nDSG-Checkliste für deine Website: Das müssen Schweizer KMU prüfen

Ein Beispiel: Eine Fahrschule in Baden hat eine einfache Website mit Kontaktformular, einer eingebetteten Google-Karte, zwei YouTube-Videos und Google Analytics. Im Footer steht eine Datenschutzerklärung, kopiert von einer anderen Firma vor fünf Jahren. Darin kommen weder YouTube noch Analytics vor. Die Inhaberin hält das für eine Formalie. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) sieht es anders: Die Erklärung muss mit dem übereinstimmen, was die Website tatsächlich tut. Diese Checkliste zeigt dir, was du auf deiner Website prüfen solltest, wann ein Cookie-Banner nötig ist und was bei Verstössen droht. Sie ersetzt keine Rechtsberatung, sagt dir aber, wo du hinschauen musst.

Kurz gesagt: Was verlangt das Datenschutzgesetz von deiner Website?

Das Datenschutzgesetz (DSG, oft noch nDSG genannt) verlangt, dass du Besucher angemessen informierst, wenn du Personendaten beschaffst (DSG, Art. 19). In der Praxis heisst das: eine verständliche Datenschutzerklärung, die von jeder Seite aus leicht erreichbar ist und deine tatsächliche Datenbearbeitung beschreibt (EDÖB). Für nicht notwendige Cookies braucht es dazu eine gut sichtbare Möglichkeit, sie abzulehnen. In bestimmten Fällen ist eine ausdrückliche Einwilligung nötig (EDÖB, Leitfaden Cookies).

Was prüfst du auf deiner Website? Die Checkliste

Was gehört in die Datenschutzerklärung?

Der EDÖB nennt diese Punkte (EDÖB, Datenschutzerklärungen im Internet):

• wer für die Datenbearbeitung verantwortlich ist;
• welche Personendaten du sammelst und wozu;
• wie lange du sie aufbewahrst;
• welche Wahlmöglichkeiten Besucher haben;
• welche Daten an Dritte gehen und wozu;
• welche Dienste von Dritten eingebunden sind und wie man der Datenübermittlung widerspricht;
• über welche Adresse man Fragen stellt und Rechte wie Auskunft, Berichtigung oder Löschung geltend macht;
• welchen Gesetzen deine Datenbearbeitung untersteht.

Allgemeine Formulierungen wie «unter Umständen können wir Ihre Daten so und so bearbeiten» sind laut EDÖB zu vermeiden. Genau daran scheitert nach unserer Einschätzung die kopierte Vorlage: Sie beschreibt die Website einer anderen Firma. Mach zuerst eine Liste, was deine Website wirklich tut, und schreib erst dann den Text. Bei der Fahrschule steht auf der Liste: Formular, Karte, Videos, Analytics, Hosting.

Versteckt darf die Erklärung auch nicht sein. Der EDÖB schreibt im Cookie-Leitfaden: «Somit genügt es nicht, die Datenschutzerklärung irgendwo in einer beliebigen versteckten Rubrik auf der Webseite anzubringen oder, dass die Informationen nur auf Verlangen erteilt werden.» Bietest du die Website in mehreren Sprachen an, gehört die Erklärung laut EDÖB ebenfalls in diese Sprachen. Was bei mehreren Sprachen sonst dazugehört, steht in Mehrsprachige Website in der Schweiz.

Brauchst du ein Cookie-Banner?

Das hängt davon ab, welche Cookies du einsetzt. Der EDÖB nennt Banner ein in der Praxis gebräuchliches Mittel. Sein Leitfaden unterscheidet drei Stufen (EDÖB, Leitfaden Version 1.1 vom 06.10.2025, Anhang A):

Das Widerspruchsrecht gilt für nicht notwendige Cookies ohnehin, gestützt auf Art. 45c des Fernmeldegesetzes (Leitfaden, Ziff. 2.1 und 3.6). Es muss laut Leitfaden an prominenter Stelle stehen und beim ersten wie bei späteren Besuchen mit wenigen Klicks ausübbar sein. Baust du ein Banner für eine Einwilligung, verlangt der EDÖB ein aktives Anklicken. Wenn etwas voreingestellt ist, darf das Abwählen nicht komplizierter sein als das Auswählen.

