Website im Dreiländereck: Wann Basler KMU nDSG und DSGVO gleichzeitig erfüllen müssen

Die meisten Ratgeber zum Schweizer Datenschutz behandeln das nDSG so, als endete die Welt an der Landesgrenze. Für ein KMU in Basel stimmt das nicht. Wer eine Physiotherapiepraxis in Kleinbasel führt und Patientinnen aus Lörrach behandelt, wer als Zulieferer an ein Pharmaunternehmen mit Standort in Frankreich liefert oder wer schlicht ein Kontaktformular betreibt, das auch von Menschen aus dem Elsass ausgefüllt wird, bewegt sich in zwei Rechtsordnungen gleichzeitig.

Das ist kein akademisches Problem. Es entscheidet darüber, ob Ihr Cookie-Banner rechtmässig ist, ob Sie eine Vertretung in der EU benennen müssen und wer haftet, wenn etwas schiefgeht. Dieser Beitrag klärt, wann die Doppelgeltung eintritt, was sich dadurch an Ihrer Website konkret ändert und mit welchem Aufwand Sie rechnen müssen. Er ersetzt keine Rechtsberatung – er fasst zusammen, worauf wir in Projekten im Raum Basel regelmässig stossen.

Die kurze Antwort

Die DSGVO gilt für Ihr Basler Unternehmen, sobald Sie sich gezielt an Personen in der EU richten oder deren Verhalten beobachten – unabhängig davon, wo Ihre Firma sitzt. Massgeblich ist nicht Ihr Standort, sondern der Aufenthaltsort der betroffenen Person. Das nDSG gilt parallel weiter, weil Sie ein Schweizer Unternehmen sind. Beide Regelwerke gleichzeitig zu erfüllen ist im Dreiländereck der Normalfall, nicht die Ausnahme. Die sieben nDSG-Pflichten bilden dabei die Grundlage, auf der die DSGVO aufsetzt.

Wie oft das tatsächlich zutrifft

In unseren Projekten im Raum Basel prüfen wir zu Beginn immer dieselbe Frage: Gibt es Berührungspunkte über die Grenze? Die Verteilung ist erstaunlich stabil – und sie überrascht die meisten Inhaberinnen und Inhaber.

Der zweite Punkt ist der tückische. Kaum jemand richtet Analytics ein und denkt dabei an europäisches Datenschutzrecht. Trotzdem gilt Verhaltensbeobachtung ausdrücklich als Anknüpfungspunkt – und ein Remarketing-Pixel, das auch Besucher aus Weil am Rhein erfasst, ist genau das.

nDSG und DSGVO im direkten Vergleich

Die beiden Gesetze sind sich seit der Revision von 2023 deutlich ähnlicher geworden. Das war ausdrücklich Ziel des Gesetzgebers, damit die Schweiz ihren Angemessenheitsstatus gegenüber der EU behält. Identisch sind sie trotzdem nicht – und die Unterschiede liegen genau dort, wo es für eine Website praktisch wird.

Der vorletzte Punkt überrascht am meisten: Das nDSG richtet seine Bussen gegen natürliche Personen – also gegen Sie persönlich, nicht gegen die GmbH. Die DSGVO macht es umgekehrt und nimmt das Unternehmen ins Recht. Wer beide Regelwerke ignoriert, ist folglich zweifach exponiert, und zwar auf zwei völlig unterschiedliche Arten.

Vier Situationen, in denen Basler KMU unter die DSGVO fallen

In der Praxis begegnen uns immer wieder dieselben vier Konstellationen. Wenn eine davon auf Sie zutrifft, sollten Sie von einer Doppelgeltung ausgehen und entsprechend planen.

1. Sie sprechen EU-Kundschaft gezielt an. Preise in Euro, eine deutsche oder französische Lieferadresse im Bestellformular, Google-Anzeigen mit Zielregion Südbaden – all das sind Indizien für ein gezieltes Ausrichten. Eine Website, die zufällig auch aus Deutschland abrufbar ist, genügt für sich allein noch nicht. Es braucht ein erkennbares Zugehen auf diesen Markt.
2. Sie behandeln oder beraten Personen mit Wohnsitz in der EU. Besonders relevant für Praxen, Kanzleien und Treuhandbüros. Gesundheitsdaten sind in beiden Rechtsordnungen besonders geschützt – wie das für Praxen konkret aussieht, haben wir am Beispiel Website für Arztpraxen durchgespielt.
3. Sie beschäftigen Grenzgängerinnen und Grenzgänger. Personaldaten von Mitarbeitenden mit Wohnsitz in Frankreich oder Deutschland können unter die DSGVO fallen. Das betrifft nicht die Website, aber dasselbe Datenschutzkonzept – und wird regelmässig übersehen.
4. Sie tracken Nutzerverhalten. Analytics, Remarketing-Pixel oder Heatmaps, die auch Besucher aus der EU erfassen, gelten als Verhaltensbeobachtung. Das ist der Punkt, an dem die meisten Websites unbeabsichtigt in den Anwendungsbereich rutschen.

