nDSG: Was muss Ihre Website jetzt haben?

Seit September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz, kurz nDSG. Es betrifft jedes Unternehmen, das Personendaten bearbeitet — und eine Website tut das fast immer: über Kontaktformulare, Server-Logs oder Analyse-Tools.

Wer haftet?

Anders als bei der EU-DSGVO können in der Schweiz natürliche Personen persönlich haftbar gemacht werden — bis zu CHF 250’000. Das betrifft auch Inhaber kleiner Unternehmen, nicht nur grosse Konzerne.

Das ist kein theoretisches Risiko. Beschwerden können vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) verfolgt werden. Noch wichtiger: Das Vertrauen Ihrer Kundschaft hängt zunehmend daran, wie Sie mit Daten umgehen.

nDSG und DSGVO — wo liegt der Unterschied?

Viele Schweizer KMU fragen sich, ob sie beide Gesetze einhalten müssen. Die kurze Antwort: wahrscheinlich ja.

Das nDSG gilt für jedes Schweizer Unternehmen, das Personendaten bearbeitet — unabhängig davon, wo die Besucher herkommen. Es ist das relevante Gesetz für Ihren Betrieb.

Die EU-DSGVO gilt zusätzlich, wenn Sie Produkte oder Dienstleistungen aktiv an EU-Bürgerinnen und -Bürger richten. Wer als Handwerksbetrieb in Thun ausschliesslich lokale Kundschaft bedient, hat hier keinen Handlungsbedarf. Wer einen Online-Shop betreibt, der auch nach Deutschland liefert, schon.

Für die meisten Schweizer KMU-Websites gilt: nDSG erfüllen reicht aus. Wer auf Nummer sicher gehen will, orientiert sich an der DSGVO — sie ist oft strenger und gibt damit automatisch auch nDSG-Konformität.

Die wichtigsten Punkte für Ihre Website

Datenschutzerklärung. Jede Website braucht eine Datenschutzerklärung, die transparent auflistet: welche Daten erhoben werden, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange sie gespeichert werden.

Kontaktformulare. Wenn Besucher ein Formular ausfüllen, müssen sie wissen, was mit ihren Daten passiert. Eine kurze Erklärung direkt beim Formular — mit Link zur Datenschutzerklärung — reicht meist aus.

Externe Dienste. Nutzen Sie Hosting, E-Mail-Versand oder Analyse-Tools von Drittanbietern, gehören diese in die Datenschutzerklärung. Wichtig ist auch, wo diese Anbieter ihre Server betreiben.

Analytics ohne Cookie-Banner. Klassische Tools wie Google Analytics setzen Cookies und übertragen Daten in die USA — das löst oft eine Cookie-Banner-Pflicht aus. Cookielose Alternativen wie Plausible Analytics erheben keine Personendaten und benötigen daher keinen Banner.

Speicherdauer. Daten dürfen nicht unbegrenzt aufbewahrt werden. Für Anfragen über ein Kontaktformular ist eine Frist von 12 Monaten ein gängiger und nachvollziehbarer Wert.

Das Google-Fonts-Problem — und warum es viele trifft

Google Fonts ist eines der beliebtesten Web-Tools überhaupt. Millionen von Websites laden Schriftarten direkt von Googles Servern — darunter auch viele Wix-, WordPress- und Jimdo-Seiten.

Das Problem: Beim Laden einer Google-Schriftart wird die IP-Adresse des Besuchers automatisch an Google in den USA übertragen. Das passiert ohne Einwilligung, im Hintergrund, für jede einzelne Seitenansicht.

Im Januar 2022 hat das Landgericht München einen deutschen Websitebetreiber verurteilt, der Google Fonts auf diese Weise eingesetzt hatte. Das Gericht sprach dem Kläger EUR 100 Schadenersatz zu — und setzte damit einen Präzedenzfall. Seither sind ähnliche Abmahnungen in der DACH-Region stark angestiegen.

Die Lösung ist technisch einfach: Schriftarten werden einmalig heruntergeladen und vom eigenen Server ausgeliefert. Keine Verbindung zu Google, keine IP-Übertragung, kein Problem. AppKlar macht das bei jedem Projekt standardmässig so.

Was eine Datenschutzerklärung enthalten muss

Eine vollständige Datenschutzerklärung für eine KMU-Website sollte folgende Punkte abdecken:

• Name und Kontaktdaten des Verantwortlichen (das ist Ihr Unternehmen)
• Welche Personendaten erhoben werden (Name, E-Mail, IP-Adresse, etc.)
• Zu welchem Zweck die Daten verwendet werden
• Auf welcher Rechtsgrundlage (Vertragserfüllung, berechtigtes Interesse, Einwilligung)
• Wie lange die Daten gespeichert werden
• Ob Daten an Dritte weitergegeben werden (und wenn ja, an wen und warum)
• Ob Daten in Länder ausserhalb der Schweiz/EU übertragen werden
• Welche Rechte Besucher haben (Auskunft, Berichtigung, Löschung)
• Kontaktangaben für Datenschutzanfragen

Eine generierte Vorlage ohne Anpassung an Ihre konkrete Website-Situation reicht nicht aus.

