Impressum und Datenschutz: Was muss auf eine Schweizer Website?

Was muss auf eine Schweizer Firmen-Website?

Auf eine typische Firmen-Website gehören zwei Pflichtteile: Angaben, wer hinter der Website steht, und eine Datenschutzerklärung. Die Anbieterangaben verlangt das Gesetz gegen den unlauteren Wettbewerb (UWG),¹ die Datenschutzerklärung folgt aus dem revidierten Datenschutzgesetz (DSG), das seit 1. September 2023 gilt.² Je nach Website kommen ein Hinweis zu Cookies und die Datenschutz-Grundverordnung der EU (DSGVO) dazu.

Gibt es in der Schweiz eine Impressumspflicht?

Ja, auch wenn das Wort «Impressum» im Gesetz nicht vorkommt: Nach Art. 3 Abs. 1 lit. s UWG handelt unlauter, wer Waren, Werke oder Leistungen im elektronischen Geschäftsverkehr anbietet und dabei keine klaren und vollständigen Angaben über seine Identität und seine Kontaktadresse einschliesslich der E-Mail-Adresse macht.¹

Wer online Verträge abschliesst, etwa in einem Shop oder mit einer verbindlichen Online-Buchung, muss nach derselben Bestimmung zusätzlich die Bestellschritte erklären, Eingabefehler korrigierbar machen und Bestellungen sofort bestätigen.¹

Ob auch eine reine Informationswebsite ohne Bestellmöglichkeit darunterfällt, sagt der Gesetzestext nicht ausdrücklich. Der sichere Weg: Machen Sie die Angaben auf jeder geschäftlichen Website.

Was gehört ins Impressum?

Ins Impressum gehören der genaue Name der Firma oder der Inhaberin, eine Postadresse und eine E-Mail-Adresse.¹

• Name: Bei einer eingetragenen Firma genau so wie im Handelsregister, mit Rechtsform; der Name ist in Zefix, dem Firmenindex des Bundes, öffentlich.³ Ein Einzelunternehmen mit weniger als 100’000 Franken Umsatz im Jahr muss nicht eingetragen sein.⁴ Dann steht Ihr Vor- und Nachname da, gern mit dem Namen Ihres Geschäfts.
• Postadresse: Strasse, Hausnummer, PLZ und Ort. Das Gesetz verlangt die Kontaktadresse «einschliesslich» der E-Mail-Adresse. Die E-Mail kommt also dazu und ersetzt die Adresse nicht.
• E-Mail-Adresse: eine, die regelmässig gelesen wird. Ein Kontaktformular ersetzt sie nicht.
• Üblich, aber im UWG nicht genannt: Telefonnummer, Unternehmens-Identifikationsnummer (UID, im öffentlichen UID-Register abfragbar),⁵ MWST-Nummer, Handelsregisteramt.
• Leicht zu finden: ein Link «Impressum» im Fussbereich jeder Seite.
• Überall gleich: Name und Adresse wie im Google-Unternehmensprofil und in den Verzeichnissen wie local.ch und search.ch.

Muster-Impressum zum Anpassen

Impressum

Muster Treuhand GmbH
Musterstrasse 1
1234 Musterhausen
Schweiz

E-Mail: kontakt@muster-treuhand.ch
Telefon: 044 000 00 00

UID: CHE-000.000.000
Eingetragen im Handelsregister des Kantons Zürich

(Muster Treuhand ist ein erfundenes Beispiel.) Einen Haftungsausschluss verlangt das UWG nicht.

Muss meine Privatadresse ins Impressum?

Ja, wenn Sie von zu Hause aus arbeiten und keine andere Geschäftsadresse haben: Dann ist Ihre Wohnadresse Ihre Kontaktadresse. Ob ein Postfach genügt, sagt das Gesetz nicht ausdrücklich. Wer seine Wohnadresse nicht zeigen will, kann eine Geschäftsadresse nutzen, an der er Post entgegennimmt, etwa in einem Coworking-Space. Bei einer eingetragenen Firma ist die Adresse ohnehin in Zefix öffentlich.

Was muss in die Datenschutzerklärung?

