Contact

revDSG (revidiertes Datenschutzgesetz)

Last updated:

Das revidierte Datenschutzgesetz (revDSG) ist das Schweizer Datenschutzgesetz, das seit dem 1. September 2023 gilt und regelt, wie Unternehmen und Private in der Schweiz Personendaten bearbeiten dürfen. Das revDSG hat das Datenschutzgesetz von 1992 abgelöst. «revDSG» und «nDSG» sind Kurzformen aus der Praxis, der amtliche Kurztitel lautet Datenschutzgesetz (DSG).

Für deine Website bedeutet das revDSG vor allem: offen informieren, eine Ablehnung des Trackings ermöglichen und in heiklen Fällen vorher um Einwilligung fragen.

Das revDSG ist nicht die Schweizer Fassung der DSGVO. Für nicht notwendige Cookies genügen in der Schweiz in der Regel Information und eine Möglichkeit zum Ablehnen. Das EU-Recht verlangt dafür eine vorgängige Einwilligung.

Einordnung, keine Rechtsberatung. Die Angaben fassen das Gesetz, die Datenschutzverordnung (DSV) und den Cookie-Leitfaden des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zusammen. Für deinen konkreten Fall braucht es eine juristische Prüfung.

Für wen gilt das revDSG?

Das revDSG gilt für jede Bearbeitung von Personendaten, die sich in der Schweiz auswirkt, auch wenn das Unternehmen im Ausland sitzt (Art. 3 DSG). Ausländische Firmen, die regelmässig und umfangreich Daten von Personen in der Schweiz bearbeiten und damit ein hohes Risiko verursachen, brauchen eine Vertretung in der Schweiz (Art. 14 DSG). Neu schützt das revDSG nur noch Daten natürlicher Personen, nicht mehr die von Firmen.

Ein Schweizer KMU, das Personen in der EU gezielt Waren oder Dienstleistungen anbietet oder ihr Verhalten auf der Website misst, kann gleichzeitig unter das revDSG und die DSGVO fallen (Art. 3 Abs. 2 DSGVO). Beide Gesetze gelten dann je für sich. In der Praxis richtest du Website und Tracking deshalb an der strengeren Anforderung aus.

Was ist der Unterschied zwischen revDSG und DSGVO?

  • Cookies: In der Schweiz regelt sie Art. 45c des Fernmeldegesetzes, in der EU Art. 5 Abs. 3 der ePrivacy-Richtlinie. Die EU-Regel ist strenger.
  • Bussen: Das revDSG sieht bei Vorsatz Bussen bis CHF 250’000 gegen die verantwortliche Person vor (Art. 60 bis 63 DSG). Die DSGVO büsst das Unternehmen mit bis zu EUR 20 Mio. oder 4 Prozent des weltweiten Jahresumsatzes (Art. 83 DSGVO).
  • Verzeichnis der Bearbeitungstätigkeiten: Das revDSG befreit Firmen mit weniger als 250 Mitarbeitenden, ausser bei heiklen Daten in grossem Umfang oder Profiling mit hohem Risiko (Art. 24 DSV). Die DSGVO befreit sie nur, wenn sie Daten bloss gelegentlich bearbeiten, was im Alltag kaum vorkommt (Art. 30 Abs. 5 DSGVO).
  • Datenpanne: Das revDSG verlangt eine Meldung nur bei voraussichtlich hohem Risiko und dann so rasch als möglich (Art. 24 DSG). Die DSGVO verlangt sie schon bei einfachem Risiko und möglichst innert 72 Stunden (Art. 33 DSGVO).
  • Auskunft: Das revDSG gibt dir 30 Tage, die DSGVO einen Monat (Art. 18 DSV, Art. 12 Abs. 3 DSGVO).

Was die EU-Regeln im Detail verlangen, steht im Eintrag DSGVO.

Was verlangt das revDSG von deiner Website?

