revDSG im Marketing: Was für Tracking, Cookies und Newsletter gilt
Das revidierte Schweizer Datenschutzgesetz, kurz revDSG oder DSG, regelt, wie Organisationen mit Personendaten umgehen, und gilt seit dem 1. September 2023. Für Marketingteams entscheidet es, wie du Cookies und Tracking, Newsletter, Formulare und Werkzeuge aus dem Ausland einsetzen darfst. Dieser Leitfaden ordnet ein, was das Gesetz und der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) dazu tatsächlich sagen und wo die Regeln Ermessenssache bleiben. Er ist weder Rechtsberatung noch Pitch: Wenn du Hilfe bei einem Messaufbau suchst, der den Datenschutz mitdenkt, findest du sie bei unserer Performance Marketing Agentur in Zürich.
Was ist das revDSG, und für wen gilt es im Marketing?
Das Gesetz schützt die Persönlichkeit und die Grundrechte natürlicher Personen, über die Personendaten bearbeitet werden (Art. 1 DSG). Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 Bst. a). Das Gesetz hat das Datenschutzgesetz vom 19. Juni 1992 abgelöst und ist am 1. September 2023 in Kraft getreten.
Es gilt für private Personen und Bundesorgane (Art. 2) und erfasst Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden (Art. 3). Ein ausländischer Werbetreibender, dessen Tracking Besucherinnen und Besucher in der Schweiz betrifft, kann deshalb darunter fallen.
Für Agenturen und Tool-Anbieter zählen zwei Rollen. Der Verantwortliche ist die Person oder das Organ, die oder das allein oder zusammen mit anderen über Zweck und Mittel der Bearbeitung entscheidet. Der Auftragsbearbeiter bearbeitet Personendaten im Auftrag des Verantwortlichen (Art. 5 Bst. j und k). Wenn du die Datenbearbeitung einer Agentur oder einer Plattform überträgst, verlangt Art. 9, dass die Daten so bearbeitet werden, wie du es selbst dürftest, und dass du dich vergewisserst, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Wer die Bearbeitung vorsätzlich ohne diese Voraussetzungen übergibt, macht sich strafbar (Art. 61 Bst. b).
Was gilt für Cookies und Tracking?
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) nennt in seinem Merkblatt zu Cookies vom 27. März 2026 zwei Rechtsgrundlagen. Nach Art. 45c des Fernmeldegesetzes ist das Bearbeiten von Daten auf fremden Geräten nur erlaubt, wenn die Benutzerinnen und Benutzer über die Bearbeitung und ihren Zweck informiert und darauf hingewiesen werden, dass sie die Bearbeitung ablehnen können. Das Datenschutzgesetz regelt den Umgang mit den Personendaten, die über Cookies gesammelt werden. Dieselbe Logik wendet das Merkblatt auf ähnliche Technologien an: Web Beacons, die erkennen, wenn ein E-Mail geöffnet wird, den lokalen Speicher des Browsers, Device Fingerprinting und Werbekennungen.
Der entscheidende Unterschied zur EU, in den Worten des EDÖB: Das europäische Recht verlangt eine vorgängige, ausdrückliche Zustimmung zu Cookies (ausser bei notwendigen), das Schweizer Recht legt den Schwerpunkt auf transparente Information und das Widerspruchsrecht. Grundsätzlich müssen Nutzerinnen und Nutzer über nicht notwendige Cookies und deren Zweck informiert werden und die Möglichkeit haben, sie abzulehnen, prinzipiell vor der Aktivierung der Cookies (Opt-out). Eine vorgängige, ausdrückliche Zustimmung ist erforderlich, wenn die Bearbeitung als unerwartet oder als mit hohem Risiko eingestuft werden kann oder besonders schützenswerte Personendaten betrifft.
Daraus ergibt sich eine praktische Sortierung dessen, was du einsetzt. Das ist unsere Lesart des Merkblatts, keine rechtliche Einordnung:
Notwendige Cookies (Sitzung, Warenkorb, Sicherheit): in der Datenschutzerklärung beschreiben.
Analyse- und Leistungs-Cookies: Das Merkblatt beschreibt sie als Cookies, die anonymisierte Navigationsdaten sammeln, ohne sie an Dritte weiterzugeben. Informiere und biete ein Opt-out an.
Marketing- und Personalisierungs-Cookies, oft von dritten Werbepartnern platziert: Laut Merkblatt speichern sie Interessen und Verhalten, um detaillierte Profile zu erstellen. Informiere, biete ein Opt-out an und prüfe, ob die Bearbeitung als unerwartet oder mit hohem Risiko gilt, was eine vorgängige, ausdrückliche Zustimmung bräuchte.
