Die Verletzung datenschutzrechtlicher Pflichten kann verwaltungsrechtliche (Art. 49 ff. DSG), zivilrechtliche (Art. 30 ff. DSG) und strafrechtliche (Art. 60 ff. DSG) Folgen haben – oft nebeneinander, wie das Beispiel PostFinance zeigt.
Verwaltungsrechtliche Folgen (Art. 49 ff. DSG)
Die Aufsicht über private Datenbearbeiter liegt beim EDÖB (siehe Kapitel 06.16). Bestehen genügend Anzeichen für einen Verstoss, eröffnet er von Amtes wegen oder auf Anzeige hin eine Untersuchung (Art. 49 DSG); bei geringfügigen Verstössen kann er darauf verzichten. Das betroffene Unternehmen muss mitwirken und alle nötigen Auskünfte und Unterlagen liefern. Verweigert es dies, kann der EDÖB insbesondere Zugang zu Unterlagen und Räumlichkeiten, Zeugeneinvernahmen und Gutachten anordnen (Art. 50 DSG).
Stellt der EDÖB eine Verletzung fest, kann er mit verbindlicher Verfügung eingreifen (Art. 51 DSG), insbesondere:
- Bearbeitung stoppen: Anordnung, dass die Datenbearbeitung angepasst, unterbrochen oder abgebrochen wird und die Personendaten gelöscht oder vernichtet werden.
- Datenexport sperren: Aufschub oder Verbot einer Bekanntgabe von Personendaten ins Ausland.
- Pflichten nachholen: Anordnung, dass z.B. die betroffenen Personen informiert, eine Datenschutz-Folgenabschätzung durchgeführt, Auskunft erteilt oder eine Vertretung in der Schweiz bezeichnet wird.
- Verwarnung: Hat das Unternehmen die Mängel während der Untersuchung behoben, kann sich der EDÖB auf eine Verwarnung beschränken.
Gegen Verfügungen des EDÖB kann beim Bundesverwaltungsgericht und anschliessend beim Bundesgericht Beschwerde erhoben werden (Art. 52 DSG). Für seine Massnahmen erhebt der EDÖB Gebühren (Art. 59 DSG), und in Fällen von allgemeinem Interesse informiert er die Öffentlichkeit (Art. 57 Abs. 2 DSG) – der Reputationsschaden ist für Unternehmen oft die empfindlichste Folge.
Anders als die EU-Datenschutzbehörden, die nach Art. 83 DSGVO Bussen bis zu 4 % des weltweiten Jahresumsatzes verhängen können, kann der EDÖB keine Verwaltungsbussen aussprechen. Bussen gibt es in der Schweiz nur über das Strafrecht (siehe unten).
Beispiel PostFinance: PostFinance erstellte von Anrufenden an ihrer Hotline einen Stimmabdruck zur späteren Wiedererkennung; wer nach der Ansage einfach weitersprach, galt als einverstanden (Opt-out). Nach jahrelangen Gesprächen eröffnete der EDÖB eine Untersuchung und verfügte im Mai 2025, dass PostFinance eine ausdrückliche Einwilligung einholen und alle ohne Einwilligung erstellten Stimmabdrücke löschen müsse (Mitteilung des EDÖB). PostFinance erhob Beschwerde – und unterlag im Wesentlichen: Ein Stimmabdruck ist ein biometrisches, besonders schützenswertes Personendatum (Art. 5 lit. c Ziff. 4 DSG), für das blosses Weitersprechen keine ausdrückliche Einwilligung ist (Art. 6 Abs. 7 lit. a DSG); die Bank muss die alten Stimmabdrücke bis Mitte Februar 2027 nachträglich genehmigen lassen oder löschen (Urteil des Bundesverwaltungsgerichts A-4467/2025 vom 13. Oktober 2026, noch nicht rechtskräftig; Besprechung auf juristenfutter.ch).
Zivilrechtliche Folgen (Art. 30 ff. DSG)
Wer Personendaten bearbeitet, darf die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen (Art. 30 DSG). Eine Persönlichkeitsverletzung liegt insbesondere vor, wenn gegen die Bearbeitungsgrundsätze oder die Datensicherheit verstossen wird, wenn Daten gegen den ausdrücklichen Willen der betroffenen Person bearbeitet werden oder wenn besonders schützenswerte Personendaten an Dritte bekanntgegeben werden. Widerrechtlich ist die Verletzung, wenn kein Rechtfertigungsgrund vorliegt: Einwilligung der betroffenen Person, überwiegendes privates oder öffentliches Interesse oder Gesetz (Art. 31 DSG).
Die betroffene Person kann vor dem Zivilgericht klagen (Art. 32 DSG i.V.m. Art. 28 ff. ZGB) und insbesondere verlangen:
- Berichtigung: Korrektur unrichtiger Personendaten; lässt sich weder die Richtigkeit noch die Unrichtigkeit feststellen, einen Bestreitungsvermerk.
- Verbot: Untersagung einer bestimmten Datenbearbeitung oder der Bekanntgabe an Dritte.