  • Eine Datenschutzerklärung mit Mindestinhalt: wer verantwortlich ist, wofür du Daten bearbeitest, an wen sie gehen und in welche Länder (Art. 19 DSG).
  • Verträge mit Auftragsbearbeitern wie Hosting, Newsletter-Dienst oder CRM (Art. 9 DSG).
  • Daten nur in Länder mit angemessenem Schutz oder mit Garantien weitergeben (Art. 16 DSG). Die Liste steht in Anhang 1 DSV: EU-Länder gelten als angemessen, die USA nur für Firmen mit Zertifizierung im Swiss-U.S. Data Privacy Framework.
  • Einen Ablauf für Auskunftsbegehren (Art. 25 DSG).
  • Einen Ablauf für Datenpannen, damit eine nötige Meldung an den EDÖB rechtzeitig erfolgt (Art. 24 DSG).
  • Ein Verzeichnis der Bearbeitungstätigkeiten, sofern keine Ausnahme greift (Art. 12 DSG).

Brauchen Cookies und Tracking in der Schweiz eine Einwilligung?

In der Regel nicht. Das Fernmeldegesetz verlangt, dass du über Cookies und ihren Zweck informierst und auf die Möglichkeit zum Ablehnen hinweist (Art. 45c FMG). Der EDÖB erwartet zudem, dass die Ablehnung gut sichtbar ist, sich mit wenigen Klicks ausüben lässt und grundsätzlich möglich ist, bevor nicht notwendige Cookies aktiv werden.

Eine ausdrückliche Einwilligung (Opt-in) braucht es nach dem EDÖB-Leitfaden, wenn der Cookie-Einsatz besonders schützenswerte Daten wie Gesundheitsangaben betrifft oder in ein Profiling mit hohem Risiko mündet. Typisch dafür ist Werbe-Tracking über viele Websites hinweg. Ist der Einsatz für Besuchende unerwartet, verlangt der EDÖB einen besonders deutlichen Hinweis. Das Merkblatt vom März 2026 nennt auch für diesen Fall eine Einwilligung.

Für reine Statistik gilt eine Erleichterung. Wer Besucherströme nur für nicht personenbezogene Zwecke misst, die Daten rasch anonymisiert und Ergebnisse höchstens ohne Personenbezug veröffentlicht, kann sich laut EDÖB auf ein überwiegendes Interesse stützen (Art. 31 Abs. 2 lit. e DSG). Externe Analyse-Werkzeuge fallen ebenfalls darunter, solange der Anbieter die Daten nur im Auftrag des Websitebetreibers bearbeitet. Hinweis und Ablehnungsmöglichkeit nach dem Fernmeldegesetz bleiben trotzdem Pflicht.

Was verlangt Google von Websites in der Schweiz?

Google verlangt mehr als das revDSG. Die User Consent Policy von Google gilt ausdrücklich für Nutzerinnen und Nutzer in der Schweiz. Sie verlangt eine Einwilligung für zwei Dinge: für Cookies, wo das Gesetz sie vorschreibt, sowie für die Nutzung personenbezogener Daten zur Personalisierung von Werbung. Reine Messung nennt die Richtlinie nicht.

Die Google-Pflicht ist eine Vertragspflicht gegenüber Google, keine Gesetzespflicht. Wer Ratgeber zum revDSG vergleicht, findet deshalb widersprüchliche Aussagen zur Einwilligung. Die einen beschreiben das Gesetz, die anderen die Bedingungen der Werbeplattformen.

Technisch steuert der Consent Mode von Google, was Google-Tags dürfen. Im Basic-Modus laden die Tags erst, wenn jemand im Banner eine Wahl trifft. Im Advanced-Modus laden sie sofort, senden ohne Einwilligung aber nur Messungen ohne Cookies.

Wie prüfst du, ob deine Website zum revDSG passt?

  • Alle eingebundenen Dienste auflisten: Analyse, Werbung, Schriften, Karten, Videos, Formulare, Chat.
  • Den Netzwerkverkehr beim ersten Aufruf in den Entwicklerwerkzeugen des Browsers mitschneiden, bevor jemand im Banner etwas wählt.
  • Die Datenschutzerklärung gegen Art. 19 DSG prüfen, inklusive der Länder aller Anbieter.
  • Diese Länder mit Anhang 1 DSV abgleichen, bei US-Anbietern die Zertifizierung im Data Privacy Framework prüfen.
  • Die Verträge mit Auftragsbearbeitern zusammentragen.
  • Den Banner passend zu Publikum und Werbung wählen.
  • Eine verantwortliche Person für Auskunftsbegehren und Datenpannen bestimmen.

