Als Betreiber einer Schweizer Website gilt für dich seit dem 1. September 2023 das revidierte DSG, das schweizweite Datenschutzrecht. Die DSGVO der EU betrifft dich zusätzlich, sobald du gezielt Personen in der EU ansprichst oder deren Daten verarbeitest. Für die meisten KMU und Selbstständigen in der Schweiz empfiehlt es sich, beide Regelwerke im Blick zu behalten - das DSG als Pflichtaufgabe, die DSGVO als sinnvolle Ergänzung.
Datenschutz war schon immer ein Thema, aber seit der EU-DSGVO und dem revidierten Schweizer DSG ist die Verunsicherung bei Website-Betreibenden spürbar gestiegen. Welches Gesetz gilt jetzt eigentlich für meine Seite? Brauche ich eine Datenschutzerklärung nach Schweizer Recht, EU-Recht oder nach beiden? Was passiert, wenn ich nichts mache?
Dieser Ratgeber beantwortet genau diese Fragen - konkret, ohne Juristendeutsch, mit klaren Handlungsempfehlungen. Stand der Informationen: Stand 31. Oktober 2026. Dieser Artikel ersetzt keine Rechtsberatung; bei rechtlicher Unsicherheit empfehlen wir eine Fachperson beizuziehen.
Das revidierte DSG: Was steckt dahinter?
Das Schweizer Datenschutzgesetz existiert seit 1992, war aber hoffnungslos veraltet. Das revidierte DSG (kurz: revDSG) trat am 1. September 2023 in Kraft und bringt die Schweizer Datenschutzvorschriften auf den Stand des 21. Jahrhunderts. Es ersetzt das alte Gesetz vollständig.
Was das revDSG von seinem Vorgänger unterscheidet: Es stärkt die Rechte der betroffenen Personen deutlich, führt neue Pflichten für Verantwortliche ein und gibt dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) mehr Durchsetzungsmacht.
Kernpflichten unter dem revDSG
- ✓ Datenschutzerklärung auf der Website
- ✓ Datenschutz-Folgenabschätzung bei Hochrisiko-Bearbeitungen
- ✓ Verzeichnis der Bearbeitungstätigkeiten (ab 250 Mitarbeitende Pflicht, kleinere Betriebe freiwillig empfohlen)
- ✓ Meldung von Datenpannen an EDÖB (bei hohem Risiko)
- ✓ Privacy by Design und by Default
- × Kein zwingender Datenschutzbeauftragter für alle
Sanktionen DSG
Das revDSG setzt auf Strafen gegen Einzelpersonen, nicht gegen Unternehmen. Bussen von bis zu CHF 250'000 können gegen natürliche Personen verhängt werden, die vorsätzlich gegen das Gesetz verstossen. Für viele KMU bedeutet das: Nicht das Unternehmen, sondern die Geschäftsführung oder verantwortliche Mitarbeitende trägt das persönliche Risiko.
Wer fällt unter das DSG? Grundsätzlich alle, die Personendaten von Personen bearbeiten, die sich in der Schweiz aufhalten. Das gilt unabhängig davon, wo du als Betreiber deinen Sitz hast. Betreibst du also eine Website aus Österreich, die sich gezielt an Schweizer Nutzer richtet, musst du trotzdem das Schweizer Recht berücksichtigen.
DSGVO und Schweizer Websites: Wann bist du betroffen?
Die Datenschutz-Grundverordnung (DSGVO) der EU gilt seit dem 25. Mai 2018. Sie ist europäisches Recht und richtet sich zunächst an Unternehmen mit Sitz in der EU. Doch das Marktortprinzip macht sie auch für Schweizer Website-Betreibende relevant.
Du bist von der DSGVO betroffen, wenn mindestens eine dieser Bedingungen zutrifft:
- Du bietest Waren oder Dienstleistungen gezielt für Personen in der EU an (z.B. Versandshop mit Lieferung nach Deutschland)
- Du beobachtest das Verhalten von Personen in der EU (z.B. über Tracking-Cookies, die das Nutzerverhalten aufzeichnen)
- Du verarbeitest Daten von EU-Bürgern im Auftrag eines EU-Unternehmens
Was heisst das praktisch? Ein Selbstständiger aus Zürich mit einem rein lokalen Angebot und einer .ch-Website braucht sich um die DSGVO kaum Gedanken zu machen. Ein Onlineshop, der Kunden in Deutschland, Österreich und der Schweiz beliefert, muss beide Regelwerke einhalten.
