Datenschutzerklärung für den Onlineshop in der Schweiz

Was Art. 19 DSG verlangt

Die Datenschutzerklärung setzt die Informationspflicht nach Art. 19 des Datenschutzgesetzes (DSG) um. Sobald der Shop Personendaten beschafft — im Bestellformular, beim Kundenkonto, beim Newsletter-Eintrag oder beim Setzen eines Cookies — informiert er die betroffene Person angemessen (Art. 19 Abs. 1 DSG). Die Pflicht gilt auch dann, wenn er die Daten nicht bei der Person selbst beschafft, etwa aus einer zugekauften Adressliste.

Das revidierte DSG und die Datenschutzverordnung (DSV) gelten seit dem 1. September 2023 (Art. 74 DSG; Art. 47 DSV). Das Gesetz schützt Personendaten natürlicher Personen (Art. 2 Abs. 1 DSG): Name und E-Mail-Adresse einer Ansprechperson sind Personendaten, die Daten der Firma als solcher nicht. Für Shops mit Sitz in Deutschland oder Österreich gilt eigenes Recht, siehe Datenschutzerklärung für den Onlineshop in Deutschland und Datenschutzerklärung für den Onlineshop in Österreich.

Was mindestens in der Erklärung stehen muss

Art. 19 DSG zählt den Mindestinhalt auf; die Angaben stehen im Kontext des jeweiligen Vorgangs, nicht nur einmal am Seitenende.

Pflichtangabe	Fundstelle
Identität und Kontaktdaten des Verantwortlichen	Art. 19 Abs. 2 lit. a DSG
Bearbeitungszweck	Art. 19 Abs. 2 lit. b DSG
Empfänger oder Kategorien von Empfängern, soweit Daten bekanntgegeben werden	Art. 19 Abs. 2 lit. c DSG
Kategorien der bearbeiteten Personendaten, wenn die Daten nicht beim Kunden selbst beschafft werden	Art. 19 Abs. 3 DSG
Staat oder internationales Organ und gegebenenfalls die Garantien nach Art. 16 Abs. 2 DSG oder die angewandte Ausnahme nach Art. 17 DSG, wenn die Personendaten ins Ausland bekanntgegeben werden	Art. 19 Abs. 4 DSG

Die Information erfolgt bei der Beschaffung. Stammen die Daten aus einer anderen Quelle, teilt der Shop sie spätestens einen Monat nach Erhalt mit; gibt er sie vorher weiter, im Zeitpunkt dieser Bekanntgabe (Art. 19 Abs. 5 DSG). Die Pflicht entfällt etwa, wenn der Kunde die Informationen bereits hat oder die Bearbeitung gesetzlich vorgesehen ist (Art. 20 Abs. 1 DSG); der EDÖB hält solche Ausnahmen für eng auszulegen.

Die Aufzählung in Art. 19 Abs. 2 DSG ist ein Mindestkatalog. Nach der Darstellung des EDÖB hängt, wie detailliert die Information sein muss, von der Art der bearbeiteten Personendaten und von Art und Umfang der Bearbeitung ab; so kann etwa eine Angabe zur Dauer der Bearbeitung erforderlich sein. In der Liste der Angaben, die eine Datenschutzerklärung enthalten sollte, nennt der EDÖB zusätzlich die Aufbewahrungsdauer, die Wahlmöglichkeiten zur Bearbeitung, eingebundene Dienste Dritter und die Kontaktadresse für Auskunft, Berichtigung oder Löschung. Die Auskunft erteilt der Shop kostenlos (Art. 25 Abs. 6 DSG); ist sie mit einem unverhältnismässigen Aufwand verbunden, darf er eine angemessene Kostenbeteiligung von höchstens CHF 300 verlangen und muss deren Höhe vor der Auskunft mitteilen (Art. 19 DSV). Die Auskunft erfolgt in der Regel innerhalb von 30 Tagen (Art. 25 Abs. 7 DSG), die Verordnung setzt dafür 30 Tage seit Eingang des Begehrens und verlangt bei Verzögerung eine Mitteilung (Art. 18 DSV).

