DSG-Checkliste: Was Ihre Website in der Schweiz braucht

Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (DSG). Fast jede Firmenwebsite bearbeitet Personendaten, über Kontaktformulare, Statistik-Tools, eingebettete Videos oder schlicht über die IP-Adresse beim Seitenaufruf. Diese DSG-Checkliste zeigt Ihnen die zehn Punkte, die Sie auf Ihrer Website prüfen sollten, und erklärt, wo die Unterschiede zur europäischen DSGVO liegen.

Hinweis: Ich bin Webentwickler, kein Anwalt. Dieser Artikel ist eine praktische Orientierung und ersetzt keine Rechtsberatung. Bei heiklen Daten oder grossem Umfang lohnt sich eine Prüfung durch eine Fachperson.

Das Wichtigste zum DSG in Kürze

Das DSG schützt nur noch natürliche Personen, keine Firmen.
IP-Adressen gelten oft als Personendaten, weil sie sich einer Person zuordnen lassen. Damit fällt fast jede Website unter das Gesetz.
Das DSG verlangt für die meisten Bearbeitungen keine Einwilligung, aber Transparenz: Besucherinnen und Besucher müssen erfahren, was mit ihren Daten geschieht.
Bei vorsätzlichen Verstössen, etwa gegen die Informationspflicht, drohen Bussen bis CHF 250'000.–, und zwar gegen die verantwortlichen Personen, nicht in erster Linie gegen das Unternehmen.

Den vollständigen Gesetzestext finden Sie auf Fedlex.

DSG-Checkliste: 10 Punkte für Ihre Website

1. Datenschutzerklärung

Nach Art. 19 DSG müssen Sie Betroffene bei der Beschaffung von Personendaten informieren. Ihre Datenschutzerklärung sollte mindestens enthalten:

Name und Kontaktadresse des Verantwortlichen
Welche Daten Sie bearbeiten und zu welchem Zweck
An wen Daten weitergegeben werden, zum Beispiel Hosting, Mail-Dienst oder Analyse-Tool
In welche Länder Daten gehen und mit welchen Garantien (Art. 19 Abs. 4 DSG)
Welche Rechte Betroffene haben und wie sie diese ausüben

Wichtig: Die Erklärung muss zu Ihrer Website passen. Eine kopierte Vorlage, die Tools nennt, die Sie gar nicht nutzen, oder Tools weglässt, die Sie nutzen, erfüllt den Zweck nicht.

2. Impressum

Das Impressum ist keine Vorgabe des DSG, sondern des Lauterkeitsrechts: Wer Waren oder Dienstleistungen online anbietet, muss nach Art. 3 Abs. 1 lit. s UWG klar angeben, wer er ist, und eine Kontaktadresse inklusive E-Mail nennen. In der Praxis gehören Firmenname, Rechtsform, Adresse, E-Mail und gegebenenfalls Handelsregister- und MWST-Nummer dazu.

3. Cookies und Tracking

Anders als in der EU verlangt das Schweizer Recht für Cookies grundsätzlich kein vorgängiges Opt-in. Nach Art. 45c des Fernmeldegesetzes müssen Sie aber über die Bearbeitung informieren und auf die Möglichkeit hinweisen, sie abzulehnen. Ein schlichter Hinweis mit Link zur Datenschutzerklärung reicht deshalb oft. Am einfachsten ist es, auf unnötige Tracking-Tools ganz zu verzichten oder cookielose Statistik-Lösungen zu verwenden.

4. Google Fonts, Google Maps und YouTube

Werden Schriften, Karten oder Videos direkt von Google-Servern geladen, übermittelt der Browser die IP-Adresse an Google, bevor die Person etwas angeklickt hat. Ein deutsches Gericht hat das 2022 bei Google Fonts als Datenschutzverletzung nach DSGVO beurteilt. In der Schweiz ist die Lage weniger streng, die saubere Lösung ist aber einfach:

Schriften lokal auf dem eigenen Server einbinden
Karten und Videos erst nach einem Klick laden (Zwei-Klick-Lösung)
YouTube im erweiterten Datenschutzmodus einbetten

5. US-Dienste

Viele Tools wie Analyse-, Newsletter- oder Formular-Dienste speichern Daten in den USA. Seit dem 15. September 2024 gilt das Swiss-U.S. Data Privacy Framework: Daten dürfen an US-Firmen gehen, die unter diesem Rahmen zertifiziert sind. Ob ein Anbieter zertifiziert ist, prüfen Sie auf der offiziellen Liste. Für nicht zertifizierte Anbieter braucht es andere Garantien, meist Standardvertragsklauseln. Nennen Sie die USA in jedem Fall in Ihrer Datenschutzerklärung.

6. Kontaktformulare

Fragen Sie nur ab, was Sie wirklich brauchen. Name, E-Mail und Nachricht reichen meist. Das Formular muss über HTTPS laufen, und unter dem Formular sollte ein kurzer Hinweis mit Link zur Datenschutzerklärung stehen. Legen Sie fest, wie lange Anfragen gespeichert werden, und löschen Sie alte Einträge regelmässig.

