit denen ich arbeite, stehen unter zwei Datenschutzregimen zugleich: der DSGVO und dem revidierten Schweizer DSG (in Kraft seit September 2023). Vieles ähnelt sich — und genau das ist die Falle. Die Unterschiede stecken im Detail, und dort entscheiden sie über Bußgeld, Frist und Prozess.
Deshalb löse ich jeden Fall zweimal. So sieht auch ein Training bei mir aus: kein Paragraphen-Vortrag, sondern echte Fälle durch beide Brillen.
So läuft das Training
Vier Schritte pro Fall — Denken statt Auswendiglernen
Der Fall
Ein realer Sachverhalt aus Ihrem Alltag — mit der Frage, die im Ernstfall zählt.
Zwei Brillen
Dieselbe Lage, gelöst nach EU-DSGVO und nach Schweizer revDSG.
Die Diskussion
Wo laufen die beiden Ordnungen auseinander — und warum?
Der Transfer
Was heißt das konkret für Ihre Prozesse, Verträge und Meldeketten?
Die fünf Fälle
Klicken Sie einen Fall auf — links die EU-Lösung, rechts die Schweizer.
1Die US-Cloud, die der Einkauf längst gebucht hat
Sachverhalt
Ein Scale-up verarbeitet Kundendaten über einen US-Cloud-Anbieter (Hosting plus Support-Tool). Der Vertrag ist längst unterschrieben, der Betrieb läuft.
Frage: Darf das so bleiben — und was fehlt?
EU · DSGVO
Auftragsverarbeitung nach Art. 28 (AV-Vertrag mit allen Pflichtinhalten). Für die Übermittlung in die USA braucht es eine Grundlage nach Kap. V: Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework — sonst Standardvertragsklauseln (SCC) plus Transfer Impact Assessment (Schrems II), ergänzt um technische Maßnahmen.
CH · revDSG
Auftragsbearbeitung nach Art. 9. Für die Bekanntgabe ins Ausland gilt Art. 16/17: Die USA stehen nicht auf der Angemessenheitsliste des Bundesrats. Grundlage daher das separate Swiss-US Data Privacy Framework oder die vom EDÖB anerkannten Standardvertragsklauseln.
Der Unterschied
Zwei getrennte Transfer-Regime, zwei getrennte DPF-Zertifizierungen (EU-US ≠ Swiss-US). „Wir haben SCC" deckt oft nur die halbe Miete. Wer EU- und CH-Kunden hat, braucht beide Wege sauber.
2Die Datenpanne am Freitagabend
Sachverhalt
Ein Mitarbeiter meldet, dass eine Tabelle mit Kundendaten versehentlich an den falschen Verteiler ging. Es ist Freitag, 18 Uhr.
Frage: Wer muss wann informiert werden?
EU · DSGVO
Art. 33: Meldung an die Aufsichtsbehörde ohne unangemessene Verzögerung, möglichst binnen 72 Stunden ab Kenntnis. Art. 34: Benachrichtigung der Betroffenen bei hohem Risiko. Dokumentationspflicht auch, wenn nicht gemeldet wird.
CH · revDSG
Art. 24: Meldung an den EDÖB so rasch als möglich (keine starre 72-Stunden-Frist) — aber nur, wenn die Verletzung voraussichtlich zu einem hohen Risiko führt. Betroffene informieren, wenn es zu ihrem Schutz nötig ist oder der EDÖB es verlangt.
Der Unterschied
Die EU meldet früher und breiter, die Schweiz erst ab hohem Risiko — dafür ohne fixe Frist. Wer nur den EU-Reflex hat, übermeldet in der Schweiz oder verkennt die Schweizer Schwelle.
3„Ich will alle Daten, die Sie über mich haben."
Sachverhalt
Ein ehemaliger Kunde verlangt Auskunft über alle zu ihm gespeicherten Daten — und droht mit der Aufsichtsbehörde.
