Was verlangen revDSG und DSGVO von einer Website? (2026)

revDSG oder DSGVO — was gilt für meine Website?

Für eine in der Schweiz betriebene Website gilt in erster Linie das revidierte Datenschutzgesetz (revDSG), das seit dem 1. September 2023 in Kraft ist; die EU-Datenschutz-Grundverordnung (DSGVO) kann zusätzlich anwendbar sein, wenn die Website gezielt Personen in der EU anspricht. Beide Regelwerke verfolgen dasselbe Grundprinzip: Wer Personendaten bearbeitet, muss transparent informieren, nur für einen klaren Zweck bearbeiten und die Daten angemessen schützen.

Das revDSG hat den Datenschutz in der Schweiz näher an europäisches Niveau gebracht. Für Website-Betreiber besonders relevant sind die verschärfte Informationspflicht, das Prinzip von Privacy by Design und Privacy by Default sowie — bei umfangreicher oder heikler Bearbeitung — ein Verzeichnis der Bearbeitungstätigkeiten. Die DSGVO greift nach ihrem Marktortprinzip zusätzlich dann, wenn Sie Waren oder Dienstleistungen gezielt an Personen in der EU anbieten oder deren Verhalten beobachten.

revDSG — revidiertes Datenschutzgesetz

Das Schweizer Bundesgesetz über den Datenschutz in seiner seit 1. September 2023 geltenden Fassung. Es regelt die Bearbeitung von Personendaten durch private Personen und Bundesorgane in der Schweiz.

DSGVO — Datenschutz-Grundverordnung

Die EU-Verordnung 2016/679, die den Datenschutz im EU-Raum regelt und über das Marktortprinzip auch auf Schweizer Anbieter wirken kann, die sich an EU-Personen richten.

Personendaten

Alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen — dazu zählen bereits Name, E-Mail-Adresse und in vielen Fällen die IP-Adresse.

Auftragsbearbeiter

Eine Stelle, die Personendaten im Auftrag und nach Weisung des Verantwortlichen bearbeitet, etwa ein Hosting- oder Newsletter-Dienstleister.

Ob im Einzelfall nur das revDSG oder auch die DSGVO gilt, hängt von Zielgruppe, Angebot und Ausrichtung ab. Diese Einordnung ist allgemeine Information; die verbindliche Beurteilung nimmt eine Rechts-Fachperson vor.

Was gehört in die Datenschutzerklärung?

Die Datenschutzerklärung ist der zentrale Transparenz-Text jeder Website: Sie legt offen, wer welche Personendaten zu welchem Zweck bearbeitet, an wen sie weitergegeben werden und welche Rechte die betroffenen Personen haben. Nach revDSG muss diese Information verständlich, leicht zugänglich und zum Zeitpunkt der Datenbeschaffung verfügbar sein — üblicherweise über einen ständigen Link im Footer.

Für eine typische KMU-Website deckt eine Datenschutzerklärung in der Regel folgende Punkte ab:

Verantwortliche Stelle

Name und Kontaktangaben des Website-Betreibers, der über Zweck und Mittel der Datenbearbeitung entscheidet.

Bearbeitete Daten und Zwecke

Welche Daten erhoben werden — etwa aus Server-Logs, Kontaktformular oder Analyse — und zu welchem konkreten Zweck.

Weitergabe und Auftragsbearbeiter

An welche Dienstleister Daten weitergegeben werden (Hosting, E-Mail, Analyse) und ob eine Bekanntgabe ins Ausland erfolgt.

Aufbewahrung und Löschung

Wie lange Daten aufbewahrt werden und nach welchen Kriterien sie gelöscht werden.

Rechte der betroffenen Personen

Auskunfts-, Berichtigungs- und Löschrecht sowie der Kontaktweg, um diese Rechte geltend zu machen.

