Datenschutzerklärung für die Website: Was das revDSG in der Schweiz verlangt
Was gehört nach dem revDSG in die Datenschutzerklärung Ihrer Website? Pflichtangaben, Cookies, Kontaktformular, Dienste im Ausland und eine Checkliste.
Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG). Wer über eine Website Personendaten beschafft, etwa mit einem Kontaktformular, einem Analyse-Tool, einem Newsletter oder schon mit den Logfiles des Webservers, muss die Besucherinnen und Besucher darüber informieren (Art. 19 DSG). In der Praxis geschieht das mit einer Datenschutzerklärung, die von jeder Seite aus erreichbar ist. Sie nennt mindestens den Verantwortlichen mit Kontaktdaten, die Zwecke der Bearbeitung, die Empfänger und, bei einer Bekanntgabe ins Ausland, die Staaten und Garantien.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Für Ihren konkreten Fall wenden Sie sich an eine Fachperson für Datenschutzrecht.
Was sich mit dem revDSG geändert hat
- Das Gesetz (SR 235.1) und die Datenschutzverordnung DSV (SR 235.11) gelten seit dem 1. September 2023.
- Geschützt sind nur noch Daten natürlicher Personen, nicht mehr Daten von Firmen und anderen juristischen Personen.
- Die Informationspflicht gilt für jede Beschaffung von Personendaten. Früher galt sie im privaten Bereich nur für besonders schützenswerte Daten und Persönlichkeitsprofile.
- Wer die Informationspflicht vorsätzlich verletzt, kann auf Antrag mit einer Busse bis CHF 250'000 bestraft werden (Art. 60 DSG). Gebüsst wird die verantwortliche Person, etwa die Geschäftsführerin oder der Inhaber.
- Verletzungen der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Betroffenen führen, müssen Sie dem EDÖB so rasch als möglich melden (Art. 24 DSG).
- Unternehmen führen ein Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG). Ausgenommen sind Unternehmen mit weniger als 250 Mitarbeitenden, sofern sie nicht umfangreich besonders schützenswerte Daten bearbeiten und kein Profiling mit hohem Risiko durchführen (Art. 24 DSV).
Die Pflichtangaben nach Art. 19 DSG
Art. 19 verlangt alle Informationen, die nötig sind, damit Betroffene ihre Rechte geltend machen können und eine transparente Bearbeitung gewährleistet ist. Mindestens sind das die folgenden Angaben:
| Angabe | Grundlage | Beispiel für eine Website |
|---|---|---|
| Identität und Kontaktdaten des Verantwortlichen | Art. 19 Abs. 2 lit. a | Firma, Adresse und eine E-Mail-Adresse für Datenschutzanfragen |
| Bearbeitungszweck | Art. 19 Abs. 2 lit. b | Anfragen beantworten, Newsletter versenden, Nutzung der Website auswerten |
| Empfänger oder Kategorien von Empfängern | Art. 19 Abs. 2 lit. c | Hoster, Newsletter-Dienst, Analyse-Anbieter, Zahlungsanbieter |
| Kategorien der Personendaten, wenn sie nicht bei der Person selbst beschafft werden | Art. 19 Abs. 3 | Daten aus öffentlichen Registern oder von Partnern |
| Staat und Garantien bei Bekanntgabe ins Ausland | Art. 19 Abs. 4 mit Art. 16 und 17 | USA, Anbieter zertifiziert unter dem Swiss-U.S. Data Privacy Framework |
Nicht ausdrücklich im Gesetz, aber empfehlenswert und in der Praxis üblich sind: welche Daten Sie im Einzelnen erheben, wie lange Sie sie aufbewahren, welche Rechte Betroffene haben (insbesondere Auskunft nach Art. 25 DSG, Berichtigung und Löschung), welche Cookies und Dienste Sie einsetzen und wie man widersprechen kann, sowie das Datum der letzten Änderung.
Der EDÖB empfiehlt in seinen Hinweisen zu Datenschutzerklärungen im Internet eine gestufte Darstellung: zuerst eine kurze, verständliche Übersicht, dann die Einzelheiten. Die Erklärung soll von jeder Seite aus leicht erreichbar sein, in allen Sprachen der Website vorliegen und auf vage Formulierungen wie «unter Umständen» verzichten.
Tipp: Die Datenschutzerklärung muss zur Wirklichkeit passen. Prüfen Sie vor dem Schreiben, welche Dienste Ihre Website tatsächlich lädt, etwa in den Entwicklertools des Browsers im Reiter «Netzwerk». Vorlagen sind ein Anfang, ersetzen diese Bestandsaufnahme aber nicht.
