Wer in der Schweiz Personendaten bearbeitet, muss die betroffenen Personen informieren, und auf einer Website geschieht das über die Datenschutzerklärung (englisch Privacy Notice). Maßgeblich ist das revidierte Datenschutzgesetz (DSG), das seit dem 1. September 2023 gilt. Es greift auch für Unternehmen aus Deutschland oder anderen Ländern, sobald ihre Datenbearbeitung Auswirkungen in der Schweiz hat. Hier lesen Sie, welche Angaben zwingend hineingehören, wo Vorlagen regelmäßig scheitern, wie Sie DSG und DSGVO in einem Dokument sauber trennen und was der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zu Cookies erwartet.
TL;DR
- Art. 19 DSG verpflichtet jeden Verantwortlichen, bei der Beschaffung von Personendaten mindestens über Identität, Kontaktdaten, Zweck und Empfänger zu informieren.
- Werden Daten ins Ausland übermittelt, müssen die Zielstaaten und gegebenenfalls die Garantien nach Art. 16 DSG (etwa Standardvertragsklauseln) genannt werden.
- Ausländische Unternehmen mit Schweizer Kundschaft fallen unter das DSG, wenn ihre Bearbeitung in der Schweiz wirkt.
- Vorsätzlich falsche oder unvollständige Informationen können mit einer Buße bis 250.000 Franken bestraft werden, und zwar gegen die verantwortliche Person, nicht gegen die Firma.
- Der EDÖB hat seinen Cookie-Leitfaden 2025 aktualisiert: Bei Drittanbieter-Tracking mit intensivem Profiling kann eine Einwilligung nötig sein.
Wer eine Datenschutzerklärung nach Schweizer Recht braucht
Die Informationspflicht betrifft nicht nur Konzerne. Sie gilt für alle privaten Personen und Unternehmen, die Personendaten beschaffen, also auch für die Zürcher Arztpraxis mit Kontaktformular, das Basler Start-up mit Newsletter oder den Onlineshop aus München, der in die Schweiz liefert. Der EDÖB stellt in seinem Merkblatt zu Datenschutzerklärungen im Internet klar, dass Schweizer Unternehmen eine verständliche Erklärung verfassen und auf ihrer Website zugänglich machen müssen.
Für Unternehmen außerhalb der Schweiz ist Art. 3 entscheidend. Nach dem Gesetzestext des DSG gilt das Gesetz für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden. Ein deutsches Unternehmen, das Schweizer Kundinnen gezielt anspricht, Preise in Franken anzeigt oder eine .ch-Domain betreibt, sollte deshalb davon ausgehen, dass Schweizer Recht neben der DSGVO mitläuft.
Dazu kommt Art. 14 DSG: Private Verantwortliche mit Sitz im Ausland müssen unter bestimmten Voraussetzungen eine Vertretung in der Schweiz bezeichnen, etwa wenn sie Personen in der Schweiz regelmäßig und in größerem Umfang Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten. Ist eine solche Vertretung bestellt, gehören ihr Name und ihre Adresse in die Datenschutzerklärung.
Was nach Art. 19 DSG hineingehört
Das DSG enthält keinen fixen Mustertext, sondern eine Mindestliste. Art. 19 verlangt alle Informationen, die erforderlich sind, damit betroffene Personen ihre Rechte geltend machen können und eine transparente Bearbeitung gewährleistet ist. Die folgende Übersicht fasst die Pflichtangaben und ihre typische Umsetzung zusammen.
Werden Daten nicht direkt bei der betroffenen Person beschafft, muss die Information spätestens einen Monat nach Erhalt der Daten erfolgen (Art. 19 Abs. 5). Ausnahmen regelt Art. 20, etwa wenn die Person bereits informiert ist oder die Bearbeitung gesetzlich vorgesehen ist. Die Ausnahmen sind eng, eine Website-Erklärung ersetzen sie nie.