7. Auftragsbearbeiter

Hosting-Anbieter, Mail-Dienste, Webagenturen oder Freelancer, die Zugriff auf Personendaten haben, sind Auftragsbearbeiter nach Art. 9 DSG. Halten Sie die Zusammenarbeit in einem Vertrag fest, der den Datenschutz regelt. Bei grossen Anbietern ist ein solcher Vertrag meist in den Geschäftsbedingungen enthalten oder kann heruntergeladen werden.

8. Datensicherheit

Art. 8 DSG verlangt angemessene technische und organisatorische Massnahmen. Für eine Website heisst das konkret:

HTTPS auf allen Seiten
WordPress, Theme und Plugins aktuell halten und ungenutzte Plugins entfernen
Eigene Benutzerkonten mit starken Passwörtern und Zwei-Faktor-Authentifizierung
Regelmässige, getestete Backups

9. Datenschutzverletzungen melden

Wird Ihre Website gehackt und führt das voraussichtlich zu einem hohen Risiko für die Betroffenen, müssen Sie dies nach Art. 24 DSG so rasch als möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden. Halten Sie fest, wer im Ernstfall zuständig ist und wie Sie Ihren Webentwickler oder Hoster erreichen.

10. Auskunftsanfragen beantworten

Jede Person kann nach Art. 25 DSG Auskunft darüber verlangen, welche Daten Sie über sie bearbeiten. Die Antwort muss in der Regel innert 30 Tagen erfolgen und ist grundsätzlich kostenlos. Wer weiss, wo die Daten liegen (Formular-Datenbank, Mail-Postfach, Newsletter-Tool), kann solche Anfragen schnell beantworten.

Brauche ich ein Verzeichnis der Bearbeitungstätigkeiten?

Das DSG verlangt grundsätzlich ein Verzeichnis aller Bearbeitungen. Unternehmen mit weniger als 250 Mitarbeitenden sind davon befreit, sofern sie keine besonders schützenswerten Personendaten in grossem Umfang bearbeiten und kein Profiling mit hohem Risiko betreiben. Eine einfache Liste der genutzten Tools ist trotzdem sinnvoll. Sie hilft bei der Datenschutzerklärung und bei Auskunftsanfragen.

Wann zusätzlich die DSGVO gilt

Die europäische DSGVO kann auch für Schweizer Unternehmen gelten, wenn sie Personen in der EU gezielt Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten (Art. 3 Abs. 2 DSGVO). Gerade in Basel mit Kundschaft aus Deutschland und Frankreich ist das häufig der Fall. Dann gelten strengere Regeln, etwa ein Opt-in für nicht notwendige Cookies.

Häufige Fehler auf Schweizer Websites

Eine DSGVO-Vorlage aus Deutschland, die das Schweizer Recht nicht erwähnt
Google Analytics oder Meta-Pixel ohne Hinweis in der Datenschutzerklärung
Google Fonts, die trotz lokaler Einbindung noch von Google geladen werden, etwa durch ein Plugin
Ein Impressum ohne E-Mail-Adresse
Veraltete Plugins mit bekannten Sicherheitslücken

Fazit

Die meisten Punkte dieser DSG-Checkliste lassen sich an einem Nachmittag prüfen: passende Datenschutzerklärung, vollständiges Impressum, lokale Schriften, bewusst gewählte Tools und eine gepflegte Installation. Ein Beispiel für eine schlanke Datenschutzerklärung finden Sie auf meiner Website. Wenn Sie Google Fonts lokal einbinden, Tracking aufräumen oder Ihre WordPress-Installation absichern möchten, schicken Sie mir ein Ticket. Agenturen finden die Zusammenarbeit unter WordPress-Support für Agenturen.

Häufige Fragen

Brauche ich in der Schweiz einen Cookie-Banner?

Nach Schweizer Recht ist kein Banner mit vorgängiger Einwilligung nötig. Sie müssen über Cookies informieren und eine Möglichkeit zur Ablehnung aufzeigen. Richtet sich Ihre Website gezielt an Personen in der EU, kann die DSGVO aber ein Opt-in verlangen.

Gilt das DSG auch für kleine Firmen und Einzelunternehmen?

Ja. Das DSG gilt unabhängig von der Grösse des Unternehmens. Erleichterungen gibt es nur bei einzelnen Pflichten, etwa beim Verzeichnis der Bearbeitungstätigkeiten.

Wer haftet bei Verstössen gegen das DSG?

Die Bussen bis CHF 250'000.– richten sich gegen die verantwortlichen natürlichen Personen, zum Beispiel Inhaber oder Geschäftsführerinnen. Nur wenn diese mit unverhältnismässigem Aufwand ermittelt werden müssten, kann das Unternehmen selbst mit bis zu CHF 50'000.– gebusst werden (Art. 64 DSG).

Muss ich Google Fonts lokal einbinden?

Das Schweizer Recht verbietet Google Fonts nicht ausdrücklich. Die lokale Einbindung ist aber die sauberste Lösung, weil keine IP-Adressen an Google gehen. Sie macht die Website ausserdem oft schneller.

Was kostet es, eine Website DSG-konform zu machen?

Das hängt vom Ausgangszustand ab. Schriften lokal einbinden, Einbettungen auf Zwei-Klick umstellen und Plugins aufräumen dauert bei einer typischen WordPress-Website oft ein bis drei Stunden. Die Datenschutzerklärung selbst sollten Sie mit einem guten Generator oder einer Fachperson erstellen.