Was die revFADP ist & warum App-Publisher sich darum kümmern sollten

Die Schweiz ist nicht in der EU, daher gilt die DSGVO dort nicht direkt. Stattdessen betreibt das Land sein eigenes Regime: das revidierte Bundesgesetz über den Datenschutz, oder revFADP (auf Deutsch revDSG), seit 1. September 2023 vollständig in Kraft. Die Revision rückte das Schweizer Recht viel näher an die DSGVO heran, behielt aber einige ausgesprochen schweizerische Eigenheiten bei.

Für Publisher mobiler Apps und Spiele zählt die Schweiz mehr, als ihre Größe vermuten lässt: ein wohlhabender Markt mit hohen Werbe-eCPMs und einem bedeutenden Anteil vieler Installationsbasen. Sie als "im Grunde DSGVO" zu behandeln — oder zu ignorieren — riskiert sowohl Compliance-Lücken als auch entgangene Monetarisierung.

Wie sich die revFADP von der DSGVO unterscheidet

Die beiden Gesetze reimen sich, sind aber nicht identisch. Die Unterschiede zu kennen, bewahrt Sie davor, Ihren Einwilligungsfluss über- oder unterzudimensionieren.

• Opt-out als Standardbasis. Anders als die strikte Opt-in-Regel der DSGVO für die meisten Verarbeitungen erlaubt die revFADP die Verarbeitung im Allgemeinen, sofern das Gesetz sie nicht einschränkt — Transparenz ist die zentrale Pflicht statt universeller vorheriger Einwilligung.
• Engere Einwilligungsauslöser. Ausdrückliche Einwilligung ist hauptsächlich für hochriskantes Profiling und sensible Daten (Gesundheit, Religion, Biometrie, genetische Daten und Ähnliches) erforderlich.
• Kein obligatorischer DSB, obwohl das Schweizer Recht die Ernennung eines Datenschutzberaters empfiehlt.
• Die Aufsichtsbehörde ist der EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter), kein EU-artiges Netz von DSAs.

Anforderungen an Einwilligung & Transparenz

Das Herzstück der revFADP ist informierte Transparenz. Auch wo Einwilligung nicht strikt vorgeschrieben ist, müssen Sie den Nutzern klar mitteilen, was Sie erheben und warum. In der Praxis brauchen werbefinanzierte Apps trotzdem einen echten Einwilligungsmechanismus, weil die Werbe-Lieferkette — Google, IAB-Anbieter, Messpartner — Signale zum Betrieb verlangt. Publisher sollten bereitstellen:

• Eine klare Datenschutzerklärung, die Datenkategorien, Zwecke, Aufbewahrung und grenzüberschreitende Übermittlungen beschreibt.
• Eine Einwilligungsabfrage, bevor nicht-essenzielles Tracking, Werbe-IDs oder Profiling-SDKs auslösen.
• Granulare Kontrollen, damit Nutzer Werbung und Analytics getrennt akzeptieren oder ablehnen können.
• Offenlegung automatisierter Entscheidungsfindung und hochriskanten Profilings, wo es auftritt.

Da Google eine zertifizierte CMP verlangt, um personalisierte Anzeigen an Nutzer im EWR, im Vereinigten Königreich und in der Schweiz auszuliefern, ist eine konforme Einwilligungsebene faktisch eine Monetarisierungsvoraussetzung. Google-Consent-Mode-v2-Signale (ad_storage, ad_user_data, ad_personalization) sollten die Entscheidungen Schweizer Nutzer ebenso widerspiegeln wie die von EU-Nutzern.

Extraterritorialer Geltungsbereich

Wie die DSGVO reicht die revFADP über die Schweizer Grenzen hinaus. Sie gilt für jede Verarbeitung, die eine Wirkung in der Schweiz hat, unabhängig davon, wo Ihr Unternehmen eingetragen ist oder wo Ihre Server stehen. Ein Spielestudio in Singapur, der Türkei oder den USA mit Schweizer Spielern fällt eindeutig in den Geltungsbereich.

Entscheidend ist: Ausländische Unternehmen ohne Schweizer Niederlassung müssen möglicherweise einen Vertreter in der Schweiz benennen, wenn sie Daten von Schweizer Einwohnern in großem Umfang, regelmäßig und beim Anbieten von Waren oder Dienstleistungen verarbeiten. Viele werbefinanzierte Apps überschreiten diese Schwelle, ohne es zu merken.

Sanktionen & persönliche Haftung

Hier ist die Überraschung, die viele Publisher unvorbereitet trifft: revFADP-Sanktionen sind keine Unternehmensbußgelder — sie zielen auf Einzelpersonen. Verantwortliche Personen (oft Führungskräfte oder wer auch immer die Entscheidung getroffen hat) können mit bis zu CHF 250.000 belegt werden für Verstöße wie das Versäumnis, erforderliche Informationen bereitzustellen, die Verletzung von Transparenz- oder Offenlegungspflichten, das Ignorieren von Mindestanforderungen an die Datensicherheit oder das Versäumnis, einen Vertreter zu benennen.

Da die Haftung persönlich und strafrechtlicher Natur ist, ist "wir zahlen das Bußgeld, wenn es kommt" eine weitaus schwächere Strategie als unter der DSGVO. Sie schafft direkte Risikoexposition für Gründer und Manager — und erhöht den Einsatz, Einwilligung und Offenlegung beim ersten Mal richtig zu machen.

Eine praktische Checkliste für Publisher mit Schweizer Nutzern

• Schweizer Traffic erkennen und ein DSGVO-konformes Einwilligungserlebnis anwenden — schneiden Sie die Schweiz nicht aus Ihrem EU-Fluss heraus.
• Eine transparente Datenschutzerklärung veröffentlichen, die Zwecke, Aufbewahrung und grenzüberschreitende Übermittlungen abdeckt.
• Werbe- und Analytics-SDKs hinter Einwilligung sperren und Entscheidungen in Consent Mode v2 einbinden.
• Bewerten, ob Sie einen Schweizer Vertreter benötigen und ein Verzeichnis der Verarbeitungstätigkeiten.
• Audit-Protokolle der Einwilligung führen, um dem EDÖB die Compliance nachzuweisen.

Hier zahlt sich eine Multi-Region-CMP aus. FlexyConsent ist eine Google-zertifizierte Consent-Management-Plattform, die IAB TCF 2.3 und Consent Mode v2 unterstützt, und sie deckt die Schweiz und die EU aus einer einzigen Integration ab — erkennt die Region, zeigt den richtigen Hinweis, erfasst granulare Entscheidungen und speichert Einwilligungsdatensätze, die Sie auf Anfrage vorlegen können. Sie bleiben konform über revFADP und DSGVO hinweg, ohne getrennte Flüsse oder entgangene Werbeeinnahmen.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar; konsultieren Sie für Ihre konkrete Situation qualifizierten Rechtsbeistand.

Wichtigste Erkenntnisse

• Die revFADP gilt seit September 2023 und erreicht jede App, deren Verarbeitung Schweizer Nutzer betrifft, egal wo der Publisher ansässig ist.
• Sie stützt sich auf Transparenz statt auf universelles Opt-in, aber werbefinanzierte Apps brauchen trotzdem eine echte Einwilligungsebene, um zu monetarisieren.
• Sanktionen sind persönlich — Einzelpersonen drohen Bußgelder bis zu CHF 250.000 — daher ist Compliance ein Anliegen auf Führungsebene.
• Eine Multi-Region-CMP wie FlexyConsent deckt Schweizer und EU-Regeln gemeinsam über TCF 2.3 und Consent Mode v2 ab.