Datenschutz-Bussen in der Schweiz: Wer bestraft wird — und wofür

«Bussen bis 250'000 Franken — die verteilt der EDÖB dann wohl wie die EU-Behörden ihre DSGVO-Millionen?» So oder ähnlich klingt es oft, wenn in Schweizer Geschäftsleitungen über Datenschutz gesprochen wird. Beide Annahmen sind falsch: Der EDÖB kann gar keine Bussen aussprechen, und die Busse trifft auch nicht das Unternehmen. Wer die tatsächliche Mechanik der DSG-Sanktionen versteht, kann das eigene Risiko realistisch einschätzen — ohne Panik, aber auch ohne falsche Sorglosigkeit. Dieser Beitrag erklärt, wer in der Schweiz wofür bestraft wird, was seit Inkrafttreten des neuen Gesetzes tatsächlich passiert ist und welche Fehler im Web-Alltag am ehesten Risiko schaffen.

Die Grundlagen zum Gesetz selbst finden Sie in unserem DSG-Ratgeber und im Beitrag «nDSG einfach erklärt».

Die wichtigste Klarstellung: Der EDÖB verhängt keine Bussen

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) kann keine Bussen aussprechen — dieses Instrument gibt ihm das Datenschutzgesetz (DSG, SR 235.1) schlicht nicht. Was der EDÖB kann, ist trotzdem einschneidend: Er eröffnet von Amtes wegen oder auf Anzeige hin Untersuchungen und erlässt seit der Gesetzesrevision verbindliche Verfügungen. Damit kann er anordnen, dass eine Datenbearbeitung angepasst, unterbrochen oder ganz abgebrochen wird, dass Daten gelöscht oder vernichtet werden — im Ergebnis also eigentliche Bearbeitungsverbote. Verfügungen von allgemeinem Interesse werden zudem publiziert, mit Namensnennung.

Die Bussen selbst verhängen die kantonalen Strafverfolgungsbehörden — Staatsanwaltschaften oder, je nach Kanton, Statthalterämter. Das DSG weist die Verfolgung und Beurteilung der Straftatbestände ausdrücklich den Kantonen zu (Art. 65 DSG). Der EDÖB kann Anzeige erstatten und im Verfahren die Rechte einer Privatklägerschaft wahrnehmen — mehr nicht.

Drei Voraussetzungen begrenzen das Bussenrisiko zusätzlich:

• Strafantrag: Die Delikte nach Art. 60–62 DSG werden nur auf Antrag verfolgt — typischerweise durch die betroffene Person, deren Rechte verletzt wurden. Ohne Antrag kein Verfahren. Einzige Ausnahme: das Missachten einer EDÖB-Verfügung (Art. 63 DSG) wird von Amtes wegen verfolgt.
• Vorsatz: Strafbar ist nur, wer vorsätzlich handelt. Fahrlässigkeit — das versehentliche Versäumnis, das schlampige Formular — ist straflos. Vorsicht allerdings: Eventualvorsatz genügt. Wer weiss, dass etwas nicht stimmt, und es bewusst in Kauf nimmt, handelt vorsätzlich.
• Natürliche Personen: Adressat der Busse ist nicht die Firma, sondern der Mensch, der den Verstoss zu verantworten hat.

Wen die Busse trifft: Personen, nicht Firmen

Gebüsst wird die verantwortliche natürliche Person — in einem KMU typischerweise die Geschäftsführung, in grösseren Organisationen die Führungskraft, die den Entscheid getroffen hat, im Einzelfall auch Fachpersonen wie Unternehmensjuristen oder Datenschutzverantwortliche. Der Gesetzgeber hat das bewusst so konstruiert: Eine Busse gegen die Unternehmenskasse lässt sich einkalkulieren, ein Strafverfahren gegen die eigene Person nicht.

Die einzige Ausnahme steht in Art. 64 DSG: Kommt eine Busse von höchstens CHF 50'000 in Betracht und wäre die Ermittlung der strafbaren Person innerhalb des Unternehmens mit unverhältnismässigem Aufwand verbunden, kann die Behörde von der Verfolgung Einzelner absehen und stattdessen den Geschäftsbetrieb zur Bezahlung der Busse verurteilen. Das ist als Vereinfachung für die Behörden gedacht, nicht als Schutzschild für die Geschäftsleitung — bei klar zuordenbarer Verantwortung bleibt es bei der persönlichen Strafbarkeit.

Ob ein Arbeitgeber eine gegen Mitarbeitende verhängte Busse übernehmen darf, ist rechtlich umstritten. Verlassen sollte sich darauf niemand: Das Strafverfahren selbst — Einvernahme, Anwaltskosten, Eintrag in den Akten — trägt in jedem Fall die betroffene Person.