Wichtig ist, dass die Datenschutzerklärung die tatsächlich eingesetzten Werkzeuge widerspiegelt und nicht eine generische Vorlage bleibt. Eine handcodierte Website mit wenigen, bewusst gewählten Diensten führt zu einer kurzen, ehrlichen Erklärung — passend zur Studio-Devise «echte Menschen, perfekt architektierte digitale Abläufe».

Brauche ich ein Cookie-Banner und Consent?

Das revDSG verlangt kein zwingendes Einwilligungs-Banner, sondern Transparenz: Technisch notwendige Cookies sind ohne vorherige Einwilligung erlaubt, müssen aber in der Datenschutzerklärung genannt werden — ein aktives Consent-Banner wird nötig, sobald Sie nicht notwendige Tracking- oder Marketing-Cookies einsetzen oder die DSGVO greift. Der einfachste Weg zur Rechts-Ruhe ist deshalb, den Einsatz nicht notwendiger Cookies zu vermeiden.

Cookies und ähnliche Techniken lassen sich grob in zwei Gruppen einteilen:

Technisch notwendige Cookies

Cookies, ohne die die Website nicht funktioniert — etwa für Sitzung, Warenkorb oder die gespeicherte Theme-Einstellung. Sie sind ohne Einwilligung zulässig, gehören aber transparent in die Datenschutzerklärung.

Nicht notwendige Cookies

Cookies für Analyse, Marketing, Retargeting oder eingebettete Dienste von Dritten. Für sie ist eine informierte Einwilligung nötig, sobald die DSGVO gilt — und generell die transparenteste Lösung.

Ein oft übersehener Punkt sind eingebundene Dienste von Dritten: eingebettete Videos, Karten, Web-Fonts von externen Servern oder Analyse-Skripte können bereits beim Seitenaufruf Daten an Anbieter im Ausland übertragen. Studio Erdinc setzt konsequent auf handcodierte Seiten ohne unnötige Fremd-Skripte — das reduziert die Zahl der einwilligungspflichtigen Cookies und macht ein aufdringliches Banner in vielen Fällen überflüssig. Wie diese Bauweise entsteht, zeigt der Beitrag zum Webdesign-Prozess bei Studio Erdinc.

Hosting und Auftragsbearbeitung — was ist zu regeln?

Ein Hosting-Anbieter, der im Auftrag des Website-Betreibers Personendaten der Besucher speichert, ist ein Auftragsbearbeiter im Sinne des revDSG — dafür braucht es einen Auftragsbearbeitungsvertrag (AVV), der Zweck, Umfang und Sicherheit der Bearbeitung regelt. Der AVV stellt sicher, dass der Dienstleister die Daten nur nach Weisung bearbeitet und angemessen schützt.

Zwei Aspekte verdienen besondere Aufmerksamkeit:

Standort der Server

Werden Daten ins Ausland bekanntgegeben, verlangt das revDSG einen angemessenen Schutz — etwa über die Länderliste des Bundes oder vertragliche Garantien. Schweizer Hosting mit Servern in der Schweiz vermeidet diese Zusatzfrage weitgehend.

Unterbeauftragte

Setzt der Hoster selbst weitere Dienstleister ein (etwa für Backups oder ein Content Delivery Network), muss der AVV diese Kette regeln und transparent machen.

Studio Erdinc setzt auf Schweizer Hosting: Die Websites laufen auf Servern in der Schweiz, was die Bekanntgabe von Personendaten ins Ausland minimiert und die datenschutzrechtliche Ausgangslage vereinfacht. Zusammen mit handcodiertem HTML und je 100 in den Lighthouse-Kategorien Accessibility, Best Practices und SEO entsteht so eine Basis, die technisch sauber und datenschutzfreundlich zugleich ist — mehr dazu auf der Seite zu Webdesign von Studio Erdinc.

Kontaktformular: Welche Daten darf ich erheben?

Die Daten aus einem Kontaktformular sind Personendaten und dürfen nur datensparsam und für den angegebenen Zweck erhoben werden — meist die Beantwortung der Anfrage. Das Prinzip der Datenminimierung bedeutet: nur Felder abfragen, die für den Kontakt wirklich nötig sind, in der Regel Name, E-Mail-Adresse und Nachricht.

