Als das revidierte Datenschutzgesetz am 1. September 2023 ohne Übergangsfrist in Kraft trat, war die Sorge gross und die Vorbereitung sehr unterschiedlich. Drei Jahre später lässt sich eine ehrliche Bilanz ziehen: Die Grundpflichten sind in den meisten Unternehmen angekommen. Datenschutzerklärungen wurden überarbeitet, Verzeichnisse der Bearbeitungstätigkeiten erstellt, Verantwortlichkeiten benannt.

Die Qualität der Umsetzung hält mit der Formalerfüllung allerdings oft nicht Schritt. Das typische Muster aus unserer Beratungspraxis: Das Bearbeitungsverzeichnis wurde 2023 einmal erstellt und seither nicht mehr angefasst. Neue Tools, neue Prozesse und neue Dienstleister sind nirgends erfasst. Damit fehlt genau dort die Übersicht, wo das Gesetz sie verlangt.

Zweites Dauerthema: die Auftragsbearbeitung. Wer Personendaten durch Dritte bearbeiten lässt, braucht eine vertragliche Grundlage mit den Garantien von Art. 9 DSG. In der Praxis fehlen diese Verträge erstaunlich oft, oder sie stammen aus einer Zeit, in der der Dienstleister noch ganz andere Leistungen erbrachte. Besonders heikel wird es bei Cloud- und KI-Diensten mit Verarbeitung ausserhalb der Schweiz: Ohne saubere Grundlage für die Auslandsbekanntgabe nach Art. 16 f. DSG steht die gesamte Kette auf wackligem Fundament.

Drittens: die Meldung von Datensicherheitsverletzungen. Das Gesetz verlangt die Meldung an den EDÖB, wenn die Verletzung voraussichtlich zu einem hohen Risiko führt, und zwar so rasch als möglich. In der Praxis erleben wir beides: Verletzungen, die gar nie intern eskaliert werden, und Meldungen, die Wochen zu spät kommen, weil niemand wusste, wer entscheidet. Ein getesteter Meldeprozess mit klaren Zuständigkeiten ist keine Kür, sondern Grundausstattung.

Das Praxisthema des Jahres 2026 ist die Verbindung von Datenschutz und künstlicher Intelligenz. Wer Personendaten in KI-Werkzeuge gibt, bearbeitet sie im Sinne des DSG, mit allen Folgen: Transparenz, Zweckbindung, Auftragsbearbeitung, Auslandsbekanntgabe, unter Umständen eine Datenschutz-Folgenabschätzung. Die seit August 2026 anwendbaren Pflichten der EU-KI-Verordnung kommen für Unternehmen mit EU-Bezug hinzu. Die gute Nachricht: Wer sein DSG-Fundament in Ordnung bringt, hat für die KI-Themen bereits die halbe Arbeit geleistet.

Unsere Empfehlung für den Herbst 2026: ein kompakter Daten-Gesundheitscheck. Verzeichnis aktualisieren, Dienstleisterverträge sichten, Meldeprozess einmal durchspielen. Drei Tage Aufwand, die im Ernstfall Wochen ersparen.