Seit dem 1. September 2023 gilt das revidierte Schweizer Datenschutzgesetz (DSG). Jede Website, die Personendaten bearbeitet, braucht eine Datenschutzerklärung mit sieben Pflichtangaben nach Art. 19 DSG. Wer sie weglässt, riskiert Abmahnungen und Bussgelder bis CHF 250'000. Dieser Leitfaden zeigt dir, was wirklich rein muss.
Du hast eine Website, nimmst Kontaktformulare entgegen oder betreibst einen Online-Shop in der Schweiz. Dann hat das revidierte DSG seit Herbst 2023 deine Spielregeln verändert. Die alte Datenschutzerklärung von 2018 reicht nicht mehr. Was genau muss denn drin stehen, damit du rechtlich auf der sicheren Seite bist?
Was das revidierte DSG von deiner Datenschutzerklärung verlangt
Das revidierte Bundesgesetz über den Datenschutz (nDSG) ist am 1. September 2023 in Kraft getreten und löst das Gesetz von 1992 ab. Der zentrale Artikel für Website-Betreiber ist Art. 19 DSG (Informationspflicht). Er verpflichtet dich, Betroffene beim Erheben ihrer Personendaten aktiv zu informieren.
Was heisst das konkret? Sobald jemand dein Kontaktformular ausfüllt, sich für deinen Newsletter einträgt oder deine Website eine IP-Adresse speichert, erhebst du Personendaten. Spätestens in diesem Moment muss die Datenschutzerklärung alle Pflichtangaben enthalten, auf die der Benutzer leicht zugreifen kann.
Die sieben Pflichtangaben nach Art. 19 DSG
Art. 19 Abs. 2 DSG listet auf, was deine Datenschutzerklärung zwingend enthalten muss. Hier die Übersicht:
| # | Pflichtangabe | Gesetzliche Grundlage | Pflicht? |
|---|---|---|---|
| 1 | Identität des Verantwortlichen | Art. 19 Abs. 2 lit. a DSG | Ja |
| 2 | Bearbeitungszwecke | Art. 19 Abs. 2 lit. b DSG | Ja |
| 3 | Kategorien der Empfänger | Art. 19 Abs. 2 lit. c DSG | Ja (falls zutreffend) |
| 4 | Bekanntgabe ins Ausland | Art. 19 Abs. 2 lit. d DSG | Ja (falls zutreffend) |
| 5 | Rechte der betroffenen Personen | Art. 19 Abs. 2 lit. e DSG, Art. 25–32 DSG | Ja |
| 6 | Profiling-Hinweis | Art. 19 Abs. 2 lit. f DSG, Art. 5 lit. f DSG | Ja (falls Profiling stattfindet) |
| 7 | Kontaktangaben für Datenschutzanfragen | Art. 19 Abs. 2 lit. a DSG i.V.m. VDSG | Ja |
Die Pflichtangaben Schritt für Schritt erklärt
1. Identität und Kontaktdaten des Verantwortlichen
Wer ist für die Datenbearbeitung verantwortlich? Du musst deinen Namen (bei Einzelpersonen) oder den Firmennamen, die Postadresse und eine E-Mail-Adresse angeben. Eine reine E-Mail-Adresse reicht nicht. Bei Unternehmungen in der Schweiz empfiehlt sich zusätzlich die Angabe der Handelsregisternummer.
Beispiel: Hostpoint hat ihren Sitz in Rapperswil-Jona, Kanton SG. Auf ihrer eigenen Datenschutzerklärung erscheint die Neue Jonastrasse 60 als Angabe des Verantwortlichen, inklusive CH-320.4.049.510-4.
