Konformität DSG & DSGVO: Der umfassende Leitfaden für Schweizer und europäische Unternehmen im Jahr 2026

Der praktische Leitfaden, um Ihre Website konform zu machen, ohne Ihre Marketingdaten zu verlieren. DSG oder DSGVO, tatsächliche Bussen, ein Cookie-Banner, das funktioniert, Consent Mode v2 und eine Strategie für Ihre Unternehmensgrösse, mit einer Checkliste in 8 Fragen.

Inhaltsverzeichnis

1. Datenschutz ist zum Marketingthema geworden

Schema der drei Risiken eines falsch angebundenen Cookie-Banners: rechtliches Risiko (Bussen bis CHF 250'000 gegen die verantwortliche Person), Werberisiko (Google verlangt seit dem 31. Juli 2024 die Einwilligung für die Schweiz) und Vertrauensrisiko.

Lange galt das Cookie-Banner als juristische Formalität. Das ist vorbei: Ein falsch angebundenes Banner setzt ein Unternehmen gleich drei Risiken aus.

  • Das rechtliche Risiko: Das DSG sieht Bussen bis CHF 250'000 vor, die gegen die verantwortlichen Personen ausgesprochen werden.

  • Das Werberisiko: Seit dem 31. Juli 2024 wendet Google seine Einwilligungsrichtlinie auf Besucher aus der Schweiz an. Ohne Einwilligungssignale verschlechtern sich Remarketing und Conversion-Messung.

  • Das Vertrauensrisiko: Wer sieht, dass Tracker vor seiner Entscheidung laden, kommt nicht wieder.

Bei A-Track behandeln wir diese drei Risiken gemeinsam: Was rechtlich korrekt ist, muss auch technisch funktionieren.

2. DSG oder DSGVO: Welches Gesetz gilt für Ihre Website?

Vergleichstabelle DSG und DSGVO: Inkrafttreten, bestrafte Person, Höchstbusse (CHF 250'000 gegenüber 20 Millionen Euro oder 4 % des weltweiten Umsatzes), Behörde, Cookie-Regeln und Rahmen für Übermittlungen in die USA.

Oft beide. Das revidierte DSG ist seit dem 1. September 2023 in Kraft. Die DSGVO gilt auch für ein Schweizer Unternehmen, sobald es Personen in der Europäischen Union Waren oder Dienstleistungen anbietet oder ihr Verhalten online beobachtet (Art. 3 DSGVO).

  • Wer wird bestraft? Das DSG richtet sich vor allem gegen die verantwortlichen natürlichen Personen, und nur bei vorsätzlichen Verstössen (Art. 60 bis 63 DSG). Die DSGVO richtet sich gegen das Unternehmen, mit bis zu 20 Millionen Euro oder 4 % des weltweiten Umsatzes.

  • Cookies: In der Schweiz verlangt das Fernmeldegesetz (Art. 45c FMG), die Besucher zu informieren und ihnen die Ablehnung zu ermöglichen. In der EU braucht es für jeden nicht notwendigen Tracker eine vorherige Einwilligung. Sobald Sie Besucher aus Europa haben oder Google Ads nutzen, orientieren Sie sich am strengeren Standard.

  • Übermittlungen in die USA: Sie sind an Unternehmen möglich, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind, das seit dem 15. September 2024 gilt. Sie müssen in Ihrer Datenschutzerklärung dokumentiert sein.

3. Von der Beschwerde zur Busse: So läuft es ab

Schema eines DSG-Verfahrens in fünf Schritten: Beschwerde, Untersuchung durch den EDÖB, Verfügung mit Massnahmen ohne Busse, Verfolgung durch die kantonale Strafbehörde, Busse bis CHF 250'000 bei vorsätzlichem Verstoss.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) kann von Amtes wegen oder auf Anzeige eine Untersuchung eröffnen, etwa nach der Beschwerde eines Kunden oder eines Mitbewerbers. Er kann Massnahmen anordnen, spricht aber selbst keine Bussen aus.

Bussen sind Sache der kantonalen Strafbehörden. Sie betreffen insbesondere vorsätzliche Verletzungen der Informationspflichten, die Missachtung einer Verfügung des EDÖB und Verstösse gegen die Sorgfaltspflichten. Beträgt die Busse höchstens CHF 50'000 und wäre die Ermittlung der verantwortlichen Person unverhältnismässig, kann an ihrer Stelle das Unternehmen verurteilt werden (Art. 64 DSG).

Das Wichtigste: Ihr bester Schutz ist, nachweisen zu können, was Ihre Website tut. Einwilligungsprotokolle, eine aktuelle Tracker-Liste und eine Datenschutzerklärung, die der technischen Realität entspricht.

