Datenschutzerklärung Schweiz: Welcher Generator wirklich passt

Die meisten Schweizer KMU-Websites haben eine Datenschutzerklärung. Das Problem liegt selten darin, dass sie fehlt — sondern darin, dass sie veraltet, aus einem deutschen Generator kopiert, oder Dienste listet, die längst nicht mehr auf der Website aktiv sind. Das ist nicht nur ein Compliance-Problem. Es ist ein Vertrauens-Problem.

Dieser Artikel zeigt, worauf es bei einer korrekten Schweizer Datenschutzerklärung wirklich ankommt, warum die meisten Generatoren nur die halbe Miete sind — und wie Sie in wenigen Minuten zu einer Erklärung kommen, die zu Ihrer Website passt, nicht zu einer abstrakten Vorlage.

Was das Schweizer Datenschutzgesetz (nDSG) tatsächlich verlangt

Seit dem 1. September 2023 gilt das revidierte Datenschutzgesetz (nDSG). Für Website-Betreibende ist vor allem Art. 19 nDSG — die Informationspflicht relevant. Eine Datenschutzerklärung muss mindestens folgende Angaben enthalten:

• Die Identität und Kontaktdaten der verantwortlichen Person oder des verantwortlichen Unternehmens
• Den Zweck der Datenbearbeitung
• Die Kategorien von Empfängern, an die Personendaten weitergegeben werden (Dienstleister, Cloud-Anbieter, Analytics-Tools)
• Bei Übermittlung ins Ausland: Das Zielland und — sofern keine Angemessenheitsentscheidung vorliegt — die Garantien für den Datenschutz
• Ausreichende Angaben, damit Betroffene ihre Rechte (Auskunft, Berichtigung, Löschung) wahrnehmen können

Drei Punkte, die häufig übersehen werden:

1. Die Bussen treffen Sie persönlich. Das nDSG bestraft die verantwortliche natürliche Person mit bis zu CHF 250'000. Das Unternehmen haftet nur subsidiär. Das ist ein bedeutender Unterschied zur EU-DSGVO, wo primär das Unternehmen sanktioniert wird.

2. Übergangsfristen gibt es nicht. Anders als bei der DSGVO-Einführung 2018 wurden Schweizer Unternehmen nicht schrittweise herangeführt. Die Pflichten gelten seit September 2023 vollumfänglich.

3. Auch KMU sind betroffen. Eine Ausnahme von der Datenschutzerklärungs-Pflicht für kleine Unternehmen existiert nicht. Lediglich beim Bearbeitungsverzeichnis gibt es eine Erleichterung für Unternehmen unter 250 Mitarbeitenden, die keine sensiblen Daten in grossem Umfang bearbeiten.

Die drei Typen von Datenschutzerklärung-Generatoren

Auf dem Schweizer Markt existieren grob drei Kategorien — mit sehr unterschiedlicher Qualität:

Typ 1: Statische Mustervorlagen

Sie füllen ein Formular aus, kreuzen an, welche Dienste Ihre Website nutzt (Google Analytics? Kontaktformular? Newsletter?) und erhalten eine fertige Textdatei zum Copy-Paste. Kostenlos oder einmalig wenige Franken.

Problem: Das Dokument ist ab dem Moment der Generierung veraltet. Wenn Sie drei Monate später einen Meta Pixel einbauen oder von MailChimp zu Brevo wechseln, erinnern Sie sich nicht, die Erklärung anzupassen. Das ist der mit Abstand häufigste Compliance-Mangel, den wir in Scans finden.

Typ 2: Abonnement-Generatoren mit Anwaltsprüfung

Anbieter wie Datenschutzpartner.ch, Legally ok oder datenbuddy.ch bieten Zugang zu regelmässig aktualisierten Textbausteinen, die von Schweizer Anwaltskanzleien geprüft wurden. Preislich im Bereich CHF 150–400 pro Jahr.

Stärken: Rechtlich solide, wird mit Gesetzesänderungen gepflegt, berücksichtigt Schweizer Besonderheiten.

Schwäche: Sie müssen weiterhin manuell angeben, welche Dienste auf Ihrer Website laufen. Wenn Ihre Webagentur ein Plugin einbaut, das Cloudflare-Analytics nutzt, und vergisst, Ihnen Bescheid zu sagen, weiss Ihre Datenschutzerklärung nichts davon.

Typ 3: Scan-basierte Generatoren

Statt Sie raten zu lassen, was auf Ihrer Website läuft, scannen diese Tools Ihre Website direkt und extrahieren die tatsächlich eingesetzten Tracker, Cookies und Drittanbieter. Auf dieser Basis wird die Datenschutzerklärung generiert.