2. Bearbeitungszwecke
Warum verarbeitest du die Daten? "Zur Verbesserung unserer Dienstleistungen" genügt nicht mehr. Das DSG verlangt konkrete Zweckangaben. Typische Zwecke für eine Website:
- ✓ Kontaktanfragen beantworten (Kontaktformular)
- ✓ Newsletter versenden (E-Mail-Adresse)
- ✓ Bestellungen abwickeln (Online-Shop)
- ✓ Website-Nutzung analysieren (Analyse-Tools, Server-Logs)
- ✓ Sicherheit und Fehlerbehebung gewährleisten
3. Kategorien der Empfänger
Gibst du Daten an Dritte weiter? Dann musst du die Kategorien der Empfänger nennen. Konkret: nicht jeden einzelnen Empfänger, sondern die Art (z.B. "E-Mail-Dienstleister", "Zahlungsabwickler", "Analyse-Anbieter"). Bei Google Analytics musst du Google LLC als Empfänger in den USA nennen.
4. Bekanntgabe ins Ausland
Dieser Punkt ist für viele Schweizer Websites der heikelste. Sobald du Google Analytics, Meta Pixel, Stripe oder andere US-Dienste einsetzt, fliessen Daten in die USA. Das DSG verlangt, dass du das transparent kommunizierst und die Grundlage für den Transfer nennst.
Mögliche Grundlagen für Drittland-Transfers:
- ✓ Angemessener Datenschutz im Empfängerland (z.B. EU/EWR nach DSGVO)
- ✓ Standardvertragsklauseln (SCC) nach Schweizer Recht
- ✓ Einwilligung der betroffenen Person
- × "Wir vertrauen unseren Partnern" ist keine gültige Grundlage
5. Rechte der betroffenen Personen
Art. 25 bis 32 DSG garantieren Betroffenen folgende Rechte, die du in der Datenschutzerklärung aufführen musst:
- ✓ Auskunftsrecht (Art. 25 DSG): Welche Daten verarbeitest du über mich?
- ✓ Berichtigungsrecht (Art. 32 Abs. 1 DSG): Falsche Daten korrigieren lassen
- ✓ Löschungsrecht (Art. 32 Abs. 2 lit. a DSG): Daten löschen lassen
- ✓ Einschränkungsrecht (Art. 32 Abs. 2 lit. b DSG): Bearbeitung einschränken
- ✓ Widerspruchsrecht & Datenherausgabe (Art. 28 DSG): Gegen bestimmte Bearbeitungen Einspruch erheben und Daten in maschinenlesbarem Format herausverlangen
Wichtig: Du musst auch angeben, wo und wie Betroffene diese Rechte geltend machen können. Eine E-Mail-Adresse für Datenschutzanfragen ist zwingend.
6. Profiling
Verwendest du Algorithmen, um automatisiert Persönlichkeitsprofile zu erstellen? Das ist bei vielen Analyse- und Marketing-Tools der Fall. Das revidierte DSG unterscheidet zwischen "Profiling" und "Profiling mit hohem Risiko". Beim Profiling mit hohem Risiko (automatisierte Entscheidungen mit erheblichen Folgen für die Person) braucht es explizite Einwilligung oder einen Rechtfertigungsgrund.
7. Datensicherheit
Das DSG verlangt keine detaillierte technische Beschreibung, aber einen Hinweis, dass du angemessene technische und organisatorische Massnahmen triffst, um Daten zu schützen. Wer bei einem Hoster mit ISO-27001-Zertifizierung hostet, kann das als Massnahme erwähnen. Hostpoints Rechenzentrum erfüllt beispielsweise true.
DSG und DSGVO: Muss ich beide beachten?