Schema der Einwilligung: Der Besucher wählt im Banner (CMP), das informiert, Tracker vor der Wahl blockiert und den Nachweis speichert; der Consent Mode v2 übermittelt vier Signale; bei Zustimmung arbeiten die Tags vollständig; bei Ablehnung wird im Basic-Modus nichts gesendet, im Advanced-Modus nur cookielose Signale für die Modellierung.

Ein Banner, das angezeigt wird, aber nichts blockiert, ist Dekoration. Eine CMP (Consent Management Platform) muss drei Dinge leisten: informieren, Tracker blockieren, solange der Besucher nicht entschieden hat, und den Nachweis seiner Wahl speichern.

Der Google Consent Mode v2 verbindet diese Wahl über vier Signale mit Ihren Google-Tags: ad_storage, analytics_storage, ad_user_data und ad_personalization.

  • Basic-Modus: Google-Tags laden erst nach der Zustimmung. Bei einer Ablehnung wird nichts gesendet.

  • Advanced-Modus: Bei einer Ablehnung senden die Tags cookielose Signale, mit denen Google einen Teil der Conversions modelliert. Laut Google stellt diese Modellierung über 70 % der durch Ablehnungen verlorenen Klick-zu-Conversion-Pfade wieder her.

In beiden Fällen wird die Wahl des Besuchers respektiert. Der Unterschied liegt in der Qualität der Messung und muss in Ihrer Datenschutzerklärung erklärt werden.

5. Welche Strategie für welche Unternehmensgrösse?

Drei Stufen der Konformitätsstrategie: Kleinunternehmen (von Google zertifizierte CMP, korrekte Tracker-Liste, klare Datenschutzerklärung), KMU und E-Commerce (mehrsprachige CMP, Consent Mode v2, Server-Side Tracking), Grossunternehmen und regulierte Branchen (Kartierung der Datenflüsse, Hosting in der Schweiz oder der EU, technische Dokumentation).

Kleinunternehmen und Selbständige

Eine Präsentationswebsite, ein Formular, wenige Tools. Das Wesentliche: eine von Google zertifizierte CMP, eine korrekte Tracker-Liste und eine klare Datenschutzerklärung.

KMU und E-Commerce

Sie investieren in Werbung und Ihre Entscheidungen hängen von den Zahlen ab. Sie brauchen eine mehrsprachige CMP, einen korrekt konfigurierten Consent Mode v2, regelmässige Tracker-Kontrollen und oft ein Server-Side Tracking, um die Conversions zuverlässig zu machen.

Grossunternehmen und regulierte Branchen

Finanzen, Gesundheit, Industrie: mehrere Domains, Compliance-Teams und sensible Daten. Es gilt, die Datenflüsse zu kartieren, die Empfänger zu kontrollieren, den Hosting-Standort zu wählen (Schweiz oder EU) und eine technische Dokumentation zu liefern, mit der die Datenschutzberaterin oder der Datenschutzberater arbeiten kann.

6. Die 5 Schritte zur Konformität mit A-Track

Die fünf Konformitätsschritte von A-Track: Audit von allem, was die Website lädt, Wahl einer von Google zertifizierten CMP, Einrichtung (Blockierung vorab, Consent Mode v2, Tag Manager), rechtliche Dokumente gemäss Realität, Überwachung nach jedem Update.

  1. Audit: Wir erfassen alles, was Ihre Website vor und nach der Wahl des Besuchers lädt.

  2. Wahl der CMP: ein von Google zertifiziertes Tool, passend zu Ihrem CMS, Ihren Sprachen und Ihrem Budget.

  3. Technische Einrichtung: vorgängige Blockierung, Consent Mode v2 und Google Tag Manager.

  4. Dokumente: Datenschutzerklärung und Cookie-Richtlinie, abgestimmt auf das, was tatsächlich läuft.

  5. Überwachung: regelmässige Kontrollen, denn ein neues Plugin oder ein Update genügt, um alles in Frage zu stellen.

7. Ist Ihre Website konform? 8 Fragen an sich selbst

  1. Laden Werbe-Tracker, bevor der Besucher entschieden hat?

  2. Ist die Schaltfläche «Ablehnen» so sichtbar wie «Akzeptieren»?

  3. Steht Ihre CMP auf der Liste der von Google zertifizierten CMP?

  4. Übermittelt der Consent Mode v2 alle vier Signale?

  5. Bewahren Sie Einwilligungsnachweise auf?

  6. Nennt Ihre Datenschutzerklärung alle Anbieter, die tatsächlich auf der Website aktiv sind?

  7. Wissen Sie, in welche Länder Ihre Daten fliessen?

  8. Prüft jemand die Website nach jedem Update?

Eine einzige unsichere Antwort rechtfertigt bereits eine Prüfung. Fordern Sie Ihr kostenloses Audit in 48 Stunden an oder entdecken Sie unsere Dienstleistungen und Preise. Zu den Auswirkungen auf die Marketingmessung lesen Sie unseren Leitfaden Performance Marketing und Tracking.