- Löschung: Löschung oder Vernichtung der Personendaten.
- Publikation: Mitteilung des Urteils an Dritte oder dessen Veröffentlichung.
- Geldansprüche: Schadenersatz, Genugtuung und Gewinnherausgabe nach den allgemeinen Regeln (Art. 28a Abs. 3 ZGB i.V.m. Art. 41 ff. OR, Art. 49 OR und Art. 423 OR).
Das Verfahren ist teilweise erleichtert: Bei Streitigkeiten nach DSG werden keine Gerichtskosten erhoben (Art. 114 lit. g ZPO), und die Durchsetzung des Auskunftsrechts läuft unabhängig vom Streitwert im vereinfachten Verfahren (Art. 243 Abs. 2 lit. d ZPO). Das Kostenrisiko verschwindet damit aber nicht. Wer verliert, muss der Gegenpartei eine Parteientschädigung für deren Anwaltskosten zahlen (Art. 95 Abs. 1 lit. b und Art. 106 Abs. 1 ZPO) – und die eigenen Anwaltskosten trägt man in jedem Fall selbst, bei Obsiegen zumindest den Teil, der über den kantonalen Tarif hinausgeht.
Schadenersatzklagen scheitern in der Praxis meist daran, dass ein konkreter Vermögensschaden kaum nachweisbar ist, und Genugtuungssummen fallen in der Schweiz bescheiden aus. Die wichtigsten zivilrechtlichen Instrumente sind deshalb das Auskunftsbegehren sowie Unterlassungs- und Löschungsklagen.
Strafrechtliche Folgen (Art. 60 ff. DSG)
Strafbar machen sich nicht Unternehmen, sondern natürliche Personen: die Mitglieder der Geschäftsleitung oder die Mitarbeitenden, die für den Verstoss verantwortlich sind (Art. 64 DSG i.V.m. Art. 6 VStrR). Die Busse beträgt bis zu CHF 250’000. Bestraft wird nur, wer vorsätzlich handelt; fahrlässige Verstösse bleiben straflos. Die meisten Tatbestände sind Antragsdelikte, werden also nur auf Strafantrag der betroffenen Person verfolgt. Strafbar ist insbesondere:
- Verletzung von Informations- und Auskunftspflichten (Art. 60 DSG): wer die betroffene Person vorsätzlich nicht informiert oder ihr eine falsche oder unvollständige Auskunft erteilt – oder dem EDÖB in einer Untersuchung falsche Auskünfte gibt bzw. die Mitwirkung verweigert.
- Verletzung von Sorgfaltspflichten (Art. 61 DSG): wer Personendaten ohne die gesetzlichen Voraussetzungen ins Ausland bekanntgibt, einen Auftragsbearbeiter ohne die nötigen Voraussetzungen beizieht oder die Mindestanforderungen an die Datensicherheit nicht einhält.
- Verletzung der beruflichen Schweigepflicht (Art. 62 DSG): wer geheime Personendaten offenbart, die er oder sie im Beruf erfahren hat – auch nach dem Ausscheiden aus dem Beruf.
- Missachten von Verfügungen (Art. 63 DSG): wer einer unter Strafandrohung erlassenen Verfügung des EDÖB oder einem Beschwerdeentscheid nicht Folge leistet.
Nur ausnahmsweise trifft die Busse das Unternehmen selbst: Kommt eine Busse von höchstens CHF 50’000 in Frage und wäre die Ermittlung der verantwortlichen Person unverhältnismässig aufwendig, kann stattdessen der Geschäftsbetrieb zur Zahlung verurteilt werden (Art. 64 Abs. 2 DSG). Die Strafverfolgung ist Sache der Kantone; der EDÖB kann Anzeige erstatten und sich als Privatkläger beteiligen (Art. 65 DSG). Die Strafverfolgung verjährt nach fünf Jahren (Art. 66 DSG).
In der Praxis sind die CHF 250’000 bisher Theorie. Die ersten Bussen nach Art. 60 DSG (2024/2025, jeweils wegen falscher oder unvollständiger Auskunft) betrugen CHF 200 und CHF 600, ausgesprochen von Zürcher Übertretungsstrafbehörden per Strafbefehl – im zweiten, noch nicht rechtskräftigen Fall gegen den zuständigen Konzernjuristen der TX Group persönlich (Steiger Legal, 11. Juni 2025; Härting, Juni 2026). Das liegt am System: Die Busse richtet sich nach dem Verschulden und den wirtschaftlichen Verhältnissen der natürlichen Person (Art. 106 Abs. 3 StGB), nicht nach dem Umsatz des Unternehmens; verfolgt wird in der Regel nur auf Antrag und stets nur bei Vorsatz. Wer ein Auskunftsgesuch schlicht ignoriert, bleibt sogar straflos (anders als wer die Information bei der Datenbeschaffung unterlässt); wer antwortet und dabei etwas verschweigt, nicht. Anders als die DSGVO (siehe oben) zielt das Schweizer Modell auf die persönliche Verantwortung, nicht auf die Firmenkasse.