DSG vs. DSGVO: Die wichtigsten Unterschiede im Überblick
| Merkmal | Schweizer DSG (revDSG) | EU-DSGVO |
|---|---|---|
| In Kraft seit | 1. September 2023 | 25. Mai 2018 |
| Räumlicher Geltungsbereich | Personen mit Aufenthalt in der Schweiz | Personen in der EU/EWR; Marktortprinzip |
| Maximale Sanktionen | CHF 250'000 (gegen natürl. Personen) | €20 Mio. oder 4% des globalen Jahresumsatzes |
| Sanktionen gegen | Natürliche Personen (Strafrecht) | Unternehmen (Verwaltungsrecht) |
| Aufsichtsbehörde | EDÖB (Bundesebene) | Nationale Datenschutzbehörden der EU-Mitgliedstaaten |
| Datenschutzbeauftragter | Freiwillig; keine generelle Pflicht | Pflicht bei bestimmten Verarbeitungen (Art. 37 DSGVO) |
| Datenpanne melden | An EDÖB, wenn voraussichtlich hohes Risiko | An Behörde innert 72 Stunden (immer bei Verletzung) |
| Einwilligung für Cookies | Je nach Kontext; Informationspflicht klar | Vorherige aktive Einwilligung erforderlich (Art. 6 DSGVO) |
| Verarbeitungsverzeichnis | Pflicht ab 250 Mitarbeitende | Pflicht für die meisten Organisationen |
| Datenübermittlung ins Ausland | Erlaubt in Länder mit angemessenem Schutz (Liste EDÖB) | Drittlandtransfer streng reguliert; Angemessenheitsbeschlüsse notwendig |
Ein wichtiger Unterschied, den viele übersehen: Das revDSG bestraft Personen strafrechtlich, die DSGVO bestraft Unternehmen verwaltungsrechtlich. Das bedeutet für die Schweiz: Die Geschäftsführung oder einzelne Mitarbeitende können direkt zur Kasse gebeten werden, nicht das Unternehmen als solches. Das ist ein strukturell anderer Ansatz als in der EU.
Wann gilt welches Recht für deine Website?
Statt langer Erklärungen: Hier die drei häufigsten Konstellationen, die Schweizer Website-Betreibende betreffen.
| Situation | DSG relevant? | DSGVO relevant? | Empfehlung |
|---|---|---|---|
| Lokale .ch-Website Handwerker, Arztpraxis, Verein in der Schweiz |
Ja - Pflicht | In der Regel nein | DSG-konforme Datenschutzerklärung reicht |
| Onlineshop CH + DE/AT Versandhandel, SaaS mit EU-Kunden |
Ja - Pflicht | Ja - Pflicht | Beide einhalten; DSGVO-Anforderungen sind strenger |
| Blog / Portfolio (DE-sprachig) Ohne gezieltes EU-Angebot, kein Tracking |
Ja - Pflicht | Graubereich; meistens nein | DSG priorisieren; DSGVO-kompatible Datenschutzerklärung als Extra-Sicherheit sinnvoll |
| EU-Unternehmen, Server in CH GmbH in DE, Hosting bei Schweizer Anbieter |
Je nach Zielgruppe | Ja - Pflicht | DSGVO gilt, Serverstandort CH ist Vorteil (Datentransfer-Compliance) |
Was musst du konkret umsetzen?
Keine Panik: Die meisten Anforderungen von DSG und DSGVO überschneiden sich stark. Wer die DSGVO-Anforderungen erfüllt, ist auch für das revDSG in guter Form. Umgekehrt gilt das nicht immer - der Schweizer Gesetzgeber hat einige Punkte anders gelöst.
