Datenschutzbeauftragter Schweiz: Wann sich ein interner oder externer Datenschutzberater lohnt
Datenschutzbeauftragter Schweiz: wann ein Datenschutzberater nach Art. 10 DSG sinnvoll ist, welche Voraussetzungen gelten und wie die EDÖB-Meldung läuft.
Kurz beantwortet
Private Unternehmen in der Schweiz müssen keinen Datenschutzbeauftragten ernennen. Das DSG nennt die Funktion Datenschutzberaterin oder Datenschutzberater, und sie ist für Private freiwillig (Art. 10 Abs. 1 DSG). Pflicht ist sie nur für Bundesorgane. Sinnvoll wird sie vor allem bei Bearbeitungen mit hohem Risiko: Bleibt nach der Folgenabschätzung ein hohes Risiko, können Sie statt des EDÖB Ihre Datenschutzberaterin oder Ihren Datenschutzberater konsultieren, wenn diese alle vier Voraussetzungen von Art. 10 Abs. 3 DSG erfüllt. Die Folgenabschätzung bleibt Pflicht.
Braucht Ihr Unternehmen einen Datenschutzbeauftragten in der Schweiz?
Als privates Unternehmen nicht. Das Schweizer Datenschutzgesetz sagt in Art. 10 Abs. 1 DSG: «Private Verantwortliche können eine Datenschutzberaterin oder einen Datenschutzberater ernennen.» Wer niemanden ernennt, verletzt keine Pflicht. Die Strafbestimmungen in Art. 60 bis 63 DSG erfassen die Nichternennung nicht, und eine Schwelle nach Mitarbeitendenzahl kennt das Schweizer Recht nicht.
Pflicht ist die Ernennung nur für Bundesorgane (Art. 25 DSV). Kantonale und kommunale Stellen richten sich nach kantonalem Recht.
Zum Begriff: «Datenschutzbeauftragter» stammt aus der europäischen DSGVO. Das Schweizer Gesetz spricht von der Datenschutzberaterin oder dem Datenschutzberater. Gesucht wird meist das eine, gemeint ist im Schweizer Recht das andere. Eine Übersicht über alle Pflichten nach DSG finden Sie im Ratgeber Datenschutzgesetz Schweiz: Pflichten für KMU. Dieser Beitrag vertieft die Frage, wann sich ein Datenschutzberater lohnt und wie Sie die Funktion richtig aufsetzen.
Was macht eine Datenschutzberaterin oder ein Datenschutzberater?
Nach Art. 10 Abs. 2 DSG ist die Person Anlaufstelle für betroffene Personen und für die Datenschutzbehörden in der Schweiz. Namentlich hat sie zwei Aufgaben:
- Schulung und Beratung des Unternehmens in Fragen des Datenschutzes,
- Mitwirkung bei der Anwendung der Datenschutzvorschriften.
Das Wort «namentlich» zeigt: Die Liste ist nicht abschliessend. Der EDÖB beschreibt die Rolle auf seiner Seite Datenschutzberaterin und -berater so, dass sie die Einhaltung der Datenschutzvorschriften im Unternehmen überwacht und den Verantwortlichen berät.
Wichtig ist die Grenze: Die Datenschutzberaterin oder der Datenschutzberater berät, verantwortlich bleibt das Unternehmen. Der EDÖB hält fest, dass der Verantwortliche «allein die Verantwortung» dafür trägt, dass Personendaten datenschutzkonform bearbeitet werden. Wer die Funktion besetzt, delegiert also Fachwissen, nicht Haftung.
Eine konkrete Schnittstelle nennt die Verordnung: Müssen Sie ein Bearbeitungsreglement führen, weil Sie besonders schützenswerte Personendaten in grossem Umfang bearbeiten oder ein Profiling mit hohem Risiko durchführen, muss das Reglement einer ernannten Datenschutzberaterin oder einem ernannten Datenschutzberater zur Verfügung stehen (Art. 5 Abs. 3 DSV).
Welchen Vorteil bringt ein Datenschutzberater bei der Folgenabschätzung?
Hier liegt der eigentliche rechtliche Grund für eine formelle Ernennung. Die Kette sieht so aus:
- Kann eine Bearbeitung ein hohes Risiko für die betroffenen Personen mit sich bringen, erstellen Sie vorgängig eine Datenschutz-Folgenabschätzung (Art. 22 DSG). Ein hohes Risiko liegt namentlich bei umfangreicher Bearbeitung besonders schützenswerter Personendaten oder bei systematischer Überwachung umfangreicher öffentlicher Bereiche vor.
