revDSG und DSGVO
Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz. Hier steht, was es für Ihre Website bedeutet und wann zusätzlich die DSGVO der EU greift.
Was ist das revDSG?
revDSG ist die Kurzform für das totalrevidierte Bundesgesetz über den Datenschutz. Es ist zusammen mit der neuen Datenschutzverordnung (DSV) am 1. September 2023 in Kraft getreten und heisst seither offiziell einfach DSG. Es schützt nur noch Daten natürlicher Personen. Für Websites bringt es vor allem eine erweiterte Informationspflicht, die Grundsätze «Privacy by Design» und «Privacy by Default» und strengere Strafen. Das Gesetz gilt seit über drei Jahren, jede Website sollte es heute vollständig umsetzen.
Grundlage sind das DSG (SR 235.1), die Seiten des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) und das KMU-Portal des SECO, abgerufen am 28. Oktober 2026. Diese Seite fasst öffentliche Quellen zusammen und ist keine Rechtsberatung.
Was das DSG verlangt
Die Tabelle zeigt die Pflichten, die auf einer gewöhnlichen KMU-Website am häufigsten eine Rolle spielen, mit dem Artikel im Gesetz.
| Pflicht | Artikel | Was das für die Website heisst |
|---|---|---|
| Grundsätze | Art. 6 DSG | Rechtmässig, nach Treu und Glauben, verhältnismässig und für einen erkennbaren Zweck. Ein Formular fragt nur ab, was Sie wirklich brauchen. |
| Datenschutz durch Technik und Voreinstellung | Art. 7 DSG | Standardmässig werden nur die für den Zweck nötigen Daten bearbeitet. Zusätzliche Bearbeitungen aktiviert der Besucher selbst. |
| Datensicherheit | Art. 8 DSG | Angemessene technische und organisatorische Massnahmen, etwa eine verschlüsselte Verbindung über HTTPS. |
| Auftragsbearbeitung | Art. 9 DSG | Hoster, Newsletter- und Analyse-Dienste bearbeiten Daten in Ihrem Auftrag. Das braucht einen Vertrag, der die Bearbeitung regelt. |
| Bekanntgabe ins Ausland | Art. 16 und 17 DSG | Zulässig in Staaten mit angemessenem Schutz laut Bundesrat oder mit geeigneten Garantien. |
| Informationspflicht | Art. 19 DSG | Eine Datenschutzerklärung mit Verantwortlichem, Zweck, Empfängern und Ländern. |
| Meldung von Datenpannen | Art. 24 DSG | Bei voraussichtlich hohem Risiko für Betroffene so rasch wie möglich an den EDÖB. |
| Auskunftsrecht | Art. 25 DSG | Auskunft auf Anfrage, laut EDÖB in der Regel innerhalb von 30 Tagen und kostenlos. |
Wie sieht das für Ihren Betrieb aus?
Im Erstgespräch schauen wir Ihre Ausgangslage an und sagen offen, was wir sehen und ob wir helfen können. Über 120 Schweizer Unternehmen betreut seit 2023.
DSG und DSGVO im Vergleich
Das Schweizer Gesetz ist der DSGVO in vielem ähnlich, aber nicht gleich. Wer schon nach der DSGVO arbeitet, hat laut KMU-Portal nur wenige Änderungen vorzunehmen. Diese Unterschiede sollten Sie kennen.
| Thema | DSG Schweiz | DSGVO der EU |
|---|---|---|
| Grundlage für eine Bearbeitung | Erlaubt, wenn die Grundsätze eingehalten werden. Eine Rechtfertigung braucht es erst, wenn die Bearbeitung die Persönlichkeit verletzt (Art. 30 und 31 DSG). | Jede Bearbeitung braucht eine Rechtsgrundlage, etwa Einwilligung, Vertrag oder berechtigtes Interesse (Art. 6 DSGVO). |
| Länder in der Erklärung | Die Empfängerstaaten sind immer zu nennen, mit Garantien oder Ausnahmen. | Weniger weit gehend, laut EDÖB geht das DSG hier weiter. |
| Datenschutzberater | Für Private freiwillig. | In bestimmten Fällen Pflicht (Art. 37 DSGVO). |
| Verzeichnis der Bearbeitungen | Ab 250 Mitarbeitenden Pflicht, darunter nur bei besonders schützenswerten Daten in grossem Umfang oder Profiling mit hohem Risiko. | Ebenfalls mit Ausnahme unter 250 Mitarbeitenden, die aber enger gefasst ist (Art. 30 DSGVO). |
| Datenpanne | Meldung bei voraussichtlich hohem Risiko, so rasch wie möglich. | Schon bei einfachem Risiko, in der Regel innerhalb von 72 Stunden (Art. 33 DSGVO). |
| Strafen | Bussen bis 250'000 Franken, in erster Linie gegen natürliche Personen, nur bei Vorsatz. | Geldbussen gegen Unternehmen bis 20 Millionen Euro (ca. CHF 18,5 Mio.) oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO). |
Der Franken-Betrag ist eine Umrechnung zum EZB-Referenzkurs vom 28.10.2026 (1 EUR = 0.9247 CHF), gerundet.