Hier die wichtigsten Massnahmen für eine typische Schweizer KMU-Website:
1. Datenschutzerklärung aktualisieren
Pflicht nach revDSG. Die Erklärung muss informieren über: wer für die Bearbeitung verantwortlich ist, welche Personendaten erhoben werden, zu welchem Zweck, ob Daten ins Ausland übermittelt werden und welche Rechte betroffene Personen haben (Auskunft, Berichtigung, Löschung). Wenn du auch EU-Nutzer ansprichst, kommen Art. 13/14 DSGVO-Pflichten hinzu.
2. Cookie-Einwilligung prüfen
Technisch notwendige Cookies brauchen keine Einwilligung. Tracking-Cookies (Google Analytics, Meta Pixel) brauchen diese - nach DSGVO zwingend vor der Aktivierung, nach revDSG mindestens mit klarer Information. Wer auf der sicheren Seite sein will, setzt ein Consent-Banner ein, das echte Wahlmöglichkeiten bietet - und kein Dark Pattern.
3. Auftragsverarbeitungsverträge (AVV) abschliessen
Sobald du externe Dienstleister nutzt, die im deinen Auftrag Personendaten verarbeiten (Hosting-Anbieter, E-Mail-Marketing-Tool, CRM), brauchst du einen Auftragsverarbeitungsvertrag. Die meisten grossen Schweizer und europäischen Hosting-Anbieter stellen diese standardmässig bereit.
4. Drittland-Transfers prüfen
Google Analytics, Meta, Mailchimp und andere US-Dienste transferieren Daten in die USA. Unter DSGVO braucht das geeignete Garantien (EU-Standardvertragsklauseln oder Privacy Shield-Nachfolge). Unter revDSG gilt die EDÖB-Länderliste. Tipp: Wer auf Schweizer oder EU-Dienste setzt, minimiert diesen Aufwand erheblich.
5. Prozess für Datenpannen einrichten
Wenn Kundendaten gestohlen, verloren oder unbefugt eingesehen werden, musst du handeln. Unter DSGVO innert 72 Stunden an die zuständige Behörde melden (wenn die Rechte betroffener Personen gefährdet sind). Unter revDSG ebenfalls Meldepflicht an den EDÖB, wenn ein hohes Risiko für die betroffenen Personen besteht. Halte intern fest, wer in einem solchen Fall was tut.
Hosting und Datenschutz: Was der Serverstandort wirklich bringt
Schweizer Website-Betreibende fragen oft: Reicht es, wenn mein Hosting-Anbieter in der Schweiz sitzt? Die Antwort: Es hilft erheblich, ist aber kein Freifahrtschein.
Der Serverstandort Schweiz bietet konkrete Vorteile:
- Personendaten verlassen die Schweiz nicht - keine Drittlandtransfer-Pflichten unter revDSG
- Die Schweiz gilt für die EU als Land mit angemessenem Datenschutzniveau (Angemessenheitsbeschluss der EU-Kommission)
- Schweizer Datenschutzrecht gilt direkt, keine komplizierten Kollisionsnormen
- Bei Datenpannen bist du auf bekanntem Terrain mit dem EDÖB als Ansprechpartner
Mehrere Schweizer Anbieter haben DSG-Konformität als explizites Leistungsmerkmal positioniert. Hier ein Überblick der relevanten Eckdaten:
| Anbieter | HQ Stadt | Rechenzentrum | Schweizer Eigentümer | Bewertung |
|---|---|---|---|---|
| Hostpoint | Rapperswil-Jona | Glattbrugg (ZH) Interxion | true | 2.81 / 5 (Stand 10. April 2026) |
| Cyon | Basel | Basel (Schweiz) | true | 3.40 / 5 (Stand 10. April 2026) |
| Infomaniak | Genf | Schweiz | true | 4.25 / 5 (Stand 10. April 2026) |
| Hostfactory | Winterthur | Schweiz | true | 3.80 / 5 (Stand 10. April 2026) |
Entscheidend beim Hosting für datenschutzsensible Websites ist aber nicht nur der Serverstandort, sondern auch, ob der Anbieter einen Auftragsverarbeitungsvertrag (AVV) anbietet und wie er selbst mit euren Daten umgeht. Hostpoint zum Beispiel macht explizit die DSG-Konformität seiner Hosting-Pakete zum Thema. Das Paket "Hostpoint Standard" trägt das Feld DSG-konform mit: true. Beim Einstiegspaket von Cyon sieht es so aus: true.