Der EDÖB betont im Merkblatt zu Datenschutzerklärungen außerdem die Form: Die Erklärung soll für die Zielgruppe verständlich, präzise und vollständig sein. Abstrakte Sätze wie „Wir bearbeiten Ihre Daten zur Verbesserung unserer Dienste“ reichen nicht, wenn dahinter Profiling, Retargeting und Weitergabe an Werbenetzwerke stehen. Schreiben Sie, was tatsächlich passiert, in der Sprache Ihrer Kundschaft.
Was das DSG nicht verlangt, die DSGVO aber schon
Anders als die DSGVO kennt das DSG für private Bearbeitungen keine Pflicht, für jeden Vorgang eine Rechtsgrundlage zu nennen. Eine Bearbeitung ist grundsätzlich zulässig, solange sie die Bearbeitungsgrundsätze einhält, und braucht erst dann einen Rechtfertigungsgrund, wenn sie die Persönlichkeit verletzt. Wer ausschließlich Schweizer Recht unterliegt, kann seine Erklärung deshalb schlanker halten. Wer auch Kunden in der EU bedient, kommt um die DSGVO-Angaben wie Rechtsgrundlage und Speicherdauer nicht herum.
Auslandsübermittlung: wo Vorlagen am häufigsten scheitern
Fast jede Website übermittelt Daten ins Ausland: Cloud-Hosting, E-Mail-Marketing, Analysetools, Videokonferenzen, CRM. Art. 16 DSG erlaubt das ohne Weiteres nur in Staaten, deren Datenschutzniveau der Bundesrat als angemessen anerkannt hat. Für alle übrigen Länder braucht es geeignete Garantien, in der Praxis meist vom EDÖB anerkannte Standardvertragsklauseln, oder es greift eine der Ausnahmen nach Art. 17, etwa die ausdrückliche Einwilligung.
In der Datenschutzerklärung müssen Sie den Staat oder das internationale Organ nennen und, falls einschlägig, auf die Garantien oder die angewendete Ausnahme hinweisen. Eine Pauschalformel wie „Daten können weltweit bearbeitet werden“ erfüllt Art. 19 Abs. 4 nicht. Genau hier fehlen in kopierten Vorlagen die passenden Klauseln, weil jeder Tool-Stack andere Zielstaaten hat.
Für US-Anbieter hat sich die Lage mit dem Swiss-US Data Privacy Framework verändert: Zertifizierte Unternehmen gelten als angemessen geschützt, nicht zertifizierte nicht. Was das für Ihre Tools bedeutet, erklären wir in unserem Beitrag zum Swiss-US Data Privacy Framework. Einen Überblick über alle Varianten der Übermittlung gibt unser Artikel Datentransfer in Drittstaaten: Was die Schweiz erlaubt.
Cookies und Tracking: was der EDÖB erwartet
Der EDÖB hat am 7. Oktober 2025 eine aktualisierte Fassung seines Cookie-Leitfadens vom 22. Januar 2025 veröffentlicht. Zwei Punkte sind für Websitebetreiber besonders relevant:
- Drittanbieter-Technologien mit Profiling: Werden Tools eingebunden, die ein intensives Profiling ermöglichen, kann eine Einwilligung der Nutzerinnen und Nutzer erforderlich sein. Das betrifft typischerweise Werbe-Pixel und plattformübergreifendes Tracking.
- Cookie-Paywalls: Modelle, bei denen Nutzer zwischen Einwilligung und Bezahlung wählen, hält der EDÖB unter bestimmten Umständen für möglich.
Für die Datenschutzerklärung heißt das: Jedes Tool mit Namen, Zweck, Anbieter und Zielstaat aufführen, und das Cookie-Banner muss zur Erklärung passen. Ein Banner, das nur „Alles akzeptieren“ anbietet, aber keine einfache Ablehnung, wird den Transparenzanforderungen kaum gerecht.
Wie ernst der EDÖB Wahlfreiheit nimmt, zeigt der Fall Digitec Galaxus. Nach einer formellen Empfehlung hat der Onlinehändler am 27. November 2025 gemeldet, dass Kundinnen und Kunden der Personalisierung zu Marketingzwecken nun widersprechen können, mit einem einzigen Klick. Die Botschaft an alle anderen: Ein Widerspruchsrecht, das in der Erklärung steht, muss auf der Website ebenso leicht auszuüben sein.
