DSG: Das solltest du unserer Meinung nach dazu wissen.

Das neue Datenschutzgesetz (auch nDSG oder revDSG genannt) soll die Bearbeitung persönlicher Daten verbessern und der Schweizer Bevölkerung neue Rechte ermöglichen. Die vorherige Version des Gesetzes aus dem Jahr 1992 stammt aus einer Zeit, in der das Internet noch nicht allgegenwärtig war. Darum wurde diese Anpassung fällig. Auch wollte die Schweiz ihr Datenschutzgesetz an das der EU anpassen.

Das DSG verfolgt konkret folgende Ziele:

Was bedeutet das nun konkret für dich? Dazu zunächst ein paar Erklärungen, warum Unternehmen überhaupt Personendaten bearbeiten.

Kundendaten im CRM verwalten, Newsletter verschicken, Google Ads schalten, Websitebesuche auswerten – all das gehört heute zum normalen Geschäftsalltag. Und all das bedeutet: Du verarbeitest Personendaten.

Im Rahmen von Geschäftsbeziehungen fallen unweigerlich Daten an: Vorname, Name, Adresse, E-Mail, Geburtstag, Standortdaten, IP-Adressen und vieles mehr. Das DSG regelt, unter welchen Voraussetzungen du diese Daten bearbeiten darfst. Grundsätzlich gilt: Besteht bereits ein Vertrag (z.B. eine Bestellung, ein Dienstleistungsauftrag oder ein Arbeitsvertrag), eine gesetzliche Verpflichtung oder ein berechtigtes Interesse deines Unternehmens (z.B. Direktwerbung), ist keine zusätzliche Einwilligung nötig. In allen anderen Fällen brauchst du die ausdrückliche Zustimmung der betroffenen Person.

Das DSG betrifft jedes Unternehmen – denn jedes Unternehmen verarbeitet auf irgendeine Weise Personendaten.

Personendaten dürfen grundsätzlich wie bisher bearbeitet werden. Drei Grundsätze sind dabei zentral:

Neu hinzu kommen zwei Prinzipien, die von Anfang an mitgedacht werden müssen: Privacy by Design bedeutet, dass der Datenschutz bereits in der Konzeptionsphase neuer Produkte und Dienstleistungen berücksichtigt wird – nicht erst nachträglich. Privacy by Default verlangt, dass bei konkreten Anwendungen immer die datenschutzfreundlichste Variante voreingestellt ist.

Dazu werden die Informationspflichten rund um die Datenbearbeitung deutlich strenger. Eine Datenschutzerklärung ist damit faktisch Pflicht. Was das konkret bedeutet, erklären wir im nächsten Abschnitt.

Wer Personendaten sammelt, muss die betroffenen Personen darüber informieren, welche Daten erhoben werden, zu welchem Zweck und wie sie verarbeitet werden. All das gehört in eine Datenschutzerklärung, die auf deiner Website veröffentlicht wird.

Am besten dauerhaft zugänglich, zum Beispiel als Link im Footer. So ist sie auf jeder Seite erreichbar und kann überall dort verlinkt werden, wo Personendaten erfasst werden: im Kontaktformular, bei der Newsletter-Anmeldung oder im Checkout eines Shops.

Personen haben das Recht zu wissen, welche Daten ein Unternehmen über sie gespeichert hat und können jederzeit Auskunft verlangen. Dazu kommt das Recht auf Löschung: Werden Daten nicht mehr benötigt, müssen sie auf Anfrage gelöscht werden (Recht auf Vergessenwerden). Neu hinzu kommt ausserdem das Recht auf Datenherausgabe: Personen können verlangen, dass ihre Daten in einem gängigen Format an sie oder an ein anderes Unternehmen übertragen werden (Datenportabilität).

All diese Rechte sollten in der Datenschutzerklärung beschrieben sein inklusive eines Kontaktwegs, über den Betroffene ihre Anfragen stellen können.

Aber was bedeutet das nun konkret für deine Website?

Deine Website ist oft der erste digitale Kontaktpunkt für potenzielle Kunden, Bewerbende und viele andere. Dabei werden häufig Personendaten erhoben, manchmal offensichtlich, manchmal im Hintergrund.

In der folgenden Übersicht findest du typische Fälle, bei denen auf einer Website Daten erfasst werden. Sie helfen dir, die relevanten Prozesse für deine Datenschutzerklärung zu identifizieren:

Alle diese Prozesse solltest du dokumentieren: welche Daten, zu welchem Zweck und wie lange sie gespeichert werden. Nicht mehr benötigte Daten sollten nach einer vordefinierten Frist gelöscht werden.