Tracking- und Compliance-Nachrichten

Alles anzeigen

Suivez l'évolution technique et juridique du tracking de données marketing et les dernières mises à jour en conformité Suisse et Européenne.

Häufig gestellte Fragen

Was bedeutet "Privacy by Design", das durch das DSG vorgeschrieben ist?

▾
Das bedeutet, dass der Datenschutz von Anfang an in die Gestaltung Ihrer Website oder Ihrer Marketingkampagnen integriert werden muss und nicht erst am Ende hinzugefügt werden darf. Das Tracking muss so konfiguriert werden, dass nur die minimal notwendigen Daten gesammelt werden.

DSG vs. DSGVO: der Hauptunterschied für Websites?

▾
Obwohl sie sich sehr ähnlich sind, verfolgt das DSG (Bundesgesetz über den Datenschutz) einen auf Transparenz und Risiko basierenden Ansatz, während die DSGVO einen strengeren Rahmen für die vorgängige Einwilligung vorgibt. Wenn Sie jedoch europäische Kunden ansprechen, müssen Sie die DSGVO einhalten, die den höchsten Standard darstellt.

Was ist der Mehrwert eines Schweizer Experten für das DSG?

▾
Das Wissen um lokale Feinheiten. Zum Beispiel zu wissen, wie man die Geolokalisierung einrichtet, um die strengen Regeln der DSGVO für Besucher aus der EU anzuwenden, während man für Schweizer Besucher (sofern die Strategie es zulässt) mehr Flexibilität behält.

Was sind die finanziellen Risiken bei Nichteinhaltung des DSG?

▾
Die DSGVO sieht Bussen gegen Unternehmen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor (Art. 83 DSGVO). Das DSG funktioniert anders: Es sieht strafrechtliche Bussen bis CHF 250'000 gegen die verantwortlichen natürlichen Personen vor, bei vorsätzlicher Verletzung bestimmter Pflichten (Information, Mitwirkung, Sorgfalt, berufliche Schweigepflicht, Art. 60 bis 63 DSG).

Diese Bussen werden von den kantonalen Strafbehörden verhängt; der EDÖB untersucht und ordnet Massnahmen an, verhängt aber keine Bussen. Dazu kommen indirekte Kosten: Nachbesserung unter Zeitdruck, Reputationsschaden, eingeschränkte Werbefunktionen.

Ist das Meta Pixel mit dem DSG in der Schweiz konform?

▾
Es kann konform sein, wenn es richtig eingerichtet ist. In der Schweiz verlangt Art. 45c FMG, die Besucher über Cookies zu informieren und ihnen eine Ablehnung zu ermöglichen; das DSG verlangt Transparenz über die Zwecke und Empfänger der Daten, Meta eingeschlossen. Für Besucher aus der EU verlangen die DSGVO und die ePrivacy-Richtlinie eine vorgängige Einwilligung.

In der Praxis ist es am einfachsten, das Pixel erst nach Zustimmung über Ihre CMP auszulösen. Server-Side-Tracking erlaubt es, die an Meta gesendeten Daten zu kontrollieren und zu begrenzen, ersetzt aber die Einwilligung nicht: Eine Ablehnung bleibt eine Ablehnung.

Ist die Datenkonformität ein Hemmnis für die Marketingleistung?

▾
Nein, das Gegenteil ist der Fall. Ein "sauberes" und konformes Tracking (insbesondere über Server-Seite) verbessert die Qualität der gesammelten Daten, da sie gefiltert und strukturiert sind, was das Vertrauen der Werbealgorithmen erhöht.

Reicht eine CMP aus, um konform zu sein?

▾
Nein. Die CMP muss mit dem Rest der Website (Tags, Analytics, CRM) verbunden sein, um nicht essentielle Cookies tatsächlich vor der Zustimmung zu blockieren.

Welche Dokumente fordert der EDÖB bei einer DSG-Kontrolle an?

▾
Der EDÖB hat keine feste Liste, doch bei einer Untersuchung (Art. 49 und 50 DSG) kommen häufig fünf Dokumente zur Sprache:

1) Das Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG), von dem Unternehmen mit weniger als 250 Mitarbeitenden teilweise befreit sind.
2) Der Nachweis der Einwilligungsentscheide, wenn Sie sich auf eine Einwilligung stützen (Besucher aus der EU, Richtlinie von Google).
3) Die Garantien für Datenübermittlungen ins Ausland (Art. 16 DSG, zum Beispiel Swiss-U.S. DPF oder Standardklauseln) und, bei hohem Risiko, eine Datenschutz-Folgenabschätzung (Art. 22 DSG).
4) Der technische Nachweis, dass nicht notwendige Tracker die Wahl des Besuchers respektieren (Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen, Art. 7 DSG).
5) Die Verträge zur Auftragsbearbeitung mit Ihren Dienstleistern (Art. 9 DSG).