Die Schweiz gilt vielen als Inbegriff von Verlässlichkeit, Diskretion und Rechtsstaatlichkeit. Dieses Image wird im Datenschutz oft automatisch mitgedacht, nach dem Motto: Wenn es um Daten geht, ist die Schweiz schon sicher. Genau hier beginnt das Problem. Denn zwischen dem internationalen Ruf und der tatsächlichen Praxis liegen im Datenschutz nicht selten deutliche Unterschiede. Wer sich auf das Etikett „Schweiz“ verlässt, riskiert ein trügerisches Sicherheitsgefühl.

Auf dem Papier wirkt das Schweizer Datenschutzrecht modern. Mit der Revision des Bundesgesetzes über den Datenschutz wurden wichtige Elemente nachgeschärft und an europäische Standards angenähert. Diese Annäherung ist jedoch nicht gleichbedeutend mit derselben Strenge wie in der EU. Die wesentliche Frage ist nicht, ob ein Gesetz existiert, sondern ob es konsequent durchgesetzt wird, ob Verstöße spürbare Folgen haben und ob Unternehmen spürbaren Druck haben, Datenschutz wirklich als Managementaufgabe zu behandeln.

Genau an dieser Stelle fällt die Schweiz in der Praxis häufig ab. In der Europäischen Union ist in den letzten Jahren ein Trend zu mehr Durchsetzung zu beobachten:

Mehr Untersuchungen, mehr öffentliche Verfahren, mehr spürbare Sanktionen.

Das erzeugt Relevanz in den Geschäftsleitungen, und genau dort muss Datenschutz verankert sein. In der Schweiz dagegen bleibt die Vollzugspraxis aus Sicht vieler Betroffener und Beobachter oft zurückhaltend. Das Ergebnis ist vorhersehbar: Datenschutz wird leichter zur Formalität, zur Dokumentationsübung, zum Haken in der Checkliste.

Und was im Alltag nicht weh tut, wird selten priorisiert.

Das zeigt sich besonders dort, wo Datenschutz eigentlich „harten“ Charakter haben müsste: bei Cloud-Nutzung, bei Outsourcing, bei konzernweiten Datenflüssen, bei datengetriebenen Geschäftsmodellen und bei der Verarbeitung sensibler Informationen. In der Praxis begegnet man häufig unklaren Verantwortlichkeiten, oberflächlichen Risikoabwägungen und technischen Maßnahmen, die eher Mindeststandard als ernsthafte Sicherheitsarchitektur sind. Nicht überall, nicht immer, aber oft genug, um kritisch zu sein. Und vor allem: oft genug, um sich nicht auf pauschale Annahmen zu verlassen.

Hinzu kommt ein Missverständnis, das gerade im europäischen Kontext gefährlich ist:

Die Schweiz als „automatisch sicherer Ort“ für personenbezogene Daten. Dieser Gedanke führt dazu, dass Prüfpflichten in Projekten abgeschwächt werden. Man lässt Dinge schneller durchgehen, weil der Standort vermeintlich Vertrauen schafft. Dabei ist Datenschutz kein Standortversprechen. Datenschutz entsteht durch Governance, Kontrollen, Nachweisfähigkeit, technische Schutzmaßnahmen und eine Kultur der Verantwortung. Ohne diese Faktoren bleibt jedes Gesetz ein Rahmen ohne Wirkung.

Gerade Unternehmen, die DSGVO-geprägt arbeiten, sollten sich deshalb nicht von Symbolen leiten lassen. Wer Daten in der Schweiz verarbeitet oder dorthin übermittelt, muss die gleiche Sorgfalt anlegen wie bei jeder anderen internationalen Konstellation. Das bedeutet konkrete Prüfung statt Bauchgefühl. Welche Anbieter sind beteiligt. Welche Subunternehmerketten existieren. Wie sind Zugriffe geregelt. Wie wird protokolliert. Welche Lösch- und Aufbewahrungsregeln gelten tatsächlich. Wie sieht die Reaktionsfähigkeit bei Sicherheitsvorfällen aus. Wer kann was nachweisen, und zwar nicht als Aussage, sondern als belastbares Protokoll.

Mein Fazit ist bewusst kritisch:

Die Schweiz nimmt Datenschutz „zwar“ rechtlich ernst, aber in der Praxis nicht immer ernst genug. Der Unterschied zwischen Anspruch und Alltag ist das eigentliche Risiko. Wer Datenschutz professionell betreibt, sollte sich nicht vom guten Ruf eines Standorts beruhigen lassen. Entscheidend ist allein, wie konkret Prozesse, Technik, Kontrolle und Verantwortlichkeiten umgesetzt sind.

Wenn Sie Projekte mit Datenbezug in der Schweiz planen oder bereits umsetzen, lohnt sich ein nüchterner Check:

Nicht mit Vorurteilen, sondern mit Fakten.

Genau dort trennt sich Datenschutz als Marketingbegriff von Datenschutz als gelebter Compliance.