Cookies, Analyse und eingebettete Dienste
Das DSG schreibt keinen Cookie-Banner vor. Massgebend ist Art. 45c des Fernmeldegesetzes (FMG): Wer Daten auf dem Gerät der Besucher bearbeitet, etwa mit Cookies, muss über die Bearbeitung und ihren Zweck informieren und darauf hinweisen, dass man sie ablehnen kann. Der EDÖB hat seine Sicht in einem Leitfaden zu Cookies und ähnlichen Technologien konkretisiert (Version 1.1 vom 6. Oktober 2025). Eine ausdrückliche Einwilligung verlangt das DSG für die Bearbeitung besonders schützenswerter Daten und für Profiling mit hohem Risiko (Art. 6 Abs. 7 DSG).
- Technisch notwendige Cookies, etwa für Sitzung, Warenkorb oder Spracheinstellung: Information in der Datenschutzerklärung genügt.
- Statistik, zum Beispiel mit Matomo oder Google Analytics: in der Erklärung beschreiben, eine einfache Ablehnung ermöglichen und bei Anbietern im Ausland die Garantien nennen.
- Marketing und Tracking über mehrere Websites hinweg, etwa Werbepixel und Remarketing: Nach dem Leitfaden des EDÖB ist hier in der Regel eine Einwilligung nötig.
- Eingebettete Inhalte wie YouTube-Videos, Google Maps, Schriften von fremden Servern oder Social-Media-Plugins: Sie übertragen die IP-Adresse schon beim Laden an den Anbieter. Binden Sie Schriften lokal ein und laden Sie Karten oder Videos erst nach einem Klick.
Gestalten Sie einen Banner fair: Ablehnen muss so einfach sein wie Zustimmen, ohne versteckte Schaltflächen oder vorab gesetzte Häkchen. Haben Sie Besucher aus der EU, verlangen die dortigen Regeln für nicht notwendige Cookies ohnehin eine vorgängige Einwilligung. Viele Schweizer Websites setzen deshalb für alle Besucher auf eine Einwilligung.
Kontaktformular, Newsletter und Server-Logfiles
- Kontaktformular: Fragen Sie nur ab, was Sie für die Antwort brauchen, und nennen Sie Zweck und Aufbewahrungsdauer. Das Formular muss über HTTPS laufen. Ein Spamschutz wie Google reCAPTCHA überträgt Daten an Google und gehört in die Erklärung.
- Newsletter: Lassen Sie die Anmeldung per Bestätigungslink bestätigen (Double-Opt-in), damit Sie die Einwilligung belegen können, und bieten Sie in jeder Ausgabe eine Abmeldung an. Massenwerbung per E-Mail setzt nach Art. 3 Abs. 1 lit. o UWG grundsätzlich eine vorherige Einwilligung voraus. Nennen Sie den Versanddienst als Empfänger.
- Server-Logfiles: Der Webserver speichert bei jedem Aufruf unter anderem IP-Adresse, Zeitpunkt, aufgerufene Seite und Browser. Das dient Betrieb und Sicherheit und gehört mit Aufbewahrungsdauer in die Erklärung.
- Online-Shop und Kundenkonto: Zahlungsanbieter, Versanddienstleister und Buchhaltungssoftware sind Empfänger und müssen genannt werden.
Hoster und andere Dienstleister: Auftragsbearbeitung
Ihr Hoster, Ihr Newsletter-Dienst oder Ihr CRM bearbeiten Personendaten in Ihrem Auftrag. Das ist nach Art. 9 DSG zulässig, wenn ein Vertrag oder das Gesetz es vorsieht, der Dienstleister die Daten nur so bearbeitet, wie Sie es selbst dürften, und Sie sich vergewissern, dass er die Datensicherheit gewährleistet. Weitere Unterauftragsbearbeiter darf er nur mit Ihrer vorgängigen Genehmigung beiziehen. Die Regelung steht oft in den AGB oder in einem separaten Vertrag zur Auftragsbearbeitung.
Werden Daten ins Ausland bekanntgegeben, gilt Art. 16 DSG: Ohne weitere Massnahmen geht das in Staaten, deren Datenschutz der Bundesrat als angemessen anerkannt hat. Die Liste steht in Anhang 1 der DSV und umfasst unter anderem die Staaten der EU und des EWR. In andere Staaten braucht es geeignete Garantien, meist Standardvertragsklauseln, die der EDÖB anerkannt hat. Für die USA anerkennt der Bundesrat seit dem 15. September 2024 Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind. In der Datenschutzerklärung nennen Sie die Staaten und die jeweiligen Garantien.
Wann zusätzlich die DSGVO gilt
Die EU-Datenschutz-Grundverordnung gilt nach ihrem Art. 3 Abs. 2 auch für Schweizer Unternehmen, wenn sie Personen in der EU gezielt Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten, etwa mit Tracking. Hinweise auf ein gezieltes Angebot sind Lieferungen in die EU, Preise in Euro oder Werbung für EU-Länder. In Liechtenstein gilt die DSGVO als EWR-Staat direkt.