Rund um das Kontaktformular sind vor allem diese Punkte zu klären:

Zweckbindung

Die eingegebenen Daten dürfen nur für den kommunizierten Zweck genutzt werden — eine Anfrage berechtigt nicht automatisch zum Newsletter-Versand.

Übertragung und Speicherung

Die Übermittlung sollte verschlüsselt erfolgen (HTTPS), und es sollte klar sein, wo die Nachricht landet — im E-Mail-Postfach, in einer Datenbank oder bei einem Formular-Dienstleister.

Aufbewahrung

Anfragen sollten nur so lange aufbewahrt werden, wie sie für die Bearbeitung oder aus geschäftlichen Gründen nötig sind, und danach gelöscht werden.

Bei Studio Erdinc laufen Formularanfragen über datensparsame, in der Schweiz oder EU gehostete Wege ohne unnötige Weitergabe an Dritte — kein verstecktes Tracking, keine Weitergabe zu Werbezwecken. Wer sein Anliegen direkt schildern möchte, findet den Weg über die Kontaktseite von Studio Erdinc.

Kurz-Checkliste für eine KMU-Website

Eine datenschutzfreundliche KMU-Website lässt sich auf wenige, gut prüfbare Punkte herunterbrechen. Diese Liste ist eine Orientierung, keine abschliessende Rechtsprüfung — sie ersetzt die Beurteilung durch eine Fachperson nicht.

Datenschutzerklärung vorhanden und aktuell

Ständig verlinkt (meist im Footer), verständlich formuliert und deckungsgleich mit den tatsächlich eingesetzten Diensten.

Impressum bzw. Anbieterkennzeichnung

Klare Angabe, wer hinter der Website steht — für Vertrauen und als übliche Praxis bei geschäftlichen Auftritten.

Cookies und Fremd-Dienste im Griff

Nicht notwendige Cookies vermeiden oder mit Einwilligung versehen; eingebettete Dienste von Dritten bewusst prüfen.

HTTPS aktiv

Verschlüsselte Übertragung für die ganze Website, insbesondere für Formulare.

Auftragsbearbeitungsvertrag mit dem Hoster

AVV vorhanden, Serverstandort und allfällige Auslandbekanntgabe geklärt.

Datensparsame Formulare

Nur nötige Felder, klare Zweckangabe, definierte Aufbewahrungsdauer.

Wie löst Studio Erdinc den Datenschutz bei einer Website?

Bei jeder Website von Studio Erdinc ist eine Rechtstexte-Basis — Datenschutzerklärung und Impressum als anpassbare Grundlage — von Anfang an dabei. Diese Basis ist kein juristisches Gutachten, sondern ein sauberer Ausgangspunkt, der auf die tatsächlich eingesetzten Dienste zugeschnitten wird und den betrieblichen Aufwand für Website-Betreiber deutlich senkt.

Die datenschutzfreundliche Ausgangslage ergibt sich bei Studio Erdinc direkt aus der Bauweise: handcodiertes HTML ohne unnötige Fremd-Skripte, Schweizer Hosting auf Servern in der Schweiz und ein Verzicht auf verstecktes Tracking. Weniger eingebundene Dienste bedeuten weniger einwilligungspflichtige Cookies, eine kürzere Datenschutzerklärung und eine einfachere rechtliche Lage. Für die rechtsverbindliche Prüfung im Einzelfall empfiehlt Studio Erdinc ausdrücklich den Beizug einer spezialisierten Fachperson.

Für KI-Chatbots gelten zusätzliche Pflichten — was ein DSG-konformer KI-Chatbot zusätzlich verlangt, erklärt der eigene Ratgeber.

Häufige Fragen zu Datenschutz auf Websites

Gilt für meine Schweizer Website das revDSG oder die DSGVO?