- Bleibt trotz Ihrer Massnahmen ein hohes Risiko, holen Sie vorgängig die Stellungnahme des EDÖB ein (Art. 23 Abs. 1 DSG). Der EDÖB teilt Einwände innerhalb von zwei Monaten mit, bei komplexen Bearbeitungen kann sich die Frist um einen Monat verlängern (Art. 23 Abs. 2). Für die Konsultation erhebt er von Privaten eine Gebühr (Art. 59 Abs. 1 lit. c DSG).
- Von dieser Konsultation können Sie absehen, wenn Sie Ihre Datenschutzberaterin oder Ihren Datenschutzberater konsultiert haben (Art. 23 Abs. 4 DSG). Das gilt aber nur, wenn alle vier Voraussetzungen von Art. 10 Abs. 3 DSG erfüllt sind.
Die Folgenabschätzung selbst bleibt in jedem Fall Pflicht. Ersetzt wird nur die Konsultation des EDÖB. Die Folgenabschätzung bewahren Sie nach Ende der Bearbeitung mindestens zwei Jahre auf (Art. 14 DSV).
Welche vier Voraussetzungen muss der Datenschutzberater erfüllen?
Art. 10 Abs. 3 DSG nennt vier Bedingungen. Fehlt eine, gilt die Ausnahme nach Art. 23 Abs. 4 nicht.
| Buchstabe | Voraussetzung | Worauf es in der Praxis ankommt |
|---|---|---|
| a | fachlich unabhängig und weisungsungebunden | Nach dem EDÖB soll sich die Unabhängigkeit in der hierarchischen Einordnung zeigen, grundsätzlich mit direkter Unterstellung unter die Geschäftsleitung. Die Tätigkeit darf sich zum Beispiel nicht negativ auf das Mitarbeitergespräch auswirken (BJ-FAQ 3.7.3). |
| b | keine unvereinbaren Tätigkeiten | Eine Unvereinbarkeit kann laut EDÖB vorliegen bei Mitgliedern der Geschäftsleitung, bei Funktionen in Personalführung oder Informationssystemverwaltung und bei Dienststellen, die selbst besonders schützenswerte Personendaten bearbeiten. Denkbar ist dagegen die Kombination mit der Rolle der oder des Informationssicherheitsbeauftragten. |
| c | erforderliche Fachkenntnisse | Gemeint sind nach dem EDÖB Kenntnisse der Datenschutzgesetzgebung und technischer Standards zur Datensicherheit. Eine bestimmte Ausbildung oder Zertifizierung verlangt das Gesetz nicht. |
| d | Kontaktdaten veröffentlicht und dem EDÖB mitgeteilt | Veröffentlichung zum Beispiel in der Datenschutzerklärung, Mitteilung über das DPO-Portal des EDÖB. |
Für kleine Unternehmen ist Buchstabe b oft die schwierigste Hürde. Die naheliegenden Personen verantworten oft Geschäftsleitung, Personal oder IT. Eine interne Lösung ist möglich, braucht aber eine Person, die keine dieser Funktionen innehat.
Was müssen Sie als Unternehmen der Person zur Verfügung stellen?
Wer eine Datenschutzberaterin oder einen Datenschutzberater ernennt, hat nach Art. 23 DSV drei Pflichten:
- die notwendigen Ressourcen zur Verfügung stellen,
- Zugang zu allen Auskünften, Unterlagen, Verzeichnissen der Bearbeitungstätigkeiten und Personendaten gewähren, die für die Aufgaben nötig sind,
- das Recht einräumen, in wichtigen Fällen das oberste Leitungs- oder Verwaltungsorgan zu informieren.
Diese Pflichten gelten nach dem Wortlaut für jede ernannte Person, nicht erst, wenn Sie die Ausnahme bei der Folgenabschätzung nutzen. Halten Sie sie am besten schriftlich in einem Pflichtenheft fest. Für Bundesorgane gelten eigene Bestimmungen (Art. 25 bis 28 DSV), die für private Unternehmen nicht massgebend sind.
Intern oder extern: Welche Lösung passt zu Ihrem KMU?
