Datenschutzgesetz (DSG).

Das DSG schützt Personendaten, also alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen — Name, E-Mail, Telefonnummer, aber auch IP-Adressen oder Geräte-Kennungen, wenn sie einer Person zugeordnet werden können. Seit der Revision schützt das Gesetz nur noch natürliche Personen, nicht mehr Firmen. Für Unternehmen gelten die Grundsätze der Rechtmässigkeit, Transparenz, Zweckbindung, Verhältnismässigkeit und Datensicherheit.

Für Websites sind vor allem vier Pflichten relevant. Erstens die Informationspflicht: Wer Personendaten beschafft, muss darüber informieren, typischerweise in einer Datenschutzerklärung — welche Daten, zu welchem Zweck, an wen sie weitergegeben werden und in welche Länder. Zweitens Datensicherheit: angemessene technische und organisatorische Massnahmen, etwa HTTPS, Zugriffsschutz und Backups. Drittens Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen (Privacy by Design und by Default). Viertens die Meldung von Verletzungen der Datensicherheit an den EDÖB, wenn ein hohes Risiko für Betroffene besteht.

Bei Dienstleistern wie Hosting, Newsletter-Tools oder CRM gilt: Wer Daten im eigenen Auftrag bearbeiten lässt, bleibt verantwortlich und braucht einen Vertrag zur Auftragsbearbeitung. Bekanntgaben ins Ausland sind an Länder mit angemessenem Datenschutzniveau zulässig — dazu zählen die EU-Staaten. Für die USA gilt seit dem 15. September 2024 ein angemessenes Niveau nur gegenüber Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind; für andere Empfänger braucht es zusätzliche Garantien, etwa Standardvertragsklauseln. Einen zwingenden Serverstandort in der Schweiz verlangt das DSG nicht.

Neu sind persönliche Bussen von bis zu CHF 250'000, die sich gegen die verantwortlichen natürlichen Personen richten, etwa bei vorsätzlicher Verletzung der Informationspflichten. Das hat das Thema in vielen Geschäftsleitungen nach oben gebracht. Praktisch heisst das nicht, jede Website mit Rechtstexten zu überladen, sondern zu wissen, welche Daten wo bearbeitet werden, und das ehrlich offenzulegen. Dieser Eintrag ist eine Begriffserklärung, keine Rechtsberatung.