Die meisten Ratgeber zum Schweizer Datenschutz behandeln das nDSG so, als endete die Welt an der Landesgrenze. Für ein KMU in Basel stimmt das nicht. Wer eine Physiotherapiepraxis in Kleinbasel führt und Patientinnen aus Lörrach behandelt, wer als Zulieferer an ein Pharmaunternehmen mit Standort in Frankreich liefert oder wer schlicht ein Kontaktformular betreibt, das auch von Menschen aus dem Elsass ausgefüllt wird, bewegt sich in zwei Rechtsordnungen gleichzeitig.
Das ist kein akademisches Problem. Es entscheidet darüber, ob Ihr Cookie-Banner rechtmässig ist, ob Sie eine Vertretung in der EU benennen müssen und wer haftet, wenn etwas schiefgeht. Dieser Beitrag klärt, wann die Doppelgeltung eintritt, was sich dadurch an Ihrer Website konkret ändert und mit welchem Aufwand Sie rechnen müssen. Er ersetzt keine Rechtsberatung – er fasst zusammen, worauf wir in Projekten im Raum Basel regelmässig stossen.
Die kurze Antwort
Suchen Sie das BESTE Schweizer Hosting für Ihre Website?
Wir haben die Antwort (und die Preise werden Sie überraschen!)
- Infomaniak: Leistung, Sicherheit & Expertise für anspruchsvolle Projekte[Website besuchen].
- Cyon: Einfach, günstig & nachhaltig - ideal für kleine Websites und Blogs [Website besuchen].
Die DSGVO gilt für Ihr Basler Unternehmen, sobald Sie sich gezielt an Personen in der EU richten oder deren Verhalten beobachten – unabhängig davon, wo Ihre Firma sitzt. Massgeblich ist nicht Ihr Standort, sondern der Aufenthaltsort der betroffenen Person. Das nDSG gilt parallel weiter, weil Sie ein Schweizer Unternehmen sind. Beide Regelwerke gleichzeitig zu erfüllen ist im Dreiländereck der Normalfall, nicht die Ausnahme. Die sieben nDSG-Pflichten bilden dabei die Grundlage, auf der die DSGVO aufsetzt.
Wie oft das tatsächlich zutrifft
In unseren Projekten im Raum Basel prüfen wir zu Beginn immer dieselbe Frage: Gibt es Berührungspunkte über die Grenze? Die Verteilung ist erstaunlich stabil – und sie überrascht die meisten Inhaberinnen und Inhaber.
Eigene Einschätzung aus Beratungsgesprächen im Raum Basel. Bewegen Sie den Zeiger über einen Balken für Details.
Werte als Tabelle
| Merkmal | Einstufung |
|---|---|
| Kundschaft in DE oder FR | häufig |
| Tracking erfasst EU-Besucher | häufig |
| Grenzgänger im Personal | mittel |
| Versand in die EU | seltener |
| Kein EU-Bezug erkennbar | selten |
Der zweite Punkt ist der tückische. Kaum jemand richtet Analytics ein und denkt dabei an europäisches Datenschutzrecht. Trotzdem gilt Verhaltensbeobachtung ausdrücklich als Anknüpfungspunkt – und ein Remarketing-Pixel, das auch Besucher aus Weil am Rhein erfasst, ist genau das.
nDSG und DSGVO im direkten Vergleich
Die beiden Gesetze sind sich seit der Revision von 2023 deutlich ähnlicher geworden. Das war ausdrücklich Ziel des Gesetzgebers, damit die Schweiz ihren Angemessenheitsstatus gegenüber der EU behält. Identisch sind sie trotzdem nicht – und die Unterschiede liegen genau dort, wo es für eine Website praktisch wird.
