Auf einen Blick
Das Wichtigste in Kürze
- Faktisch Pflicht, nicht wörtlich vorgeschrieben: Das revDSG verlangt seit dem 1. September 2023 eine Informationspflicht (Art. 19 revDSG). In der Praxis erfüllt diese Pflicht auf einer Webseite nur eine Datenschutzerklärung.
- Der grösste Unterschied zur EU: Nach revDSG braucht es für die Datenbearbeitung grundsätzlich keine Einwilligung. Im Zentrum steht die Information, nicht das Einholen einer Zustimmung wie unter der DSGVO.
- Bussen treffen die Person, nicht die Firma: Bei vorsätzlichen Verstössen gegen die Informationspflicht drohen Bussen bis zu CHF 250’000, und zwar gegen die verantwortliche natürliche Person (z.B. Geschäftsführer), nicht gegen das Unternehmen.
- Nur natürliche Personen geschützt: Das revDSG schützt seit der Revision nur noch Daten natürlicher Personen, nicht mehr von juristischen Personen (Firmen).
- Cookies brauchen keinen Opt-in (rechtlich): Anders als in der EU verlangt das Schweizer Recht keinen gesetzlichen Opt-in-Zwang für Cookies. Die Informationspflicht gilt aber trotzdem.
- Onlineshops haben mehr drin: Zahlungsdienstleister, Versand, Tracking und Newsletter-Tools müssen genannt werden. Wie viel davon, hängt auch vom Shop-System (Shopify vs. WooCommerce) ab.
Ist eine Datenschutzerklärung in der Schweiz Pflicht?
Kurz gesagt: Es gibt keine Vorschrift, die wörtlich «eine Datenschutzerklärung ist zu veröffentlichen» sagt. Faktisch ist sie aber Pflicht. Der Grund liegt in der Informationspflicht nach Art. 19 revDSG: Wer Personendaten beschafft, muss die betroffene Person angemessen und transparent darüber informieren. Auf einer Webseite lässt sich diese Pflicht praktisch nur über eine Datenschutzerklärung erfüllen.
Diese Pflicht gilt breit. Das revidierte Datenschutzgesetz betrifft alle Unternehmen mit Sitz in der Schweiz sowie ausländische Unternehmen, deren Datenbearbeitung sich in der Schweiz auswirkt. Schon eine simple Webseite verarbeitet in der Regel Personendaten, etwa über das Kontaktformular, Server-Logs, IP-Adressen oder eingebundene Drittdienste.
Was das revDSG sonst noch verlangt, etwa die Grundsätze Privacy by Design und Privacy by Default oder die Datenschutz-Folgenabschätzung, steht im Ratgeber zum Datenschutzgesetz in der Schweiz. Hier geht es um das Dokument selbst, also um die Datenschutzerklärung.
Wichtig zu wissen: Die Bussen im revDSG greifen nur bei Vorsatz, nicht bei Fahrlässigkeit. Wer aber weiss, dass er Personendaten sammelt, und trotzdem bewusst keine Datenschutzerklärung bereitstellt, handelt bereits vorsätzlich im Sinne des Gesetzes. «Ich wusste das nicht» ist also nur begrenzt eine Ausrede.
Datenschutzerklärung Schweiz vs. DSGVO: der entscheidende Unterschied
Hier liegt das grösste Missverständnis und zugleich der Punkt, an dem die meisten kopierten Deutschland-Vorlagen scheitern. Die Schweizer Datenschutzerklärung folgt einer anderen Logik als die EU-DSGVO: Sie stellt die Information in den Mittelpunkt, nicht die Einwilligung.
| Aspekt | Schweiz (revDSG) | EU (DSGVO) |
|---|---|---|
| Im Zentrum steht | Transparente Information | Rechtsgrundlage / Einwilligung |
| Einwilligung für Datenbearbeitung | grundsätzlich nicht nötig | i.d.R. nötig (Rechtsgrundlage erforderlich) |
| Cookies / Tracking | kein gesetzlicher Opt-in-Zwang | Opt-in i.d.R. nötig (ePrivacy) |
| Geschützte Daten | nur natürliche Personen | nur natürliche Personen |
| Bussen | bis CHF 250’000 gegen die natürliche Person | bis 20 Mio. EUR bzw. 4 % Umsatz gegen das Unternehmen |
| Gilt, wenn | Sitz in CH oder Auswirkung in CH | u.a. wenn gezielt Kundinnen und Kunden in der EU angesprochen werden |
Wichtig zu wissen: Auch als reiner Schweizer Shop kann zusätzlich die DSGVO greifen, nämlich dann, wenn gezielt Kundschaft in der EU angesprochen wird (z.B. Lieferung in die EU, Preise in Euro, deutschsprachiges Marketing auf den EU-Markt ausgerichtet). In dem Fall braucht die Datenschutzerklärung mehr Inhalt. Wer nur in der Schweiz verkauft, kommt mit einer deutlich schlankeren Fassung aus.
