Datenschutzerklärung Schweiz
Eine Datenschutzerklärung sagt Besuchern, welche Daten Ihre Website sammelt, wozu und wer sie erhält. Sie muss zu dem passen, was Ihre Website tatsächlich tut.
Was muss in die Erklärung?
Das Datenschutzgesetz (DSG) verlangt in Art. 19, dass Sie Personen angemessen informieren, wenn Sie Personendaten über sie beschaffen. Mindestens anzugeben sind Ihre Identität und Kontaktdaten, der Zweck der Bearbeitung und gegebenenfalls die Empfänger, denen Sie Daten bekanntgeben. Gehen Daten ins Ausland, nennen Sie zusätzlich die Länder und die Garantien, auf die Sie sich stützen. Laut dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) muss die Erklärung mit den tatsächlichen Bearbeitungen übereinstimmen und von jeder Seite der Website aus leicht zugänglich sein. Weiter unten finden Sie eine Gliederung, mit der Sie eine Vorlage oder den Text eines Generators prüfen können.
Grundlage sind das DSG (SR 235.1) und die Seiten des EDÖB zu Datenschutzerklärungen und zur Informationspflicht, abgerufen am 28. Oktober 2026. Diese Seite fasst öffentliche Quellen zusammen und ist keine Rechtsberatung.
Der Mindestinhalt
Diese Angaben verlangt Art. 19 DSG. Wie ausführlich sie sein müssen, hängt laut EDÖB von der Art der Daten und vom Umfang der Bearbeitung ab.
| Angabe | Was das heisst | Beispiel auf einer KMU-Website |
|---|---|---|
| Verantwortlicher | Wer über die Bearbeitung entscheidet, mit Kontaktdaten. | Ihre Firma mit Adresse und E-Mail für Datenschutzfragen. |
| Zweck | Wozu Sie die Daten bearbeiten. | Anfragen aus dem Kontaktformular beantworten, Website-Nutzung auswerten, Newsletter versenden. |
| Empfänger | Wem Sie Daten bekanntgeben, auch Auftragsbearbeiter wie Hosting oder Newsletter-Dienst. | Website-Hoster, E-Mail-Anbieter, CRM, Analyse-Tool. |
| Länder und Garantien | In welche Staaten Daten gehen, auch durch Speicherung in einer Cloud, und auf welche Garantie oder Ausnahme Sie sich stützen. | USA, gestützt auf das Swiss-U.S. Data Privacy Framework, sofern der Anbieter zertifiziert ist, sonst etwa Standardvertragsklauseln. |
Die Pflicht, die Länder zu nennen, geht laut EDÖB weiter als die DSGVO der EU. Eine Erklärung, die nur für die EU geschrieben wurde, deckt diesen Punkt oft nicht ab.
Wie sieht das für Ihren Betrieb aus?
Im Erstgespräch schauen wir Ihre Ausgangslage an und sagen offen, was wir sehen und ob wir helfen können. Über 120 Schweizer Unternehmen betreut seit 2023.
Was der EDÖB empfiehlt
Über den Mindestinhalt hinaus nennt der EDÖB Punkte, über die eine gute Erklärung informiert. Dazu empfiehlt er einen Aufbau in mehreren Stufen.
- Inhalt
- Welche Personendaten Sie sammeln.
- Wie lange Sie sie aufbewahren.
- Welche Wahlmöglichkeiten Besucher haben.
- Welche Dienste von Dritten eingebunden sind und wie man der Übermittlung widersprechen kann.
- Über welche Adresse man Auskunft, Berichtigung, Löschung oder Widerspruch verlangen kann.
- Welchen Gesetzen Ihre Bearbeitung untersteht.
- Aufbau
- Oben eine kurze Übersicht in einfachen Worten.
- Von dort Links zu den ausführlichen Abschnitten.
- Bei Bedarf eine dritte Stufe mit Details für Fachleute.
- Form
- Verständlich und für die Zielgruppe geschrieben.
- In allen Sprachen, in denen die Website angeboten wird.
- Von jeder Seite aus leicht erreichbar, zum Beispiel über den Footer.
- Genauigkeit
- Keine Formulierungen wie «unter Umständen bearbeiten wir». Der EDÖB rät ausdrücklich davon ab.