Stärke: Die Erklärung passt zur Realität Ihrer Website, nicht zu Ihrer Erinnerung oder der veralteten Doku Ihres Webmasters.

Grenze: Scanner können nur erfassen, was im HTML sichtbar ist. Dienste, die erst nach einem Login oder einer Nutzer-Interaktion aktiv werden, müssen weiterhin manuell ergänzt werden.

Dataquard gehört zur dritten Kategorie — mit einem Unterschied, den wir gleich beleuchten.

Warum viele Schweizer Datenschutzerklärungen trotz Generator falsch sind

In unseren Scans sehen wir immer wieder dieselben Muster. Die häufigsten Fehler — unabhängig davon, welcher Generator verwendet wurde:

Fehler 1: Google-Dienste werden pauschal erwähnt, obwohl nur Google Fonts eingebunden ist. Das führt zu einer unnötig angstmachenden Erklärung und vermittelt den Eindruck, das Unternehmen wisse selbst nicht, was es tut.

Fehler 2: Meta Pixel oder Facebook-Tracker werden nicht erwähnt, obwohl sie aktiv sind. Das ist der juristisch heikelste Fehler — aktive Datenübermittlung an Meta ohne Transparenz. Häufig wurde der Pixel vor Jahren für eine Kampagne eingebaut und nie entfernt.

Fehler 3: Die Datenschutzerklärung ist auf der Impressum-Seite versteckt. Das nDSG verlangt zwar keinen separaten Link, aber eine „leicht auffindbare" Platzierung. Im Footer, eigener Link, ist Best Practice.

Fehler 4: Drittland-Übermittlung wird nicht adressiert. Wenn Ihre Website Cloudflare, Google Fonts oder einen US-Newsletter-Dienst nutzt, werden Daten in die USA übermittelt. Das muss in der Erklärung stehen, mit Hinweis auf die rechtliche Grundlage (Standardvertragsklauseln, Angemessenheitsbeschluss etc.).

Fehler 5: Die Datumsangabe ist älter als die letzte Website-Änderung. Wenn Ihre Erklärung „Stand: Oktober 2023" sagt und der Cookie-Banner vor drei Monaten erneuert wurde, ist das eine Inkonsistenz, die bei einer EDÖB-Prüfung sofort auffällt.

Wie ein korrekter Generator-Prozess in der Praxis aussieht

Die Logik ist einfacher, als viele Anbieter sie darstellen. Ein guter Schweizer Datenschutzerklärung-Generator sollte folgende fünf Schritte durchlaufen:

Schritt 1: Ihre Website analysieren. Ohne Login, ohne Konfiguration. Welche Drittanbieter werden tatsächlich eingebunden? Welche Cookies werden gesetzt? Wo liegen die Server?

Schritt 2: Lücken identifizieren. Ist der Scan vollständig, oder lädt die Seite Dienste erst nach Login? Gibt es Formulare, die an externe Services posten? Sind iframes eingebunden, deren Datenfluss nicht aus dem HTML ersichtlich ist?

Schritt 3: Unternehmensdaten strukturiert erfassen. Adresse, Verantwortlicher, Kontakt für Datenschutzanfragen (dieser muss nicht zwingend ein DSO sein, aber eine erreichbare Stelle).

Schritt 4: Erklärung generieren. Auf Basis der gescannten Dienste, nicht auf Basis einer generischen Checkliste. Mit präzisen Formulierungen, die auf das nDSG und — falls relevant — zusätzlich auf die DSGVO verweisen.

Schritt 5: Monitoring aktivieren. Der entscheidende Schritt, den die meisten Anbieter auslassen: Was passiert, wenn sich Ihre Website in sechs Monaten ändert? Ein guter Generator scannt regelmässig neu und warnt Sie, wenn neue Tracker hinzukommen oder die Erklärung sonst veraltet.