| Punkt | nDSG (Schweiz) | DSGVO (EU) |
|---|---|---|
| In Kraft seit | 1. September 2023 | 25. Mai 2018 |
| Rechtsgrundlage nötig? | Bearbeitung grundsätzlich erlaubt, solange die Grundsätze eingehalten werden | Jede Bearbeitung braucht eine Rechtsgrundlage |
| Einwilligung | Nur bei besonders schützenswerten Daten und bei Profiling zwingend | Häufig erforderlich, muss aktiv und widerrufbar sein |
| Bearbeitungsverzeichnis | Pflicht, mit Ausnahme für Unternehmen unter 250 Mitarbeitenden bei geringem Risiko | Pflicht, mit engeren Ausnahmen |
| Datenpannen melden | An den EDÖB, sobald ein hohes Risiko besteht | An die Aufsichtsbehörde, in der Regel innert 72 Stunden |
| Sanktionen | Bis CHF 250’000 – gegen verantwortliche Privatpersonen | Bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes – gegen das Unternehmen |
| Vertretung im Ausland | Nicht vorgesehen | EU-Vertreter nach Art. 27 unter Umständen nötig |
Der vorletzte Punkt überrascht am meisten: Das nDSG richtet seine Bussen gegen natürliche Personen – also gegen Sie persönlich, nicht gegen die GmbH. Die DSGVO macht es umgekehrt und nimmt das Unternehmen ins Recht. Wer beide Regelwerke ignoriert, ist folglich zweifach exponiert, und zwar auf zwei völlig unterschiedliche Arten.
nDSG: bis CHF 250'000
DSGVO: bis 20 Mio. EUR
Die Balkenlänge zeigt die Grössenordnung, nicht die Eintrittswahrscheinlichkeit. Für ein KMU ist keiner der Höchstwerte realistisch.
Werte als Tabelle
| Wettbewerbsfeld | nDSG: bis CHF 250'000 | DSGVO: bis 20 Mio. EUR |
|---|---|---|
| Höchstbetrag | 250 T | 20 Mio. |
| Wer haftet | Person | Firma |
| Voraussetzung | Vorsatz | auch Fahrlässigkeit |
Vier Situationen, in denen Basler KMU unter die DSGVO fallen
In der Praxis begegnen uns immer wieder dieselben vier Konstellationen. Wenn eine davon auf Sie zutrifft, sollten Sie von einer Doppelgeltung ausgehen und entsprechend planen.
- Sie sprechen EU-Kundschaft gezielt an. Preise in Euro, eine deutsche oder französische Lieferadresse im Bestellformular, Google-Anzeigen mit Zielregion Südbaden – all das sind Indizien für ein gezieltes Ausrichten. Eine Website, die zufällig auch aus Deutschland abrufbar ist, genügt für sich allein noch nicht. Es braucht ein erkennbares Zugehen auf diesen Markt.
- Sie behandeln oder beraten Personen mit Wohnsitz in der EU. Besonders relevant für Praxen, Kanzleien und Treuhandbüros. Gesundheitsdaten sind in beiden Rechtsordnungen besonders geschützt – wie das für Praxen konkret aussieht, haben wir am Beispiel Website für Arztpraxen durchgespielt.
- Sie beschäftigen Grenzgängerinnen und Grenzgänger. Personaldaten von Mitarbeitenden mit Wohnsitz in Frankreich oder Deutschland können unter die DSGVO fallen. Das betrifft nicht die Website, aber dasselbe Datenschutzkonzept – und wird regelmässig übersehen.
- Sie tracken Nutzerverhalten. Analytics, Remarketing-Pixel oder Heatmaps, die auch Besucher aus der EU erfassen, gelten als Verhaltensbeobachtung. Das ist der Punkt, an dem die meisten Websites unbeabsichtigt in den Anwendungsbereich rutschen.
Was das für Ihre Website konkret bedeutet
Cookie-Banner: Opt-in oder Opt-out?
Hier liegt der praktisch wichtigste Unterschied. Das nDSG verlangt für Analyse-Cookies keine vorgängige Einwilligung, sondern Transparenz – ein Hinweis in der Datenschutzerklärung genügt in vielen Fällen. Die europäische Praxis verlangt für alles, was nicht technisch notwendig ist, eine aktive Einwilligung, bevor das Cookie gesetzt wird. Ein Banner, das lediglich informiert, reicht dort nicht.
Für ein Basler KMU mit EU-Bezug heisst das: Setzen Sie den strengeren Standard. Ein Consent-Banner mit echtem Opt-in, granularer Auswahl und einer gleichwertig gestalteten Ablehnen-Schaltfläche erfüllt beide Rechtsordnungen. Zwei unterschiedliche Banner nach Herkunftsland auszuspielen ist technisch möglich, in der Wartung aber teurer als die eine strengere Lösung – und jede Änderung muss doppelt getestet werden.
Datenschutzerklärung: eine oder zwei?