Was das für Ihre Website konkret bedeutet

Cookie-Banner: Opt-in oder Opt-out?

Hier liegt der praktisch wichtigste Unterschied. Das nDSG verlangt für Analyse-Cookies keine vorgängige Einwilligung, sondern Transparenz – ein Hinweis in der Datenschutzerklärung genügt in vielen Fällen. Die europäische Praxis verlangt für alles, was nicht technisch notwendig ist, eine aktive Einwilligung, bevor das Cookie gesetzt wird. Ein Banner, das lediglich informiert, reicht dort nicht.

Für ein Basler KMU mit EU-Bezug heisst das: Setzen Sie den strengeren Standard. Ein Consent-Banner mit echtem Opt-in, granularer Auswahl und einer gleichwertig gestalteten Ablehnen-Schaltfläche erfüllt beide Rechtsordnungen. Zwei unterschiedliche Banner nach Herkunftsland auszuspielen ist technisch möglich, in der Wartung aber teurer als die eine strengere Lösung – und jede Änderung muss doppelt getestet werden.

Datenschutzerklärung: eine oder zwei?

Eine reicht, wenn sie beide Regelwerke abdeckt. Sinnvoll ist ein gemeinsamer Text, der die Pflichtangaben beider Gesetze enthält und dort, wo sie auseinandergehen, die strengere Variante nennt. Zwei getrennte Erklärungen führen erfahrungsgemäss dazu, dass eine davon nach einem Jahr nicht mehr aktuell ist. Wenn Sie ohnehin zweisprachig arbeiten, gehört die Erklärung in beide Sprachen – eine deutsche Datenschutzerklärung auf einer französischen Seitenversion ist rechtlich angreifbar und wirkt nebenbei unsauber.

Hosting-Standort und Auftragsverarbeitung

Ein Hosting in der Schweiz ist datenschutzrechtlich unproblematisch, auch für EU-Daten: Die EU anerkennt die Schweiz als Land mit angemessenem Datenschutzniveau, ein Transfer aus der EU in die Schweiz braucht deshalb keine zusätzlichen Garantien. Umgekehrt gilt dasselbe. Kritisch wird es erst bei Diensten in der Kette, deren Server ausserhalb Europas stehen – Schriftarten, die von einem externen Server nachgeladen werden, eine Videoeinbettung ohne erweiterten Datenschutzmodus, ein Formulardienst mit Infrastruktur in den USA.

Für jeden Dienstleister, der in Ihrem Auftrag Personendaten bearbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag. Das gilt für die Hosting-Firma, den Newsletter-Anbieter und im Zweifel auch für die Agentur, die Ihre Website betreut.

Brauchen Sie einen EU-Vertreter?

Artikel 27 DSGVO verlangt von Unternehmen ausserhalb der EU grundsätzlich eine benannte Vertretung innerhalb der Union. Es gibt eine Ausnahme, und die greift für viele KMU: Wenn die Bearbeitung nur gelegentlich erfolgt, keine besonderen Datenkategorien in grossem Umfang umfasst und voraussichtlich kein Risiko für die betroffenen Personen mit sich bringt, entfällt die Pflicht.

Ein Handwerksbetrieb mit gelegentlichen Anfragen aus Weil am Rhein fällt in der Regel unter diese Ausnahme. Ein Onlineshop, der regelmässig nach Deutschland liefert, oder eine Praxis mit einem festen Stamm an Patientinnen aus dem Elsass eher nicht. Die Kosten für eine externe Vertretung bewegen sich im niedrigen dreistelligen Bereich pro Jahr – das ist selten der Punkt, an dem eine Entscheidung scheitert.

Was ein Verstoss kostet und wen er trifft

Die Höchstbeträge wirken abstrakt, und realistisch trifft ein KMU keiner davon. Das häufigere Szenario ist ein anderes und deutlich unspektakulärer: eine Auskunftsanfrage, die Sie nicht fristgerecht beantworten können, weil niemand weiss, wo die Daten überhaupt liegen. Oder eine Abmahnung wegen eines eingebundenen Dienstes, den die Agentur vor drei Jahren eingebaut hat und den seither niemand angeschaut hat.

