Ratgeber · Datenschutz

revDSG-konforme Website: Was KMU beachten müssen

Kurz gesagt: Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG). Für die meisten KMU-Websites heisst das: eine verständliche Datenschutzerklärung, sichere Formulare, Transparenz über Cookies und Drittanbieter – und Sorgfalt, wenn Daten ins Ausland gehen. Diese Checkliste zeigt dir die acht Punkte, die du prüfen solltest.

Zur Checkliste Website mit Datenschutz anfragen

Grundlagen

Was das revDSG für Websites bedeutet

Das Datenschutzgesetz (DSG) gilt für alle Unternehmen, die Personendaten bearbeiten – und das tut fast jede Website: Schon ein Kontaktformular, ein Newsletter oder ein Statistik-Tool bearbeitet Namen, E-Mail-Adressen oder IP-Adressen. Für Websites sind vor allem diese Pflichten wichtig:

  • Informieren – Besucherinnen und Besucher erfahren, welche Daten wozu bearbeitet werden (Art. 19 DSG).
  • Daten sichern – mit angemessenen technischen und organisatorischen Massnahmen (Art. 8 DSG).
  • Dienstleister im Griff haben – wer Daten in deinem Auftrag bearbeitet, braucht klare Regeln (Art. 9 DSG).
  • Sorgfalt beim Ausland – Daten dürfen nur in Länder mit angemessenem Schutz oder mit Garantien gehen (Art. 16 DSG).
  • Pannen melden – bei hohem Risiko für Betroffene an den EDÖB (Art. 24 DSG).

Vorsätzliche Verstösse gegen bestimmte Pflichten, etwa die Informationspflicht, können mit Bussen bis CHF 250'000 bestraft werden – und zwar die verantwortlichen Personen selbst (Art. 60 ff. DSG).

Checkliste

Checkliste: 8 Punkte für deine Website

Geh die Punkte der Reihe nach durch. Wo du unsicher bist, lohnt sich ein Blick in die verlinkten Gesetzestexte oder eine Rechtsberatung.

  1. Datenschutzerklärung

    Verständlich, leicht auffindbar und im Footer jeder Seite verlinkt. Sie nennt mindestens, wer verantwortlich ist und wie man dich erreicht, wozu Daten bearbeitet werden, an wen sie gehen und – falls Daten ins Ausland gehen – in welche Länder (Art. 19 DSG).

  2. Impressum

    Wer Waren oder Dienstleistungen online anbietet, muss klar angeben, wer dahintersteht: Name bzw. Firma, Postadresse und E-Mail-Adresse (Art. 3 Abs. 1 lit. s UWG).

  3. Hosting und Dienstleister

    Wer Daten in deinem Auftrag bearbeitet – Hosting, E-Mail, Formular- oder Newsletter-Dienst –, ist Auftragsbearbeiter. Du bleibst verantwortlich und brauchst einen Vertrag, der den Datenschutz sicherstellt (Art. 9 DSG). Ein Anbieter in der Schweiz vereinfacht vieles.

  4. Cookies und Tracking

    Informiere über eingesetzte Cookies und zeige, wie man sie ablehnen kann (Art. 45c FMG). Technisch notwendige Cookies sind zulässig. Für Werbe-Tracking verlangt der EDÖB mindestens ein gut erkennbares Opt-out, für seitenübergreifendes Tracking mit hohem Risiko eine ausdrückliche Einwilligung (EDÖB-Leitfaden).

  5. Kontaktformular

    Frage nur ab, was du wirklich brauchst, übertrage die Daten verschlüsselt (HTTPS) und bewahre sie nicht länger auf als nötig. Nenne den Zweck in der Datenschutzerklärung (Art. 6 und Art. 8 DSG).

  6. Newsletter

    Für Werbe-E-Mails brauchst du in der Regel die Einwilligung der Empfängerinnen und Empfänger (Art. 3 Abs. 1 lit. o UWG). Ein Double-Opt-in dient als Nachweis, ein Abmeldelink gehört in jede Ausgabe.

  7. Eingebettete Drittanbieter

    Google Fonts, Google Maps, YouTube-Videos oder Social-Media-Plugins übertragen beim Laden die IP-Adresse an Dritte, oft in die USA. Besser: Schriften selbst hosten, Karten und Videos erst nach Klick laden und alle Dienste in der Datenschutzerklärung aufführen.

  8. Sicherheit und Notfall

    HTTPS, aktuelle Software, sichere Passwörter und Backups. Führt eine Datensicherheitsverletzung voraussichtlich zu einem hohen Risiko für Betroffene, musst du sie dem EDÖB so rasch als möglich melden (Art. 24 DSG).