Was Dataquard anders macht

Dataquard wurde gebaut, um genau die oben genannten fünf Schritte zu automatisieren. Der Unterschied zu anderen scan-basierten Tools:

• Vier Säulen statt nur Datenschutz. Wir prüfen gleichzeitig Compliance, Sicherheit, Performance und AI-Trust (EU AI Act Art. 50). Ihre Datenschutzerklärung steht nicht isoliert — sie ist Teil einer Gesamtbetrachtung.
• Daten bleiben in der Schweiz. Alle Scans und generierten Dokumente werden auf Supabase-Servern in Zürich verarbeitet. Keine Übertragung ins Ausland, kein US-Cloud-Anbieter.
• Monatliche automatische Scans. Sobald sich etwas auf Ihrer Website ändert — neuer Tracker, neuer Dienst, neues KI-generiertes Bild — erhalten Sie eine E-Mail und Ihre Erklärung wird aktualisiert (im Professional-Plan automatisch).
• Ein Preis für alles. CHF 19 pro Monat (jährlich CHF 228) im Starter-Plan: Datenschutzerklärung, Impressum, Cookie-Banner, 50 KI-Bilder-Scans und monatlicher Compliance-Report. Kein Modulzukauf, keine Überraschungen.

Die realistische Erwartungshaltung

Ein Generator — egal welcher — ersetzt keine individuelle Rechtsberatung. Wenn Ihre Website besonders sensible Daten verarbeitet (Gesundheitsdaten, Finanzdaten im Online-Banking-Bereich, biometrische Daten), sollten Sie zusätzlich eine Anwältin oder einen Datenschutzberater konsultieren.

Für die typische KMU-Website — Dienstleister, kleiner Shop, Handwerk, Kanzlei, Treuhandbüro, Arztpraxis mit Informationsauftritt — ist ein guter Generator die richtige Wahl. Er deckt 90 Prozent der Pflichten sauber ab, zu einem Bruchteil der Kosten einer individuellen Erstellung.

Der Rest ist Sorgfalt: Die Erklärung regelmässig prüfen, bei Website-Änderungen aktualisieren, im Footer einbinden. Dataquard übernimmt davon so viel wie technisch sinnvoll automatisierbar ist.

Häufig gestellte Fragen

Braucht meine Schweizer KMU-Website eine Datenschutzerklärung?

Ja. Sobald Ihre Website Personendaten bearbeitet — das schliesst bereits IP-Adressen, Kontaktformulare, Cookies oder Google Analytics ein — verlangt das Schweizer Datenschutzgesetz (nDSG, Art. 19) eine Datenschutzerklärung. Die Pflicht gilt seit dem 1. September 2023 unabhängig von der Unternehmensgrösse.

Was kostet ein Datenschutzerklärung-Generator in der Schweiz?

Die Spanne reicht von kostenlos (meist mit Do-Follow-Link zurück zum Anbieter oder begrenztem Funktionsumfang) bis CHF 200+ pro Jahr für anwaltlich geprüfte Lösungen mit automatischen Updates. Dataquard Starter kostet CHF 19 pro Monat und enthält neben der Datenschutzerklärung auch das Impressum, den Cookie-Banner und die monatliche Überwachung.

Welche Bussen drohen bei fehlender oder fehlerhafter Datenschutzerklärung?

Das nDSG sieht Bussen bis CHF 250'000 vor. Anders als in der EU trifft die Busse die verantwortliche natürliche Person persönlich, nicht primär das Unternehmen. Die Praxis zeigt, dass der EDÖB primär bei groben Verstössen oder nach Beschwerden eingreift, nicht bei kleineren Formmängeln.

Darf ich einen deutschen DSGVO-Generator für meine Schweizer Website nutzen?

Technisch möglich, praktisch problematisch. Deutsche Generatoren gehen von DSGVO und BDSG aus — sie berücksichtigen die Schweizer Besonderheiten wie die nDSG-Terminologie, Drittland-Bestimmungen aus Schweizer Sicht oder den EDÖB als Aufsicht meist nicht. Ergebnis ist oft eine Erklärung, die rechtlich nicht passt und Misstrauen bei aufmerksamen Besucherinnen erzeugt.

Wie oft muss ich meine Datenschutzerklärung aktualisieren?

Immer dann, wenn sich etwas auf Ihrer Website ändert: ein neuer Tracker, ein neues Formular, ein gewechselter Newsletter-Dienst, eine neue Zahlungsanbindung. In der Praxis heisst das: mindestens halbjährlich prüfen. Automatisierte Scans erkennen Änderungen sofort, manuelle Wartung ist ein häufiger Fehlerpunkt.

Dieser Artikel ersetzt keine Rechtsberatung. Bei komplexen Fragen — insbesondere bei Websites mit sensiblen Daten oder internationalem Bezug — ist die Konsultation einer auf Datenschutz spezialisierten Anwaltskanzlei sinnvoll. Stand: 17. April 2026.

Dataquard ist ein Schweizer SaaS-Tool für automatisierte Website-Compliance. Alle Daten werden ausschliesslich auf Servern in Zürich verarbeitet.