revDSG und Webstatistik

Das AlpiStats-Team · Veröffentlicht am 16. Oktober 2026 · Aktualisiert am 17. Oktober 2026

Kurze Antwort: Sobald Ihr Statistik-Tool IP-Adressen, Cookie-Kennungen oder Browser-«Fingerabdrücke» bearbeitet, bearbeitet es Personendaten, und das revDSG gilt. Sie müssen dann: nur das Nötigste erheben, die Besucher in Ihrer Datenschutzerklärung informieren, mit dem Anbieter einen Auftragsbearbeitungsvertrag abschliessen, jede Bekanntgabe ins Ausland absichern und die Sicherheit der Daten gewährleisten. Je näher Ihre Statistiken an der Anonymität sind, desto leichter werden diese Pflichten.

Letzte Überprüfung der Quellen: 16. Oktober 2026. Text aktualisiert am 17. Oktober 2026 (Regelung von AlpiStats). Dieser Artikel dient der Information; er ersetzt keine Rechtsberatung.

Das revDSG in zwei Sätzen

Das revidierte Bundesgesetz über den Datenschutz (DSG, oft «revDSG» genannt) ist seit dem 1. September 2023 in Kraft. Es gilt für Unternehmen und Privatpersonen, die Daten natürlicher Personen bearbeiten, auch wenn die Bearbeitung im Ausland stattfindet, sich aber in der Schweiz auswirkt.

Für eine Website lautet die Frage daher nicht «Gilt das revDSG?», sondern «Bearbeiten meine Statistiken Personendaten, und welche?».

Sind Besucherstatistiken Personendaten?

Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 5 revDSG). Die Zahl «1'240 Besuche im September» ist keine. Um diese Zahl zu erzeugen, bearbeiten die meisten Tools aber Daten, die es oft sind:

Datum	Einstufung in der Regel
Vollständige IP-Adresse	Personendaten, sobald der Betreiber oder ein Dritter vernünftigerweise auf die Person zurückschliessen kann. Vorsichtshalber als solche behandeln.
Persistente Cookie-Kennung (z. B. `_ga`)	Personendaten: Sie erkennt denselben Browser von einem Besuch zum nächsten wieder.
Browser-Fingerabdruck (Fingerprinting)	Personendaten, und eine als aufdringlich geltende Technik.
Besuchte URL mit E-Mail-Adresse, Name oder Kundennummer	Personendaten, oft erhoben, ohne dass der Betreiber es merkt.
Aggregierte Zähler (Seitenaufrufe, Land, Gerätetyp) ohne Kennung	Grundsätzlich anonym.

Das entscheidende Kriterium ist die Möglichkeit der Re-Identifizierung einer Person unter Berücksichtigung der vernünftigerweise verfügbaren Mittel. Blosse pseudonymisierte Daten (zum Beispiel eine IP-Adresse, die durch einen gleichbleibenden Code ersetzt wird) bleiben Personendaten. Wirklich anonymisierte Daten fallen aus dem Anwendungsbereich des Gesetzes.

Die sieben Pflichten zum Überprüfen

1. Verhältnismässigkeit: nur erheben, was nützt

Die Bearbeitung muss für den verfolgten Zweck erforderlich sein (Art. 6 revDSG). Wenn Sie wissen müssen, welche Seiten gelesen werden und woher die Besucher kommen, ist es nicht erforderlich, jede Person über zwei Jahre hinweg zu verfolgen. Der EDÖB-Leitfaden zu Cookies formuliert es so: Wenn eine anonymisierte Analyse dasselbe Ziel erreicht, ist sie zu wählen.

2. Datenschutz durch Voreinstellungen

Art. 7 revDSG verlangt möglichst datenschutzfreundliche Voreinstellungen. Für Statistiken heisst das: IP-Anonymisierung aktiviert, kurze Aufbewahrung, keine Werbe- oder Abgleichsfunktion ohne Grund aktiviert.

3. Transparenz: die Datenschutzerklärung

Die Informationspflicht (Art. 19 revDSG) verlangt mindestens die Angabe von:

Identität und Kontaktdaten des Verantwortlichen der Website;
Zweck der Bearbeitung (hier: Reichweitenmessung);
Empfängern oder Kategorien von Empfängern (der Anbieter des Tools);
falls die Daten ins Ausland gelangen: Land und verwendete Garantie.

Eine vorsätzliche Verletzung dieser Pflicht wird mit einer Busse von bis zu CHF 250'000 gegen die verantwortliche natürliche Person bestraft (Art. 60 revDSG).

4. Auftragsbearbeitung: ein Vertrag mit dem Anbieter

Der Anbieter des Statistik-Tools ist in der Regel ein Auftragsbearbeiter: Er bearbeitet die Daten in Ihrem Auftrag (Art. 9 revDSG). Sie brauchen einen Vertrag (oft DPA genannt, Data Processing Agreement) und müssen sicherstellen, dass er die Datensicherheit gewährleistet. Wer Daten an einen Auftragsbearbeiter gibt, ohne diese Voraussetzungen einzuhalten, begeht ebenfalls eine Straftat (Art. 61 revDSG).

Achtung: Wenn der Anbieter die Daten auch für eigene Zwecke nutzt (zum Beispiel zur Verbesserung seiner Werbeprodukte), ist er kein blosser Auftragsbearbeiter mehr, und Ihre Information muss dies widerspiegeln.

5. Bekanntgabe ins Ausland

Wenn die Daten ausserhalb der Schweiz gespeichert oder abrufbar sind, muss die Bekanntgabe auf einer rechtlichen Grundlage beruhen: einem vom Bundesrat als angemessen anerkannten Land (dazu gehören die EU-Staaten sowie seit dem 15. September 2024 die nach dem Swiss-U.S. Data Privacy Framework zertifizierten US-Unternehmen) oder Garantien wie den Standardvertragsklauseln (Art. 16 und 17 revDSG).

