Datenschutz für Kassensysteme in der Schweiz

Kassensysteme in der Schweiz können mehr als Umsatzzahlen verarbeiten: Sie können Kundenkarten führen, digitale Belege versenden und Daten an Cloud-Dienste übergeben. Für solche Daten gilt das Bundesgesetz über den Datenschutz (Datenschutzgesetz, DSG) zusammen mit der Datenschutzverordnung (DSV). In Deutschland gilt stattdessen die EU-DSGVO; die Unterschiede behandelt der Artikel Datenschutz an der Kasse in Deutschland.

Was das revidierte DSG von Kassenbetreibern verlangt

Das revidierte DSG vom 25. September 2020 ist seit 1. September 2023 in Kraft, die DSV seit demselben Tag. Die hier zitierte Fassung des DSG trägt den Stand am 7. Juli 2025, die der DSV den Stand am 1. Dezember 2025 (Art. 74 Abs. 2 DSG; Art. 47 DSV). Das Gesetz gilt für private Personen, die Personendaten natürlicher Personen bearbeiten; ein Kassenbetreiber ist als Verantwortlicher erfasst (Art. 2 Abs. 1 DSG). Es greift auch, wenn die Bearbeitung im Ausland veranlasst wird, sich aber in der Schweiz auswirkt (Art. 3 Abs. 1 DSG).

Keine allgemeine Registrierkassenpflicht gibt es in der Schweiz; die kassenbezogenen Pflichten für Buchführung und Aufbewahrung stammen aus dem Obligationenrecht. Auch in Deutschland gilt eine solche Pflicht nicht pauschal: § 146a AO verlangt ein konformes elektronisches Aufzeichnungssystem mit zertifizierter technischer Sicherheitseinrichtung nur, wer aufzeichnungspflichtige Geschäftsvorfälle elektronisch erfasst; die offene Ladenkasse bleibt dort zulässig. Was das für Kassendaten heisst, behandelt der Artikel Kassenpflicht in der Schweiz.

Welche Kassendaten Personendaten sind

Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 Bst. a DSG). Ein Papierbeleg, der nur Ware, Betrag und MWST ausweist und zu keiner Person zurückverfolgt werden kann, erfüllt diese Definition nicht. Sobald der Beleg eine Kundenkartennummer, einen Namen oder eine E-Mail-Adresse trägt, ist er Personendaten.

Das gleiche gilt für die übrigen Kassendaten: Umsatzsummen ohne Personenbezug fallen unter das DSG nicht, die an ein Kundenkonto gebundene Zahlung oder Abholung dagegen schon. Treueprogrammdaten sind Personendaten, auch wenn die Karte nur eine Nummer trägt, solange diese Nummer einer Person zugeordnet werden kann. Pflichten der Buchführung und Aufbewahrung laufen daneben weiter; sie stehen in Aufbewahrung von Buchhaltung und Belegen in der Schweiz.

Die Pflichten im Einzelnen

Die Tabelle fasst die Pflichten aus DSG und DSV für den Kassenbetrieb zusammen:

Pflicht	Was verlangt ist	Basis
Grundsätze	Rechtmässig, nach Treu und Glauben und verhältnismässig bearbeiten; Daten nur für den Beschaffungszweck und damit vereinbare Bearbeitungen verwenden und vernichten oder anonymisieren, sobald sie für den Zweck nicht mehr erforderlich sind	Art. 6 DSG
Datenschutz durch Technik	Kassensoftware und Abläufe von der Planung an so ausgestalten, dass die Grundsätze eingehalten werden; Voreinstellungen auf das nötige Mindestmass beschränken	Art. 7 DSG
Datensicherheit	Schutzbedarf bestimmen und technische und organisatorische Massnahmen festlegen, die Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit sichern, etwa Zugriffskontrolle auf die Kasse	Art. 8 DSG; Art. 1 bis 3 DSV
Auftragsbearbeitung	Cloud-Kassensysteme nur mit Vertrag übertragen, wenn der Anbieter die Daten so bearbeiten darf wie Sie selbst und die Datensicherheit gewährleisten kann; Weiterübertragung nur mit vorgängiger Genehmigung	Art. 9 DSG; Art. 7 DSV
Information	Bei der Beschaffung über Identität und Kontaktdaten, Bearbeitungszweck und gegebenenfalls Empfänger informieren; die Form ist frei	Art. 19 DSG; Art. 13 DSV
Auskunft	Gesuche grundsätzlich kostenlos und innert 30 Tagen beantworten; geht es nicht, rechtzeitig Mitteilung mit neuer Frist; bei Kostenbeteiligung beginnt die Frist erst nach der zehntägigen Bedenkzeit	Art. 25 DSG; Art. 16 bis 19 DSV
Verzeichnis	Ein Verzeichnis der Bearbeitungstätigkeiten führen, sofern keine Ausnahme greift	Art. 12 DSG; Art. 24 DSV
Ausland	Personendaten ins Ausland bekannt geben nur bei angemessenem Schutz oder unter einem Ausnahmetatbestand, etwa ausdrücklicher Einwilligung oder Vertragserfüllung	Art. 16 und 17 DSG; Art. 8 bis 11 DSV
Meldung	Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko dem EDÖB melden und alle Verletzungen dokumentieren	Art. 24 DSG; Art. 15 DSV