Unsere Einschätzung: Die einfachste Lösung ist, weniger einzubauen. Eine Website ohne Werbe-Tracking und ohne eingebettete Fremddienste kommt mit deutlich weniger Aufwand aus. Das spart auch Ladezeit.

Was gilt für Analytics, YouTube und Google Maps?

Für Besucherstatistiken gibt es einen eigenen Weg. Die Analyse der Besucherströme lässt sich laut Leitfaden durch überwiegende private Interessen rechtfertigen, wenn die Daten anonymisiert werden und die Ergebnisse keine Rückschlüsse auf Personen zulassen. Im Website-Kontext heisst das in der Regel: umgehend anonymisieren. Externe Analyse-Tools können das ebenfalls erfüllen, sofern der Anbieter die Daten nicht zu eigenen Zwecken bearbeitet, sondern nur in deinem Auftrag. Prüfe also die Einstellungen und den Vertrag deines Tools, nicht nur den Namen.

Für eingebettete Dienste gilt: In die Datenschutzerklärung gehört laut EDÖB, welche Dienste von Dritten eingebunden sind und wie man der Datenübermittlung widerspricht. Stützt sich die Bearbeitung auf eine Einwilligung, darf sie nicht schon beim Aufruf der Seite starten. Der Leitfaden empfiehlt dafür eine Zwei-Klick-Lösung, insbesondere bei Social Plugins, Tracking-Pixeln und weiteren Drittdiensten. Bei der Fahrschule könnte das heissen: Das YouTube-Video lädt erst nach einem Klick, und statt der eingebetteten Karte reicht nach unserer Einschätzung ein Link auf Google Maps.

Was droht bei Verstössen?

Das DSG sieht Bussen bis 250'000 Franken vor. Art. 60 Abs. 1 richtet sich gegen private Personen, die ihre Informations- und Auskunftspflichten vorsätzlich verletzen, etwa durch eine falsche oder unvollständige Auskunft oder indem sie es vorsätzlich unterlassen, die betroffene Person zu informieren. Art. 61 gilt für vorsätzliche Verstösse gegen Sorgfaltspflichten, zum Beispiel wenn die Mindestanforderungen an die Datensicherheit nicht eingehalten werden. Verfolgt wird beides nur auf Antrag (DSG, Art. 60 und 61).

Das heisst nach unserer Einschätzung: Im Visier steht zuerst die verantwortliche Person, nicht die Firma. Den Geschäftsbetrieb kann die Behörde an ihrer Stelle verurteilen, wenn eine Busse von höchstens 50'000 Franken in Betracht fällt und die Suche nach den strafbaren Personen unverhältnismässig wäre (Art. 64). Lass dich im Einzelfall juristisch beraten.

Daneben kennt das Gesetz zwei Pflichten, bei denen es im Ernstfall schnell gehen muss. Eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Betroffenen führt, meldest du dem EDÖB so rasch als möglich (Art. 24). Eine Auskunftsanfrage beantwortest du in der Regel innerhalb von 30 Tagen und grundsätzlich kostenlos (Art. 25). Leg deshalb jetzt fest, wer das bei dir übernimmt. Bei einer kleinen Firma liegt das nach unserer Einschätzung meist bei der Inhaberin oder dem Inhaber.

Wer trägt die Verantwortung, wenn eine Agentur die Website baut?

Nach unserer Einschätzung bleibst du als Betreiber in der Pflicht. Du darfst die Bearbeitung von Personendaten vertraglich einem Auftragsbearbeiter übertragen, musst dich aber laut Art. 9 DSG insbesondere vergewissern, dass er die Datensicherheit gewährleisten kann. Einem Dritten darf der Auftragsbearbeiter die Bearbeitung nur mit deiner vorgängigen Genehmigung übertragen. Der EDÖB hält im Leitfaden fest, dass die Einbindung von Drittdiensten dich nicht aus der Verantwortung entlässt.

