DSG, DSGVO, TKG: was eine Unternehmenswebsite in der Schweiz, Deutschland und Österreich erfüllen muss

• revDSG: Das revidierte Datenschutzgesetz gilt seit dem 1. September 2023. Dazu gehören eine Datenschutzerklärung, ein Verzeichnis der Bearbeitungen und Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen.
• FMG: Für Cookies genügt in der Regel die Information in der Datenschutzerklärung nach Art. 45c FMG. Eine Einwilligungspflicht wie in der EU gibt es nicht. Für Kundschaft in der EU gilt zusätzlich die DSGVO.
• UWG: Onlineshops und Angebote im elektronischen Geschäftsverkehr brauchen eine Anbieterkennzeichnung nach Art. 3 Abs. 1 lit. s UWG.

Der häufigste Irrtum in der Schweiz: Weil kein Einwilligungsbanner vorgeschrieben ist, wird gar nichts gemacht. Die Informationspflicht bleibt aber bestehen, und sobald Sie in der EU verkaufen oder dort ansässige Personen ansprechen, ist die Frage nicht mehr, ob die DSGVO gilt.

• DSGVO und BDSG: Die Datenschutz-Grundverordnung gilt unmittelbar, das Bundesdatenschutzgesetz ergänzt sie. Jede Website braucht eine vollständige Datenschutzerklärung, die beschreibt, was tatsächlich passiert.
• TDDDG: Cookies und Tracking, die nicht technisch notwendig sind, brauchen vor dem Setzen eine Einwilligung nach § 25 TDDDG. Das Gesetz hiess bis Mai 2024 TTDSG; viele Vorlagen im Netz nennen noch den alten Namen, was ein brauchbarer Hinweis auf ihr Alter ist.
• DDG: Die Impressumspflicht steht seit Mai 2024 in § 5 des Digitale-Dienste-Gesetzes, dem Nachfolger des Telemediengesetzes.
• BFSG: Seit dem 28. Juni 2025 verlangt das Barrierefreiheitsstärkungsgesetz barrierefreie Onlineshops und bestimmte Dienstleistungen für Verbraucher.

• DSGVO und DSG: Die Datenschutz-Grundverordnung gilt unmittelbar, das österreichische Datenschutzgesetz ergänzt sie.
• TKG 2021: Cookies, die nicht technisch notwendig sind, brauchen vor dem Setzen eine Einwilligung nach § 165 Abs. 3 TKG 2021.
• ECG und Mediengesetz: Impressum und Offenlegung richten sich nach § 5 ECG und § 25 Mediengesetz, die Unternehmensangaben nach § 14 UGB.
• BaFG: Seit dem 28. Juni 2025 verlangt das Barrierefreiheitsgesetz barrierefreie Onlineshops und bestimmte Dienstleistungen für Verbraucher.

Österreich verlangt mit der Offenlegung nach Mediengesetz etwas, das es in dieser Form in Deutschland nicht gibt. Wer eine deutsche Website eins zu eins für Österreich übernimmt, übersieht diesen Punkt fast immer.

Der Sitz Ihrer Firma entscheidet nicht allein darüber, welche Regeln gelten. Massgeblich ist auch, wen Sie ansprechen. Eine Schweizer Firma, die gezielt Kundschaft in Deutschland oder Österreich bewirbt, kommt an der DSGVO nicht vorbei. Umgekehrt gilt für eine deutsche Firma mit Schweizer Kundschaft das revDSG.

Praktisch heisst das für die meisten Unternehmen im deutschsprachigen Raum: Bauen Sie die Website so, dass sie den strengeren Anforderungen genügt. Ein Einwilligungsbanner, das erst nach der Zustimmung Skripte lädt, erfüllt gleichzeitig die schweizerische Informationspflicht. Der umgekehrte Weg funktioniert nicht.