Wann die DSGVO gilt
Laut EDÖB gilt die DSGVO nicht unmittelbar in der Schweiz. Sie kann aber auch für Schweizer Firmen gelten. Drei Fragen helfen bei der Einschätzung, die endgültige Beurteilung gehört in die Hände einer Fachperson.
Bieten Sie Leistungen in der EU an?
Ein Shop mit Lieferung nach Deutschland, Preise in Euro oder eine Website, die sich ausdrücklich an Kunden in Österreich richtet, sprechen dafür.
Beobachten Sie Personen in der EU?
Der EDÖB nennt als Beispiel die Analyse von Website-Besuchern aus der EU. Auch Werbe-Tracking von Besuchern aus der EU kann darunter fallen.
Haben Sie eine Niederlassung in der EU?
Dann gilt die DSGVO für die Bearbeitungen dieser Niederlassung ohnehin.
Checkliste für Ihre Website
Diese Punkte gehen wir durch, wenn wir eine Website neu aufbauen oder überarbeiten. Sie ersetzen keine rechtliche Prüfung, decken aber die häufigsten Lücken ab.
- Datenschutzerklärung
- Vorhanden, aktuell und von jeder Seite erreichbar.
- Nennt alle Dienste, Zwecke, Empfänger und Länder.
- Formulare
- Nur Felder, die Sie für die Antwort brauchen.
- Hinweis auf die Datenschutzerklärung beim Absenden.
- Klare Regel, wie lange Anfragen gespeichert bleiben.
- Analyse und Werbung
- Information und Ablehnmöglichkeit vor der Aktivierung, siehe Cookie Banner Schweiz.
- Prüfen, ob ein schlankeres Tool reicht, siehe Google Analytics Alternative.
- Eingebundene Dienste
- Karten, Videos, Schriften und Widgets erfassen, die Daten an Dritte senden.
- Hosting und Ausland
- Wissen, in welchem Land Website, E-Mail und CRM ihre Daten speichern.
- Verträge zur Auftragsbearbeitung mit den Anbietern.
- Sicherheit
- HTTPS auf allen Seiten, aktuelle Software, starke Passwörter und Zwei-Faktor-Login für das Website-System.
- Abläufe
- Wer beantwortet Auskunftsbegehren innerhalb der Frist?
- Wer entscheidet bei einer Datenpanne, ob gemeldet wird?
Cookies und das FMG
Für Cookies und ähnliche Technik auf dem Gerät des Besuchers gilt in der Schweiz nicht nur das DSG, sondern Art. 45c des Fernmeldegesetzes (FMG). Danach müssen Besucher über die Bearbeitung und ihren Zweck informiert und darauf hingewiesen werden, dass sie sie ablehnen können. Eine Einwilligung vor dem Setzen jedes Cookies verlangt das Schweizer Recht damit nicht in jedem Fall, anders als die Regeln in der EU.
Strenger wird es, wenn für Ihre Website die DSGVO gilt oder ein Werbe-Tracking ein Profiling mit hohem Risiko darstellt. Dann ist in der Regel eine Einwilligung nötig, beim Profiling mit hohem Risiko nach Art. 6 Abs. 7 DSG eine ausdrückliche. Wie Sie den Banner passend auswählen, steht unter Cookie Banner Schweiz.
Heikle Daten im Formular
Gesundheitsdaten, Angaben zu religiösen oder politischen Ansichten oder zu strafrechtlichen Verfahren sind nach Art. 5 lit. c DSG besonders schützenswert. Fragt ein Kontaktformular einer Arztpraxis nach Beschwerden oder eines Anwalts nach dem Fall, bearbeitet die Website solche Daten.
Ist dafür eine Einwilligung nötig, muss sie nach Art. 6 Abs. 7 DSG ausdrücklich erfolgen. Praktisch heisst das, solche Felder nur einzubauen, wenn sie wirklich nötig sind, die Übertragung zu verschlüsseln und auf diesen Seiten keine Werbe-Pixel laufen zu lassen.
So finden Sie alle Dienste
Die häufigste Lücke in Datenschutzerklärungen sind Dienste, von denen der Inhaber nichts weiss. Ein Webdesigner hat eine Karte eingebunden, ein Plugin lädt Schriften von einem fremden Server. So machen Sie eine Bestandsaufnahme.
