DSGVO in der Schweiz: Wann gilt sie für Websites?

Redaktion: Datenschutz Generator Schweiz · Zuletzt fachlich geprüft am 2. September 2026.

Dieser Ratgeber bietet allgemeine Informationen und ersetzt keine rechtliche Beratung im Einzelfall.

Die Datenschutz-Grundverordnung der EU (DSGVO) kann auch für Unternehmen mit Sitz in der Schweiz gelten. Massgebend ist nicht die Endung der Website, der Standort des Servers oder die Staatsangehörigkeit einer Person, sondern der räumliche Anwendungsbereich nach Art. 3 DSGVO.

DSG und DSGVO sind getrennt zu prüfen

Für Schweizer Unternehmen bildet das schweizerische Datenschutzgesetz (DSG) regelmässig die Grundlage. Die DSGVO kann zusätzlich gelten. Die Prüfung erfolgt für die jeweilige Datenbearbeitung: Sie kann etwa Bestellungen und Marketing gegenüber Personen in der EU erfassen, ohne dass dadurch automatisch sämtliche internen Daten des Unternehmens darunterfallen. Einen Überblick zum Schweizer Recht finden Sie im Beitrag Neues Datenschutzgesetz der Schweiz einfach erklärt.

In welchen Fällen gilt die DSGVO?

1. Sie haben eine Niederlassung in der EU

Unterhält ein Schweizer Unternehmen eine Zweigniederlassung oder eine andere stabile geschäftliche Einrichtung in der EU, gilt die DSGVO für Datenbearbeitungen im Rahmen ihrer Tätigkeiten. Wo die Daten technisch bearbeitet werden, ist nicht entscheidend. Eine Beziehung mit einem unabhängigen Kunden oder Lieferanten in der EU begründet dagegen nicht ohne Weiteres eine eigene Niederlassung.

2. Sie richten Waren oder Dienstleistungen an Personen in der EU

Die DSGVO greift auch ohne Niederlassung, wenn Ihr Angebot erkennbar an Personen gerichtet ist, die sich in der EU befinden. Eine Zahlung ist nicht erforderlich. Hinweise sind Lieferungen nach Deutschland oder Österreich, gezielte Werbung in EU-Staaten, länderspezifische Domains, Preise in Euro oder Referenzen von EU-Kundinnen und -Kunden. Mehrere Merkmale sind zusammen zu beurteilen.

Die blosse Abrufbarkeit einer Schweizer Website in der EU genügt nicht. Auch eine deutschsprachige Seite, eine internationale Telefonnummer oder eine einzelne Anfrage aus Frankreich lösen die DSGVO nicht automatisch aus. Entscheidend ist die erkennbare Absicht, Personen in einem oder mehreren EU-Staaten anzusprechen.

3. Sie beobachten das Verhalten von Personen in der EU

Erfasst werden kann ferner die gezielte Beobachtung eines Verhaltens, das in der EU stattfindet. Dazu gehören verhaltensbasierte Werbung, standortbezogenes Marketing, Wiedererkennung über mehrere Websites und Tracking mit Cookies oder Fingerprinting. Nicht jede technische Reichweitenmessung ist automatisch eine solche Beobachtung. Zweck, Konfiguration und spätere Auswertung sind im Einzelfall zu prüfen.

Drei typische Beispiele

Lokaler Schweizer Betrieb: Eine Basler Handwerksfirma bietet ihre Leistungen nur in der Schweiz an. Zugriffe aus Deutschland genügen für sich allein grundsätzlich nicht.
Online-Shop mit EU-Versand: Ein Schweizer Shop liefert gezielt nach Deutschland und Österreich und wirbt dort. Die damit verbundenen Datenbearbeitungen fallen regelmässig unter die DSGVO.
Tracking von EU-Besuchenden: Eine Website erstellt über Cookies und Werbenetzwerke Nutzungsprofile von Personen in der EU. Je nach Zweck und Ausgestaltung kann dies eine Verhaltensbeobachtung sein.

Was ist zu tun, wenn die DSGVO gilt?

EU-Bezug dokumentieren: Halten Sie Zielmärkte, Lieferländer, Kampagnen und Tracking-Funktionen fest.
Datenbearbeitungen erfassen: Bestimmen Sie Datenkategorien, Zwecke, betroffene Personen, Empfänger und Fristen.
Rechtsgrundlagen zuordnen: Prüfen Sie je Zweck Vertrag, gesetzliche Pflicht, berechtigtes Interesse oder Einwilligung.
Informationen anpassen: Die Datenschutzerklärung muss unter anderem Rechtsgrundlagen, Rechte und gegebenenfalls die EU-Vertretung nennen. Hinweise bietet der Beitrag zum Datenschutzerklärungs-Generator.
Tracking korrekt steuern: Für nicht notwendige Analyse- und Marketing-Technologien ist nach den anwendbaren EU-Vorschriften regelmässig eine vorgängige Einwilligung erforderlich. Mehr dazu lesen Sie unter Brauche ich ein Cookie-Banner in der Schweiz?.
Dienstleister prüfen: Regeln Sie Auftragsverarbeitung, Unterauftragnehmer, Sicherheit und Transfers in Drittländer.
Rechte und Vorfälle organisieren: Definieren Sie Abläufe für Auskunft, Löschung, Widerspruch und Datenschutzverletzungen. Meldepflichtige Verletzungen sind nach der DSGVO möglichst innerhalb von 72 Stunden zu melden.

Wann braucht es eine EU-Vertretung?

Unternehmen ohne EU-Niederlassung müssen bei einer Anwendung von Art. 3 Abs. 2 DSGVO grundsätzlich eine schriftlich beauftragte Vertretung in der EU bezeichnen. Es besteht eine enge Ausnahme für gelegentliche, risikoarme Bearbeitungen. Ein wiederkehrendes Online-Angebot sollte nicht ungeprüft als gelegentlich eingestuft werden. Die EU-Vertretung ist zudem nicht dasselbe wie eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter.

Die Beurteilung regelmässig aktualisieren

Ein zunächst rein schweizerisches Angebot kann durch neue Lieferländer, EU-Werbekampagnen oder zusätzliche Tracking-Funktionen in den Anwendungsbereich der DSGVO gelangen. Dokumentieren Sie das Ergebnis und seine Gründe und prüfen Sie es bei wesentlichen Änderungen erneut. Dieser Beitrag bietet eine Orientierung und ersetzt keine rechtliche Einzelfallprüfung.

Häufige Fragen

Gilt die DSGVO bei jedem Besuch aus der EU?

Nein. Ein zufälliger Seitenaufruf genügt nicht. Relevant werden eine EU-Niederlassung, ein gezielt an Personen in der EU gerichtetes Angebot oder eine qualifizierte Beobachtung ihres Verhaltens.

Schützt eine .ch-Domain vor der DSGVO?

Nein. Domain, Hosting und Unternehmenssitz sind nur einzelne Umstände. Entscheidend sind die tatsächliche Geschäftsausrichtung und die konkrete Datenbearbeitung.

Braucht jedes betroffene Schweizer Unternehmen eine EU-Vertretung?

Bei einer Anwendung aufgrund von Art. 3 Abs. 2 grundsätzlich ja. Ob die enge Ausnahme von Art. 27 Abs. 2 greift, ist anhand von Häufigkeit, Datenarten und Risiken zu beurteilen.

DSGVO in der Schweiz: Wann gilt sie für Schweizer Websites?