Hosting-Standort

Daten ins Ausland und in die USA

Personendaten dürfen ins Ausland gehen, wenn der Bundesrat dem Land einen angemessenen Datenschutz bescheinigt hat. Die Liste steht in Anhang 1 der Datenschutzverordnung (DSV) und umfasst unter anderem die Staaten der EU und des EWR (Art. 16 DSG).

Für die USA gilt seit dem 15. September 2024: Ein angemessener Schutz besteht nur bei Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind (Medienmitteilung des Bundesrates). Bei allen anderen Empfängern brauchst du zusätzliche Garantien, etwa Standardvertragsklauseln. In jedem Fall nennt die Datenschutzerklärung die Länder, in die Daten gehen.

Praxis-Tipp: Liegen Hosting, Formulare und E-Mail bei einem Anbieter in der Schweiz und verzichtest du auf US-Dienste wie Google Fonts oder Google Analytics, stellt sich die Auslandfrage für deine Website meist gar nicht.

Entwarnung

Was kleine KMU meist nicht brauchen

Verzeichnis der Bearbeitungstätigkeiten

Unternehmen mit weniger als 250 Mitarbeitenden sind davon befreit, solange ihre Datenbearbeitung nur ein geringes Risiko mit sich bringt (Art. 12 Abs. 5 DSG, Art. 24 DSV).

Datenschutzberater

Private Unternehmen können eine Datenschutzberaterin oder einen Datenschutzberater ernennen – Pflicht ist das nicht (Art. 10 DSG).

Datenschutz-Folgenabschätzung

Sie ist nur nötig, wenn eine Bearbeitung ein hohes Risiko für die Betroffenen mit sich bringen kann (Art. 22 DSG) – bei einer typischen KMU-Website selten.

endlich-online.ch

So löst endlich-online.ch das für deine Website

  • Alle Daten in der Schweiz: Hosting, Formulare und E-Mail-Versand laufen bei Infomaniak in der Schweiz.
  • Keine US-Dienste eingebunden: Schriften selbst gehostet, kein Google Analytics, kein Tracking.
  • Kein Cookie-Banner nötig: Ohne Tracking-Cookies genügt in der Regel der Hinweis in der Datenschutzerklärung.
  • Impressum und Datenschutzerklärung inklusive: abgestimmt auf die Funktionen deiner Website (keine Rechtsberatung).
  • Sichere Formulare: verschlüsselte Übertragung, nur die nötigen Felder.

Mehr dazu unter Website erstellen lassen – oder lass deine bestehende Website datenschutzfreundlich erneuern.

Häufige Fragen zum Datenschutz auf der Website

Kurze, klare Antworten – ohne Fachwörter.

Braucht meine Website ein Cookie-Banner?

Nicht zwingend. Nach Art. 45c FMG musst du über eingesetzte Cookies informieren und zeigen, wie man sie ablehnen kann. Setzt deine Website nur technisch notwendige Cookies, genügt in der Regel ein Hinweis in der Datenschutzerklärung. Für Werbe-Tracking verlangt der EDÖB mindestens ein gut erkennbares Opt-out, für seitenübergreifendes Tracking mit hohem Risiko eine ausdrückliche Einwilligung.

Ist eine Datenschutzerklärung auf der Website Pflicht?

Sobald deine Website Personendaten bearbeitet – etwa über ein Kontaktformular, einen Newsletter oder Statistik-Tools – musst du die Besucherinnen und Besucher nach Art. 19 DSG informieren. Praktisch geschieht das mit einer gut auffindbaren Datenschutzerklärung, verlinkt im Footer jeder Seite.

Darf ich Google Analytics nutzen?

Grundsätzlich ja, aber mit Sorgfalt: Informiere in der Datenschutzerklärung über Zweck, Empfänger und Länder, biete eine Ablehnungsmöglichkeit und prüfe die Einstellungen. Weil Daten an einen Anbieter in den USA gehen, gelten die Regeln zur Bekanntgabe ins Ausland. Datensparsamer sind Statistik-Lösungen ohne Cookies mit Hosting in der Schweiz oder der EU.

Was droht bei Verstössen gegen das revDSG?

Vorsätzliche Verstösse gegen bestimmte Pflichten, etwa die Informationspflicht, können mit Bussen bis CHF 250'000 bestraft werden (Art. 60 ff. DSG). Gebüsst werden grundsätzlich die verantwortlichen Personen, nicht das Unternehmen. Zudem kann der EDÖB Untersuchungen eröffnen und Massnahmen anordnen.

Quellen

Dieser Ratgeber gibt einen Überblick und ersetzt keine Rechtsberatung. Stand: 23. Oktober 2026.

Eine Website, bei der Datenschutz mitgedacht ist.

Alle Daten in der Schweiz, keine US-Dienste, Datenschutzerklärung inklusive. Den Entwurf siehst du innert 3 Arbeitstagen – kostenlos.

Kostenlosen Entwurf anfragen →