Was muss in eine Datenschutzerklärung in der Schweiz?
Die Antwort: Sie muss transparent erklären, wer welche Daten zu welchem Zweck bearbeitet und an wen sie weitergegeben werden. Das revDSG gibt in Art. 19 einen Mindestinhalt vor. Für eine Webseite wird dieser um die Punkte ergänzt, die in der Praxis fast immer relevant sind.
Gesetzlicher Mindestinhalt (Art. 19 revDSG):
- Identität und Kontaktdaten des Verantwortlichen (also des verantwortlichen Unternehmens)
- Bearbeitungszweck(e)
- Empfänger oder Kategorien von Empfängern, an die Daten weitergegeben werden
- Bei Bekanntgabe ins Ausland: das betroffene Land und die Garantien für ein angemessenes Schutzniveau
In der Praxis zusätzlich empfohlen:
- Kategorien der bearbeiteten Personendaten (Name, Kontakt, Bestelldaten etc.)
- Aufbewahrungsdauer
- Rechte der betroffenen Person (Auskunft, Berichtigung, Löschung, Widerspruch)
- Eingesetzte Cookies und Tracking-Technologien
- Datenbearbeitung über Kontaktformular und Newsletter
- Eingebundene Drittdienste (z.B. Analyse-Tools, Schriftarten, Karten, Social Plugins)
Wichtig zu wissen: Allgemeine Floskeln wie «wir können Ihre Daten unter Umständen bearbeiten» sind zu vermeiden. Die Datenschutzerklärung muss zu den tatsächlichen Datenbearbeitungen passen. Eine generische Erklärung, die nicht zu den echten Datenbearbeitungen passt, erfüllt die Informationspflicht nicht, egal wie professionell sie klingt.
Datenschutzerklärung für den Onlineshop: das kommt zusätzlich dazu
Ein Onlineshop verarbeitet deutlich mehr Personendaten als eine Visitenkarten-Webseite, etwa bei Bestellungen, Zahlungen, Versand, Kundenkonten, Marketing und Tracking. Entsprechend muss eine Datenschutzerklärung für den Onlineshop mehr abdecken. Das ist der Bereich, in dem die meisten Standard-Vorlagen lückenhaft sind.
Diese Dienste tauchen bei Schweizer Shops am häufigsten auf und gehören, sofern eingesetzt, in die Erklärung:
- Zahlungsdienstleister: z.B. Stripe, Datatrans, TWINT, PayPal, Kreditkarten-Acquirer
- Versand & Logistik: z.B. Schweizerische Post, DHL, weitere Logistikpartner
- Analyse & Werbung: Google Analytics 4, Google Ads, Meta-Pixel
- Newsletter & Marketing: z.B. Mailchimp, Brevo
- Weitere Tools: Bewertungsdienste, Chat-Widgets, Schriftarten, Karten
Ob Shopify oder WooCommerce, macht einen Unterschied. Welche dieser Dienste in die Datenschutzerklärung gehören und wie individuell sie aufgesetzt werden muss, hängt stark vom Shop-System ab:
| Bezug auf: | Shopify | WordPress / WooCommerce |
|---|---|---|
| Datenbearbeitung | viele Funktionen (Hosting, Checkout, Teile des Trackings) von der Plattform vorgegeben | du baust den Stack aus Plugins selbst zusammen |
| Aufwand für die DSE | oft kompakter, viele Punkte sind systemseitig bereits abgedeckt | individueller, weil jede Plugin-Erweiterung neue Datenbearbeitungen mitbringen kann |
| Worauf achten | Datenflüsse über Shopify (inkl. USA) korrekt benennen | jedes eingesetzte Plugin und dessen Dienstleister prüfen |
Welches System im konkreten Fall passt, erklären wir im Ratgeber Welches Shopsystem ist das beste?
