Datenschutzerklärung für die Website in der Schweiz: Was das nDSG verlangt

Braucht meine Firmenwebsite eine Datenschutzerklärung, und was muss darin stehen? Seit das neue Datenschutzgesetz gilt, fragen sich viele KMU in Zürich, Luzern oder St. Gallen, was das für ihr Kontaktformular, ihre Besucherstatistik und ihr Cookie-Banner bedeutet.

Ich erstelle Websites für kleine Unternehmen, auch für Firmen in der Schweiz, und die Datenschutzseite gehört zu dem, was ich mit ihnen vor dem Aufschalten einrichte. Dieser Ratgeber zeigt, was das Gesetz von einer einfachen Firmenwebsite verlangt, wo es steht und wie eine Datenschutzerklärung Schritt für Schritt aufgebaut ist. Er ersetzt keine Rechtsberatung: Bei einem besonderen Fall wenden Sie sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder an eine Juristin, einen Juristen.

Was das neue DSG verlangt und für wen

«nDSG» oder «revDSG» meint das Bundesgesetz über den Datenschutz (DSG) vom 25. September 2020, Nummer 235.1 der Systematischen Rechtssammlung. Es ist zusammen mit der Datenschutzverordnung (DSV) am 1. September 2023 in Kraft getreten und hat das Gesetz von 1992 abgelöst.

Es schützt die Daten natürlicher Personen: Name, E-Mail-Adresse oder Telefonnummer einer Besucherin, eines Kunden, einer Mitarbeiterin. Es gilt für private Personen, also auch für Ihr Unternehmen, unabhängig von seiner Grösse. Und es gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden (Artikel 3): Ein Hosting im Ausland befreit nicht davon.

Für eine Firmenwebsite steckt die zentrale Pflicht in einem Artikel. Nach Artikel 19 muss der Verantwortliche, also Sie, die betroffene Person «angemessen» über die Beschaffung ihrer Personendaten informieren. Die Datenschutzerklärung ist die Form, die diese Information auf einer Website annimmt.

Offizielle Quelle: das Bundesgesetz über den Datenschutz (DSG), Artikel 19, auf Fedlex

Was Ihre Website sammelt, ohne dass Sie daran denken

Auch eine Website, die nichts verkauft, bearbeitet fast immer Personendaten:

• das Kontaktformular: Name, E-Mail, Telefon und Nachricht, meist an ein E-Mail-Postfach bei einem Anbieter geschickt;
• die Besucherstatistik: je nach Werkzeug Cookies oder Angaben zum Gerät der Besucher;
• Cookies der Website selbst oder eingebundener Dienste;
• eine eingebundene Karte, ein Video oder ein Social-Media-Knopf: Der Anbieter erhält schon beim Anzeigen Angaben zur Besucherin;
• die Anmeldung zu einem Newsletter, falls Sie einen anbieten;
• das Hosting: Der Server, der Ihre Website ausliefert, speichert oft technische Angaben zu jedem Besuch.

Am Anfang steht deshalb eine Bestandesaufnahme: Welche Dienste laufen auf der Website, wer stellt sie bereit, und wo sitzt der Anbieter?

Die Datenschutzerklärung Schritt für Schritt

Artikel 19 nennt das Minimum. Die Verordnung (Artikel 13 DSV) ergänzt, dass die Information präzise, transparent, verständlich und leicht zugänglich sein muss. Also: einfache Sätze statt einer kopierten Vorlage. Das sind die Rubriken, in der Reihenfolge, in der ich sie am häufigsten sehe.

1. Wer verantwortlich ist

Die Identität und die Kontaktdaten des Verantwortlichen (Artikel 19 Absatz 2 Buchstabe a): Firmenname, Adresse und eine E-Mail-Adresse für Fragen zum Datenschutz.

2. Welche Daten wofür

Der Bearbeitungszweck (Buchstabe b), Dienst für Dienst. «Die Angaben im Kontaktformular dienen nur der Beantwortung Ihrer Anfrage.» «Die Statistik zeigt uns, welche Seiten besucht werden.» Das Gesetz verlangt Zwecke, die für die betroffene Person erkennbar sind (Artikel 6). Mein Rat: lieber ein konkreter Satz pro Dienst als eine vage Formel wie «Verbesserung unserer Dienstleistungen».

3. An wen die Daten gehen

Gegebenenfalls die Empfänger oder Kategorien von Empfängern (Buchstabe c): Ihr Hosting-Anbieter, der E-Mail-Dienst, der die Formularnachrichten empfängt, das Statistik-Werkzeug, der Anbieter der eingebundenen Karte.