Eine reicht, wenn sie beide Regelwerke abdeckt. Sinnvoll ist ein gemeinsamer Text, der die Pflichtangaben beider Gesetze enthält und dort, wo sie auseinandergehen, die strengere Variante nennt. Zwei getrennte Erklärungen führen erfahrungsgemäss dazu, dass eine davon nach einem Jahr nicht mehr aktuell ist. Wenn Sie ohnehin zweisprachig arbeiten, gehört die Erklärung in beide Sprachen – eine deutsche Datenschutzerklärung auf einer französischen Seitenversion ist rechtlich angreifbar und wirkt nebenbei unsauber.
Hosting-Standort und Auftragsverarbeitung
Ein Hosting in der Schweiz ist datenschutzrechtlich unproblematisch, auch für EU-Daten: Die EU anerkennt die Schweiz als Land mit angemessenem Datenschutzniveau, ein Transfer aus der EU in die Schweiz braucht deshalb keine zusätzlichen Garantien. Umgekehrt gilt dasselbe. Kritisch wird es erst bei Diensten in der Kette, deren Server ausserhalb Europas stehen – Schriftarten, die von einem externen Server nachgeladen werden, eine Videoeinbettung ohne erweiterten Datenschutzmodus, ein Formulardienst mit Infrastruktur in den USA.
Für jeden Dienstleister, der in Ihrem Auftrag Personendaten bearbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag. Das gilt für die Hosting-Firma, den Newsletter-Anbieter und im Zweifel auch für die Agentur, die Ihre Website betreut.
Brauchen Sie einen EU-Vertreter?
Artikel 27 DSGVO verlangt von Unternehmen ausserhalb der EU grundsätzlich eine benannte Vertretung innerhalb der Union. Es gibt eine Ausnahme, und die greift für viele KMU: Wenn die Bearbeitung nur gelegentlich erfolgt, keine besonderen Datenkategorien in grossem Umfang umfasst und voraussichtlich kein Risiko für die betroffenen Personen mit sich bringt, entfällt die Pflicht.
Ein Handwerksbetrieb mit gelegentlichen Anfragen aus Weil am Rhein fällt in der Regel unter diese Ausnahme. Ein Onlineshop, der regelmässig nach Deutschland liefert, oder eine Praxis mit einem festen Stamm an Patientinnen aus dem Elsass eher nicht. Die Kosten für eine externe Vertretung bewegen sich im niedrigen dreistelligen Bereich pro Jahr – das ist selten der Punkt, an dem eine Entscheidung scheitert.
Was ein Verstoss kostet und wen er trifft
Die Höchstbeträge wirken abstrakt, und realistisch trifft ein KMU keiner davon. Das häufigere Szenario ist ein anderes und deutlich unspektakulärer: eine Auskunftsanfrage, die Sie nicht fristgerecht beantworten können, weil niemand weiss, wo die Daten überhaupt liegen. Oder eine Abmahnung wegen eines eingebundenen Dienstes, den die Agentur vor drei Jahren eingebaut hat und den seither niemand angeschaut hat.
- Eingebundene Dienste ohne Prüfung – Schriften, Videos, Formulare 72 %
- Übrige Ursachen – fehlende Prozesse, unklare Zuständigkeit 28 %
Verteilung der Mängel, die uns bei Website-Übernahmen im Raum Basel begegnen. Der Aufwand für die Aufarbeitung übersteigt die eigentliche Busse fast immer.
Werte als Tabelle
| Segment | Anteil |
|---|---|
| Eingebundene Dienste ohne Prüfung – Schriften, Videos, Formulare | 72 % |
| Übrige Ursachen – fehlende Prozesse, unklare Zuständigkeit | 28 % |
Mehr zum Schweizer Teil und zur Abgrenzung finden Sie unter DSGVO und Schweizer KMU.
Umsetzung: Aufwand und Kosten realistisch eingeschätzt
Wenn eine Website von Anfang an so gebaut wird, ist der Zusatzaufwand für die Doppel-Compliance gering. Nachträglich ist es teurer, weil Tracking, Formulare und eingebundene Dienste einzeln geprüft werden müssen – und weil man erst einmal herausfinden muss, was überhaupt eingebunden ist.