Zwei Pflichten hängen vom Risiko ab. Eine Datenschutz-Folgenabschätzung erstellen Sie nur vorgängig, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte mit sich bringen kann (Art. 22 Abs. 1 DSG). Ein Bearbeitungsreglement verlangt die DSV für automatisierte Bearbeitungen, wenn Sie besonders schützenswerte Personendaten in grossem Umfang bearbeiten oder ein Profiling mit hohem Risiko durchführen (Art. 5 Abs. 1 DSV). Besonders schützenswert sind nach Art. 5 Bst. c DSG zum Beispiel Gesundheitsdaten sowie biometrische Daten, die eine Person eindeutig identifizieren.

Seit wann gilt was, und was im Übergang gilt

Die Pflichten gelten für Bearbeitungen ab dem 1. September 2023. Für Datenbearbeitungen, die vor diesem Datum begonnen wurden, bleiben die Artikel 7, 22 und 23 DSG ausser Anwendung, solange der Bearbeitungszweck unverändert bleibt und keine neuen Daten beschafft werden (Art. 69 DSG). Wer nach diesem Stichtag neue Daten beschafft oder den Bearbeitungszweck ändert, fällt damit unter die Pflichten nach Art. 7, 22 und 23 DSG.

Gibt es Ausnahmen?

Die wichtigste Erleichterung betrifft das Verzeichnis: Unternehmen und andere privatrechtliche Organisationen, die am 1. Januar eines Jahres weniger als 250 Mitarbeitende beschäftigen, sowie natürliche Personen führen kein Verzeichnis, ausser sie bearbeiten besonders schützenswerte Personendaten in grossem Umfang oder ein Profiling mit hohem Risiko (Art. 24 DSV; Vorbehalt auch in Art. 12 Abs. 5 DSG). Die Informationspflicht entfällt etwa, wenn die betroffene Person die Informationen bereits hat oder die Bearbeitung gesetzlich vorgesehen ist; wird nicht bei der Person beschafft, auch wenn Information unmöglich ist oder unverhältnismässigen Aufwand erfordert (Art. 20 DSG).

Von der Datenschutz-Folgenabschätzung sind private Verantwortliche ausgenommen, wenn sie gesetzlich zur Bearbeitung verpflichtet sind (Art. 22 Abs. 4 DSG). Der private Verantwortliche darf ferner davon absehen, wenn er ein System, ein Produkt oder eine Dienstleistung einsetzt, das oder die für die vorgesehene Verwendung nach Art. 13 DSG zertifiziert ist, oder wenn er einen Verhaltenskodex nach Art. 11 DSG einhält, der auf einer Datenschutz-Folgenabschätzung beruht, Massnahmen zum Schutz der Persönlichkeit und der Grundrechte vorsieht und dem EDÖB vorgelegt wurde (Art. 22 Abs. 5 DSG). Die Datenschutz-Folgenabschätzung ist nach Beendigung der Bearbeitung mindestens zwei Jahre aufzubewahren (Art. 14 DSV).

Was droht bei einem Verstoss?