Wofür es Bussen gibt: der Deliktkatalog der Art. 60–63 DSG

Strafbar sind vier Gruppen von Verstössen — alle mit Bussen bis CHF 250'000 bedroht, alle nur bei Vorsatz:

• Verletzung der Informations-, Auskunfts- und Mitwirkungspflichten (Art. 60 DSG): Wer betroffene Personen bei der Datenbeschaffung vorsätzlich nicht oder falsch informiert — die Datenschutzerklärung ist hier der Hauptanwendungsfall —, macht sich strafbar. Ebenso, wer auf ein Auskunftsbegehren eine falsche oder unvollständige Auskunft erteilt oder wer in einer EDÖB-Untersuchung die Mitwirkung verweigert oder falsche Angaben macht. Eine Eigenheit beim Auskunftsrecht: Wer ein Auskunftsbegehren schlicht ignoriert, ist nach herrschender Lesart nicht strafbar — wer antwortet und dabei vorsätzlich Falsches oder Unvollständiges liefert, schon. Bei der Informationspflicht ist dagegen auch das komplette Unterlassen strafbar.
• Verletzung von Sorgfaltspflichten (Art. 61 DSG): Dazu gehört, Personendaten entgegen den gesetzlichen Voraussetzungen ins Ausland bekanntzugeben, eine Auftragsbearbeitung ohne die Voraussetzungen von Art. 9 DSG an Dienstleister zu übergeben — Stichwort fehlender Auftragsverarbeitungsvertrag — oder die vom Bundesrat festgelegten Mindestanforderungen an die Datensicherheit zu missachten.
• Verletzung der beruflichen Schweigepflicht (Art. 62 DSG): Wer geheime Personendaten, von denen er bei der Berufsausübung Kenntnis erlangt hat, vorsätzlich offenbart, wird auf Antrag gebüsst. Diese Bestimmung reicht deutlich weiter als das klassische Berufsgeheimnis von Ärztinnen oder Anwälten — sie erfasst praktisch jede berufliche Tätigkeit.
• Missachten von Verfügungen (Art. 63 DSG): Wer einer Verfügung des EDÖB oder einem Entscheid der Rechtsmittelinstanzen vorsätzlich nicht Folge leistet, wird von Amtes wegen gebüsst. Das ist der Hebel, der den Verfügungen des EDÖB Zähne verleiht: Die Verfügung selbst kostet nichts — ihre Missachtung bis zu CHF 250'000.

DSG und DSGVO: zwei völlig verschiedene Sanktionslogiken

Die europäische Datenschutz-Grundverordnung büsst Unternehmen, das Schweizer DSG bestraft Personen — das ist der Kernunterschied. Nach der DSGVO verhängen die Aufsichtsbehörden direkt Verwaltungsbussen gegen das Unternehmen: bis zu EUR 20 Millionen oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Auch fahrlässige Verstösse sind sanktionierbar, ein Strafantrag ist nicht nötig.

Das Schweizer Modell ist ein Strafrechtsmodell: kantonales Strafverfahren, Vorsatzerfordernis, Antragsdelikte, persönliche Verantwortlichkeit. Die Beträge sind kleiner, das Verfahren ist hürdenreicher — dafür ist das Risiko höchstpersönlich. Für Schweizer Unternehmen mit EU-Kundschaft gilt im Zweifel beides parallel: die DSGVO für die Bearbeitungen mit EU-Bezug, das DSG für alles. Die Details zu beiden Regelwerken haben wir im DSG-Ratgeber und im DSGVO-Ratgeber aufbereitet.

Was bisher tatsächlich passiert ist

Seit Inkrafttreten des revidierten DSG am 1. September 2023 sind erst wenige Bussen publik geworden — und die bekannten Beträge sind klein. Ein öffentlich dokumentierter Fall: Das Statthalteramt Bezirk Zürich verhängte mit Strafbefehl vom 4. März 2025 eine Busse von CHF 600 (plus CHF 430 Verfahrenskosten) gegen einen Unternehmensjuristen der TX Group AG — wegen vorsätzlich falscher beziehungsweise unvollständiger Auskunft auf ein Auskunftsbegehren (Art. 60 Abs. 1 lit. a DSG). Der Strafbefehl war bei Bekanntwerden nicht rechtskräftig, der Betroffene erhob Einsprache. Daneben berichten Wirtschaftskanzleien von ersten rechtskräftigen Bussen wegen vorsätzlicher Verletzung der Auskunftspflicht — durchwegs unter CHF 1'000 inklusive Kosten, amtlich publiziert wurden sie nicht.