Wichtig zu wissen: Viele dieser Tools übermitteln Daten ins Ausland, häufig in die USA. Solche Auslandbekanntgaben sind in der Datenschutzerklärung zu benennen. Und: Ob es für Cookies in der Schweiz einen Banner mit Einwilligung braucht, ist eine eigene Frage. Diese beantworten wir im Ratgeber Cookie-Banner in der Schweiz.
Vorlage, Muster oder Generator: Was taugt für KMU?
Eine gute Vorlage ist ein sinnvoller Startpunkt, aber niemals ein Endprodukt. Das Rad muss niemand neu erfinden. Gefährlich wird es nur, wenn eine Datenschutzerklärung-Vorlage oder ein Generator unbesehen kopiert wird, ohne sie an die eigenen Datenbearbeitungen anzupassen. Eine falsche, nicht passende Erklärung ist schlechter als eine ehrliche, schlanke.
| Variante | Aufwand | Eignung für KMU | Risiko |
|---|---|---|---|
| Generator (online) | gering | gut als erster Entwurf | Lücken, wenn Spezialfälle nicht abgefragt werden |
| Muster / Vorlage (Word) | gering–mittel | gut, wenn man sie anpasst | hoch, wenn 1:1 kopiert |
| Anwaltliche Erstellung | hoch | bei komplexen Fällen | gering, aber kostenintensiv |
| Im Shop-Paket der Agentur | gering | sehr gut für Shop-Betreiber | gering, wird auf das jeweilige Setup zugeschnitten |
Für einen sauberen Startpunkt stellen wir unsere Datenschutz-Vorlage als kostenlosen Download bereit. Sie ist auf Schweizer Recht ausgerichtet und muss nur noch an die tatsächlichen Datenbearbeitungen angepasst werden.
Kostenlose Datenschutzerklärung-Vorlage (Schweiz) zum Download
Hier gibt es unsere kostenlose Datenschutzerklärung-Vorlage für Schweizer Unternehmen zum Download. Sie muss nur noch mit den eigenen Angaben ergänzt werden.
Das ist drin:
- Auf das revDSG / Schweizer Recht ausgerichtet
- Platzhalter für Firma, Kontakt und die eingesetzten Dienste
- Abschnitte für Cookies, Tracking, Zahlungsdienstleister und Auslandbekanntgabe
- Word-Format, direkt anpassbar
Die Vorlage dient der Information und ersetzt keine Rechtsberatung. Sie ist an die tatsächlichen Datenbearbeitungen anzupassen.
Tipp: Wie eine fertige, an ein reales Schweizer Unternehmen angepasste Datenschutzerklärung aussieht, zeigt unsere eigene Datenschutzerklärung.
Wie wir die Datenschutzerklärung bei Shop-Projekten lösen
Bei uns ist die Datenschutzerklärung kein nachträglich draufgesetztes Dokument, sondern Teil eines Pakets für die rechtlichen Grundlagen. Darin enthalten sind AGB, Datenschutzerklärung und Impressum sowie die nötigen Besprechungen, typischerweise mit einem Aufwand von 3 bis 5 Stunden. Den Vorteil sehen wir täglich: Weil wir den Shop selbst aufbauen, kennen wir jeden eingebundenen Dienst und können die Erklärung exakt darauf abstimmen, statt eine generische Vorlage zu liefern.
Genau hier zeigt sich auch die Systemfrage aus der Praxis: Bei Shopify sind viele Datenbearbeitungen durch die Plattform vorgegeben und teils schon abgedeckt; bei WordPress/WooCommerce stimmen wir die Datenschutzerklärung individueller auf die eingesetzten Plugins und Dienstleister ab.
Häufige Datenschutzfehler:
«Der häufigste Fehler, den wir sehen: Ein KMU kopiert eine deutsche DSGVO-Vorlage und denkt, damit sei alles erledigt. In der Schweiz tickt das Datenschutzrecht aber anders, und die Vorlage passt selten zum echten Shop. Wir packen die rechtlichen Grundlagen darum direkt ins Projekt: AGB, Datenschutz und Impressum aus einer Hand, abgestimmt auf das System, das wir gebaut haben. Das spart Nerven und schützt am Ende die Person, die geradesteht.»
Ist ohnehin ein Shop geplant, ist es deutlich effizienter, den Onlineshop erstellen zu lassen und die rechtlichen Grundlagen gleich mitzunehmen, statt sie später nachzurüsten.