Die DSGVO verlangt mehr Angaben als das DSG, unter anderem die Rechtsgrundlage jeder Bearbeitung, die Speicherdauer, alle Betroffenenrechte und das Beschwerderecht bei einer Aufsichtsbehörde (Art. 13 DSGVO). Je nach Umfang braucht es ausserdem einen Vertreter in der EU (Art. 27 DSGVO).
Tipp: Viele KMU schreiben eine einzige Datenschutzerklärung, die sowohl das DSG als auch die DSGVO abdeckt. So pflegen Sie nur ein Dokument und sind auch für Besucher aus der EU vorbereitet.
Checkliste für Ihre Website
- Bestandsaufnahme: Welche Personendaten erheben Sie wo? Formulare, Shop, Newsletter, Logfiles, Analyse, eingebettete Inhalte, Chat.
- Alle externen Dienste mit Sitz des Anbieters erfassen und prüfen, ob der Staat auf der Liste in Anhang 1 der DSV steht oder welche Garantien bestehen.
- Datenschutzerklärung mit den Angaben nach Art. 19 DSG verfassen, ergänzt um Rechte, Aufbewahrung und Kontakt.
- Link im Fusszeilenbereich jeder Seite, in allen Sprachen der Website.
- Cookies prüfen: Ablehnung ermöglichen, für Tracking und für EU-Besucher eine Einwilligung einholen.
- Verträge zur Auftragsbearbeitung mit Hoster und Dienstleistern prüfen.
- HTTPS auf der ganzen Website, inklusive aller Formulare.
- Klären, ob Sie ein Verzeichnis der Bearbeitungstätigkeiten führen müssen.
- Abläufe festlegen für Auskunftsbegehren, die in der Regel innert 30 Tagen zu beantworten sind (Art. 18 DSV), und für Datensicherheitsverletzungen.
- Erklärung jährlich und bei jedem neuen Dienst überprüfen und das Änderungsdatum nachführen.
Die Gesetzestexte finden Sie in der amtlichen Sammlung auf fedlex.admin.ch (DSG: SR 235.1, DSV: SR 235.11, FMG: SR 784.10). Hinweise, Leitfäden und das Meldeportal für Datensicherheitsverletzungen bietet der EDÖB auf edoeb.admin.ch.
Bei HostOn ist die Auftragsbearbeitung für die Daten, die Sie in Ihrem Webhosting, Ihren Postfächern und Servern speichern, in den AGB (Ziffer 14) geregelt. Kostenlose SSL-Zertifikate für alle Domains sind in jedem Webhosting-Paket enthalten, ab Webhosting Rigi für CHF 11.90 pro Monat inkl. MWST, sodass Formulare von Anfang an verschlüsselt übertragen werden.
Häufige Fragen zum Thema
Sobald eine Website Personendaten bearbeitet, müssen Sie die Besucher nach Art. 19 DSG informieren. Das ist praktisch immer der Fall, schon wegen der IP-Adressen in den Server-Logfiles, eines Kontaktformulars oder eingebundener Dienste. Am einfachsten erfüllen Sie diese Pflicht mit einer Datenschutzerklärung.
Das DSG schreibt keinen Banner vor. Nach Art. 45c FMG müssen Sie aber über Cookies informieren und eine Ablehnung ermöglichen. Für Tracking mit hohem Risiko und für Besucher aus der EU ist eine vorgängige Einwilligung nötig, dann ist ein Banner der praktische Weg.
Wer die Informationspflicht vorsätzlich verletzt, kann auf Antrag mit einer Busse bis CHF 250'000 bestraft werden (Art. 60 DSG). Gebüsst wird die verantwortliche natürliche Person, nicht das Unternehmen.
Ja, wenn Sie Waren oder Dienstleistungen gezielt Personen in der EU anbieten oder deren Verhalten beobachten, etwa mit Tracking. Dann muss die Datenschutzerklärung zusätzlich die Angaben nach Art. 13 DSGVO enthalten.
Ja, wenn Sie in der Datenschutzerklärung darüber informieren, eine Ablehnung ermöglichen und die Bekanntgabe ins Ausland absichern. Für zertifizierte US-Unternehmen gilt seit dem 15. September 2024 das Swiss-U.S. Data Privacy Framework. Bei Besuchern aus der EU holen Sie vorher eine Einwilligung ein.
Als Ausgangspunkt ja, aber nur, wenn Sie sie an Ihre Website anpassen. Die Erklärung muss die tatsächlich eingesetzten Dienste, Zwecke und Empfänger nennen. Eine generische Vorlage mit Diensten, die Sie gar nicht nutzen, ist ungenau und hilft niemandem.