| Baustein | Bei Neubau | Nachträglich |
|---|---|---|
| Consent-Banner mit echtem Opt-in | Im Setup enthalten | Halber bis ganzer Tag |
| Datenschutzerklärung für beide Regelwerke | Im Setup enthalten | Textarbeit plus juristische Prüfung |
| Schriftarten und Medien lokal einbinden | Standard | Ein bis drei Stunden |
| Auftragsverarbeitungsverträge einholen | Einmalig, meist Formulare der Anbieter | Gleich |
| Zweite Sprachversion inklusive Rechtstexte | Ab CHF 50 Setup, CHF 100 je Seite | Gleich |
Unsere One-Pager-Pakete für Webdesign in Basel enthalten die nDSG-konforme Grundstruktur ab CHF 299 im Festpreis. Was darüber hinaus für den EU-Teil nötig ist, hängt davon ab, wie viele externe Dienste Sie einsetzen – das lässt sich vorab beziffern, nicht erst in der Schlussrechnung. Wie stark Offerten in der Schweiz sonst auseinandergehen, zeigt unsere Preisstudie mit 40 angefragten Agenturen.
Häufige Fragen
Gilt die DSGVO auch für Schweizer Firmen?
Ja, sobald Sie Waren oder Dienstleistungen gezielt Personen in der EU anbieten oder deren Verhalten beobachten. Der Sitz Ihres Unternehmens spielt keine Rolle – massgeblich ist, wo sich die betroffene Person aufhält. Für Basler KMU mit Kundschaft im Elsass oder in Südbaden ist das der Regelfall.
Reicht eine Datenschutzerklärung für beide Gesetze?
Ja, wenn sie die Pflichtangaben beider Regelwerke enthält und dort, wo sich die Anforderungen unterscheiden, die strengere Variante nennt. Zwei getrennte Dokumente zu pflegen führt in der Praxis dazu, dass eines davon veraltet.
Muss der Cookie-Banner in der Schweiz Opt-in sein?
Nach nDSG allein nicht zwingend – dort steht Transparenz im Vordergrund. Sobald aber EU-Besucher erfasst werden, gilt die strengere europäische Praxis mit aktiver Einwilligung vor dem Setzen nicht notwendiger Cookies. Ein einziges Banner nach dem strengeren Standard ist die einfachere Lösung.
Ist Hosting in der Schweiz für EU-Daten erlaubt?
Ja. Die EU anerkennt die Schweiz als Land mit angemessenem Datenschutzniveau, ein Datentransfer braucht deshalb keine zusätzlichen Garantien. Problematisch sind eher eingebundene Dienste mit Servern ausserhalb Europas.
Brauche ich als kleines Basler Unternehmen einen EU-Vertreter?
Nicht zwingend. Erfolgt die Bearbeitung nur gelegentlich, ohne besondere Datenkategorien in grossem Umfang und ohne nennenswertes Risiko, greift die Ausnahme von Artikel 27 DSGVO. Bei regelmässigen Lieferungen oder einem festen Kundenstamm in der EU sieht das anders aus.
Wer haftet, wenn die Agentur einen Fehler gemacht hat?
Verantwortlich gegenüber den Behörden bleiben Sie als Betreiber. Im Innenverhältnis kann die Agentur haften, wenn das vertraglich geregelt ist – weshalb der Auftragsverarbeitungsvertrag kein Papierkram ist, sondern Ihre Absicherung.
Wie erkenne ich, ob meine bestehende Website betroffen ist?
Prüfen Sie drei Dinge: Werden Schriftarten oder Videos von externen Servern geladen? Setzt die Seite Cookies, bevor jemand zugestimmt hat? Erfassen Analytics-Werkzeuge Besucher aus der EU? Wenn eine dieser Fragen mit Ja beantwortet wird, besteht Handlungsbedarf.
Fazit
Im Dreiländereck ist die doppelte Rechtslage kein Sonderfall, sondern der Normalzustand. Die gute Nachricht: Wer von Anfang an den jeweils strengeren Standard umsetzt, hat den Aufwand einmal und nicht zweimal. Die schlechte: Nachträglich ist es deutlich teurer, weil jeder eingebundene Dienst einzeln geprüft werden muss – und weil sich in gewachsenen Websites erfahrungsgemäss mehr findet, als jemand erwartet hätte.
Wenn Sie wissen möchten, wo Ihre bestehende Website steht, schauen wir sie uns in einem kostenlosen Erstgespräch an. Kein Verkaufsgespräch – wenn nichts zu tun ist, sagen wir das auch.
Hinweis: Dieser Beitrag gibt unsere Praxiserfahrung aus Webprojekten wieder und stellt keine Rechtsberatung dar. Bei komplexen Konstellationen ziehen Sie bitte eine auf Datenschutzrecht spezialisierte Kanzlei bei.