Gründer, CEO und Marketing
Unser Fazit
Fazit und unsere Einschätzung als Agentur
Eine Datenschutzerklärung ist in der Schweiz faktisch Pflicht und mit etwas Struktur gut machbar. Aus unserer Praxis drei
Empfehlungen:
1. Die Vorlage ans echte Setup anpassen. Eine kopierte Deutschland- oder DSGVO-Vorlage ist der häufigste Fehler. Unsere
Vorlage taugt als Startpunkt. Eingetragen werden muss, welche Daten tatsächlich bearbeitet und welche Dienste eingesetzt werden.
2. Die Erklärung vom Shop-System her denken. Ob Shopify oder WooCommerce: Alle Drittdienste gehören aufgelistet, also Zahlung, Versand,
Tracking, Newsletter, ebenso die Auslandbekanntgaben (insbesondere in die USA).
3. Die rechtlichen Grundlagen bündeln. AGB, Datenschutz und Impressum hängen zusammen. Wer sie gemeinsam aufsetzt
(idealerweise beim Shop-Aufbau), spart Zeit und vermeidet Widersprüche zwischen den Dokumenten.
Noch Fragen?
Häufige Fragen zur Datenschutzerklärung Schweiz
Kurz und verständlich beantwortet, ohne Juristendeutsch. Die passende Frage ist nicht dabei? Eine kurze Nachricht genügt.
Ist eine Datenschutzerklärung in der Schweiz Pflicht?
Es gibt keine Vorschrift, die eine Datenschutzerklärung wörtlich vorschreibt, aber das revDSG verlangt eine Informationspflicht (Art. 19
revDSG). Auf einer Webseite lässt sie sich praktisch nur mit einer Datenschutzerklärung erfüllen. Sie ist damit faktisch Pflicht für so gut wie jede
geschäftliche Webseite.
Brauche ich eine Datenschutzerklärung für meine Website, auch ohne Shop?
Ja. Schon eine einfache Webseite verarbeitet Personendaten, etwa über das Kontaktformular, Server-Logs oder eingebundene Dienste. Sobald Personendaten bearbeitet werden, greift die Informationspflicht, und damit braucht es eine Datenschutzerklärung.
Was muss in eine Datenschutzerklärung in der Schweiz?
Mindestens: Identität und Kontakt des Verantwortlichen, die Bearbeitungszwecke, allfällige Empfänger der Daten sowie Angaben zu Auslandbekanntgaben. In der Praxis kommen die Kategorien der Daten, die Aufbewahrungsdauer, die Betroffenenrechte sowie Angaben zu Cookies und Drittdiensten dazu.
Worin unterscheidet sich die Schweizer Datenschutzerklärung von der DSGVO?
Der Kern: Das revDSG stellt die Information in den Mittelpunkt, die DSGVO die Einwilligung bzw. Rechtsgrundlage. Für die Datenbearbeitung braucht es in der Schweiz grundsätzlich keine Einwilligung. Wird aber gezielt EU-Kundschaft angesprochen, kann zusätzlich die DSGVO gelten.
Brauche ich für Cookies eine Einwilligung in der Schweiz?
Das Schweizer Recht kennt keinen gesetzlichen Opt-in-Zwang für Cookies wie die EU. Die Informationspflicht gilt aber trotzdem, und zwar über die Datenschutzerklärung. Die Details zum Cookie-Banner haben wir im Ratgeber Cookie-Banner in der Schweiz zusammengefasst.
Reicht eine kostenlose Vorlage oder ein Generator?
Als Startpunkt ja, als Endprodukt nein. Eine Vorlage oder ein Generator liefert ein gutes Gerüst, das aber an die tatsächlichen Datenbearbeitungen angepasst werden muss. Eine unangepasst kopierte Vorlage erfüllt die Informationspflicht in der Regel nicht.
Was passiert bei Verstössen?
Bei vorsätzlichen Verstössen gegen die Informationspflicht drohen Bussen bis zu CHF 250’000. Anders als unter der DSGVO trifft die Busse die verantwortliche natürliche Person (z.B. den Geschäftsführer), nicht das Unternehmen. Sie lässt sich weder versichern noch von der Firma übernehmen.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Die rechtlichen Angaben sind sorgfältig recherchiert (Stand September 2026), sollten im konkreten Fall aber fachlich geprüft werden.
