Zuerst die Abgrenzung. In der Schweiz gilt das revidierte Datenschutzgesetz, seit dem 1. September 2023. Die DSGVO kommt zusätzlich ins Spiel, wenn dein Unternehmen Daten von Personen in der EU bearbeitet und sich das Angebot gezielt dorthin richtet. Die beiden Regelwerke schliessen sich nicht aus, sie können nebeneinander gelten. Was daraus im Recruiting konkret folgt, steht in einem eigenen Beitrag. In die Gegenrichtung ist die Lage entspannt: Die Europäische Kommission hat mit ihrem Bericht vom 15. Januar 2024 bestätigt, dass das Schweizer Datenschutzrecht weiterhin dem europäischen Standard entspricht. Daten dürfen deshalb ohne zusätzliche Garantien aus der EU in die Schweiz übermittelt werden.
Die DSGVO in Kürze erklärt
Die Datenschutz-Grundverordnung (DSGVO) ist die zentrale Regelung zum Umgang mit personenbezogenen Daten in der EU. Sie regelt, wie Daten verarbeitet, gespeichert und gelöscht werden müssen, mit dem Ziel, die Privatsphäre natürlicher Personen zu schützen. Besonders im Recruiting, wo täglich sensible Informationen verarbeitet werden, ist das ein zentrales Thema.
Wichtige Prinzipien der DSGVO:
- Recht auf Auskunft, Berichtigung und Löschung
- Privacy by Design: Datenschutz ist von Anfang an in der Systemarchitektur integriert.
- Privacy by Default: Datenschutz ist standardmässig aktiviert, ohne Zutun der Nutzer.
- Zweckbindung und Speicherbegrenzung: Bewerbungsdaten dürfen nur so lange gespeichert werden, wie sie wirklich gebraucht werden.
Personenbezogene Daten
Doch was sind personenbezogene Daten genau? Und wie lange dürfen diese gespeichert werden? Unter personenbezogenen Daten versteht man alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Also sämtliche Daten, die ausnahmslos einer Person zugeordnet werden (können) wie der Name, Telefonnummer oder die Kontodaten. Dabei wird unterschieden zwischen allgemeinen und besonderen personenbezogenen Daten: Besondere personenbezogene Daten wie genetische, biometrische oder ethnische Daten geniessen ein höheres Schutzniveau. Gespeichert werden dürfen personenbezogene Daten nur so lange, bis sie ihren Zweck erfüllt haben. Das schreibt der Grundsatz zur Speicherbegrenzung vor. Das bezieht sich beispielsweise auch auf Bewerbungen: Beim Speichern einer Bewerbung von natürlichen Personen aus der EU werden personenbezogene Daten verarbeitet.
Die DSGVO in der Schweiz: Wer ist betroffen?
In der Schweiz gilt grundsätzlich das Schweizer Datenschutzgesetz (DSG). Jedoch: auch Unternehmen in der Schweiz müssen sich mit der DSGVO auseinandersetzen, vor allem, wenn sie ganz nach dem Marktortprinzip Handelsbeziehungen in die EU pflegen. Hier sollten interne Prozesse, Verträge, Richtlinien und Datenschutzerklärungen gründlich geprüft werden. Die Konsequenz daraus: Sobald Schweizer Unternehmen personenbezogene Daten von natürlichen Personen aus der EU beziehen und verarbeiten, müssen sie sich an die EU-DSGVO halten. Insbesondere, wenn es um Waren und oder Dienstleistungen sowie das Verhalten der natürlichen Person geht. Hat das Unternehmen eine Niederlassung in der Europäischen Union? Wird ein Auftraggeber in der EU eingesetzt? Oder verarbeitet ein Schweizer Unternehmen im Auftrag einer Firma in der EU personenbezogene Daten? Auch in diesen Fällen gelten die Regeln der DSGVO für dein Unternehmen.