Beides ist zulässig. Der EDÖB schreibt, Datenschutzberaterinnen und -berater «können, müssen aber nicht in einem arbeitsvertraglichen Verhältnis zum Unternehmen stehen». Die Kriterien sind für beide Varianten dieselben.
| Kriterium | Intern | Extern |
|---|---|---|
| Fachkenntnis Datenschutzrecht und Datensicherheit | muss aufgebaut und erhalten werden | wird eingekauft, Nachweise verlangen |
| Unabhängigkeit und Weisungsfreiheit | organisatorisch absichern, direkt der Geschäftsleitung unterstellen | vertraglich regeln |
| Unvereinbare Tätigkeiten | Geschäftsleitung, Personal, IT-Leitung oder IT-Administration sind nach den Beispielen des EDÖB heikel | prüfen, ob der Externe zugleich IT-Dienstleister, Auftragsbearbeiter oder Rechtsvertreter ist |
| Kenntnis des Unternehmens | hoch | muss aufgebaut werden, Zugang nach Art. 23 DSV sicherstellen |
| Verfügbarkeit als Anlaufstelle | hängt von Pensum und Stellvertretung ab | vertraglich festlegen |
| Vertretung gegenüber Behörden | arbeitsrechtlich geregelt | nach Bedarf mit Vollmacht (EDÖB) |
| Vertraulichkeit | Arbeitsvertrag | Vertraulichkeitsklausel, Auftragsbearbeitung nach Art. 9 DSG klären |
Ein externer Berater ist nicht automatisch unabhängig. Auch hier entscheidet, welche anderen Aufgaben er für Ihr Unternehmen wahrnimmt.
Ein Datenschutzberater lohnt sich vor allem, wenn:
- Sie Bearbeitungen mit hohem Risiko planen oder schon durchführen, etwa umfangreiche Bearbeitung von Gesundheits-, genetischen oder biometrischen Daten, auch im Personalbereich, oder Profiling mit hohem Risiko,
- Sie ein Bearbeitungsreglement nach Art. 5 DSV führen müssen,
- regelmässig Anfragen von betroffenen Personen, Kunden oder Partnern zum Datenschutz eingehen,
- im Unternehmen niemand mit Fachkenntnis verfügbar ist, der nicht zugleich Geschäftsleitung, Personal oder IT verantwortet.
Wenig bringt eine formelle Ernennung, wenn Sie keine Bearbeitungen mit hohem Risiko haben. Eine interne Ansprechperson für Datenschutz ist trotzdem immer sinnvoll, auch ohne formelle Ernennung nach Art. 10 DSG.
Wie melden Sie den Datenschutzberater dem EDÖB?
Eine allgemeine Meldepflicht gibt es nicht. Der EDÖB formuliert es so: «Eine Meldepflicht für Private besteht, sofern sie von der Ausnahme bei der Datenschutz-Folgenabschätzung Gebrauch machen wollen.» Die Mitteilung ist also Voraussetzung für Art. 23 Abs. 4 DSG. Wer ernennt, sollte trotzdem melden, damit die Ausnahme bei Bedarf verfügbar ist.
So gehen Sie vor:
- Kontaktdaten veröffentlichen, etwa in Ihrer Datenschutzerklärung.
- Über das DPO-Portal des EDÖB melden. Den Zugang finden Sie auch unter Meldeportale. Die Anmeldung erfolgt mit AGOV-Login oder CH-Login. Ein Konto gilt für genau einen Verantwortlichen, ermächtigte Dritte dürfen melden. Ist das Portal nicht nutzbar, ist ein Ersatzweg per Brief oder E-Mail vorgesehen.
- Für das Login eine generische E-Mail-Adresse verwenden. Der EDÖB nennt als Vorteil, dass sie sich bei einem Wechsel an eine andere Person übertragen lässt. Wechselt die Person, passen Sie die Angaben im Portal an.
- Alte Meldungen prüfen: Meldungen von Datenschutzverantwortlichen nach dem alten DSG wurden laut EDÖB nicht in das neue Portal übernommen.
Die Meldung muss vorliegen, bevor Sie sich bei einer Folgenabschätzung auf die Ausnahme berufen.
Welche Fehler sollten Sie vermeiden?
- EU- oder deutsche Regeln auf die Schweiz übertragen. Schwellenwerte nach Mitarbeitendenzahl stammen aus dem deutschen Recht, nicht aus der DSGVO und nicht aus dem DSG.
- Geschäftsleitung, Personalleitung oder IT-Leitung ernennen, ohne die Unvereinbarkeit zu prüfen. Die Ausnahme nach Art. 23 Abs. 4 DSG greift dann voraussichtlich nicht.