Frag deshalb in jeder Website-Offerte, wer Datenschutzerklärung und Cookie-Lösung übernimmt. Worauf du bei Offerten sonst achtest, steht in Was kostet eine Website in der Schweiz?. Steht ein Relaunch an, ist das ein guter Moment, alle eingebundenen Dienste zu prüfen. Mehr dazu in Website-Relaunch und SEO.

Was macht Voelin, und was nicht?

Wir bauen Websites für Schweizer KMU, mit Strategie, Design und Code aus einem Team. Code, Daten und Zugänge gehören dir. Eine Rechtsberatung ersetzen wir nicht. Nach dem Erstgespräch bekommst du ein konkretes Angebot mit Festpreis.

Du planst eine neue Website? Sprich mit uns.

Häufige Fragen zum nDSG auf der Website

Muss jede Website eine Datenschutzerklärung haben?

Der EDÖB schreibt, dass Schweizer Unternehmen eine verständliche Datenschutzerklärung verfassen und auf ihrer Website einblenden müssen. Sie muss von jeder Seite aus leicht zugänglich sein.

Ist ein Cookie-Banner in der Schweiz Pflicht?

Ein Banner ist laut EDÖB-Leitfaden ein gebräuchliches Mittel. Pflicht sind Information und, bei nicht notwendigen Cookies, eine gut sichtbare Widerspruchsmöglichkeit. Bei Profiling mit hohem Risiko oder besonders schützenswerten Personendaten braucht es eine ausdrückliche Einwilligung.

Darf ich Google Analytics verwenden?

Das hängt von der Einrichtung ab. Der EDÖB-Leitfaden nennt keine Verbote einzelner Tools, verlangt für den Statistik-Weg aber unter anderem Anonymisierung und dass der Anbieter die Daten nicht zu eigenen Zwecken bearbeitet.

Wie hoch sind die Bussen?

Bis 250'000 Franken. Art. 60 Abs. 1 und Art. 61 DSG richten sich gegen private Personen, die vorsätzlich handeln, und setzen einen Antrag voraus. Den Geschäftsbetrieb kann die Behörde nur unter den Voraussetzungen von Art. 64 an ihrer Stelle verurteilen, bei Bussen bis 50'000 Franken.

Wie schnell muss ich auf eine Auskunftsanfrage antworten?

In der Regel innerhalb von 30 Tagen, und grundsätzlich kostenlos (Art. 25 DSG).

Gilt auch die DSGVO für mich?

Das musst du prüfen, wenn du dich an ein Publikum im Ausland richtest. Der EDÖB weist darauf hin, dass bei einem internationalen Publikum weitere Vorschriften zusätzliche Informationen erfordern können.

---

Quellen

1. Fedlex: Bundesgesetz über den Datenschutz (DSG), SR 235.1 – Art. 6 Grundsätze, Art. 8 Datensicherheit, Art. 9 Auftragsbearbeiter, Art. 19 Informationspflicht, Art. 24 Meldung von Verletzungen, Art. 25 Auskunftsrecht (30 Tage, kostenlos), Art. 60 und 61 Busse bis 250'000 Franken, Art. 64 Geschäftsbetriebe
2. EDÖB: Datenschutzerklärungen im Internet – Pflicht zur Datenschutzerklärung, Inhalte, Erreichbarkeit von jeder Seite, Übereinstimmung mit der tatsächlichen Bearbeitung, internationales Publikum
3. EDÖB: Leitfaden Cookies, Version 1.1 vom 06.10.2025 (PDF) – Art. 45c FMG (Ziff. 2.1, 3.6), Zitat zur versteckten Rubrik (Ziff. 3.3.1), technisch notwendige Cookies (Ziff. 3.5.2), Statistik (Ziff. 3.8.2), Widerspruch (Ziff. 3.9), Zwei-Klick-Lösung (Ziff. 3.13.1), Consent-Banner (Ziff. 3.13.2), Risikostufen (Anhang A)