nDSG 2026 für KMU: Was sich an Ihrer Website ändern muss

Hinweis

Dieser Artikel bietet allgemeine Informationen zum nDSG. Er stellt keine Rechtsberatung dar. Ziehen Sie für komplexe Fälle (Gesundheit, Finanzen, öffentlicher Sektor) eine auf Datenschutz spezialisierte Anwältin oder einen spezialisierten Anwalt bei.

Warum das nDSG 2026 zählt

Das neue Schweizer Datenschutzgesetz (nDSG) ist am 1. September 2023 in Kraft getreten. Es ersetzt das DSG von 1992 und modernisiert die Pflichten zum Schutz von Personendaten in der Schweiz.

Drei Jahre nach dem Inkrafttreten glauben viele Westschweizer KMU, sie seien nicht betroffen («wir machen nur B2B», «wir haben nur eine Firmenwebsite»). Falsch. Sobald eine Besucherin oder ein Besucher identifiziert werden kann (Kontaktformular, Newsletter, Tracking, Cookie), gilt das nDSG.

Sanktionen bei Nichteinhaltung: Bussen von bis zu CHF 250’000 für die Verantwortlichen, in schweren Fällen vorsätzlicher Verstösse. Dazu kommen das Reputationsrisiko und der Vertrauensverlust bei der Kundschaft.

Dieser Artikel listet die konkreten Änderungen auf, die Sie an Ihrer KMU-Website vornehmen sollten, um konform zu sein.

Änderung 1: Eine ausdrückliche Datenschutzerklärung

Pflicht: Das nDSG verlangt eine schriftliche Datenschutzerklärung, die von allen Seiten aus erreichbar ist und beschreibt:

• Welche Daten Sie erheben (E-Mail-Adressen, IP-Adressen, Surfverhalten)
• Warum Sie sie erheben (Zweck)
• Mit wem Sie sie teilen (Auftragsbearbeiter: Google Analytics, Resend, Stripe usw.)
• Wie lange Sie sie aufbewahren
• Wie die Nutzer ihre Rechte ausüben können (Auskunft, Berichtigung, Löschung)

Für wen: alle Websites, die Daten erheben, auch indirekt (Cookie, IP-Protokoll, Kontaktformular).

Typisches Format: eine eigene Seite, je nach Ihrer Konvention /datenschutz/ oder /datenschutzerklaerung/, verlinkt in der allgemeinen Fusszeile. Text mit 1’500 bis 3’000 Wörtern, gut lesbar (kein reiner Juristenjargon).

Häufiger Fehler: eine online gefundene Datenschutzerklärung kopieren (oft aus der EU, nicht an das Schweizer nDSG angepasst). Als Grundlage akzeptabel, aber anzupassen, damit das nDSG und die konkret eingesetzten Auftragsbearbeiter ausdrücklich genannt werden.

Änderung 2: Cookie-Banner (falls zutreffend)

Was das Schweizer Recht sagt und worin es sich von der DSGVO unterscheidet: Entgegen einer verbreiteten Meinung verlangt das nDSG keine vorgängige Einwilligung, bevor ein Cookie gesetzt wird. Das ist eine europäische Regel (ePrivacy-Richtlinie), keine schweizerische. In der Schweiz verlangt Art. 45c Bst. b des Fernmeldegesetzes, die Nutzer zu informieren und ihnen die Möglichkeit zur Ablehnung zu geben: ein Opt-out-System, kein Opt-in.

Zwei Fälle führen Sie trotzdem zum Opt-in: Wenn Sie Besucher aus der EU ansprechen, gilt für diese die DSGVO; und wenn das Cookie einer Bearbeitung mit hohem Risiko dient, wird die Einwilligung wieder zur sichersten Rechtsgrundlage. Im Zweifel kostet der Banner nicht mehr als etwas Reibung, und er deckt beide Regelungen ab.

Notwendige Cookies (keine Einwilligung nötig): Login-Sitzung, Warenkorb im Onlineshop, Spracheinstellungen.

Nicht notwendige Cookies (Einwilligung erforderlich): Google Analytics 4, Facebook Pixel, LinkedIn Insight, Retargeting-Werbung, Heatmaps.

Typisches Format: ein Banner, der beim ersten Seitenaufruf sichtbar ist, mit drei Buttons: «Alle akzeptieren», «Alle ablehnen», «Anpassen». Kein voreingestelltes «Alle akzeptieren», während «Ablehnen» klein versteckt ist.

Tools: Cookiebot (CHF 9 pro Monat), Iubenda (CHF 9 pro Monat), Klaro (Open Source, kostenlos), Plausible (kein Banner nötig, von Grund auf anonym).

Plausible verlangt keine Einwilligung, weil es von Grund auf anonym ist (kein Cookie, kein Fingerprinting). Bevorzugen Sie diese Art von Tool, um die Reibung für die Nutzer zu verringern.