Wie setzt PIXELS das revDSG im Tracking um?

PIXELS richtet Tracking so ein, dass es zum Publikum und zur eingesetzten Werbung passt. Für BOWI hat PIXELS das E-Commerce-Tracking von der Anzeige bis zum Kaufabschluss aufgebaut, mit Server-Side-Tracking, wo nötig. Dabei laufen die Messdaten über einen eigenen Server statt direkt aus dem Browser zu den Werbeplattformen. Wie das Vorgehen aussieht, zeigt die Leistungsseite Webanalyse & Tracking.

Was fragen KMU oft zum revDSG?

Muss meine Website in der Schweiz gehostet sein?

Nein. Das revDSG verlangt keinen Server in der Schweiz. Liegen Daten im Ausland, nennst du das Land in der Datenschutzerklärung (Art. 19 DSG). Bietet das Land keinen angemessenen Datenschutz nach Anhang 1 der Datenschutzverordnung (DSV), braucht es zusätzliche Garantien wie Standardvertragsklauseln (Art. 16 DSG). Mit dem Hoster schliesst du einen Vertrag über die Auftragsbearbeitung (Art. 9 DSG).

Wen büsst die Behörde bei einem Verstoss gegen das revDSG?

In erster Linie die verantwortliche Person im Unternehmen. Die Busse sprechen die kantonalen Strafbehörden aus, nicht der EDÖB (Art. 65 DSG). Eine Busse setzt Vorsatz voraus und gilt nur für bestimmte Pflichten, etwa die Informationspflicht, die Auftragsbearbeitung oder die Bekanntgabe ins Ausland (Art. 60 bis 63 DSG). Kommt höchstens eine Busse von CHF 50’000 in Frage und wäre die Suche nach der Person unverhältnismässig, kann die Behörde stattdessen das Unternehmen büssen (Art. 64 Abs. 2 DSG).

Für Cookies gilt zusätzlich das Fernmeldegesetz. Wer die Hinweispflicht nach Art. 45c FMG verletzt, riskiert eine Busse bis CHF 5’000, auch bei Fahrlässigkeit (Art. 53 FMG).

Gibt es Software für das revDSG?

Für das revDSG gibt es Werkzeuge für Teilaufgaben, keine Software, die alles erledigt. Consent-Plattformen steuern Banner und Einwilligungen. Werkzeuge für Verzeichnisse halten die Bearbeitungstätigkeiten fest. Welche Lösung passt, hängt von deinem Publikum und von den eingebundenen Diensten ab.

Woran erkenne ich einen Anbieter, der revDSG und DSGVO kennt?

Ein Anbieter, der revDSG und DSGVO kennt, fragt zuerst nach deinem Publikum, bevor er einen Banner empfiehlt. Er trennt Gesetzespflicht und Google-Pflicht, nennt Artikel statt Schlagworte und zeigt dir den Netzwerkverkehr vor und nach der Auswahl im Banner.

Was kostet die Umsetzung des revDSG ungefähr?

Eine saubere Umsetzung des revDSG senkt das Risiko von Bussen und Rückfragen. Sie hält deine Messdaten verwertbar und sorgt dafür, dass Google-Werbung im Rahmen der Google-Richtlinien weiterläuft.

Den Aufwand treiben vor allem die Anzahl eingebundener Dienste und Tags sowie ein Publikum in der EU. Dazu kommen die Wahl zwischen Hinweis-Banner und Consent-Plattform, der Umbau des Trackings auf den Consent Mode, die Datenschutzerklärung und die Verträge mit Auftragsbearbeitern. Wer auf Einwilligung umstellt, sieht danach weniger Messdaten. Berichte müssen diesen Bruch ausweisen.

Wie viel Aufwand es braucht, zeigt eine Bestandesaufnahme der eingebundenen Dienste.

Quellen (Stand Oktober 2026)

Verwandt: Webanalyse & Tracking · DSGVO · Attributionsmodell · Landing Page · Online-Marketing