- Ernennen, aber nicht veröffentlichen oder nicht melden. Ohne lit. d keine Ausnahme.
- Glauben, der Berater ersetze die Folgenabschätzung. Er ersetzt nur die Konsultation des EDÖB.
- Verantwortung delegieren. Verantwortlich bleibt das Unternehmen.
- Ohne Ressourcen und Zugang ernennen. Das verletzt Art. 23 DSV.
- Datenschutzberater und Vertretung verwechseln. Die Vertretung nach Art. 14 DSG betrifft Unternehmen mit Sitz im Ausland, die unter bestimmten Bedingungen Personendaten von Personen in der Schweiz bearbeiten.
- Eine Meldung nach altem Recht für ausreichend halten.
Was gilt, wenn Ihr Unternehmen auch unter die DSGVO fällt?
Bieten Sie Personen in der EU Waren oder Dienstleistungen an oder beobachten Sie deren Verhalten, kann zusätzlich die DSGVO gelten. Sie verlangt in bestimmten Fällen einen Datenschutzbeauftragten (Art. 37 DSGVO), etwa wenn die Kerntätigkeit eine umfangreiche regelmässige und systematische Überwachung oder eine umfangreiche Verarbeitung besonderer Datenkategorien umfasst. Diese Frage prüfen Sie separat. Für das Schweizer Recht bleibt es dabei: Die Funktion ist freiwillig, und ihr rechtlicher Hauptnutzen liegt darin, dass Sie von der Konsultation des EDÖB absehen können.
Was sollten Sie klären, bevor Sie jemanden ernennen?
- Haben Sie Bearbeitungen mit hohem Risiko, für die eine Folgenabschätzung nötig ist oder bald nötig wird?
- Wollen Sie die Ausnahme nach Art. 23 Abs. 4 DSG nutzen können?
- Wer kommt intern in Frage, ohne Geschäftsleitung, Personal oder IT zu verantworten?
- Wie sichern Sie Unabhängigkeit, Ressourcen, Zugang und das Informationsrecht gegenüber der obersten Leitung?
- Wo veröffentlichen Sie die Kontaktdaten, und wer meldet sie im DPO-Portal?
- Wie ist die Stellvertretung geregelt?
Grundlage für fast alle diese Fragen ist eine Übersicht über Ihre Bearbeitungen. Wie Sie diese aufbauen, zeigt der Ratgeber Bearbeitungsverzeichnis: Anleitung für Schweizer KMU. Für den Einstieg in die weiteren Pflichten enthält unser kostenloses Datenschutz-Starterpaket eine Checkliste mit über 40 Punkten und eine Anleitung in sieben Schritten.
Wie unterstützt PlanSec Sie bei der Datenschutzberatung?
PlanSec hat mehr als 100 Schweizer Unternehmen beim Datenschutz unterstützt. Für den Einstieg bieten wir einen Ein-Tages-Check und ein Fünf-Tages-Paket an. Wer den Datenschutz laufend extern betreuen lassen möchte, findet im Managed Datenschutzservice eine mögliche Variante. Dabei ernennt Ihr Unternehmen als Verantwortlicher PlanSec formell als Datenschutzberater nach Art. 10 DSG und führt unsere Kontaktdaten in seiner Datenschutzerklärung. Wir sind ausschliesslich beratend tätig, die Entscheide trifft Ihr Unternehmen. Auch beim Aufbau eines ISMS sind wir nicht operativ tätig.
Will Ihr Unternehmen bei hohem Restrisiko von der Konsultation des EDÖB absehen, müssen alle vier Voraussetzungen von Art. 10 Abs. 3 DSG erfüllt sein, auch die Mitteilung der Kontaktdaten an den EDÖB über dessen Portal. Diesen Schritt klären wir im Mandat mit Ihnen.
Was wir im Datenschutz anbieten, steht auf der Seite Datenschutz mit PlanSec. Ob eine interne oder externe Lösung zu Ihrem Unternehmen passt, klären Sie am einfachsten im kostenlosen Erstgespräch von 15 bis 30 Minuten.
Dieser Beitrag gibt den Stand von November 2026 wieder und ersetzt keine Rechtsberatung. Massgebend ist der Gesetzestext.
Stand: November 2026. Autor: Dieter Huber, PlanSec AG, Cham, Datenschutzberater Schweizer Datenschutzgesetz (LL-C (Certification) Germany GmbH) und CIPP/E (IAPP). Alle verlinkten Quellen wurden am 09.11.2026 abgerufen.