Daneben gibt es die Datenweitergabe an Drittunternehmen. Das passiert immer dann, wenn externe Online-Dienste in die Website eingebunden sind zum Beispiel:

In all diesen Fällen werden Personendaten, je nach Dienst IP-Adresse, E-Mail, Standort oder andere Angaben, an ein Drittunternehmen übertragen und dort verarbeitet.

Es liegt in deiner Verantwortung, die Konformität mit dem DSG sicherzustellen und die Besuchenden deiner Website darüber zu informieren.

Welche externen Dienste standardmässig in einer cmsbox-Website integriert sind, erklären wir im nächsten Abschnitt.

cmsbox ist für den Betrieb und das Hosting deiner Website zuständig. Um unsere Dienstleistungen bereitzustellen, zu überprüfen und zu verbessern, erheben auch wir Personendaten.

Bei jedem Aufruf deiner Website erfasst unsere Server-Infrastruktur automatisch eine Reihe von allgemeinen Zugriffsdaten, die in sogenannten Logfiles gespeichert werden:

Diese Daten werden ausschliesslich zur Sicherstellung der Funktionsfähigkeit und Sicherheit unserer Systeme verwendet.

Auf allen cmsbox-Websites setzen wir Matomo zur Auswertung von Besucherzahlen ein. Matomo läuft auf unseren eigenen Servern, die Daten verlassen die Schweiz nicht. Die Erfassung erfolgt pseudonymisiert, sodass kein Rückschluss auf einzelne Besuchende möglich ist. Die Rohdaten werden nach 180 Tagen automatisch gelöscht. Auf expliziten Wunsch kann das Tracking deaktiviert werden.

Ein Opt-out für Besucher:innen deiner Website ist über diesen Link verfügbar: https://tracker.cmsbox.com/index.php?module=CoreAdminHome&action=optOut&language=de

Alle cmsbox-Formulare sind mit Google reCaptcha v3 gegen Bot-Versand geschützt. reCaptcha v3 arbeitet unsichtbar im Hintergrund, Besuchende müssen keine Aufgaben lösen oder Checkboxen anklicken. Der Dienst analysiert das Nutzerverhalten und vergibt einen Score, der einschätzt, ob es sich um einen Menschen oder einen Bot handelt.

Da dabei personenbezogene Daten an Google übertragen werden, ist bei jedem Formular ein entsprechender Hinweis («protected by reCaptcha») mit einem Link zur Datenschutzerklärung von Google platziert. Die Nutzung von reCaptcha muss zudem in der Datenschutzerklärung deiner Website aufgeführt werden.

Ein generelles Obligatorium für einen Cookie-Banner gibt es im Schweizer DSG nicht. Im Vordergrund steht die Information der betroffenen Personen: welche Daten werden zu welchem Zweck erhoben und ob dies mit oder ohne Einwilligung geschieht.

Trotzdem lohnt es sich, die Situation im Blick zu behalten. Der EDÖB hat im Januar 2025 einen Leitfaden veröffentlicht, der die datenschutzrechtlichen Anforderungen beim Einsatz von Cookies präzisiert. Wer einen Cookie-Banner einsetzt, muss diesen korrekt umsetzen: «Akzeptieren» und «Ablehnen» müssen gleichwertig und gleich auffällig gestaltet sein, und Besuchende müssen ihre Einwilligung jederzeit widerrufen können.

Sofern du auf deiner Website ausschliesslich Daten im Rahmen des berechtigten Interesses erhebst, ist ein Cookie-Banner weiterhin keine Pflicht.

Falls du einen Cookie-Banner möchtest oder brauchst, melde dich bei uns. Unsere Lösung entspricht dem «Privacy by Default»-Grundsatzund ist für dich kostenlos.

Die Erstellung einer vollständigen Datenschutzerklärung können wir nicht für dich übernehmen. Das ist Aufgabe einer Fachperson oder eines spezialisierten Anbieters. Wir empfehlen dir folgende Schritte:

Grundsätzlich ist es nicht so kompliziert, wie es auf den ersten Blick wirkt. Bei Fragen helfen wir dir gerne weiter, soweit wir können.

Wir hoffen, mit diesen Informationen mehr Klarheit zum DSG und dessen Folgen für dein Unternehmen und deine Website zu schaffen. Wir möchten dich aber nochmals daran erinnern: Wir sind eine Webagentur und keine Juristen. Unsere Einschätzung ist keine Rechtsberatung und ersetzt diese nicht. Wende dich für Detailfragen zum DSG und dessen Umsetzung bitte an deinen Rechtsbeistand.