Die Datenschutzerklärung sagt, wer verantwortlich ist, welche Personendaten Ihre Website bearbeitet, wozu und an wen sie gehen. Das folgt aus Art. 19 DSG: Wer Personendaten beschafft, informiert die betroffenen Personen. Gehen Daten ins Ausland, gehören der Staat und gegebenenfalls die Garantien dazu.²

Auch eine Website ohne Kontaktformular bearbeitet Personendaten: Der Server protokolliert bei jedem Aufruf in der Regel die IP-Adresse, und wer Ihnen eine E-Mail schreibt, schickt Ihnen Name und E-Mail-Adresse. Hinein gehört:

• Verantwortlich: Name, Postadresse und E-Mail, wie im Impressum.
• Besuch der Website: welche Daten der Server speichert (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser), wozu und wie lange.
• Hosting: der Anbieter und das Land, in dem die Server stehen.
• Kontakt: was mit Angaben aus E-Mails und Formularen geschieht und welcher Dienst die Nachrichten übermittelt, etwa ein Formulardienst.
• Eingebettete Dienste: Karten, Videos, Schriften oder Buchungswerkzeuge, die von fremden Servern laden.
• Cookies und Analyse: welche, wozu und wie man sie ablehnt.
• Newsletter: falls vorhanden, welcher Dienst ihn verschickt und wie man sich abmeldet.
• Rechte: wie man Auskunft über die eigenen Daten verlangt (Art. 25 DSG)² und an wen man sich wendet.
• Stand: das Datum der letzten Änderung.
• Leicht zu finden: ein Link «Datenschutz» im Fussbereich jeder Seite und beim Kontaktformular.

Muster-Datenschutzerklärung für eine einfache Website

Datenschutzerklärung

Verantwortlich
Muster Treuhand GmbH, Musterstrasse 1, 1234 Musterhausen, Schweiz
E-Mail: kontakt@muster-treuhand.ch

Besuch der Website und Hosting
Diese Website wird bei [Anbieter], [Land], gehostet. Beim Aufruf
speichert der Server IP-Adresse, Datum und Uhrzeit, aufgerufene
Seite und Browser, um die Website auszuliefern und vor Missbrauch
zu schützen. Diese Daten werden nach [Dauer] gelöscht.

Kontakt
Wenn Sie uns per E-Mail schreiben, bearbeiten wir Ihren Namen,
Ihre E-Mail-Adresse und Ihre Nachricht, um Ihre Anfrage zu
beantworten.

Cookies
Diese Website setzt keine Cookies.

Ihre Rechte
Sie können per E-Mail Auskunft über Ihre Personendaten verlangen
(Art. 25 DSG): kontakt@muster-treuhand.ch

Stand: [Datum]

(Muster Treuhand ist ein erfundenes Beispiel.) Streichen Sie, was nicht zutrifft, und ergänzen Sie jeden weiteren Dienst, etwa Formular, Karte, Video oder Analyse.

Muss der Hosting-Anbieter mit Namen genannt werden?

Nein, nicht zwingend: Nach dem Wortlaut von Art. 19 Abs. 2 DSG genügt die Kategorie, also «Hosting-Anbieter».² Der Name kostet aber nichts und ist für Besucher verständlicher. Steht der Server im Ausland, gehört das Land dazu.

Meine Website liegt auf Servern im Ausland. Ist das erlaubt?

Ja, wenn der Datenschutz dort angemessen gesichert ist. Die Staaten der EU, etwa Deutschland, stehen im Anhang 1 der Datenschutzverordnung.⁶ Das Land gehört trotzdem in die Datenschutzerklärung (Art. 19 Abs. 4 DSG).² Bei anderen Staaten braucht es andere Garantien, etwa Standarddatenschutzklauseln (Art. 16 DSG).² Die USA stehen im Anhang 1 nur für Firmen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Ob Ihr Anbieter dazugehört, zeigt die öffentliche Teilnehmerliste.⁷ Wenn nicht, fragen Sie ihn nach seinen Garantien.

Braucht meine Website ein Cookie-Banner?

Nach Schweizer Recht ist ein Cookie-Banner nicht ausdrücklich vorgeschrieben, verlangt sind Information und eine Möglichkeit, abzulehnen. Art. 45c des Fernmeldegesetzes (FMG) erlaubt das Bearbeiten von Daten auf fremden Geräten, etwa das Setzen und Auslesen von Cookies, wenn die Benutzer über die Bearbeitung und ihren Zweck informiert und darauf hingewiesen werden, dass sie ablehnen können.⁸ Eine vorgängige Einwilligung wie in der EU verlangt dieser Artikel nicht.

Strenger wird es bei heiklen Daten und bei Profilen über Besucher: Ist eine Einwilligung nötig, muss sie für besonders schützenswerte Personendaten und für Profiling mit hohem Risiko ausdrücklich sein (Art. 6 Abs. 7 DSG).²

Am wenigsten zu erklären hat eine Website ohne Analyse-Werkzeug, ohne Werbe-Pixel und mit Schriften auf dem eigenen Server. Ob Ihre Website Cookies setzt, prüfen Sie so: Website in einem privaten Fenster öffnen, mit F12 (Mac: Cmd + Option + I) die Entwicklertools aufrufen und unter «Anwendung» (Chrome) oder «Web-Speicher» (Firefox) die Cookies ansehen. Ein Cookie-Banner kann zudem die Messwerte für Ladezeit und Layout-Stabilität verschlechtern, etwa wenn er spät nachlädt und den Inhalt verschiebt.⁹ Meine Website setzt keine Cookies und kein Tracking.