4. Wenn Daten ins Ausland gehen

Werden Personendaten ins Ausland bekanntgegeben, nennen Sie den Staat und gegebenenfalls die Garantien oder die Ausnahme, auf die Sie sich stützen (Artikel 19 Absatz 4). Diese Rubrik wird am häufigsten vergessen; mehr dazu weiter unten.

5. Aufbewahrung und Rechte

Die Aufbewahrungsdauer steht nicht in der Mindestliste von Artikel 19, aber Daten sind zu vernichten oder zu anonymisieren, sobald sie nicht mehr nötig sind (Artikel 6): Sie anzugeben ist einfach und nützlich. Jede Person kann zudem Auskunft verlangen, ob Daten über sie bearbeitet werden (Artikel 25); die Auskunft ist grundsätzlich kostenlos und wird in der Regel innert 30 Tagen erteilt. Geben Sie an, wohin man schreiben kann.

Anbieter im Ausland

Ihr Hosting, Ihr Statistik-Werkzeug oder Ihr Newsletter-Dienst bearbeiten Daten in Ihrem Auftrag: Das Gesetz spricht von Auftragsbearbeitung (Artikel 9). Sie ist zulässig, wenn ein Vertrag sie vorsieht, und Sie müssen sich vergewissern, dass der Anbieter die Datensicherheit gewährleisten kann.

Sitzt der Anbieter ausserhalb der Schweiz, kommt Artikel 16 dazu. Die Bekanntgabe ist zulässig in Staaten, bei denen der Bundesrat einen angemessenen Schutz festgestellt hat. Die Liste steht in Anhang 1 der DSV; darauf finden sich zum Beispiel Deutschland, Frankreich und Italien. In andere Länder braucht es Garantien, etwa vom EDÖB anerkannte Standarddatenschutzklauseln, oder eine der Ausnahmen von Artikel 17. Die Liste ändert sich: Prüfen Sie sie auf Fedlex.

Offizielle Quelle: die Datenschutzverordnung (DSV) mit der Staatenliste, auf Fedlex

Cookie-Banner: Ist es in der Schweiz Pflicht?

Die Cookie-Regel steht nicht nur im DSG, sondern auch im Fernmeldegesetz (FMG), in Artikel 45c, seit 2007 in Kraft. Laut dem Cookie-Leitfaden des EDÖB (22. Januar 2025, ergänzt am 6. Oktober 2025) müssen Website-Betreiber die Besucher über die Verwendung von Cookies und deren Zweck informieren und darauf hinweisen, dass und wie sie die Bearbeitung ablehnen können.

Der Leitfaden unterscheidet technisch notwendige Cookies, ohne die die Website nicht funktionieren oder nicht sicher wäre, von den übrigen. Für nicht notwendige Cookies braucht der Betreiber entweder ein überwiegendes Interesse oder die Einwilligung der Besucher; in jedem Fall muss ein Widerspruch gut sichtbar und mit wenigen Klicks möglich sein, schon beim ersten Besuch. Ausdrücklich muss die Einwilligung sein, wenn besonders schützenswerte Daten oder ein Profiling mit hohem Risiko im Spiel sind.

Für die Besucherstatistik anerkennt der Leitfaden ein überwiegendes Interesse, wenn die Daten so früh wie möglich anonymisiert werden und das Werkzeug sie nur für Sie bearbeitet. Das Fazit: Der EDÖB macht das Banner nicht als solches zur Pflicht, wohl aber die Information und die Möglichkeit abzulehnen.

Offizielle Quelle: die Website des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB)

Wo die Datenschutzerklärung hingehört

Das Gesetz verlangt eine leicht zugängliche Information bei der Beschaffung, aber keinen bestimmten Ort. Üblich ist ein Link «Datenschutz» in der Fusszeile jeder Seite und ein kurzer Satz unter dem Kontaktformular mit einem Link zur Erklärung.

Die Datenschutzerklärung ist nicht das Impressum. Das Impressum sagt, wer das Unternehmen ist, und stützt sich auf das Gesetz gegen den unlauteren Wettbewerb; die Datenschutzerklärung sagt, was die Website mit Daten macht, und stützt sich auf das DSG. Beide gehören in die Fusszeile, bleiben aber zwei getrennte Seiten.

Die andere Seite, an die man denken sollte: das Impressum für die Website in der Schweiz

Das DSG ist nicht die DSGVO

Die DSGVO ist die Verordnung der EU, das DSG das Schweizer Gesetz. Sie ähneln sich, aber für ein KMU zählen einige Unterschiede:

• Das DSG verlangt keine Einwilligung für jede Bearbeitung: Es verlangt Information, die Einhaltung der Grundsätze (Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Artikel 6) und Datensicherheit (Artikel 8); eine Einwilligung braucht es nur in bestimmten Fällen.
• Unternehmen mit weniger als 250 Mitarbeitenden müssen kein Verzeichnis der Bearbeitungstätigkeiten führen, ausser bei umfangreicher Bearbeitung besonders schützenswerter Daten oder Profiling mit hohem Risiko (Artikel 12 DSG und Artikel 24 DSV).
• Eine Verletzung der Datensicherheit mit voraussichtlich hohem Risiko ist dem EDÖB «so rasch als möglich» zu melden (Artikel 24), ohne feste Frist im Gesetz.