Für eine Schweizer Website gilt in erster Linie das revidierte Datenschutzgesetz (revDSG), das seit dem 1. September 2023 in Kraft ist. Die EU-Datenschutz-Grundverordnung (DSGVO) kann zusätzlich greifen, wenn Sie gezielt Personen in der EU ansprechen oder deren Verhalten beobachten — etwa mit einem Online-Shop, der in die EU liefert, oder mit auf EU-Länder ausgerichtetem Marketing. Viele KMU behandeln beide Regelwerke gemeinsam, weil die DSGVO als strengerer Massstab das revDSG meist mit abdeckt. Dies ist allgemeine Information und keine Rechtsberatung; im Zweifel klärt eine Fachperson die konkrete Anwendbarkeit.

Braucht jede Website eine Datenschutzerklärung?

Praktisch jede Website, die Personendaten bearbeitet, braucht eine Datenschutzerklärung — und schon ein Kontaktformular, ein Server-Logfile mit IP-Adresse oder ein eingebundenes Analyse-Werkzeug bearbeitet Personendaten. Das revDSG verlangt eine transparente Information darüber, wer welche Daten zu welchem Zweck bearbeitet und an wen sie weitergegeben werden. Eine Datenschutzerklärung ist damit für nahezu jede geschäftliche Website der Normalfall, nicht die Ausnahme. Dies ist allgemeine Information und keine Rechtsberatung.

Brauche ich in der Schweiz ein Cookie-Banner?

Das revDSG schreibt kein zwingendes Einwilligungs-Banner vor, sondern verlangt Transparenz — technisch notwendige Cookies sind ohne vorherige Einwilligung zulässig, müssen aber in der Datenschutzerklärung genannt werden. Ein aktives Einwilligungs-Banner (Consent) wird jedoch nötig, sobald die DSGVO greift oder Sie nicht notwendige Cookies für Tracking, Marketing oder eingebettete Dienste von Dritten einsetzen. Wer auf solche Dienste verzichtet, kommt in der Schweiz oft ganz ohne Banner aus. Dies ist allgemeine Information und keine Rechtsberatung.

Was passiert mit den Daten aus meinem Kontaktformular?

Die Daten aus einem Kontaktformular — typischerweise Name, E-Mail-Adresse und Nachricht — sind Personendaten und dürfen nur für den angegebenen Zweck bearbeitet werden, meist die Beantwortung der Anfrage. Die Datenschutzerklärung muss offenlegen, welche Felder erhoben werden, wozu, wie lange die Daten aufbewahrt werden und über welchen Weg sie versendet und gespeichert werden. Bei Studio Erdinc laufen Formularanfragen über datensparsame, in der Schweiz oder EU gehostete Wege ohne unnötige Weitergabe an Dritte. Dies ist allgemeine Information und keine Rechtsberatung.

Ist mein Hosting-Anbieter ein Auftragsbearbeiter?

Ja. Ein Hosting-Anbieter, der in Ihrem Auftrag Personendaten Ihrer Website-Besucher speichert, gilt als Auftragsbearbeiter im Sinne des revDSG. Für diese Konstellation braucht es einen Auftragsbearbeitungsvertrag (AVV), der Zweck, Umfang und Sicherheit der Datenbearbeitung regelt und die Weitergabe an Unterbeauftragte begrenzt. Schweizer Hosting mit Servern in der Schweiz vermeidet dabei zusätzliche Fragen zur Bekanntgabe von Daten ins Ausland. Dies ist allgemeine Information und keine Rechtsberatung.

Quellen

Belegstellen dieses Beitrags mit Organisation, Jahr und Link; eigene Erhebungen mit Methode und Datum. Geprüft am 6. September 2026.

1. Fedlex: Bundesgesetz über den Datenschutz (DSG), SR 235.1, 2023. fedlex.admin.ch
2. EUR-Lex: Verordnung (EU) 2016/679 (DSGVO), 2016. eur-lex.europa.eu
3. EDÖB: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter — Themen, 2025. edoeb.admin.ch