Wann gilt die DSGVO für eine Schweizer Firma?

Für eine Schweizer Firma ohne Niederlassung in der EU gilt die DSGVO in zwei Fällen: wenn sie Personen in der EU gezielt Waren oder Dienstleistungen anbietet, oder wenn sie das Verhalten von Personen in der EU beobachtet, etwa mit Tracking (Art. 3 Abs. 2 DSGVO).¹⁰ Dass eine Website in der EU aufrufbar ist, reicht allein nicht, und Deutsch genügt nicht, denn es ist auch in der Schweiz gebräuchlich. Hinweise auf ein gezieltes Angebot sind laut Erwägungsgrund 23 etwa eine in EU-Staaten gebräuchliche Sprache oder Währung zusammen mit der Möglichkeit, in dieser Sprache zu bestellen, oder die Erwähnung von Kundschaft in der EU.¹⁰

Ein Beispiel: Die Praxis Muster in Kreuzlingen schreibt auf ihrer Website, dass sie auch Patientinnen aus Konstanz behandelt, und nennt die Kosten in Euro. Das kann ein gezieltes Angebot an Personen in der EU sein. (Praxis Muster ist ein erfundenes Beispiel.)

Gilt die DSGVO, sind die Pflichten umfangreicher: Die Datenschutzerklärung nennt dann unter anderem die Rechtsgrundlage und die Speicherdauer (Art. 13 DSGVO),¹⁰ und je nach Fall braucht es einen Vertreter in der EU (Art. 27 DSGVO).¹⁰ Für Cookies, die nicht unbedingt nötig sind, verlangen die Gesetze der EU-Staaten zur ePrivacy-Richtlinie in der Regel eine Einwilligung (Art. 5 Abs. 3).¹¹ Ob sie für Ihre Website gelten, ist eine eigene Frage.

Was gilt für Praxen und Gesundheitsdaten?

Für Praxen gelten dieselben Regeln, mit mehr Vorsicht beim Formular: Daten über die Gesundheit sind besonders schützenswerte Personendaten (Art. 5 lit. c Ziff. 2 DSG).² Fragen Sie im Kontaktformular nur ab, was für den ersten Kontakt nötig ist, und schreiben Sie in die Datenschutzerklärung, wohin die Anfragen gehen. Für Berufe mit Berufsgeheimnis, etwa Ärztinnen, Psychotherapeuten sowie Anwältinnen und Anwälte (Art. 13 BGFA),¹³ gelten weitere Regeln, die dieser Ratgeber nicht abdeckt; das ist keine Rechtsberatung. Mehr dazu: Websites für Praxen, Websites für Arztpraxen (Formular und Gesundheitsdaten), Websites für Psychotherapie-Praxen und Websites für Anwaltskanzleien.

Wann reicht eine Vorlage, wann braucht es eine Fachperson?

Für eine einfache Website mit Leistungen, Kontakt und ohne Tracking reicht oft eine sorgfältig angepasste Vorlage. Jeder Abschnitt muss einen Dienst beschreiben, den Ihre Website wirklich nutzt, und keiner darf fehlen. Eine Fachperson lohnt sich in diesen Fällen:

• Online-Shop oder verbindliche Online-Buchung,
• Gesundheitsdaten oder andere heikle Daten im Formular,
• Newsletter oder Werbe-Tracking,
• gezieltes Angebot an Kundschaft in der EU,
• Firmensitz oder Niederlassung in Deutschland oder einem anderen EU-Staat, denn dort können zusätzliche Pflichtangaben gelten.¹²

Prüfen Sie Impressum und Datenschutzerklärung nach jeder grösseren Änderung: neues Hosting, neues Formular, neuer Dienst. Bei einem Neustart gehört das auf die Relaunch-Checkliste.

Wenn Sie eine neue Website brauchen: Ich baue sie zum Festpreis von CHF 1’800, online in 14 Tagen, vorher bekommen Sie einen kostenlosen Entwurf in drei Tagen. Im Wartungsabo für CHF 60 pro Monat sind Textänderungen inbegriffen, etwa eine neue Adresse im Impressum. Eine Rechtsberatung ist das nicht: Für Impressum und Datenschutzerklärung bleiben Sie selbst verantwortlich.