- 1. Im Browser nachsehen
- Öffnen Sie Ihre Website in einem privaten Fenster, rufen Sie die Entwicklerwerkzeuge auf und sehen Sie im Bereich Netzwerk nach, welche fremden Adressen beim Laden angefragt werden.
- 2. Jede Unterseite einzeln
- Kontaktseite, Seiten mit Video oder Karte und das Formular nach dem Absenden laden oft zusätzliche Dienste.
- 3. Konten durchgehen
- Hosting, E-Mail-Versand, Newsletter, CRM, Analyse, Werbekonten, Terminbuchung und Chat. Bei jedem Anbieter notieren, in welchem Land er Daten speichert.
- 4. Mit der Erklärung abgleichen
- Jeder gefundene Dienst muss in der Datenschutzerklärung stehen, mit Zweck und Land. Was niemand braucht, entfernen Sie besser, statt es zu beschreiben.
- 5. Termin setzen
- Die Prüfung nach jeder Änderung an der Website wiederholen und mindestens einmal im Jahr.
Was bei Verstössen droht
Das DSG kennt vier Straftatbestände in den Artikeln 60 bis 63. Dazu gehört die vorsätzliche Verletzung der Informations- und Auskunftspflichten und der Sorgfaltspflichten. Fahrlässigkeit ist nicht strafbar. Verfolgt werden die Taten von den kantonalen Staatsanwaltschaften.
Bestraft werden in erster Linie die verantwortlichen natürlichen Personen, etwa in der Geschäftsleitung. Liegt die Busse unter 50'000 Franken und wären die Ermittlungen unverhältnismässig, kann laut EDÖB stattdessen der Betrieb verurteilt werden. Daneben sind zivilrechtliche Folgen wie Schadenersatz möglich.
Quelle ist die Seite «Strafbestimmungen» des EDÖB. Wie häufig solche Bussen bei Websites ausgesprochen werden, ist dort nicht ausgewiesen.
Häufige Irrtümer
Rund um das neue Gesetz kursieren viele Aussagen. Hier steht jede neben dem, was Gesetz und EDÖB dazu sagen.
| Behauptung | Was gilt |
|---|---|
| «Für kleine Firmen gilt das DSG nicht.» | Nein. Ausgenommen sind KMU nur vom Verzeichnis der Bearbeitungen, und auch das nur bei geringem Risiko. Informations- und Auskunftspflichten gelten laut EDÖB trotzdem. |
| «Jede Firma braucht einen Datenschutzberater.» | Nein. Für Private ist die Ernennung freiwillig. |
| «Die Bussen treffen die Firma.» | Teilweise. In erster Linie werden natürliche Personen bestraft. Den Betrieb trifft es nur in Ausnahmefällen bis 50'000 Franken. |
| «Wer DSGVO-konform ist, ist auch DSG-konform.» | Teilweise. Die Angabe der Empfängerstaaten verlangt das DSG weitergehend. Die Erklärung sollte darauf geprüft werden. |
| «Firmendaten sind auch geschützt.» | Nein. Das DSG schützt nur noch natürliche Personen. Firmen sind über andere Gesetze geschützt, etwa das UWG. |
Was diese Seite nicht leistet
Datenschutz auf der Website ist ein Teil des Ganzen. Diese Grenzen sollten Sie kennen.
- Keine Rechtsberatung
Wir sind keine Juristen. Für Ihren konkreten Fall wenden Sie sich an eine Fachperson für Datenschutzrecht.
- Nur die Website
Kundendaten in Buchhaltung, Personaldossiers oder Verträgen fallen ebenfalls unter das DSG, sind hier aber nicht behandelt.
- Keine Branchenregeln
Für Arztpraxen, Banken oder Versicherungen gelten zusätzliche Vorschriften und Berufsgeheimnisse.
- Recht ändert sich
Der EDÖB veröffentlicht laufend neue Leitfäden. Der Stand dieser Seite steht oben und unten.
Wer diese Seite geschrieben hat
Konstantin Malt hat Malt Consulting 2023 gegründet, damals unter dem Namen Digitalwahl. Er begleitet inhabergeführte Schweizer Unternehmen bei Positionierung, Website und Kundengewinnung. Er ist kein Jurist. Diese Seite fasst die öffentlichen Quellen des Bundes und der EU zusammen, die unten verlinkt sind.
- AusbildungBachelor in Betriebswirtschaft, Universität St. Gallen (HSG)
- ErfahrungÜber 120 Schweizer Unternehmen betreut seit 2023
- Geprüft28. Oktober 2026, gegen DSG, EDÖB und KMU-Portal
Häufige Fragen zum revDSG
Kurz beantwortet, mit dem Stand der Quellen vom Oktober 2026.
Seit wann gilt das revDSG?