Zuerst die Bestandsaufnahme
Der EDÖB empfiehlt, erst zu schreiben, wenn klar ist, welche Daten wo anfallen. Diese Dienste laufen auf vielen KMU-Websites. Für jeden davon gehören Anbieter, Zweck und Land in die Erklärung.
| Was auf der Website läuft | Welche Daten typischerweise anfallen |
|---|---|
| Hosting und Website-System | Zugriffsdaten wie IP-Adresse und Browser beim Aufruf jeder Seite. Bei vielen Anbietern liegen die Server im Ausland. |
| Kontakt- oder Offertformular | Name, E-Mail, Telefon und Ihre Nachricht. Oft zusätzlich eine Kopie im E-Mail-Postfach oder im CRM. |
| Analyse und Statistik | Nutzungsdaten der Besucher, je nach Tool mit oder ohne Cookies. Mehr unter Google Analytics Alternative. |
| Werbe-Tags | Daten für Google Ads, Meta oder LinkedIn, oft mit Cookies von Dritten. Mehr unter Cookie Banner Schweiz. |
| Eingebettete Inhalte | Karten, Videos, Schriften oder Bewertungen, die von fremden Servern geladen werden und dabei Daten übermitteln. |
| Newsletter, Termine, Chat | E-Mail-Adresse, Termindaten, Gesprächsinhalte, gespeichert beim jeweiligen Anbieter. |
Generator oder Fachperson?
Für «datenschutzerklärung generator schweiz» gibt es viele Angebote. Ein Generator kann ein guter Start sein. Entscheidend ist, ob der Text am Ende stimmt.
| Weg | Wann er passt | Worauf Sie achten |
|---|---|---|
| Generator | Einfache Website mit wenigen bekannten Diensten. | Nur Bausteine wählen, die wirklich zutreffen. Länder und Garantien nach Schweizer Recht ergänzen. Nach jeder Änderung an der Website neu prüfen. |
| Vorlage eines Verbands | Branchen mit typischen Abläufen. | An Ihre Dienste anpassen. Eine Vorlage weiss nicht, welche Tools Sie nutzen. |
| Fachperson für Datenschutz | Shop, Kundenkonto, Gesundheitsdaten, Profiling oder viele Kunden in der EU. | Die Bestandsaufnahme vorher machen. Das spart Zeit und damit Kosten. |
Gliederung als Vorlage
Statt eines Mustertexts eine Gliederung, die Sie mit Ihren eigenen Angaben füllen oder mit dem Ergebnis eines Generators abgleichen. Jeder Abschnitt beantwortet eine Frage, die Art. 19 DSG oder der EDÖB stellt.
- 1. Kurzübersicht
- Drei bis fünf Sätze in einfachen Worten, wer Sie sind, welche Daten die Website sammelt und wohin sie gehen.
- 2. Verantwortliche Stelle
- Firmenname wie im Handelsregister, Adresse und eine E-Mail für Datenschutzfragen.
- 3. Daten beim Besuch der Website
- Zugriffsdaten im Hosting, Cookies und vergleichbare Techniken, Analyse und Werbung, jeweils mit Anbieter, Zweck und Land.
- 4. Daten, die Besucher selbst angeben
- Kontaktformular, Offertanfrage, Terminbuchung, Newsletter, Bewerbungen.
- 5. Empfänger und Auftragsbearbeiter
- Hosting, E-Mail, CRM, Newsletter-Dienst, eingebettete Inhalte wie Karten oder Videos.
- 6. Bekanntgabe ins Ausland
- Jedes Land einzeln und die Grundlage, etwa ein Land mit angemessenem Schutz, das Swiss-U.S. Data Privacy Framework oder Standardvertragsklauseln.
- 7. Aufbewahrung
- Wie lange Sie Anfragen, Kundendaten und Protokolle aufbewahren, oder nach welchen Kriterien Sie das festlegen.
- 8. Rechte und Kontakt
- Auskunft, Berichtigung, Löschung und Widerspruch, mit der Adresse, an die man sich wendet.
- 9. Stand und Änderungen
- Datum der letzten Prüfung und der Hinweis, dass die Erklärung angepasst wird, wenn sich die Website ändert.
