Eine Datenschutzerklärung nach Schweizer Recht muss mindestens drei Dinge offenlegen: wer für die Daten verantwortlich ist und wie man ihn erreicht, wozu die Daten bearbeitet werden und an wen sie gehen. Werden Daten ins Ausland übermittelt, kommen das Zielland und die Schutzgarantien hinzu. So verlangt es Art. 19 des revidierten Datenschutzgesetzes (DSG), das seit dem 1. September 2023 gilt. Dazu kommt alles, was Betroffene brauchen, um ihre Rechte wahrzunehmen. Hier finden Sie, welche Inhalte Pflicht sind, was in der Praxis dazugehört, wie Sie die Erklärung aufbauen und wo Unternehmen mit Sitz in Deutschland oder der EU zusätzlich aufpassen müssen.
TL;DR
- Pflicht nach Art. 19 DSG: Identität und Kontaktdaten des Verantwortlichen, Bearbeitungszweck, Empfänger oder Empfängerkategorien, bei Auslandsübermittlung Zielstaat und Garantien.
- Das DSG gilt auch für Unternehmen im Ausland, wenn sich ihre Datenbearbeitung in der Schweiz auswirkt, etwa durch einen Onlineshop für Schweizer Kunden.
- Eine Vorlage reicht nur, wenn sie Ihre tatsächlichen Datenflüsse abbildet: Analysetools, Cloud-Hosting, CRM, KI-Funktionen.
- Wer vorsätzlich unvollständig informiert, riskiert eine Busse bis 250.000 CHF, und zwar persönlich, nicht nur als Firma.
- Eine sauber aufgebaute Erklärung kann DSG und DSGVO gemeinsam abdecken, wenn die Unterschiede bewusst eingearbeitet sind.
Wer eine Datenschutzerklärung nach DSG braucht
Das DSG gilt für die Bearbeitung von Personendaten durch Private und Bundesorgane. Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen, also auch eine geschäftliche E-Mail-Adresse wie vorname.name@firma.ch. Daten juristischer Personen schützt das revidierte Gesetz nicht mehr.
Entscheidend für Leser außerhalb der Schweiz: Nach Art. 3 DSG gilt das Gesetz für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden. Ein Münchner Onlinehändler, der in die Schweiz liefert, eine Wiener Agentur mit Zürcher Kunden oder ein SaaS-Anbieter mit Schweizer Nutzern fallen damit regelmäßig unter das DSG, neben der DSGVO.
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hält fest, dass Unternehmen eine für die Nutzenden verständliche Datenschutzerklärung verfassen und auf ihrer Website einblenden müssen. Die Informationspflicht greift aber nicht nur online: Sie gilt für jede Beschaffung von Personendaten, auch bei Bewerbungen, Newsletter-Anmeldungen, Kundenkonten oder Mitarbeitenden.
Die Pflichtinhalte nach Art. 19 DSG
Art. 19 DSG verlangt, dass die betroffene Person alle Informationen erhält, die sie braucht, um ihre Rechte geltend zu machen und eine transparente Datenbearbeitung zu gewährleisten. Das Gesetz nennt dazu einen Mindestkatalog:
Stammen die Daten nicht von der betroffenen Person selbst, müssen Sie nach Art. 19 Abs. 5 DSG spätestens einen Monat nach Erhalt informieren. Geben Sie die Daten vorher weiter, gilt der Zeitpunkt der Bekanntgabe. Die Ausnahmen in Art. 20, etwa wenn die Information unmöglich ist oder einen unverhältnismäßigen Aufwand verursacht, sind eng. Für ein normales Unternehmen mit Kontaktdaten seiner Kunden greifen sie kaum.
Anders als die DSGVO verlangt das DSG keine Angabe der Rechtsgrundlage für jede Bearbeitung. Wer auch unter die DSGVO fällt, nennt sie trotzdem, weil sie dort Pflicht ist.
Was in der Praxis zusätzlich hineingehört
Der gesetzliche Mindestkatalog ist knapp. Weil Art. 19 aber alle Informationen verlangt, die Betroffene zur Wahrnehmung ihrer Rechte brauchen, enthält eine belastbare Erklärung mehr:
Kategorien der Personendaten. Auch bei direkter Beschaffung hilft eine Übersicht: Stammdaten, Kommunikationsdaten, Vertragsdaten, Zahlungsdaten, technische Daten wie IP-Adressen. Besonders schützenswerte Daten nach Art. 5 lit. c DSG, etwa Gesundheitsdaten oder Angaben zu religiösen Ansichten, gehören klar benannt.