Frage: Was müssen Sie liefern, bis wann, und dürfen Sie ablehnen?
EU · DSGVO
Art. 15: Auskunft über Daten, Zwecke, Empfänger, Speicherdauer, Herkunft; Kopie der Daten. Frist: ein Monat (verlängerbar). Grundsätzlich kostenlos; bei offenkundig unbegründeten oder exzessiven Anträgen Entgelt oder Ablehnung möglich.
CH · revDSG
Art. 25: inhaltlich ähnlich (bearbeitete Daten, Zwecke, Herkunft, Empfänger). Frist: 30 Tage. Grundsätzlich kostenlos. Einschränkung oder Verweigerung nach Art. 26 (überwiegende eigene Interessen, Geschäftsgeheimnis, gesetzliche Pflicht).
Der Unterschied
Sehr ähnlich — aber Ablehnungsgründe und Reichweite (etwa der Umgang mit Daten Dritter) sind nicht deckungsgleich. Ein einziges Auskunfts-Template für beide Ordnungen scheitert genau an diesen Details.
4„Wir sind nur 40 Leute — das gilt doch nicht für uns?"
Sachverhalt
Die Geschäftsführung eines 40-Personen-Startups winkt ab: Das Verzeichnis der Verarbeitungstätigkeiten sei doch nur etwas für Konzerne.
Frage: Verzeichnis — ja oder nein?
EU · DSGVO
Art. 30: Verzeichnis grundsätzlich Pflicht. Die Ausnahme für Unternehmen unter 250 Beschäftigten greift nur, wenn die Verarbeitung kein Risiko birgt, nicht regelmäßig erfolgt und keine besonderen Kategorien betrifft — in der Praxis fast nie erfüllt.
CH · revDSG
Art. 12: Verzeichnis Pflicht. Die Ausnahme gilt für Unternehmen unter 250 Mitarbeitenden, deren Datenbearbeitung nur ein geringes Risiko für Persönlichkeitsverletzungen mit sich bringt (konkretisiert in der Verordnung).
Der Unterschied
Beide kennen die 250-Schwelle — aber die Ausnahme ist an unterschiedliche Bedingungen geknüpft. „Wir sind klein" trägt in keiner der beiden Ordnungen zuverlässig.
5Der Algorithmus, der Kredite ablehnt
Sachverhalt
Ein Fintech lehnt Kreditanträge automatisiert per Scoring ab. Ein abgelehnter Kunde will wissen, warum.
Frage: Was schulden Sie ihm — und was muss das System können?
EU · DSGVO
Art. 22: automatisierte Einzelentscheidungen mit erheblicher Wirkung sind grundsätzlich unzulässig — außer mit Rechtsgrundlage (Vertrag, Einwilligung, Gesetz) und Garantien: menschliches Eingreifen, Darlegung des Standpunkts, Anfechtung. Dazu Information über die involvierte Logik. Der AI Act kommt obendrauf.
CH · revDSG
Art. 21: bei automatisierter Einzelentscheidung mit erheblichen Auswirkungen besteht eine Informationspflicht; die betroffene Person kann verlangen, dass die Entscheidung von einer natürlichen Person überprüft wird.
Der Unterschied
Die EU verbietet grundsätzlich und erlaubt nur mit Garantien; die Schweiz erlaubt und knüpft Transparenz- und Überprüfungsrechte an. Wer ein Scoring baut, braucht in der EU eine Rechtsgrundlage — in der Schweiz vor allem einen belastbaren menschlichen Review-Pfad.
Diese Fälle sind didaktisch aufbereitet und illustrieren typische Unterschiede — sie ersetzen keine Prüfung des konkreten Sachverhalts. Rechtsstand DSGVO / revDSG 2026.
Diese Fälle — für Ihr Team, mit Ihren Daten.
Ich baue daraus ein maßgeschneidertes Datenschutz-Training mit Ihren eigenen Fallkonstellationen — oder übernehme die DSB-Funktion gleich mit.