Ob ein bestimmtes Tool unter die Bearbeitung mit hohem Risiko fällt, ist eine Einzelfallfrage. Das Gesetz definiert Profiling als automatisierte Bearbeitung von Personendaten, um persönliche Aspekte wie Interessen, Verhalten oder Aufenthaltsort zu bewerten oder vorherzusagen, und Profiling mit hohem Risiko als Profiling, das durch eine Verknüpfung von Daten eine Beurteilung wesentlicher Aspekte der Persönlichkeit erlaubt (Art. 5 Bst. f und g). Für Profiling mit hohem Risiko durch eine private Person muss die Einwilligung ausdrücklich erfolgen (Art. 6 Abs. 7), und jede Einwilligung ist nur gültig, wenn sie für bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird (Art. 6 Abs. 6). Für die Kriterien verweist der EDÖB auf seinen ausführlichen Leitfaden zu Cookies.
Viele Schweizer Websites richten sich nach dem europäischen Standard und zeigen einen Banner mit differenzierten Auswahlmöglichkeiten, wie das Merkblatt festhält. Wenn du auch ein EU-Publikum ansprichst, prüfe die strengere EU-Anforderung der vorgängigen, ausdrücklichen Zustimmung.
Das Schweizer Recht legt den Schwerpunkt auf eine transparente Information der Nutzerinnen und Nutzer und ihr Widerspruchsrecht.
EDÖB, Merkblatt zur Verwendung von Cookies und ähnlichen Technologien im Zusammenhang mit Online-Tracking, 2026
Wie sind Newsletter und E-Mail-Marketing geregelt?
E-Mail- und SMS-Marketing wird vom Bundesgesetz gegen den unlauteren Wettbewerb geregelt, nicht allein vom Datenschutzgesetz. Nach Art. 3 Abs. 1 Bst. o UWG handelt unlauter, wer Massenwerbung ohne direkten Zusammenhang mit einem angeforderten Inhalt fernmeldetechnisch sendet und dabei unterlässt, vorher die Einwilligung der Kunden einzuholen, den korrekten Absender anzugeben oder auf eine problemlose und kostenlose Ablehnungsmöglichkeit hinzuweisen. Es gibt eine Ausnahme: Wer beim Verkauf Kontaktinformationen von Kunden erhält und dabei auf die Ablehnungsmöglichkeit hinweist, darf diesen Kunden ohne Einwilligung Massenwerbung für eigene ähnliche Waren, Werke oder Leistungen senden.
In der Praxis läuft das auf vier Regeln hinaus:
Hole die Einwilligung vor der ersten Kampagne an neue Kontakte ein, über eine klar formulierte Anmeldung.
Gib in jeder Nachricht den korrekten Absender an.
Baue in jede Nachricht eine funktionierende, kostenlose Abmeldemöglichkeit ein.
Nutze die Kundenausnahme nur für eigene ähnliche Angebote und nur, wenn du beim Erheben der Adresse auf die Ablehnungsmöglichkeit hingewiesen hast.
Double Opt-in, bei dem die Abonnentin oder der Abonnent die Adresse über einen Link bestätigt, ist unsere Standardmethode, um die Einwilligung zu dokumentieren. Es ist gängige Praxis, keine im Gesetz genannte Anforderung.
Dazu kommen zwei Datenschutzpunkte. Das Anmeldeformular muss die Informationen nach Art. 19 DSG liefern, die unten beschrieben sind. Und Zählpixel in Newslettern gelten als Tracking-Technologie: Der EDÖB nennt Web Beacons, die erkennen, wenn ein E-Mail geöffnet wird, ausdrücklich darunter. Erwähne das Öffnungs-Tracking in der Datenschutzerklärung.
Was gehört in die Datenschutzerklärung, und wer haftet?
Art. 19 DSG verlangt, dass der Verantwortliche die betroffene Person bei der Beschaffung von Personendaten angemessen informiert. Mindestens teilst du die Identität und die Kontaktdaten des Verantwortlichen, den Bearbeitungszweck und gegebenenfalls die Empfängerinnen und Empfänger oder deren Kategorien mit. Werden Daten ins Ausland bekanntgegeben, nennst du zudem den Staat und die Garantien oder die angewendete Ausnahme. Eine leicht auffindbare Datenschutzerklärung ist der übliche Weg, das zu erfüllen.
Ausnahmen gibt es, etwa wenn die Person die Informationen bereits hat oder die Bearbeitung gesetzlich vorgesehen ist (Art. 20). Verlass dich bei gewöhnlichen Marketingdaten nicht darauf.
Zwei weitere Pflichten gehören auf den Radar jedes Marketingteams. Verantwortliche und Auftragsbearbeiter führen je ein Verzeichnis ihrer Bearbeitungstätigkeiten (Art. 12). Der Bundesrat sieht Ausnahmen für Unternehmen mit weniger als 250 Mitarbeitenden vor, deren Datenbearbeitung ein geringes Risiko mit sich bringt (Art. 12 Abs. 5). Die Einzelheiten stehen in der Verordnung, die wir hier nicht geprüft haben, schau also für deinen Fall dort nach. Und eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko führt, muss dem EDÖB so rasch als möglich gemeldet werden (Art. 24).