DSG und DSGVO in einem Dokument
Viele Unternehmen aus Deutschland, Österreich oder der Schweiz brauchen beides. Statt zwei getrennter Texte bewährt sich ein modularer Aufbau: ein gemeinsamer Kern und klar markierte Zusatzabschnitte für die jeweilige Rechtsordnung.
Praktisch heißt das: Verantwortlicher, Zwecke, Empfänger und Tools beschreiben Sie einmal. Danach folgen ein Abschnitt „Hinweise für Personen in der EU“ mit Rechtsgrundlagen und Beschwerderecht bei der EU-Aufsicht sowie ein Abschnitt für die Schweiz mit Verweis auf den EDÖB und die Staaten der Übermittlung. Was das revidierte Gesetz darüber hinaus von Unternehmen verlangt, fassen wir unter Revidiertes Datenschutzgesetz Schweiz: Pflichten seit 2023 zusammen.
In sieben Schritten zur eigenen Datenschutzerklärung
- Bestandsaufnahme machen. Listen Sie alle Stellen auf, an denen Daten anfallen: Kontaktformular, Shop, Newsletter, Bewerbungen, Kundenportal, Social-Media-Profile.
- Verzeichnis der Bearbeitungstätigkeiten nutzen. Das Verzeichnis nach Art. 12 DSG ist die natürliche Grundlage der Erklärung. Ändert sich eines der beiden Dokumente, muss das andere nachziehen, sonst entstehen Widersprüche, die spätestens bei einem Auskunftsbegehren auffallen.
- Dienstleister und Zielstaaten erfassen. Für jedes Tool: Anbieter, Sitz, Serverstandort, Vertragsgrundlage (Auftragsbearbeitungsvertrag, Standardvertragsklauseln, Zertifizierung).
- Zwecke konkret formulieren. Ein Zweck pro Datenkategorie, ohne Sammelbegriffe. Wie verständliche Datenschutzhinweise in der Praxis aussehen können, zeigt etwa das Handbuch zu Sicherheit und Datenschutz einer Dispositionssoftware für Sicherheitsdienste, das Datenflüsse für Anwender nachvollziehbar beschreibt.
- Rechte und Kontaktweg erklären. Wie fordert jemand Auskunft an, an welche Adresse, in welcher Form? Nennen Sie einen Kanal, der wirklich bearbeitet wird.
- Cookie-Banner und Erklärung abgleichen. Jedes Tool im Banner muss in der Erklärung stehen, und umgekehrt.
- Datum und Versionierung pflegen. Setzen Sie einen Stand („Stand: Oktober 2026“) und prüfen Sie die Erklärung bei jedem neuen Tool, jeder neuen Dienstleistung und mindestens jährlich.
Wenn Sie neue Bearbeitungen mit hohem Risiko planen, etwa umfangreiches Profiling oder Gesundheitsdaten, prüfen Sie vorher, ob eine Datenschutz-Folgenabschätzung nötig ist. Unser Beitrag zur Datenschutzfolgeabschätzung in der Schweiz erklärt die Schwelle.
Was bei Verstößen droht
Das DSG sanktioniert anders als die DSGVO. Nach Art. 60 DSG wird mit einer Buße bis 250.000 Franken bestraft, wer als private Person die Informationspflichten nach Art. 19 und 21 vorsätzlich verletzt, indem er eine falsche oder unvollständige Auskunft erteilt. Die Strafe trifft die verantwortliche natürliche Person, also etwa die Geschäftsführerin, nicht das Unternehmen. Verfolgt wird diese Pflichtverletzung auf Antrag. Nur wenn die Ermittlung der strafbaren Person unverhältnismäßig wäre, kann nach Art. 64 das Unternehmen mit bis zu 50.000 Franken gebüßt werden. Alle Bestimmungen finden Sie im amtlichen Text des Datenschutzgesetzes.