Pflichten neben der Erklärung
Die Datenschutzerklärung ist nur der sichtbare Teil. Diese Pflichten aus dem DSG betreffen dieselben Daten und werden oft übersehen.
| Pflicht | Was das DSG verlangt | Was das für eine KMU-Website heisst |
|---|---|---|
| Auftragsbearbeitung | Art. 9 DSG erlaubt, die Bearbeitung einem Dienstleister zu übertragen, wenn dieser die Daten nur so bearbeitet, wie Sie es selbst dürften, und die Datensicherheit gewährleistet ist. | Mit Hosting, Newsletter-Dienst und CRM einen Vertrag oder die Vertragsbedingungen zur Auftragsbearbeitung abschliessen und ablegen. |
| Datensicherheit | Art. 8 DSG verlangt eine dem Risiko angemessene Sicherheit durch technische und organisatorische Massnahmen. | HTTPS, aktuelle Software, Zugänge mit starken Passwörtern und Zwei-Faktor-Anmeldung, Formular-Anfragen nicht offen weiterleiten. |
| Auskunft | Art. 25 DSG gibt jeder Person ein Auskunftsrecht. Die Auskunft wird in der Regel innerhalb von 30 Tagen und grundsätzlich kostenlos erteilt. | Wissen, wo Anfragen, Newsletter-Kontakte und CRM-Daten liegen, damit Sie eine Anfrage fristgerecht beantworten können. |
| Verzeichnis | Art. 12 DSG verlangt ein Verzeichnis der Bearbeitungstätigkeiten. Die Datenschutzverordnung nimmt Unternehmen mit weniger als 250 Mitarbeitenden aus, ausser bei Bearbeitungen mit hohem Risiko. | Für die meisten KMU nicht Pflicht. Die Bestandsaufnahme oben ist trotzdem eine gute Grundlage. |
| Meldung von Verletzungen | Art. 24 DSG verlangt eine Meldung an den EDÖB so rasch als möglich, wenn eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko führt. | Etwa bei einem gehackten Formular mit vielen Kundendaten. Festlegen, wer im Ernstfall entscheidet und meldet. |
Wann zusätzlich die DSGVO gilt
Laut EDÖB gilt die Datenschutz-Grundverordnung der EU nicht unmittelbar in der Schweiz. Sie kann aber für Schweizer Firmen gelten, die Waren oder Dienstleistungen an Personen in der EU anbieten oder deren Verhalten beobachten, etwa durch die Analyse von Website-Besuchern aus der EU.
Dann braucht die Erklärung zusätzliche Angaben nach EU-Recht. Wann das der Fall ist und was es sonst bedeutet, steht auf der Seite revDSG und DSGVO.
Die häufigsten Fehler
- Kopierte Fremdtexte
Dienste werden genannt, die gar nicht laufen, und echte fehlen.
- Keine Länder
Die Speicherung in den USA oder in der EU wird nicht erwähnt.
- Nie aktualisiert
Neues Formular, neues Tool, alte Erklärung.
- Schwer zu finden
Kein Link im Footer, nur in einer Sprache.
Was diese Seite nicht leistet
Eine Datenschutzerklärung beschreibt, was Sie tun. Sie macht eine Bearbeitung nicht automatisch zulässig. Diese Grenzen sollten Sie kennen.
- Keine Rechtsberatung
Wir sind keine Juristen. Für die Prüfung Ihrer Erklärung wenden Sie sich an eine Fachperson für Datenschutzrecht.
- Kein Mustertext
Wir geben bewusst keinen fertigen Text vor. Jede Website bearbeitet andere Daten.
- Kein Cookie Banner
Ob Sie Einwilligungen oder eine Ablehnmöglichkeit brauchen, ist eine eigene Frage, siehe Cookie Banner Schweiz.
- Keine Sonderfälle
Gesundheitsdaten, Profiling mit hohem Risiko oder Bewerbungen brauchen mehr als eine Website-Erklärung.
Wer diese Seite geschrieben hat
Konstantin Malt hat Malt Consulting 2023 gegründet, damals unter dem Namen Digitalwahl. Er begleitet inhabergeführte Schweizer Unternehmen bei Positionierung, Website und Kundengewinnung. Er ist kein Jurist. Diese Seite fasst die öffentlichen Quellen des Bundes zusammen, die unten verlinkt sind.
- AusbildungBachelor in Betriebswirtschaft, Universität St. Gallen (HSG)
- ErfahrungÜber 120 Schweizer Unternehmen betreut seit 2023
- Geprüft28. Oktober 2026, gegen DSG und Seiten des EDÖB
Häufige Fragen
Kurz beantwortet, mit dem Stand der Quellen vom Oktober 2026.
Braucht jede Schweizer Website eine Datenschutzerklärung?
