Inhaltsverzeichnis
Ein Kunde kann sich nicht vom Newsletter abmelden, ein Mitbewerber meldet Sie, eine Datei gelangt nach aussen: Mehr braucht es nicht, damit eine Untersuchung beginnt. An diesem Tag fragt der EDÖB nicht, ob Sie «versucht» haben, das DSG einzuhalten. Er verlangt Dokumente.
Kurz gesagt
Der EDÖB untersucht von Amtes wegen oder auf Anzeige, und Sie müssen ihm die nötigen Unterlagen herausgeben (Art. 49 DSG).
Wer die Mitwirkung verweigert, riskiert als verantwortliche Person eine Busse bis CHF 250'000 (Art. 60).
Fünf Dokumente machen den Unterschied: Verzeichnis, Einwilligungsnachweis, Auslandsübermittlungen, Datenschutz durch Voreinstellungen, Verträge.
Wie eine Untersuchung des EDÖB abläuft
Der EDÖB eröffnet eine Untersuchung, sobald genügend Anzeichen bestehen, dass eine Bearbeitung gegen das Gesetz verstösst (Art. 49 DSG). Wirken Sie nicht mit, kann er den Zugang zu Unterlagen und Räumlichkeiten anordnen (Art. 50).
Er verhängt keine Bussen: Er ordnet an, eine Bearbeitung anzupassen, zu unterbrechen oder abzubrechen (Art. 51). Bussen bis CHF 250'000 sprechen die kantonalen Strafbehörden gegen die verantwortlichen natürlichen Personen aus, bei vorsätzlichen Verstössen (Art. 60 bis 66). Die DSGVO hingegen büsst das Unternehmen. Mehr dazu in unserem Leitfaden zu DSG und DSGVO.
Dokument 1: das Verzeichnis der Bearbeitungstätigkeiten
Die typische Frage: «Zeigen Sie mir, dass Sie Ihre Datenflüsse im Griff haben.»
Was Sie vorlegen: ein aktuelles Verzeichnis (Art. 12 DSG): Zwecke, Datenkategorien, Empfänger, Aufbewahrungsdauer, Sicherheit und Zielländer.
Schlechte Antwort: «Wir nutzen Google Analytics und Facebook, glaube ich.»
Gute Antwort: jedes Tool und jedes Tag mit erhobenen Daten, Zweck, Aufbewahrungsdauer und Speicherort.
Unternehmen mit weniger als 250 Mitarbeitenden sind davon befreit, ausser bei umfangreicher Bearbeitung besonders schützenswerter Daten oder Profiling mit hohem Risiko (Art. 24 DSV). Das Verzeichnis bleibt der schnellste Weg zu einer Antwort.
Tipp von A-Track
Eine seit 2023 unveränderte Excel-Datei bildet Ihre Website nicht mehr ab. Gleichen Sie das Verzeichnis mindestens einmal pro Jahr mit dem GTM-Container ab.
Dokument 2: der Einwilligungsnachweis
Die typische Frage: «Wie beweisen Sie, dass Herr Dupont am 12. Januar 2026 um 14:02 Uhr dem Werbetracking zugestimmt hat?»
Was Sie vorlegen: einen Auszug aus dem Protokoll Ihrer CMP: pseudonyme ID, Datum und Uhrzeit, Version der angezeigten Datenschutzerklärung, akzeptierte oder abgelehnte Kategorien.
In der Schweiz verlangt das DSG grundsätzlich keine Einwilligung (für Cookies sieht Art. 45c FMG ein Ablehnungsrecht vor). Sobald Sie sich aber auf eine Einwilligung stützen (EU-Besucher, personalisierte Werbung, die Google seit dem 31. Juli 2024 verlangt), müssen Sie sie nachweisen können. Ein Plugin ohne Protokoll lässt Sie ohne Beweis dastehen.
Dokument 3: die Übermittlungen ins Ausland
Die typische Frage: «Auf welcher Grundlage senden Sie diese Daten ins Ausland?»
Was Sie vorlegen: für jedes Tool das Land und die Garantie (Art. 16 DSG). Land mit angemessenem Schutz (EU): nichts weiter. USA: Empfänger mit Zertifizierung unter dem Swiss-U.S. Data Privacy Framework (in Kraft seit dem 15. September 2024), sonst Standardklauseln. Andere Länder (China bei TikTok): Standardklauseln.
Eine Datenschutz-Folgenabschätzung ist nur bei hohem Risiko Pflicht (Art. 22). Dokumentieren Sie immer die Datenminimierung: Server-Side Tracking erlaubt es, IP-Adressen zu kürzen, E-Mails zu hashen und sensible Daten vor dem Versand zu filtern.
Dokument 4: der Nachweis des Datenschutzes durch Voreinstellungen
Die typische Frage: «Sind Ihre Tags blockiert, solange der Besucher nicht gewählt hat?»
Was Sie vorlegen: ein Audit von Google Tag Manager und einen dokumentierten Test (Screenshots, Netzwerk-Tab). Das DSG verlangt Datenschutz durch Technik und Voreinstellungen (Art. 7). Ein Meta-Pixel, das vor jedem Klick auslöst, ist in zehn Sekunden festgestellt: Für EU-Besucher ein klarer Verstoss, in der Schweiz ein Widerspruch zu Ihrem eigenen Banner. Diesen Fehler beheben wir am häufigsten (siehe unseren Leitfaden zum Consent Mode v2).
Dokument 5: die Auftragsbearbeitungsverträge
Die typische Frage: «Welche Garantien haben Sie mit Ihrer Agentur und Ihren SaaS-Tools?»
Was Sie vorlegen: unterzeichnete Auftragsbearbeitungsverträge (DPA). Art. 9 DSG verlangt einen Vertrag und Sicherheitsgarantien; wer Daten ohne diese überträgt, macht sich strafbar (Art. 61). Untersagen Sie Ihren Dienstleistern zudem, Ihre Daten für eigene Zwecke zu nutzen. Für Agenturen siehe DSG vs. DSGVO für Webagenturen.
Fazit: ein Beweisdossier, kein Zustand
Diese Dokumente verlangen, dass Recht (Datenschutzberater, in der Schweiz freiwillig, aber wertvoll) und Technik zusammenarbeiten.
Sammeln Sie Verzeichnis, Verträge und einen Export des CMP-Protokolls.
Testen Sie Ihre Website mit «Alle ablehnen»: Kein Werbe-Tag darf auslösen.
Planen Sie eine jährliche Überprüfung und eine nach jedem neuen Tool.
Alles lässt sich korrigieren und dokumentieren: Handeln Sie vor der Kontrolle.
Hält Ihr DSG-Beweisdossier einer Prüfung des EDÖB stand?
A-Track prüft Ihre Website wie ein Ermittler: Tags vor der Einwilligung, CMP-Protokoll, Auslandsübermittlungen und Dokumentation.
Erhalten Sie ein kostenloses Tracking- und Compliance-Audit innert 48 Stunden, mit der Liste der fehlenden Nachweise.