Rechte der Betroffenen. Auskunft (Art. 25), Datenherausgabe und -übertragung (Art. 28), Berichtigung, Löschung und Widerspruch. Nennen Sie den Weg: an welche Adresse, in welcher Form.
Aufbewahrungsdauer. Das DSG verlangt sie nicht wörtlich in der Erklärung, aber Daten dürfen nur so lange aufbewahrt werden, wie der Zweck es erfordert. Eine Angabe wie „Buchhaltungsbelege zehn Jahre, Bewerbungsunterlagen bis zum Abschluss des Verfahrens" schafft Vertrauen und erfüllt gleichzeitig die DSGVO.
Cookies und Tracking. Welche Tools Sie einsetzen, wozu, wer dahintersteht und wie Nutzer widersprechen. Der EDÖB hat dazu ein Merkblatt zu Cookies und ähnlichen Technologien veröffentlicht, das zeigt, worauf Nutzer achten sollen und damit auch, was Website-Betreiber erklären müssen.
Profiling und KI. Wenn Sie Nutzerverhalten auswerten, Empfehlungen personalisieren oder Anfragen mit KI-Diensten verarbeiten, gehört das ausdrücklich in die Erklärung, samt Anbieter und Speicherort.
Vertretung in der Schweiz. Private Verantwortliche mit Sitz im Ausland müssen unter den Voraussetzungen von Art. 14 DSG eine Vertretung in der Schweiz bezeichnen, etwa wenn sie Schweizer Kunden regelmäßig und in großem Umfang Waren oder Dienstleistungen anbieten. Name und Adresse dieser Vertretung sind zu veröffentlichen, die Datenschutzerklärung ist der naheliegende Ort.
Datenübermittlung ins Ausland richtig angeben
Für die meisten Unternehmen ist dies die heikelste Stelle. Schon ein US-Newsletter-Tool, ein Cloud-Speicher oder ein Support-Team in Osteuropa ist eine Bekanntgabe ins Ausland. Art. 19 Abs. 4 DSG verlangt dann den Staat oder das internationale Organ und, wo kein angemessener Schutz besteht, die Garantien nach Art. 16 Abs. 2 oder die Ausnahme nach Art. 17.
In der Praxis heißt das: Länder mit Angemessenheitsentscheid des Bundesrats, darunter die EU-Staaten, können Sie einfach benennen. Für andere Staaten schreiben Sie, ob Standardvertragsklauseln, verbindliche Unternehmensregeln oder eine Zertifizierung des Empfängers greifen. Wie das im Einzelnen funktioniert, erklären wir in unserem Beitrag zum Datentransfer in Drittstaaten nach Schweizer Recht. Für US-Dienste lohnt der Blick auf das Swiss-US Data Privacy Framework: Ist der Anbieter zertifiziert, vereinfacht das die Angaben erheblich.
Vage Formulierungen wie „Daten können weltweit bearbeitet werden" genügen nicht. Sie erfüllen den Zweck des Gesetzes nicht, weil die betroffene Person daraus nichts ableiten kann.
Aufbau: verständlich statt vollständig versteckt
Eine Datenschutzerklärung ist kein Vertrag, den nur Juristen lesen. Bewährt hat sich ein mehrstufiger Aufbau:
- Kurzfassung oben: In fünf bis acht Zeilen, wer verantwortlich ist, welche Daten wofür bearbeitet werden und wie man Kontakt aufnimmt.
- Gliederung nach Situationen: Website-Besuch, Kontaktformular, Kundenkonto, Newsletter, Bewerbung. So findet jeder Leser seinen Fall.
- Detailebene darunter: einzelne Dienste, Empfänger, Länder, Garantien, Speicherfristen.
- Rechte und Kontakt am Ende: klarer Weg für Auskunft und Widerspruch.
Wie ein solcher Aufbau für eine konkrete Branche aussieht, zeigt dieses Beispiel einer verständlich gegliederten Datenschutzerklärung für Immobilienagenturen: Die Gliederung nach Kundensituationen lässt sich gut auf andere Dienstleister übertragen.