Deutlich sichtbarer ist die Aufsichtstätigkeit des EDÖB. Auf seiner Verfügungsseite publiziert er abgeschlossene Untersuchungen mit Namensnennung: etwa gegen die Cembra Money Bank AG (Januar 2025, Fristen und Umfang bei Auskunftsbegehren), gegen die Inkasso-Team AG (April 2025, Online-Publikation von Schuldnerdaten) oder im April 2026 gegen zwei Gesellschaften aus dem Umfeld der Modemarke Philipp Plein (Bearbeitungsgrundsätze, Löschungs- und Widerspruchsrechte). In seinem Tätigkeitsbericht 2024/2025 kündigt der EDÖB zudem ein verstärktes Einschreiten gegen Rechtsverstösse an — mit rund 30 Prozent mehr Personal in der Aufsicht.

Die ehrliche Einordnung lautet also: Die praktische Gefahr liegt heute weniger in der spektakulären Busse als in drei anderen Konsequenzen. Erstens in der EDÖB-Untersuchung selbst — sie bindet Ressourcen, endet unter Umständen mit einer publizierten Verfügung samt Firmenname und schafft mit Art. 63 DSG ein echtes Bussenrisiko für die Zukunft. Zweitens im Reputationsschaden: Eine publizierte Verfügung oder ein Medienbericht über ein Datenschutzverfahren wirkt länger nach als jede Busse. Drittens in zivilrechtlichen Ansprüchen betroffener Personen, von der Auskunfts- und Löschungsklage bis zur Genugtuung. Und nicht zu vergessen: Selbst eine Busse von CHF 600 bedeutet ein Strafverfahren gegen eine konkrete Person — mit allem, was dazugehört.

Welche Fehler im Web-Kontext am ehesten Risiko schaffen

Drei Konstellationen aus dem Website-Alltag führen am direktesten in die Strafbestimmungen und die Aufsicht:

Erstens: die falsche oder fehlende Datenschutzerklärung. Art. 60 DSG stellt sowohl das Unterlassen der Information als auch die falsche Information unter Strafe. Heikel ist vor allem die kopierte Vorlage, die nicht zum tatsächlichen Setup passt: Wer weiss, dass auf der Website Analyse- und Marketing-Dienste laufen, die in der Erklärung nicht vorkommen, und den Zustand bewusst stehen lässt, bewegt sich in Richtung Eventualvorsatz — und dokumentiert den Widerspruch gleich selbst.

Zweitens: ignorierte oder falsch beantwortete Auskunftsbegehren. Der bislang einzige öffentlich dokumentierte Bussenfall betrifft genau diese Pflicht, und auch die erste publizierte EDÖB-Verfügung gegen ein Unternehmen drehte sich um Auskunftsfristen. Die Abhilfe ist unspektakulär: eine zuständige Person, eine Antwortvorlage, die 30-Tage-Frist im Blick.

Drittens: Tracking ohne Transparenz und ohne Einwilligung, wo sie nötig ist. Cookies und Tracking-Dienste, über die nirgends informiert wird, verletzen die Informationspflicht; bei risikoreichem Profiling oder Besucherinnen aus der EU führt an einer echten Einwilligung kaum ein Weg vorbei. Genau hier setzen auch die Prüfkriterien an, die der EDÖB für seine Aufsicht nutzt — wir haben sie im Beitrag zum Risiko-Radar nach EDÖB Anhang A aufgeschlüsselt. Wer wissen will, wo die eigene Website steht, kann sie mit dem kostenlosen Website-Scanner prüfen: Er zeigt, welche Cookies und Dienste tatsächlich laufen — die Grundlage für eine Datenschutzerklärung, die der Realität entspricht.

Fazit: kleine Bussen, echtes persönliches Risiko

Das Schweizer Sanktionssystem ist kein DSGVO-Klon: Der EDÖB untersucht und verfügt, gebüsst wird von den kantonalen Strafverfolgungsbehörden — auf Antrag, nur bei Vorsatz und gegen die verantwortliche Person statt gegen die Firma. Die bisher bekannten Bussen sind klein, die Zahl der Fälle überschaubar. Entwarnung wäre trotzdem der falsche Schluss: Der EDÖB baut seine Aufsicht sichtbar aus, publizierte Verfügungen treffen die Reputation, und das Strafrisiko trägt die Geschäftsleitung höchstpersönlich.

Die gute Nachricht: Die Pflichten, die im Web-Kontext am ehesten Risiko schaffen, lassen sich systematisch absichern. Mit Aiara halten Sie Datenschutzerklärung und Cookie-Banner automatisch synchron mit dem, was auf Ihrer Website tatsächlich läuft — der Cookie-Scanner prüft das laufend nach. So verschwindet genau der Widerspruch zwischen Papier und Realität, der im Ernstfall am schwersten wiegt.