Änderung 3: Hinweise beim Kontaktformular

Pflicht: Jedes Formular, das Daten erhebt (Kontakt, Newsletter, Offertanfrage), muss angeben:

• Welche Daten erhoben werden
• Zu welchem Zweck
• Einen Link zur Datenschutzerklärung
• Ein Kontrollkästchen für die ausdrückliche Einwilligung (Newsletter) oder zur Bestätigung der Kenntnisnahme (Kontakt)

Schlecht: ein Formular mit nur «Name / E-Mail / Nachricht / Senden», ohne jeden Hinweis zum Datenschutz.

Gut: ein Formular mit einem Hinweis unter dem Button, etwa «Mit dem Absenden dieses Formulars sind Sie einverstanden, dass Ihre Daten verwendet werden, um Ihnen zu antworten», gefolgt von einem Link zu Ihrer Datenschutzerklärung. Mit einem Kontrollkästchen für den Newsletter, falls einer angeboten wird.

Änderung 4: Ein vollständiges Impressum

Pflicht: ein ausdrückliches Impressum mit:

• Firmenname und Rechtsform (GmbH, AG usw.)
• Adresse des Sitzes
• UID (Unternehmens-Identifikationsnummer), falls im Handelsregister eingetragen
• Gesetzliche Vertretung
• Kontakt-E-Mail
• Telefon
• Angaben zum Herausgeber der Website

Typisches Format: eine Seite /impressum/, erreichbar über die Fusszeile.

Änderung 5: Auftragsbearbeiter: Verträge und Verzeichnis

Pflicht, mit einer Ausnahme, die die meisten KMU betrifft: Das nDSG verlangt ein Verzeichnis der Bearbeitungstätigkeiten (Art. 12). Die Verordnung befreit davon jedoch Unternehmen mit weniger als 250 Mitarbeitenden, deren Bearbeitungen nur ein begrenztes Risiko für die Persönlichkeit darstellen, was die Firmenwebsite eines gewöhnlichen KMU abdeckt. Die Befreiung entfällt, sobald Sie besonders schützenswerte Daten in grossem Umfang bearbeiten oder ein Profiling mit hohem Risiko betreiben.

Das Verzeichnis bleibt eine gute Praxis, auch wenn es nicht verlangt wird: Mit ihm können Sie ein Auskunftsbegehren beantworten, ohne lange zu suchen. Und der Vertrag mit jedem Auftragsbearbeiter (Auftragsverarbeitungsvertrag, kurz AVV oder ADV, englisch DPA) kennt keine Ausnahme: Er regelt, was der Dienstleister mit Ihren Daten tun darf.

Typische Auftragsbearbeiter einer KMU-Website:

• Transaktions-E-Mails (Resend, SendGrid, Brevo)
• Analytics (Plausible, GA4)
• Zahlungen im Onlineshop (Stripe, Datatrans)
• CRM, falls vorhanden (HubSpot, Pipedrive, Salesforce)
• Newsletter (Mailchimp, Brevo, Klaviyo)

Massnahme: den Auftragsverarbeitungsvertrag jedes Anbieters beschaffen (oft direkt im Dashboard oder auf der Rechtsseite des Anbieters verfügbar) und intern ablegen. Bei einer Prüfung können Sie ihn vorlegen.

Änderung 6: Ein Verfahren für die Beantwortung von Anfragen

Pflicht: Verlangt ein Nutzer Auskunft über seine Daten oder deren Löschung, müssen Sie innerhalb von 30 Tagen antworten.

Typisches Verfahren:

1. Eine E-Mail-Adresse, die in der Datenschutzerklärung genannt wird («Um Ihre Rechte auszuüben, kontaktieren Sie uns unter privacy@yoursite.com»)
2. Ein internes Verfahren, um die betroffenen Daten zu identifizieren
3. Eine dokumentierte Antwort (Export oder Bestätigung der Löschung)

Für 95 % der KMU bleiben solche Anfragen selten (1 bis 3 pro Jahr). Aber das Verfahren muss bereitstehen.

Sonderfälle: sensible Branchen

Gesundheit: Das nDSG verlangt einen verstärkten Schutz für Gesundheitsdaten. Ein Konformitätsaudit ist empfehlenswert.

Finanzen: Regulierung durch die FINMA zusätzlich zum nDSG.

Minderjährige: Wenn Sie Daten von Minderjährigen (< 16 Jahre) erheben, ist die Einwilligung der Eltern nötig.

Öffentlicher Sektor: kantonale Regeln zusätzlich zum nDSG. Klären Sie das mit Ihrer Informatikabteilung.

Was Voren für seine Kunden tut

Alle von Voren gelieferten Websites enthalten standardmässig:

• Eine an das nDSG angepasste Datenschutzerklärung (vom Kunden zu prüfen und zu personalisieren)
• Ein vorausgefülltes Impressum
• Einen Cookie-Banner bei nicht anonymem Tracking (Cookiebot oder eine Alternative)
• Plausible als Standard (anonym, keine Einwilligung nötig)
• Eine dokumentierte Liste der Auftragsbearbeiter

Für sensible Branchen: vertieftes Konformitätsaudit mit einer spezialisierten Partnerkanzlei.

Weiterführend

Unser Wartungspaket ansehen: inklusive regelmässiger nDSG-Prüfung der Voren-Websites.

Ein Konformitätsaudit anfordern: vollständige nDSG-Diagnose Ihrer aktuellen Website.