Die Vorgänge im Shop und ihre Angaben

Die Tabelle ordnet typische Vorgänge eines Onlineshops einer möglichen Grundlage nach dem DSG zu und nennt, was die Erklärung zu diesem Vorgang sagen muss. Die Spalte unterscheidet die Mindestangabe nach Art. 19 Abs. 2 DSG von den Ergänzungen, die nach der Darstellung des EDÖB je nach Art und Umfang der Bearbeitung hinzukommen. Die Zeilen gelten nur für Vorgänge, die Ihr Shop tatsächlich einsetzt. Welche Grundlage im Einzelfall trägt, entscheidet der Shop selbst; die Zuordnung ist eine redaktionelle Einschätzung, keine Auskunft der Aufsichtsbehörde.

Vorgang im Shop	Mögliche Grundlage nach DSG	Was die Erklärung dazu sagen muss
Bestellung im Checkout (Name, Anschrift, E-Mail, bestellte Waren)	Art. 31 Abs. 2 lit. a: überwiegendes privates Interesse bei der Abwicklung des Vertrags; alternativ Einwilligung	Mindestangabe: Bearbeitungszweck (Art. 19 Abs. 2 lit. b DSG); nach der Darstellung des EDÖB kommt je nach Art und Umfang der Bearbeitung die Aufbewahrungsdauer oder die Kriterien dafür und die Kontaktadresse für Auskunft, Berichtigung und Löschung hinzu (Art. 25 Abs. 2 lit. d und Abs. 6 DSG)
Zahlung über einen Zahlungsdienstleister	Art. 31 Abs. 2 lit. a für die eigene Bearbeitung; die Weitergabe ist eine Bekanntgabe	Mindestangabe: Empfänger oder Empfängerkategorie, soweit Daten bekanntgegeben werden (Art. 19 Abs. 2 lit. c DSG); bei einer Bekanntgabe der Daten ins Ausland Staat oder internationales Organ und gegebenenfalls Garantien nach Art. 16 Abs. 2 DSG oder die angewandte Ausnahme nach Art. 17 DSG (Art. 19 Abs. 4 DSG)
Versand (Name, Anschrift, E-Mail für die Sendungsverfolgung)	Art. 31 Abs. 2 lit. a	Mindestangabe: Empfängerkategorie Versanddienstleister, soweit Daten bekanntgegeben werden (Art. 19 Abs. 2 lit. c DSG); bei einer Bekanntgabe ins Ausland Staat oder internationales Organ und gegebenenfalls Garantien oder die angewandte Ausnahme (Art. 19 Abs. 4 DSG)
Aufbewahrung von Rechnungen und Buchungsbelegen	gesetzliche Pflicht als Rechtfertigungsgrund (Art. 31 Abs. 1 DSG)	Mindestangabe: Bearbeitungszweck (Art. 19 Abs. 2 lit. b DSG); nach der Darstellung des EDÖB je nach Art und Umfang der Bearbeitung zusätzlich die Aufbewahrungsdauer: Buchungsbelege zehn Jahre, Fristbeginn mit dem Ablauf des Geschäftsjahres (Art. 958f Abs. 1 OR)
Kundenkonto	Art. 31 Abs. 2 lit. a	Mindestangabe: Bearbeitungszweck (Art. 19 Abs. 2 lit. b DSG); nach der Darstellung des EDÖB je nach Art und Umfang der Bearbeitung zusätzlich die Aufbewahrungsdauer bis zur Löschung des Kontos und was danach mit den Daten geschieht
Newsletter mit Einwilligung	Art. 6 Abs. 6 DSG: freiwillige Einwilligung nach angemessener Information; wettbewerbsrechtlich Art. 3 Abs. 1 lit. o UWG	Mindestangabe: Bearbeitungszweck (Art. 19 Abs. 2 lit. b DSG); der EDÖB empfiehlt zusätzlich den Hinweis auf den jederzeitigen Widerruf; wer Adressen aus einem Verkauf für eigene ähnliche Angebote nutzt, nennt den Hinweis auf die Ablehnungsmöglichkeit beim Verkauf als Voraussetzung dieser Ausnahme
Webanalyse und Marketing-Cookies	nicht notwendige Cookies: überwiegendes privates Interesse nach Abwägung oder Einwilligung (Art. 31 Abs. 1 DSG); Statistik für nicht personenbezogene Zwecke nach Art. 31 Abs. 2 lit. e DSG: Daten anonymisieren, sobald der Zweck es erlaubt, und Ergebnisse so veröffentlichen, dass die Betroffenen nicht bestimmbar sind	Mindestangabe: Bearbeitungszweck und, soweit Daten an Dritte bekanntgegeben werden, die Empfänger (Art. 19 Abs. 2 lit. b und c DSG); für nicht notwendige Cookies zusätzlich die Information über die Bearbeitung und ihren Zweck und der Hinweis auf die Ablehnungsmöglichkeit (Art. 45c lit. b FMG), sofern nicht die Fälle von Art. 6 Abs. 7 DSG eine ausdrückliche Einwilligung mit Widerruf verlangen