Sprache zählt ebenfalls. Richtet sich Ihr Angebot an französisch- oder italienischsprachige Schweizer, an Englischsprachige oder an Kunden aus Osteuropa, sollte die Erklärung in deren Sprache vorliegen. Eine Information, die der Empfänger nicht versteht, ist keine angemessene Information.
DSG und DSGVO in einer Erklärung
Viele Unternehmen im DACH-Raum fallen unter beide Regelwerke. Eine gemeinsame Erklärung ist möglich und üblich, wenn sie die Unterschiede abbildet:
Praktisch heißt das: Die DSGVO-Struktur deckt vieles ab, aber die Länderliste für Übermittlungen, der Hinweis auf den EDÖB und gegebenenfalls die Schweizer Vertretung müssen ergänzt werden. Besonders bei CRM-Systemen mit Vertriebs- und Marketingfunktionen lohnt eine genaue Bestandsaufnahme. Einen guten Überblick, was die DSGVO für Kundendaten im CRM bedeutet, gibt dieser Beitrag; die gleichen Fragen nach Zweck, Zugriff und Speicherort stellen sich unter dem DSG. Die übrigen Pflichten seit der Revision fassen wir im Beitrag zum revidierten Schweizer Datenschutzgesetz zusammen.
So erstellen Sie die Erklärung Schritt für Schritt
- Datenflüsse erfassen. Listen Sie jede Stelle auf, an der Personendaten entstehen: Formulare, Shop, Cookies, E-Mail, Telefon, Buchhaltung, HR.
- Dienste und Empfänger zuordnen. Für jedes Tool: Anbieter, Zweck, Datenkategorien, Serverstandort, Vertragsgrundlage.
- Auslandsbezug prüfen. Für jedes Land außerhalb der Schweiz: Angemessenheit oder Garantie dokumentieren.
- Risiken bewerten. Bei hohem Risiko, etwa umfangreichem Profiling oder Gesundheitsdaten, ist eine Datenschutz-Folgenabschätzung nötig, deren Ergebnisse oft auch die Erklärung schärfen.
- Text schreiben. Kurzfassung, Situationen, Details, Rechte. Klare Sprache, keine Floskeln.
- Abgleich mit der Technik. Ein Website-Scan zeigt, ob tatsächlich nur die genannten Dienste laden.
- Pflege einplanen. Jedes neue Tool, jeder Anbieterwechsel und jede neue KI-Funktion löst eine Aktualisierung aus. Datum der letzten Änderung angeben.
Generatoren liefern einen Ausgangstext. Sie wissen aber nicht, welches Plugin Ihr Webdesigner nachträglich eingebaut hat oder dass Ihr Support-Team Anfragen über ein Ticketsystem in den USA abwickelt. Diese Lücken sind es, die im Ernstfall zählen.
Was bei Verstößen droht
Nach Art. 60 DSG werden private Personen auf Antrag mit Busse bis 250.000 CHF bestraft, wenn sie vorsätzlich die Informationspflicht nach Art. 19 oder 21 verletzen oder falsch und unvollständig informieren. Strafbar ist nur Vorsatz, verfolgt wird durch die kantonalen Strafbehörden. Die Busse trifft grundsätzlich die verantwortliche natürliche Person, etwa die Geschäftsführerin oder den zuständigen Mitarbeitenden, nicht das Unternehmen.
Der EDÖB selbst verhängt keine Bussen, kann aber Untersuchungen führen und verbindlich anordnen, dass eine Bearbeitung angepasst oder eingestellt wird. Dass solche Entscheide halten, zeigt ein Urteil des Bundesverwaltungsgerichts vom 22. Juni 2026, das eine Verfügung des EDÖB gegen ein Inkassounternehmen bestätigt hat.
Unsere Sicht: Die Erklärung ist ein Spiegel Ihrer Prozesse
In unseren Mandaten sehen wir selten Unternehmen, die gar keine Datenschutzerklärung haben. Wir sehen viele, deren Erklärung mit der Wirklichkeit nichts zu tun hat: DSGVO-Texte aus Deutschland ohne Schweizer Länderangaben, Vorlagen, die ein längst abgeschaltetes Tool nennen, aber das neue CRM verschweigen, oder Erklärungen nur auf Deutsch für eine Kundschaft, die überwiegend Englisch, Ukrainisch oder Russisch spricht.