Bussen sind real, aber enger gefasst, als oft behauptet wird. Wer vorsätzlich die betroffene Person nicht nach Art. 19 informiert oder falsche oder unvollständige Auskünfte erteilt, wird mit Busse bis zu 250'000 Franken bestraft, meist auf Antrag (Art. 60). Dieselbe Obergrenze gilt für die vorsätzliche Bekanntgabe von Daten ins Ausland ohne die nötigen Garantien, die Übergabe der Bearbeitung an einen Auftragsbearbeiter ohne die Voraussetzungen nach Art. 9 und die Missachtung der Mindestanforderungen an die Datensicherheit (Art. 61). Die Bussen treffen private Personen, also die verantwortlichen Individuen, nicht automatisch das Unternehmen. Bei Bussen bis 50'000 Franken kann die Behörde stattdessen den Geschäftsbetrieb verurteilen, wenn die Ermittlung der Personen unverhältnismässig wäre (Art. 64). Die Kantone verfolgen, und der EDÖB kann Anzeige erstatten (Art. 65).
Darfst du US-Tools wie Google Analytics oder den Meta-Pixel nutzen?
Ein pauschales Ja oder Nein gibt es nicht, denn die Antwort hängt von den Datenflüssen und von der Konfiguration des Tools ab. Viele Marketing-Tools bearbeiten Daten in den USA. Nach Art. 16 DSG dürfen Personendaten ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des Staates einen angemessenen Schutz gewährleistet. Ohne einen solchen Entscheid brauchst du Garantien wie einen völkerrechtlichen Vertrag, dem EDÖB vorgängig mitgeteilte Datenschutzklauseln oder vom EDÖB anerkannte Standarddatenschutzklauseln. Art. 17 nennt Ausnahmen, etwa die ausdrückliche Einwilligung der Person.
Für die USA hat der Bundesrat am 14. August 2024 entschieden, dass die Zertifizierung für US-Unternehmen und ein neues US-Datenschutzgericht künftig die Übermittlung von Personendaten aus der Schweiz an zertifizierte Unternehmen in die USA ohne zusätzliche Garantien erlauben. Die Änderung der Datenschutzverordnung ist am 15. September 2024 in Kraft getreten (Mitteilung des Bundesrats). Der Entscheid gilt nur für zertifizierte Organisationen, prüfe deshalb jeden Anbieter auf der offiziellen Data-Privacy-Framework-Liste und halte das Datum der Prüfung fest.
Eine kurze Checkliste für die nächste Überprüfung:
Liste jedes Tool auf, das Cookies setzt oder Besucherdaten erhebt, und halte fest, wer der Auftragsbearbeiter ist und wohin die Daten gehen.
Prüfe bei jedem US-Anbieter die Zertifizierung und notiere das Datum.
Stelle sicher, dass Verträge mit Auftragsbearbeitern bestehen und Art. 9 erfüllen.
Vergleiche Banner und Datenschutzerklärung mit dem, was die Tools tatsächlich tun.
Nenne die Länder und Garantien in der Datenschutzerklärung (Art. 19 Abs. 4).
Entscheide für jedes Marketing-Tool, ob es als unerwartete Bearbeitung oder Bearbeitung mit hohem Risiko gelten könnte, und dokumentiere die Begründung.
Setze ein Datum für die nächste Überprüfung, denn Tools und Regeln ändern sich.
Zur rechtlichen Seite KI-generierter Werbung siehe unseren Leitfaden zu KI-Bildern und Recht in der Schweiz. Zur breiteren Debatte über Targeting siehe unseren Beitrag zu gezielter Werbung und Datenschutz.
Du willst einen Messaufbau, der den Datenschutz mitdenkt?
Collective Agency richtet Tracking und Reporting von Anfang an mit Blick auf den Datenschutz ein. Nimm Kontakt mit unserem Team auf für ein unverbindliches Gespräch über deinen Aufbau. Dieser Leitfaden ist keine Rechtsberatung: Für verbindliche Auskünfte zieh deine Rechtsberatung bei.
Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird.
Datenschutzgesetz (DSG), Art. 6 Abs. 6, SR 235.1
Zusammenfassung
Dieser Leitfaden erklärt, was das revidierte Schweizer Datenschutzgesetz für Marketingteams bedeutet, auf Basis des Gesetzes selbst und des Cookie-Merkblatts des Datenschutzbeauftragten des Bundes. Er zeigt, wie sich die Schweizer Regeln zu Cookies und Tracking von denen der EU unterscheiden, was das Lauterkeitsgesetz für Newsletter verlangt, was in eine Datenschutzerklärung gehört und welche Bussen es gibt und wen sie treffen. Dazu kommen die Übermittlung in die USA nach dem Swiss-US Data Privacy Framework vom September 2024 und eine Checkliste für die nächste Überprüfung. Er ist keine Rechtsberatung.
Weitere Artikel:
Markenstrategie entwickeln: Bausteine, Ablauf und typische Fehler
Publiziert
Von
Joël Wyss
ChatGPT Ads sind in der Schweiz live: Was sich am 24. August geändert hat
Publiziert
Von
Dino Reichmuth
Wie ChatGPT Ads funktionieren: Formate, Kosten und Märkte
Publiziert
Von
Dino Reichmuth
KI-Bilder in der Werbung: die Rechtslage in der Schweiz
Publiziert
Von
Lars Kienle