Ein Schweizer Unternehmen, das mit seiner Website auch Kundschaft in der EU anspricht, kann zusätzlich unter die DSGVO fallen. Lassen Sie dann prüfen, was für Sie gilt, und übernehmen Sie keine Vorlage aus Deutschland unverändert.

Was droht

Artikel 60 DSG bestraft private Personen mit Busse bis zu 250 000 Franken, wenn sie es vorsätzlich unterlassen, die betroffene Person nach Artikel 19 zu informieren, oder vorsätzlich falsche oder unvollständige Angaben machen. Drei Punkte: Es braucht einen Strafantrag, es braucht Vorsatz, und die Busse trifft grundsätzlich die verantwortliche Person, nicht das Unternehmen als solches.

Die häufigsten Fehler

• Die Datenschutzerklärung eines Mitbewerbers kopieren: Sie beschreibt seine Werkzeuge, nicht Ihre.
• Eine Vorlage nehmen und nie anpassen: Rubriken zu einem Onlineshop, den Sie nicht haben, und nichts zur eingebundenen Karte.
• Ein Werkzeug nachträglich einbauen (Statistik, Terminbuchung, Newsletter), ohne die Erklärung nachzuführen.
• Ein Cookie-Banner zeigen, bei dem man gar nicht ablehnen kann.

Wie ich Ihnen helfen kann

Ich erstelle Websites für kleine Unternehmen und arbeite aus der Ferne für Firmen in Frankreich, der Schweiz und Belgien – vom ersten Gespräch bis zum Aufschalten. Konkret setze ich um:

• eine Firmenwebsite, die Ihr Unternehmen, Ihre Leistungen und Ihre Kontaktdaten zeigt, fürs Handy optimiert
• einen Onlineshop, wenn Sie Ihre Produkte direkt verkaufen möchten
• eine massgeschneiderte Anwendung oder ein Tool, wenn eine Tabelle oder eine Standardsoftware nicht mehr reicht
• die Überarbeitung einer alten oder schwer änderbaren Website
• die Wartung der Website auf Dauer

Beim Datenschutz ist meine Rolle technisch: Ich schalte die Datenschutzerklärung auf, die Sie mir liefern und die Sie oder Ihre Beratung verfasst oder geprüft haben, setze den Link in die Fusszeile und unter das Formular und sage Ihnen, welche Dienste die Website nutzt. Juristische Texte verfasse ich nicht.

Für eine einfache Firmenwebsite (Vorstellung, Leistungen, Kontakt) biete ich eine schlüsselfertige Website für 100 € an, einmalig bezahlt, fürs Handy optimiert und von mir aufgeschaltet, 5 Arbeitstage nach Erhalt Ihrer Texte und Fotos; Domainname und Hosting kommen separat dazu. Der Preis ist in Euro.

Schauen Sie sich zuerst meine Arbeiten im Portfolio an und schreiben Sie mir dann über das Kontaktformular. Das Gespräch ist kostenlos, und für ein Projekt, das darüber hinausgeht, schicke ich Ihnen innert 24 Stunden eine detaillierte Offerte, unverbindlich.

Das Angebot für 100 €: die schlüsselfertige Firmenwebsite

Der Beweis am Beispiel: meine Arbeiten ansehen

Ein Projekt in Zürich, Luzern oder anderswo in der Schweiz? Schreiben Sie mir, das Gespräch ist kostenlos

Für die Budgetplanung: was eine Website in der Schweiz kostet

Häufige Fragen

Kurz zusammengefasst

Seit dem 1. September 2023 verlangt das Datenschutzgesetz von jeder Website, die Personendaten beschafft, dass sie ihre Besucher informiert: wer verantwortlich ist, wofür die Daten dienen, an wen sie gehen und in welches Land, wenn sie die Schweiz verlassen. Machen Sie eine Bestandesaufnahme der Dienste, schreiben Sie eine kurze und genaue Erklärung, verlinken Sie sie in der Fusszeile und beim Formular, lassen Sie nicht notwendige Cookies ablehnen und führen Sie die Erklärung bei jedem neuen Werkzeug nach. Für einen besonderen Fall bleiben der EDÖB und eine Fachperson die richtige Adresse.