Sobald Sie über die Website Personendaten beschaffen, müssen Sie nach Art. 19 DSG informieren. Das ist bei fast jeder Website der Fall, schon wegen der Zugriffsdaten beim Hosting, spätestens mit einem Kontaktformular. Der EDÖB nennt die Datenschutzerklärung als übliche Form dafür.
Reicht ein Generator für die Datenschutzerklärung?
Für eine einfache Website oft als Ausgangspunkt. Der Text muss aber mit den tatsächlichen Bearbeitungen übereinstimmen, und nach Schweizer Recht gehören die Länder und Garantien bei Bekanntgaben ins Ausland dazu. Allgemeine Formulierungen sollten Sie laut EDÖB vermeiden.
In welchen Sprachen muss die Erklärung sein?
Laut EDÖB sollte sie in den Sprachen bereitstehen, in denen die Website angeboten wird.
Was droht, wenn die Erklärung fehlt oder falsch ist?
Wer die Informationspflicht vorsätzlich verletzt, kann nach Art. 60 DSG auf Antrag mit einer Busse bis 250'000 Franken bestraft werden. Bestraft werden in erster Linie die verantwortlichen natürlichen Personen, nicht die Firma. Fahrlässigkeit ist laut EDÖB nicht strafbar.
Muss ich die Länder nennen, wenn mein Anbieter in der EU sitzt?
Ja. Laut EDÖB sind bei einer Bekanntgabe ins Ausland die Länder anzugeben, gleichgültig, ob diese einen angemessenen Datenschutz bieten. Das gilt auch für die Speicherung in einer Cloud.
Wie prüfe ich einen Anbieter in den USA?
Auf der offiziellen Liste des Data Privacy Framework unter dataprivacyframework.gov steht, ob ein Unternehmen zertifiziert ist. Für Schweizer Daten muss die Teilnahme am Swiss-U.S. Data Privacy Framework vermerkt sein, die EU-Teilnahme allein genügt nicht. Ist der Anbieter nicht aufgeführt, braucht es eine andere Garantie wie Standardvertragsklauseln.
Wie oft sollte ich die Erklärung prüfen?
Immer, wenn sich auf der Website etwas ändert, etwa ein neues Formular, ein neues Tool oder ein neuer Anbieter. Dazu empfehlen wir eine feste Prüfung einmal im Jahr.
Weiterlesen
Quellen
- Bundesgesetz über den Datenschutz (DSG), SR 235.1, Art. 8, 9, 12, 19, 20, 24, 25 und 60, Fedlex, abgerufen am 28.10.2026. fedlex.admin.ch/eli/cc/2022/491/de
- Verordnung über den Datenschutz (DSV), SR 235.11, Art. 24 zur Ausnahme vom Verzeichnis der Bearbeitungstätigkeiten. fedlex.admin.ch/eli/cc/2022/568/de
- Data Privacy Framework Program, Liste der teilnehmenden Unternehmen, abgerufen am 29.10.2026. dataprivacyframework.gov/list
- EDÖB, «Datenschutzerklärungen im Internet», abgerufen am 28.10.2026. edoeb.admin.ch/de/datenschutzerklaerungen-im-internet
- EDÖB, «Informationspflicht», abgerufen am 28.10.2026. edoeb.admin.ch/de/informationspflicht
- EDÖB, «Das neue Datenschutzgesetz aus Sicht des EDÖB», Stand 27.10.2022, abgerufen am 28.10.2026. edoeb.admin.ch/de/das-neue-datenschutzgesetz-aus-sicht-des-edob
- EDÖB, «Bekanntgabe von Personendaten ins Ausland», mit Hinweis zum Swiss-U.S. Data Privacy Framework seit 15.9.2024, abgerufen am 28.10.2026. edoeb.admin.ch/de/bekanntgabe-von-personendaten-ins-ausland
- EDÖB, «Strafbestimmungen», abgerufen am 28.10.2026. edoeb.admin.ch/de/strafbestimmungen
- EDÖB, «Häufig gestellte Fragen zum Datenschutz», Abschnitt DSGVO, abgerufen am 28.10.2026. edoeb.admin.ch/de/faq-datenschutz
Was tut Ihre Website wirklich?
Im Erstgespräch gehen wir durch, welche Dienste auf Ihrer Website laufen und welche davon Sie wirklich brauchen. Die rechtliche Prüfung der Erklärung übernimmt eine Fachperson für Recht.
Lieber direkt? +41 78 814 14 58 oder info@maltconsulting.ch