Mit Busse bis zu CHF 250’000 werden private Personen auf Antrag bestraft, die vorsätzlich die betroffene Person nach Art. 19 Abs. 1 DSG nicht informieren oder ihr die Angaben nach Art. 19 Abs. 2 DSG nicht liefern, sowie wer vorsätzlich eine falsche oder unvollständige Auskunft erteilt (Art. 60 Abs. 1 DSG). Gleich hohe Bussen drohen, wer vorsätzlich die Mindestanforderungen an die Datensicherheit, die Bekanntgaberegeln ins Ausland oder die Voraussetzungen der Auftragsbearbeitung missachtet (Art. 61 DSG). Bestraft werden natürliche Personen; bei Widerhandlungen im Geschäftsbetrieb kann die Behörde von der Verfolgung absehen und den Geschäftsbetrieb zur Zahlung verurteilen, wenn die Busse höchstens CHF 50’000 beträgt und die Ermittlung der Personen unverhältnismässig wäre (Art. 64 Abs. 2 DSG). Die Kantone verfolgen und beurteilen die Widerhandlungen; der EDÖB kann Anzeige erstatten und die Rechte einer Privatklägerschaft wahrnehmen (Art. 65 DSG). Die Strafverfolgung verjährt nach fünf Jahren (Art. 66 DSG).

Bussen sind nur ein Teil der Folgen: Nach den Erläuterungen des EDÖB zu den Strafbestimmungen können Verstösse zusätzlich öffentlich-rechtliche und privatrechtliche Folgen haben, etwa die Pflicht zur Wiedergutmachung des Schadens.

Checkliste: Kasse, Treueprogramm und Beleg

Die Tabelle ordnet die Pflichten den drei Datenbereichen zu, die ein Kassensystem anfasst. Jede Zeile gilt für die Schweiz und nur für Daten mit Personenbezug wie oben abgegrenzt.

Datenbereich	Was das DSG verlangt	Basis
Kasse: Kundenbezogene Umsatz- und Zahlungsdaten	Schutzbedarf bestimmen, Zugriff auf das Kassensystem auf berechtigte Personen beschränken und die Massnahmen über die Bearbeitungsdauer überprüfen	Art. 8 DSG; Art. 1 bis 3 DSV
Kasse: Cloud-Kassensystem und Dienstleister	Bearbeitung nur vertraglich übertragen, Sicherheitsfähigkeit des Anbieters prüfen, Weiterübertragung an Dritte nur mit vorgängiger Genehmigung	Art. 9 DSG; Art. 7 DSV
Kasse: Hosting oder Support im Ausland	Bekanntgabe nur bei angemessenem Schutz, etwa Bundesratsentscheid oder anerkannte Vertragsklauseln, oder unter einem Ausnahmetatbestand	Art. 16 und 17 DSG; Art. 8 bis 11 DSV
Treueprogramm: Anmeldung und Kundenkarte	Bei der Beschaffung über Identität, Zweck und Empfänger informieren; ist eine Einwilligung die Rechtsgrundlage, muss sie für besonders schützenswerte Daten oder Profiling mit hohem Risiko ausdrücklich erfolgen	Art. 19 DSG; Art. 6 Abs. 6 und 7 DSG
Treueprogramm: Auswertung des Kaufverhaltens	Automatisierte Bewertung persönlicher Aspekte ist Profiling; brauchen Sie dafür eine Einwilligung, muss sie bei einem Profiling mit hohem Risiko ausdrücklich erfolgen, und die Datenschutz-Folgenabschätzung ist zu prüfen	Art. 5 Bst. f und g, Art. 6 Abs. 7, Art. 22 DSG
Beleg: Papierbon ohne Zuordnung	Keine Personendaten, solange keine Kennung die Person bestimmbar macht; mit Kundenkartennummer oder Namen gelten die Pflichten der übrigen Zeilen	Art. 5 Bst. a DSG
Beleg: Digitaler Beleg per E-Mail oder im Kundenkonto	Die E-Mail-Adresse ist Personendaten; Daten nur für den Zustellzweck und damit vereinbare Bearbeitungen verwenden, vernichten oder anonymisieren, sobald sie für den Bearbeitungszweck nicht mehr erforderlich sind	Art. 6 Abs. 3 und 4 DSG
Alle Bereiche: Datenschutzverletzung	Eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko führt, dem EDÖB melden; alle Vorfälle mindestens zwei Jahre dokumentieren, betroffene Personen informieren, wenn es zu ihrem Schutz erforderlich ist	Art. 24 DSG; Art. 15 DSV

Für Treueprogrammdaten hält der Artikel Kundendaten im Treueprogramm: Datenschutz in der Schweiz die Pflichten im Detail fest, einschliesslich des Vergleichs mit der DSGVO.