Cookies: was einwilligungspflichtig ist und was nicht

Nicht alle Cookies sind gleich. Das Gesetz unterscheidet:

Technisch notwendige Cookies sind solche, ohne die die Website nicht funktionieren würde — zum Beispiel ein Session-Cookie nach dem Login. Diese brauchen keine Einwilligung.

Analyse- und Marketing-Cookies verfolgen Nutzerverhalten und bauen Profile auf. Google Analytics gehört in diese Kategorie. Für diese braucht es eine ausdrückliche Einwilligung mit echter Ablehn-Möglichkeit — also einen Cookie-Banner, der nicht manipulativ gestaltet ist.

Der einfachste Weg, den Banner zu vermeiden: ein cookielose Analyse-Tool einsetzen, das keine Personendaten erhebt.

Analytics-Tools im Vergleich

Tool	Cookiefrei	Server-Standort	Banner nötig	Kosten
Google Analytics 4	Nein	USA	Ja	Gratis
Matomo (selbst gehostet)	Optional	Eigener Server	Abhängig von Konfiguration	Hosting
Plausible Analytics	Ja	EU (Deutschland)	Nein	ab EUR 9/Monat
Fathom Analytics	Ja	Kanada/EU	Nein	ab USD 15/Monat

Plausible ist die Lösung, die AppKlar standardmässig einsetzt: cookielos, EU-gehostet, keine Personendaten, kein Banner erforderlich.

Auftragsverarbeitungsvertrag: wann Sie einen brauchen

Wenn Sie einen externen Anbieter nutzen, der in Ihrem Auftrag Personendaten verarbeitet, braucht es einen sogenannten Auftragsverarbeitungsvertrag (AVV). Das betrifft zum Beispiel:

• E-Mail-Dienstleister für Newsletter (z. B. Mailchimp, Brevo)
• Hosting-Anbieter, wenn dort personenbezogene Daten liegen
• CRM-Systeme, in denen Kundendaten gespeichert sind
• Zahlungsdienstleister für Online-Shops

Die meisten seriösen Anbieter stellen diesen Vertrag auf Anfrage oder automatisch zur Verfügung. Prüfen Sie, ob Sie die AVVs Ihrer wichtigsten Dienstleister bereits unterschrieben haben.

Die Checkliste: 10 Punkte für Ihre Website

Gehen Sie diese Liste durch und prüfen Sie, wo Ihre Website steht:

1. Datenschutzerklärung vorhanden? Vollständig, aktuell, an die konkrete Website angepasst.
2. Google Fonts lokal gehostet? Keine Verbindung zu Googles Servern beim Seitenaufruf.
3. Analytics cookielos? Oder: Cookie-Banner korrekt implementiert mit echter Ablehn-Option.
4. Kontaktformular mit Datenschutzhinweis? Kurzer Text direkt beim Formular, Link zur Datenschutzerklärung.
5. Server in der Schweiz oder EU? Hosting bei Cloudflare, Infomaniak, Hostpoint oder vergleichbarem EU-Anbieter.
6. Speicherdauer definiert und eingehalten? Kontaktanfragen nach 12 Monaten löschen.
7. Auftragsverarbeitungsverträge mit Dienstleistern? Prüfen Sie E-Mail-Provider, Hosting, CRM.
8. SSL-Zertifikat aktiv? Die Verbindung zur Website muss verschlüsselt sein (https).
9. Einbettungen geprüft? YouTube-Videos, Google Maps, Social-Media-Buttons können ebenfalls Daten übertragen — nur einbetten mit Datenschutz-Lösung.
10. Impressum korrekt? Vollständige Angaben zum Unternehmen, klar erreichbar.

Was AppKlar-Projekte automatisch mitbringen

Jede Website, die ich entwickle, ist von Anfang an nDSG- und DSGVO-konform — ohne Aufpreis:

• Datenschutzerklärung mit allen Pflichtangaben
• Hinweis beim Kontaktformular zu Verwendung und Speicherdauer
• Cookieloses Hosting bei Cloudflare und cookielose Analytics mit Plausible
• Schweizer oder EU-Hosting für alle Daten
• Schriftarten lokal gehostet — keine Verbindung zu Google Fonts

Was Sie selbst noch prüfen sollten

Nutzen Sie zusätzliche Tools wie Newsletter-Anbieter, Buchungssysteme oder Live-Chat, müssen diese ebenfalls in der Datenschutzerklärung auftauchen. Im Zweifel gilt: lieber einmal zu viel dokumentieren als einmal zu wenig.

Unsicher, wie viel eine nDSG-konforme Website kostet? Eine Übersicht der realistischen Preise bietet der Artikel Was kostet eine Website in der Schweiz? Ob Ihre bestehende Website den Anforderungen entspricht, klären wir in der kostenlosen Analyse gemeinsam.

Klar.