Mehr zum Schweizer Teil und zur Abgrenzung finden Sie unter DSGVO und Schweizer KMU.

Umsetzung: Aufwand und Kosten realistisch eingeschätzt

Wenn eine Website von Anfang an so gebaut wird, ist der Zusatzaufwand für die Doppel-Compliance gering. Nachträglich ist es teurer, weil Tracking, Formulare und eingebundene Dienste einzeln geprüft werden müssen – und weil man erst einmal herausfinden muss, was überhaupt eingebunden ist.

Unsere Basispakete für Webdesign in Basel enthalten die nDSG-konforme Grundstruktur ab CHF 599 im Festpreis. Was darüber hinaus für den EU-Teil nötig ist, hängt davon ab, wie viele externe Dienste Sie einsetzen – das lässt sich vorab beziffern, nicht erst in der Schlussrechnung. Wie stark Offerten in der Schweiz sonst auseinandergehen, zeigt unsere Preisstudie mit 40 angefragten Agenturen.

Häufige Fragen

Gilt die DSGVO auch für Schweizer Firmen?

Ja, sobald Sie Waren oder Dienstleistungen gezielt Personen in der EU anbieten oder deren Verhalten beobachten. Der Sitz Ihres Unternehmens spielt keine Rolle – massgeblich ist, wo sich die betroffene Person aufhält. Für Basler KMU mit Kundschaft im Elsass oder in Südbaden ist das der Regelfall.

Reicht eine Datenschutzerklärung für beide Gesetze?

Ja, wenn sie die Pflichtangaben beider Regelwerke enthält und dort, wo sich die Anforderungen unterscheiden, die strengere Variante nennt. Zwei getrennte Dokumente zu pflegen führt in der Praxis dazu, dass eines davon veraltet.

Muss der Cookie-Banner in der Schweiz Opt-in sein?

Nach nDSG allein nicht zwingend – dort steht Transparenz im Vordergrund. Sobald aber EU-Besucher erfasst werden, gilt die strengere europäische Praxis mit aktiver Einwilligung vor dem Setzen nicht notwendiger Cookies. Ein einziges Banner nach dem strengeren Standard ist die einfachere Lösung.

Ist Hosting in der Schweiz für EU-Daten erlaubt?

Ja. Die EU anerkennt die Schweiz als Land mit angemessenem Datenschutzniveau, ein Datentransfer braucht deshalb keine zusätzlichen Garantien. Problematisch sind eher eingebundene Dienste mit Servern ausserhalb Europas.

Brauche ich als kleines Basler Unternehmen einen EU-Vertreter?

Nicht zwingend. Erfolgt die Bearbeitung nur gelegentlich, ohne besondere Datenkategorien in grossem Umfang und ohne nennenswertes Risiko, greift die Ausnahme von Artikel 27 DSGVO. Bei regelmässigen Lieferungen oder einem festen Kundenstamm in der EU sieht das anders aus.

Wer haftet, wenn die Agentur einen Fehler gemacht hat?

Verantwortlich gegenüber den Behörden bleiben Sie als Betreiber. Im Innenverhältnis kann die Agentur haften, wenn das vertraglich geregelt ist – weshalb der Auftragsverarbeitungsvertrag kein Papierkram ist, sondern Ihre Absicherung.

Wie erkenne ich, ob meine bestehende Website betroffen ist?

Prüfen Sie drei Dinge: Werden Schriftarten oder Videos von externen Servern geladen? Setzt die Seite Cookies, bevor jemand zugestimmt hat? Erfassen Analytics-Werkzeuge Besucher aus der EU? Wenn eine dieser Fragen mit Ja beantwortet wird, besteht Handlungsbedarf.

Fazit

Im Dreiländereck ist die doppelte Rechtslage kein Sonderfall, sondern der Normalzustand. Die gute Nachricht: Wer von Anfang an den jeweils strengeren Standard umsetzt, hat den Aufwand einmal und nicht zweimal. Die schlechte: Nachträglich ist es deutlich teurer, weil jeder eingebundene Dienst einzeln geprüft werden muss – und weil sich in gewachsenen Websites erfahrungsgemäss mehr findet, als jemand erwartet hätte.

Wenn Sie wissen möchten, wo Ihre bestehende Website steht, schauen wir sie uns in einem kostenlosen Erstgespräch an. Kein Verkaufsgespräch – wenn nichts zu tun ist, sagen wir das auch.

Hinweis: Dieser Beitrag gibt unsere Praxiserfahrung aus Webprojekten wieder und stellt keine Rechtsberatung dar. Bei komplexen Konstellationen ziehen Sie bitte eine auf Datenschutzrecht spezialisierte Kanzlei bei.