Kurze Antwort: Vielleicht. Die DSGVO (EU-Datenschutz-Grundverordnung) gilt für dich, wenn du:
- ✓ Waren oder Dienstleistungen aktiv an Personen in der EU oder im EWR anbietest
- ✓ Das Verhalten von EU-Bürgern beobachtest (z.B. via Tracking)
- × Eine rein schweizerische Website mit ausschliesslich Schweizer Kunden unterliegt in der Regel nur dem DSG
| Merkmal | Schweizer DSG (nDSG) | EU DSGVO |
|---|---|---|
| In Kraft seit | 1. September 2023 | 25. Mai 2018 |
| Bussgelder | Bis CHF 250'000 (persönlich) | Bis 4% des Jahresumsatzes |
| Cookie-Einwilligung | Nicht explizit vorgeschrieben | Opt-in zwingend |
| Datenschutzbeauftragter | Freiwillig, aber empfohlen | Pflicht ab gewisser Grösse |
| Meldepflicht Datenpanne | Ja, an EDÖB (innert 72h) | Ja, an Aufsichtsbehörde (innert 72h) |
| Verarbeitungsverzeichnis | Pflicht ab 250 MA, empfohlen immer | Pflicht (mit Ausnahmen) |
Für die meisten Schweizer KMU und Selbstständigen gilt: DSG beachten, DSGVO im Hinterkopf behalten. Wer eine DSGVO-konforme Datenschutzerklärung hat und diese um die DSG-spezifischen Punkte ergänzt, ist in der Regel gut aufgestellt.
Hosting und Datenschutz: Was du beim Provider beachten musst
Der Standort deines Hosting-Servers beeinflusst direkt, was du in der Datenschutzerklärung schreiben musst. Liegt der Server in der Schweiz, entfällt für diesen Datenfluss die "Bekanntgabe ins Ausland". Das vereinfacht die Dokumentation erheblich.
Cyon
Schweizer Hoster aus Basel, Kanton BS. Rechenzentrum: Basel (Schweiz). 100% erneuerbare Energie (true). Alle Tarife explizit als DSG-konform ausgewiesen.
- ✓ Serverdaten bleiben in der Schweiz
- ✓ Kein Ausland-Transfer für Hosting-Daten
- ✓ Schweizer Rechtswahl im Vertrag
Einstieg ab 8.32 CHF/Mt.
Cyon-Test lesen →Hostpoint
Gegründet 2001, Sitz in Rapperswil-Jona. Rechenzentrum: Glattbrugg (ZH) Interxion. ISO-27001-Zertifizierung vorhanden, FINMA RS 08/7-konform.
- ✓ Schweizer Serverlage für alle Standard-Tarife
- ✓ Stundenweise Backups (erste 24h)
- ✓ Support auf Deutsch, Französisch, Englisch
Einstieg ab 17.90 CHF/Mt.
Hostpoint-Test lesen →Infomaniak
Gegründet 1994, Sitz in Genf, Kanton GE. 100% Schweizer Eigentum (true). Alle Preise inkl. MWST (false).
- ✓ Rechenzentren ausschliesslich in der Schweiz
- ✓ Ökostrom und CO2-Kompensation
- ✓ Eigentümergeführt, kein US-Konzern
Die häufigsten Fehler bei der Datenschutzerklärung
Hand aufs Herz: Viele Schweizer Websites schleppen dieselben Schwachstellen mit sich. Diese fünf Fehler tauchen halt am häufigsten auf:
- × Veraltete DSGVO-Vorlage ohne DSG-Anpassung: Viele Schweizer Websites haben seit 2018 nichts angepasst. Die DSGVO-Vorlage deckt das DSG nicht vollständig ab, vor allem beim Profiling-Hinweis und den Betroffenenrechten nach Schweizer Recht.
- × Google Analytics ohne Ausland-Transfer-Hinweis: GA4 sendet Daten an Google-Server in den USA. Das muss explizit dokumentiert sein, inklusive Übertragungsgrundlage (z.B. EU-Standardvertragsklauseln, die die Schweiz akzeptiert).
- × Generische Kontaktadresse ohne Impressum-Verknüpfung: Die Identität des Verantwortlichen muss vollständig sein. "info@beispiel.ch" allein reicht nicht, wenn keine Postadresse daneben steht.
- × Datenschutzerklärung nur auf einer Unterseite: Sie muss vom Footer jeder Seite erreichbar sein. Nicht nur auf der Kontaktseite oder im Impressum verstecken.
- × Keine Versionierung: Wenn du die Erklärung anpasst, solltest du das Datum der letzten Aktualisierung angeben. Das schafft Transparenz und schützt dich rechtlich.