In der letzten Spalte steht zuerst die Mindestangabe nach Art. 19 Abs. 2 DSG. Die Angaben zu Aufbewahrungsdauer, Wahlmöglichkeiten und Kontaktadresse für Auskunft, Berichtigung und Löschung sind keine unterschiedslosen Mindestangaben dieser Bestimmung; nach der Darstellung des EDÖB hängt, wie detailliert die Information sein muss, von der Art der bearbeiteten Personendaten und von Art und Umfang der Bearbeitung ab. Das Verzeichnis der Bearbeitungstätigkeiten (Art. 12 Abs. 2 DSG) ist die interne Aufstellung, die Erklärung der Text für die Kundschaft. Von dieser Pflicht sind Unternehmen mit weniger als 250 Mitarbeitenden am 1. Januar eines Jahres befreit, ausser sie bearbeiten besonders schützenswerte Personendaten in grossem Umfang oder führen ein Profiling mit hohem Risiko durch (Art. 24 DSV).

Cookies und ähnliche Technologien

Das Fernmeldegesetz regelt das Bearbeiten von Daten auf fremden Geräten. Erlaubt ist es für die Fernmeldedienste und ihre Abrechnung oder dann, wenn die Benutzenden über die Bearbeitung und ihren Zweck informiert und darauf hingewiesen werden, dass sie die Bearbeitung ablehnen können (Art. 45c FMG). Die Bestimmung gilt seit dem 1. April 2007 und steht neben dem DSG; vorsätzliche oder fahrlässige Verstösse ahndet Art. 53 FMG mit Busse bis CHF 5’000.

Technisch notwendige Cookies — nach dem Leitfaden des EDÖB etwa Warenkorb, Login, Spracheinstellung oder Captcha — sind verhältnismässig (Art. 6 Abs. 2 DSG). Ein Widerspruch ist nach diesem Leitfaden nur indirekt möglich, indem der Besucher auf das Angebot als Ganzes verzichtet.

Alle übrigen Cookies gehen über das notwendige Mass hinaus und verletzen nach der Auslegung des EDÖB die Persönlichkeit (Art. 30 Abs. 2 lit. a DSG); widerrechtlich ist die Verletzung, wenn sie nicht durch Einwilligung, ein überwiegendes Interesse oder Gesetz gerechtfertigt ist (Art. 31 Abs. 1 DSG). Der Leitfaden stuft die Fälle ab: Bei funktionalen Cookies und bei Werbung mit normalem Profiling genügt ein leicht auffindbares Opt-out, bei einem Profiling mit hohem Risiko verlangt Art. 6 Abs. 7 lit. b DSG eine ausdrückliche Einwilligung. Der Leitfaden ist behördliche Auslegungshilfe, kein Gesetz.

Widerspruch und Widerruf müssen mit wenigen Klicks erreichbar sein; datenschutzfreundliche Voreinstellungen nach Art. 7 Abs. 3 DSG halten den Einsatz bis zur Wahl auf das nötige Mass. Die Information muss bis zu dem Zeitpunkt vorliegen, in dem der Besucher über den Einsatz nicht notwendiger Cookies entscheidet; ein Analysedienst, der beim Seitenaufruf schon Daten erhebt, erfüllt das nicht.