Gerade bei grenzüberschreitenden Geschäften liegen die Risiken in den Details: Daten, die zwischen einer Schweizer Gesellschaft und Partnern in der EU oder in Osteuropa fließen, Auftragsbearbeitungsverträge in verschiedenen Sprachen, Empfänger, die niemand mehr auf dem Schirm hat. Weil wir Verträge und Datenschutztexte direkt in Deutsch, Englisch, Französisch, Ukrainisch und Russisch prüfen, gibt es keinen Übersetzungsschritt, in dem Bedeutung verloren geht. Unser Rat: Fangen Sie nicht beim Text an, sondern bei der Liste Ihrer Datenflüsse. Ist sie vollständig, schreibt sich die Erklärung fast von selbst.
— Bitblade
Datenschutz-Check mit Sobiera Legal
Sie möchten wissen, ob Ihre Datenschutzerklärung dem revidierten DSG standhält oder brauchen eine neue für den Schweizer Markt? Mit unserem Datenschutz-Check nach revDSG prüfen wir Erklärung, Datenflüsse und Auftragsbearbeitungsverträge und sagen Ihnen, was fehlt. Ein Erstgespräch mit Einschätzung kostet ab 150 CHF pro Stunde. Alle Leistungen und Konditionen finden Sie unter Pakete und Honorare.
Datenschutzverträge elektronisch unterschreiben: QES oder FES?
Zur Datenschutzerklärung gehören oft Verträge mit Dienstleistern, etwa Auftragsbearbeitungsverträge oder Standardvertragsklauseln. Viele unterschreiben sie heute elektronisch. In der Schweiz kennt man drei Stufen: die einfache (EES), die fortgeschrittene (FES) und die qualifizierte elektronische Signatur (QES).
Nur die QES ist in der Schweiz der eigenhändigen Unterschrift gleichgestellt und kann für alle Rechtsgeschäfte und Eingaben bei Behörden und Gerichten genutzt werden. Sie lässt sich, anders als EES und FES, mit einem Validator überprüfen. Technisch braucht es dafür ein qualifiziertes Zertifikat, eine Signatursoftware und eine Verbindung zu einem zertifizierten Anbieter.
Für die meisten Datenschutzverträge schreibt das Gesetz keine Schriftform vor, eine FES genügt dann als gut beweisbare Lösung. Bei internationalen Verträgen gilt: Schweizer Recht und das EU-Recht regeln Signaturen getrennt. Klären Sie vor der Unterzeichnung, welches Recht auf den Vertrag anwendbar ist und welches Signaturniveau Ihr Vertragspartner anerkennt.
Häufige Fragen
Ist eine E-Mail-Adresse ein Personendatum?
Ja, sobald sie sich einer bestimmten oder bestimmbaren Person zuordnen lässt. Das gilt für private Adressen und für geschäftliche wie anna.meier@firma.ch. Allgemeine Adressen wie info@firma.ch sind meist keine Personendaten, solange keine Person dahinter erkennbar ist.
Reicht meine DSGVO-Datenschutzerklärung für die Schweiz?
Oft fast, aber nicht ganz. Ergänzen Sie die konkreten Zielstaaten bei Auslandsübermittlungen, den Hinweis auf den EDÖB und, falls nötig, Ihre Vertretung in der Schweiz. Prüfen Sie auch, ob die Erklärung Ihre aktuellen Tools tatsächlich abbildet.
Wie oft muss ich die Datenschutzerklärung aktualisieren?
Immer dann, wenn sich die Datenbearbeitung ändert: neues Tool, neuer Anbieter, neuer Zweck, neues Zielland. Eine feste Frist kennt das DSG nicht. Eine Prüfung mindestens einmal pro Jahr und nach jedem Website-Relaunch ist in der Praxis sinnvoll.
Muss ein kleines Unternehmen ohne Website eine Datenschutzerklärung haben?
Die Informationspflicht nach Art. 19 DSG gilt unabhängig von einer Website, sobald Sie Personendaten beschaffen. Sie können dann etwa im Vertrag, auf dem Formular oder per E-Mail informieren. Eine kurze, schriftliche Erklärung, auf die Sie verweisen, ist dafür die einfachste Lösung.