Die juristischen Texte sind das eine, die Umsetzung das andere. Sechs Punkte entscheiden darüber, ob eine Website hält, was ihre Datenschutzerklärung verspricht:

• Skripte erst nach Zustimmung. Ein Banner, der informiert, während im Hintergrund bereits gemessen wird, erfüllt die Einwilligungspflicht nicht. Prüfbar ist das im Browser: Netzwerkanfragen vor dem Klick auf «Zustimmen» ansehen.
• Ablehnen muss gleich leicht sein. Wenn «Alle akzeptieren» ein Klick ist und «Ablehnen» drei, ist das Banner Dekoration.
• Schriften und eingebettete Inhalte vom eigenen Server. Sonst fliessen schon beim Aufruf Daten an Dritte, ohne dass jemand zugestimmt hat. Das betrifft Schriften, Karten, Videos und Bewertungs-Widgets.
• Formulare mit klarem Zweck. Wofür werden die Angaben verwendet, wie lange werden sie aufbewahrt, wer bekommt sie. Pflichtfelder nur, wo sie nötig sind.
• Auftragsverarbeitung dokumentieren. Hosting, Mailversand, Analyse, Chat: Für jeden Dienst braucht es eine Grundlage und einen Eintrag in der Datenschutzerklärung. Ein Dienst, der dort fehlt, ist der häufigste Befund bei einer Prüfung.
• Impressum vollständig und aktuell. Rechtsform, Vertretung, Register, Nummer, Kontaktmöglichkeit. Nach jeder Adressänderung prüfen.

Wenn wir eine bestehende Website übernehmen, wiederholen sich vier Punkte so regelmässig, dass man sie fast blind prüfen kann:

• Die Datenschutzerklärung passt nicht zur Website. Sie nennt Dienste, die längst abgeschaltet sind, und verschweigt zwei, die aktiv Daten senden. Der Text stammt aus einem Generator und wurde seit dem Livegang nicht angefasst.
• Das Banner ist Dekoration. Die Messung startet beim Seitenaufruf, die Zustimmung wird danach abgefragt. Technisch ist das eine Zeile Code, rechtlich ist es der ganze Unterschied.
• Schriften kommen von einem fremden Server. Ein Standard vieler Vorlagen, der sich in einer halben Stunde beheben lässt und die Seite gleichzeitig schneller macht.
• Das Impressum ist veraltet. Nach Umzug, Rechtsformwechsel oder Geschäftsführerwechsel wird die Website meist zuletzt angepasst, obwohl sie die öffentlich sichtbarste Quelle ist.

Alle vier Befunde haben gemeinsam, dass sie nichts mit Auslegung zu tun haben. Es sind handwerkliche Rückstände, und sie sind in wenigen Stunden abgearbeitet.

Eine Website hat drei Rollen, die selten alle besetzt sind: jemand, der inhaltlich verantwortet, was auf der Seite steht, jemand, der die Technik pflegt, und jemand, der die rechtlichen Texte freigibt. In kleinen Betrieben fallen die ersten beiden Rollen zusammen, die dritte gehört nach aussen.

Konkret: Halten Sie schriftlich fest, wer die Datenschutzerklärung jährlich prüft und wer informiert wird, wenn ein neuer Dienst eingebunden werden soll. Ein neues Buchungs-Widget oder ein Chat ist in zehn Minuten eingebaut, und genau so entstehen die Lücken, die später niemand erklären kann.

1. Datenschutzerklärung beschreibt jeden tatsächlich eingesetzten Dienst, nicht die Standardliste einer Vorlage.
2. Impressum vollständig, Angaben stimmen mit dem Handelsregister überein.
3. Vor der Zustimmung laden keine Analyse- oder Marketing-Skripte. Im Browser nachgeprüft, nicht angenommen.
4. Ablehnen ist mit einem Klick möglich.
5. Schriften, Karten und Videos laufen datensparsam oder erst nach Zustimmung.
6. Formulare nennen den Zweck und funktionieren mit einer echten Adresse getestet.
7. Bei Onlineshops und Dienstleistungen für Verbraucher: Barrierefreiheit geprüft, nicht behauptet.
8. Alle Texte von der Rechtsberatung freigegeben.

Die drei Länder unterscheiden sich weniger, als die Abkürzungen vermuten lassen. Wer die strengeren EU-Anforderungen technisch sauber umsetzt, ist in allen drei Märkten auf der sicheren Seite, und er hat nebenbei eine schnellere Website, weil weniger fremde Skripte mitlaufen. Der teure Fehler ist nicht die falsche Rechtsauffassung, sondern die Website, die etwas anderes tut als das, was in ihrer Datenschutzerklärung steht.

Wir setzen die technische Seite um und arbeiten dabei mit Ihrer Rechtsberatung zusammen, für Unternehmen jeder Grösse in der Schweiz, Deutschland und Österreich. Wenn Sie wissen möchten, wo Ihre Website heute steht, melden Sie sich für ein kostenloses Erstgespräch.