Newsletter und E-Mail-Werbung

Für Massenwerbung per E-Mail, die keinen direkten Zusammenhang mit einem angeforderten Inhalt hat, verlangt das Wettbewerbsrecht gegenüber Kunden die vorherige Einwilligung. Unlauter handelt, wer solche Massenwerbung fernmeldetechnisch versendet oder solche Sendungen veranlasst und es dabei unterlässt, die Einwilligung vorher einzuholen, den korrekten Absender anzugeben oder auf eine problemlose und kostenlose Ablehnungsmöglichkeit hinzuweisen; diese Pflichten gelten nebeneinander (Art. 3 Abs. 1 lit. o UWG, in Kraft seit 1. April 2007). Wer beim Verkauf von Waren, Werken oder Leistungen Kontaktinformationen von Kunden erhält und dabei auf die Ablehnungsmöglichkeit hinweist, handelt nicht unlauter, wenn er diesen Kunden ohne deren Einwilligung Massenwerbung für eigene ähnliche Waren, Werke oder Leistungen sendet.

Die Einwilligung ist gültig, wenn sie nach angemessener Information freiwillig und für bestimmte Bearbeitungen erteilt wird (Art. 6 Abs. 6 DSG). Ausdrücklich, also mit einer aktiven Handlung, muss sie nur in den Fällen von Art. 6 Abs. 7 DSG erfolgen. Den Hinweis auf den jederzeitigen Widerruf nennt der EDÖB unter den Angaben, die eine Datenschutzerklärung enthalten sollte.

Form und Zugänglichkeit

Nach dem EDÖB schreiben weder das DSG noch die DSV eine Form vor; Art. 13 DSV verlangt präzise, transparente, verständliche und leicht zugängliche Information. Der EDÖB empfiehlt eine mehrstufige Erklärung: die wichtigsten Angaben auf der ersten Stufe, verlinkt auf die ausführliche Fassung. Versteckte Rubriken und allgemeine Formulierungen wie «unter Umständen» genügen nicht; die Erklärung muss mit den tatsächlichen Bearbeitungen übereinstimmen und in den Sprachen des Shops vorliegen.

Was bei einem Verstoss droht

Private Personen werden auf Antrag mit Busse bis CHF 250’000 bestraft, wenn sie es vorsätzlich unterlassen, nach Art. 19 Abs. 1 DSG zu informieren oder die Angaben nach Art. 19 Abs. 2 DSG zu liefern (Art. 60 Abs. 1 lit. b DSG). Gleich hoch ist die Busse für eine vorsätzlich falsche oder unvollständige Auskunft (Art. 60 Abs. 1 lit. a DSG); fahrlässiges Handeln ist nicht strafbar. Verstösse gegen Art. 45c FMG ahndet Art. 53 FMG mit Busse bis CHF 5’000. Wer vorsätzlich unlauteren Wettbewerb nach Art. 3 UWG begeht, wird auf Antrag mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft (Art. 23 Abs. 1 UWG).

Checkliste für Ihren Shop

• Erfassen Sie, welche Daten der Shop bearbeitet: Checkout, Kundenkonto, Zahlung, Versand, Newsletter, Analyse und Werbung.
• Nennen Sie zu jedem Vorgang den Verantwortlichen mit Kontaktdaten, den Zweck und die Empfänger (Art. 19 Abs. 2 DSG).
• Halten Sie die Aufbewahrungsdauer oder die Kriterien dafür fest; Buchungsbelege zehn Jahre (Art. 958f Abs. 1 OR).
• Geben Sie bei einer Bekanntgabe ins Ausland Staat oder internationales Organ und gegebenenfalls die Garantien oder die angewandte Ausnahme an (Art. 19 Abs. 4 DSG).
• Prüfen Sie jede Cookie-Kategorie einzeln: technisch notwendig, funktional, Analyse, Werbung (Art. 45c FMG).
• Halten Sie Widerspruch und Widerruf mit wenigen Klicks erreichbar.
• Ziehen Sie die Erklärung nach, wenn eine neue Funktion Daten an Dritte überträgt.