Seit dem 1. September 2023, zusammen mit der Datenschutzverordnung (DSV) und der Verordnung über Datenschutzzertifizierungen (VDSZ). Das Parlament hatte es in der Herbstsession 2020 verabschiedet.
Gilt die DSGVO in der Schweiz?
Nicht unmittelbar. Schweizer Firmen unterliegen laut EDÖB in erster Linie dem DSG. Die DSGVO kann aber gelten, wenn Sie Waren oder Dienstleistungen an Personen in der EU anbieten oder deren Verhalten beobachten, etwa durch die Analyse von Website-Besuchern aus der EU.
Muss ich als KMU ein Verzeichnis der Bearbeitungen führen?
Unter 250 Mitarbeitenden in der Regel nicht. Die Pflicht gilt laut EDÖB trotzdem, wenn Sie besonders schützenswerte Personendaten in grossem Umfang bearbeiten oder ein Profiling mit hohem Risiko durchführen.
Was muss ich bei einer Datenpanne tun?
Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Betroffenen, melden Sie sie so rasch wie möglich dem EDÖB. Erfolgreich abgewehrte Angriffe sind laut EDÖB nicht meldepflichtig. Freiwillige Meldungen sind möglich.
Dürfen meine Website-Daten in den USA liegen?
Ja, wenn die Bekanntgabe nach Art. 16 und 17 DSG zulässig ist. Seit dem 15. September 2024 führt der Bundesrat die USA für Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind, in der Liste der Staaten mit angemessenem Schutz. Andernfalls braucht es Garantien wie Standardvertragsklauseln. Das Land nennen Sie in jedem Fall in der Datenschutzerklärung.
Brauche ich nach dem DSG einen Cookie-Banner?
Nicht zwingend als Einwilligungsbanner. Art. 45c FMG verlangt, dass Besucher über Cookies und ihren Zweck informiert werden und sie ablehnen können. Eine Einwilligung kann nötig sein, wenn für Ihre Website die DSGVO gilt oder ein Tracking als Profiling mit hohem Risiko einzustufen ist. Im Zweifel klären Sie das mit einer Fachperson.
Ist «revDSG» noch der richtige Begriff?
Er ist verbreitet, aber genau genommen veraltet. Seit dem Inkrafttreten heisst das Gesetz wieder Datenschutzgesetz, kurz DSG.
Weiterlesen
Quellen
- Bundesgesetz über den Datenschutz (DSG), SR 235.1, Fedlex, abgerufen am 28.10.2026. fedlex.admin.ch/eli/cc/2022/491/de
- Verordnung über den Datenschutz (DSV), SR 235.11, Fedlex, abgerufen am 28.10.2026. fedlex.admin.ch/eli/cc/2022/568/de
- EDÖB, «Das neue Datenschutzgesetz aus Sicht des EDÖB», Stand 27.10.2022, abgerufen am 28.10.2026. edoeb.admin.ch/de/das-neue-datenschutzgesetz-aus-sicht-des-edob
- EDÖB, «Strafbestimmungen», abgerufen am 28.10.2026. edoeb.admin.ch/de/strafbestimmungen
- EDÖB, «Häufig gestellte Fragen zum Datenschutz», Abschnitte Bearbeitungsverzeichnis, Datenschutzberater und DSGVO, abgerufen am 28.10.2026. edoeb.admin.ch/de/faq-datenschutz
- EDÖB, «Bekanntgabe von Personendaten ins Ausland», abgerufen am 28.10.2026. edoeb.admin.ch/de/bekanntgabe-von-personendaten-ins-ausland
- EDÖB, «Auskunftsrecht», abgerufen am 28.10.2026. edoeb.admin.ch/de/auskunftsrecht
- Fernmeldegesetz (FMG), SR 784.10, Art. 45c, Fedlex, abgerufen am 29.10.2026. fedlex.admin.ch/eli/cc/1997/2187_2187_2187/de
- KMU-Portal des SECO, «Neues Datenschutzgesetz (revDSG)», abgerufen am 28.10.2026. kmu.admin.ch/de/neues-datenschutzgesetz-revdsg
- Verordnung (EU) 2016/679, Datenschutz-Grundverordnung, Art. 3, 6, 30, 33, 37 und 83, EUR-Lex, abgerufen am 28.10.2026. eur-lex.europa.eu/eli/reg/2016/679/oj
- Europäische Zentralbank, Euro-Referenzkurs CHF vom 28.10.2026 (1 EUR = 0.9247 CHF). ecb.europa.eu
Was läuft auf Ihrer Website?
Im Erstgespräch gehen wir durch, welche Formulare, Tools und Dienste auf Ihrer Website laufen und welche Sie davon wirklich brauchen. Rechtliche Fragen klären Sie bitte mit einer Fachperson für Recht.
Lieber direkt? +41 78 814 14 58 oder info@maltconsulting.ch