Fahrlässigkeit ist bei der Informationspflicht nicht strafbar. Das ist aber kein Freibrief: Wer nach einem Hinweis eine erkennbar unvollständige Erklärung stehen lässt, rückt in die Nähe des Vorsatzes. Kommt es zu einem Datenschutzvorfall, prüfen Sie zudem die Meldepflicht an den EDÖB nach Art. 24 DSG.
Unsere Sicht: eine Erklärung, die zum Geschäft passt
In unserer Beratung sehen wir selten Unternehmen ganz ohne Datenschutzerklärung. Viel häufiger sehen wir Erklärungen, die aus einem Generator stammen und mit dem tatsächlichen Geschäft wenig zu tun haben. Ein Handelsunternehmen mit Partnern in Osteuropa, ein Gründer mit Entwicklerteam im Ausland, eine Kanzlei mit Mandanten in mehreren Ländern: Sie alle übermitteln Daten in Staaten, die keine Vorlage kennt.
Unser Ansatz beginnt deshalb nicht beim Text, sondern bei den Datenflüssen. Wir fragen, welche Tools laufen, wohin Daten gehen und auf welcher Grundlage. Erst dann formulieren wir. Weil wir Verträge und Rechtstexte direkt in Deutsch, Englisch, Französisch, Ukrainisch und Russisch bearbeiten, ohne externe Dolmetscher, können wir die Erklärung in den Sprachen abfassen, in denen Ihre Kundschaft sie tatsächlich liest. Das ist mehr als Kosmetik: Transparenz setzt nach dem EDÖB Verständlichkeit für die Zielgruppe voraus, und eine Erklärung, die Ihre Kunden nicht lesen können, ist für sie nicht transparent.
Unser Rat: Behandeln Sie die Datenschutzerklärung wie einen Vertrag mit Ihren Kunden. Sie sagt, was Sie mit ihren Daten tun, und Sie sollten sich daran messen lassen können.
— Bitblade
Datenschutz-Check für Ihre Website
Sie möchten wissen, ob Ihre Erklärung, Ihr Cookie-Banner und Ihre Verträge mit Dienstleistern dem revidierten DSG standhalten? Wir bieten einen Datenschutz-Check nach revidiertem DSG sowie die Prüfung und Erstellung der dazugehörigen Verträge an. Ein Erstgespräch mit Einschätzung gibt es ab 150 CHF pro Stunde. Alle Leistungen und Honorare finden Sie unter Pakete und Honorare.
Häufige Fragen
Brauche ich als deutsches Unternehmen eine Datenschutzerklärung nach Schweizer Recht?
Wenn Ihre Datenbearbeitung Auswirkungen in der Schweiz hat, etwa weil Sie Schweizer Kunden gezielt ansprechen oder dorthin liefern, gilt das DSG neben der DSGVO. In der Regel genügt eine gemeinsame Erklärung mit einem Schweiz-Abschnitt. Prüfen Sie zusätzlich, ob Sie nach Art. 14 DSG eine Vertretung in der Schweiz bestellen müssen.
Reicht eine DSGVO-konforme Datenschutzerklärung auch für die Schweiz?
Meist deckt sie den Großteil ab, aber nicht alles. Das DSG verlangt ausdrücklich die Nennung der Zielstaaten bei Übermittlungen ins Ausland und der dafür genutzten Garantien. Zudem sollte der EDÖB als Schweizer Aufsicht erwähnt werden.
Darf ich eine kostenlose Vorlage verwenden?
Eine Vorlage ist ein Ausgangspunkt, kein Endprodukt. Art. 19 DSG verlangt, dass die Erklärung die tatsächlichen Bearbeitungen beschreibt, inklusive Ihrer konkreten Tools und Zielstaaten. Ohne diese Anpassung bleibt eine Vorlage unvollständig.
Wo muss die Datenschutzerklärung auf der Website stehen?
Sie muss leicht auffindbar sein, üblich ist ein Link im Footer jeder Seite und bei Formularen, an denen Daten erhoben werden. Der EDÖB verlangt, dass die Erklärung auf der Website eingeblendet und für die Nutzenden verständlich ist.