Ist das Unternehmen in der Schweiz von der DSGVO betroffen, weil eine klare Absicht zum Handel besteht? Dann gibt es folgende Pflichten:
- Informieren der betroffenen Person und Einholung ihrer Einwilligung zur Datenverarbeitung
- Garantie der Aspekte "Privacy by design" und "Privacy by default"
- Benennen eines Datenschutzvertreters oder einer Datenschutzvertreterin in der EU
- Erstellen eines Verzeichnisses der Verarbeitungstätigkeiten
- Meldung von Datenschutzverletzungen an die Aufsichtsbehörde Durchführung einer Datenschutz-Folgenabschätzung
Datenschutzbeauftragte in der Schweiz für die DSGVO
Ob intern oder extern: Eine kompetente Person, die sich um den Datenschutz kümmert, ist Gold wert, gerade im Recruiting. Sie kann die nötigen Prozesse definieren, prüfen und koordinieren. Wenn dein Unternehmen der DSGVO unterliegt, brauchst du ausserdem einen offiziellen Vertreter mit Sitz in einem EU-Mitgliedstaat als Anlaufstelle für Aufsichtsbehörden und betroffene Personen.
DSGVO-Verstösse: hohe Strafen möglich
Die DSGVO sieht bei Verstössen empfindliche Sanktionen vor. Bei schweren Datenschutzverletzungen drohen Geldbussen von bis zu 4 % des weltweiten Jahresumsatzes oder bis zu 20 Millionen Euro, je nachdem, welcher Betrag höher ist.
Das bleibt keine Theorie. Was im Recruiting bisher entschieden wurde, waren allerdings weniger die grossen Bussen der Aufsichtsbehörden als Schadenersatzklagen einzelner Bewerbender.
Zwei Beispiele aus Deutschland. Im ersten verschickte eine Bank über ein Karrierenetzwerk eine Nachricht zur laufenden Bewerbung eines Kandidaten und übermittelte sie durch einen Verarbeitungsfehler zusätzlich an eine unbeteiligte Person aus derselben Branche. Der Bundesgerichtshof sprach dem Bewerber dafür dem Grunde nach immateriellen Schadenersatz zu.[1]
Im zweiten googelte eine Universität einen Bewerber vor dem Gespräch, fand Angaben zu einem Strafverfahren und liess sie in die Entscheidung einfliessen, ohne ihm das mitzuteilen. Das Bundesarbeitsgericht sprach ihm 1000 Euro zu. Die Recherche über Kandidaten und Kandidatinnen war dabei zulässig; verletzt war die Pflicht, über die so beschafften Daten zu informieren.[2]
Beides sind deutsche Urteile zur DSGVO und für Schweizer Unternehmen kein direkt anwendbares Recht. Als Hinweis taugen sie trotzdem: Gescheitert ist es in beiden Fällen nicht an der Datenschutzerklärung, sondern an einer Information, die unterblieb.
Dieser Beitrag ordnet die wichtigsten Pflichten ein und ersetzt keine Rechtsberatung. Wie die Regeln in deinem Unternehmen konkret anzuwenden sind, hängt vom Einzelfall ab.
Fazit: Die DSGVO betrifft auch Schweizer Unternehmen
Ob die DSGVO für dein Unternehmen gilt, entscheidet sich nicht am Firmensitz, sondern daran, wessen Daten du bearbeitest und wohin sich dein Angebot richtet. Das ist keine Frage, die sich nebenbei beantworten lässt.
Was du daraus mitnimmst: Lass von einer Datenschutzexpertin oder einem Datenschutzexperten prüfen, ob dein Unternehmen in den Anwendungsbereich fällt. Fällt es hinein, schau dir zuerst die Prozesse an, in denen Bewerberdaten entstehen und liegen bleiben. Dort entstehen die Fehler, nicht in der Datenschutzerklärung.
Unsere E-Recruiting-Lösung bildet alle Prozesse von der Bewerbung bis zur Löschung DSGVO-konform ab, inklusive Einwilligungsmanagement, transparenter Kommunikation und automatisierter Löschfristen.
Teste jetzt, wie einfach datenschutzsicheres Recruiting sein kann!
[1] Schadenersatz nach versehentlicher Übermittlung eines Bewerbungsvorgangs an eine dritte Person: Urteil des Bundesgerichtshofs vom 23.06.2026, VI ZR 97/22.
[2] Internetrecherche über Bewerbende zulässig, Information darüber aber Pflicht: Urteil des Bundesarbeitsgerichts vom 05.06.2025, 8 AZR 117/24.