Ein Hosting in der Schweiz bei einem Schweizer Anbieter erübrigt diese Frage.

6. Datensicherheit

Die Daten müssen gegen Verlust, unbefugten Zugriff und Veränderung geschützt werden (Art. 8 revDSG): verschlüsselte Übertragung, Zugriffsverwaltung, Backups. Verletzungen der Datensicherheit mit hohem Risiko sind dem EDÖB zu melden (Art. 24 revDSG).

7. Verzeichnis der Bearbeitungstätigkeiten

Jedes Unternehmen muss grundsätzlich ein Verzeichnis seiner Bearbeitungen führen (Art. 12 revDSG). Unternehmen mit weniger als 250 Mitarbeitenden sind davon befreit, ausser sie bearbeiten in grossem Umfang besonders schützenswerte Personendaten oder betreiben ein Profiling mit hohem Risiko (Art. 24 der Datenschutzverordnung). Eine klassische Reichweitenmessung fällt nicht unter diese Ausnahmen.

Der Sonderfall Cookies

Setzt Ihr Tool Cookies, kommt zum revDSG eine zusätzliche Regel hinzu: Artikel 45c des Fernmeldegesetzes verlangt, zu informieren und eine Ablehnung zu ermöglichen. Der EDÖB anerkennt, dass die Reichweitenmessung durch ein überwiegendes Interesse des Betreibers gerechtfertigt sein kann, sofern so früh wie möglich anonymisiert und nur nicht identifizierende Ergebnisse veröffentlicht werden, das Ablehnungsrecht bleibt aber geschuldet. Die Einzelheiten stehen in unserem Artikel Braucht es in der Schweiz einen Cookie-Banner?.

Die Falle, die fast niemand sieht: URL

Statistik-Tools erfassen die Adresse jeder aufgerufenen Seite. Viele URL enthalten aber Personendaten, ohne dass das jemand gewollt hätte:

…/bestaetigung?email=marie.muster@beispiel.ch
…/passwort-zuruecksetzen?token=8f3a…
…/mein-konto?kunde=104587

Diese Angaben landen dann in den Berichten, beim Anbieter, manchmal im Ausland und während der gesamten Aufbewahrungsdauer. Das ist ein häufiger Mangel nach der Installation eines Formulars, eines Shops oder eines Buchungssystems. Prüfen Sie Ihre Seitenberichte und bevorzugen Sie ein Tool, das die URL bereinigt, bevor es sie speichert.

revDSG-Checkliste für Ihre Statistiken

Ich weiss, welche Daten mein Tool tatsächlich erhebt (IP, Cookies, Kennungen, vollständige URL).
Die IP-Adresse wird anonymisiert oder nicht gespeichert.
Die Aufbewahrungsdauer ist auf den tatsächlichen Bedarf beschränkt.
Werbe-, Abgleichs- und websiteübergreifende Tracking-Funktionen sind deaktiviert, wenn ich sie nicht nutze.
Meine Datenschutzerklärung nennt das Tool, seinen Zweck, den Anbieter und das Hosting-Land.
Ich habe einen Auftragsbearbeitungsvertrag (DPA) mit dem Anbieter.
Wenn die Daten die Schweiz verlassen, kenne ich die verwendete Garantie.
Wenn das Tool Cookies setzt, können die Besucher sie leicht ablehnen.
Meine URL enthalten keine E-Mail-Adressen, Tokens oder Kundennummern, oder das Tool entfernt sie.
Wenn sich meine Website auch an die EU richtet, habe ich die europäischen Regeln geprüft (siehe Schweizer Website und EU-Besucher).

Wie sich die Konformität vereinfachen lässt

Je näher ein Tool an der Anonymität ist, desto kürzer wird die obige Liste. Ein Tool ohne Cookies, das keine IP-Adressen speichert, Besucher nicht von einem Tag zum nächsten verfolgt und die Daten in der Schweiz hostet, umgeht sowohl die Cookie-Frage als auch die Frage der Auslandsbekanntgabe. Es bleiben ein Hinweis in der Datenschutzerklärung und ein Auftragsbearbeitungsvertrag.

Das ist die Grundlage von AlpiStats, das weiter geht als das Schweizer Recht: Das Tool wendet die strengste Regel auf alle Besucher an, in der Schweiz wie in der EU, und misst die Reichweite in beiden Modi erst nach der Einwilligung des Besuchers. Lehnt der Besucher ab, findet keine Reichweitenmessung von AlpiStats statt, und es gibt keinen Rückfall auf eine einfachere Zählung. Der Modus Essenziell misst die Reichweite (Seiten, Herkunft, Gerät, Land) ohne dauerhafte Reichweiten-Kennung im Browser; der Modus Vollständig erkennt zusätzlich wiederkehrende Besucher mithilfe einer zufälligen Kennung, ohne Cookie, die höchstens sechs Monate im Browser bleibt, mit pseudonymisierten Detailbesuchen. Besucher können ihre Einwilligung jederzeit über ein dauerhaftes Badge widerrufen: Die Messung stoppt, die Kennung wird gelöscht, und die pseudonymisierten Daten, die ihnen zugeordnet sind, werden entfernt. Die Wahl des Besuchers gilt sechs Monate, Detaildaten werden höchstens sechs Monate aufbewahrt, und nur wirklich anonyme Monats- und Tagessummen werden 25 Monate lang gespeichert. Die Statistiken erfassen nur Besucher, die zugestimmt haben, und sind nicht vollständig. Die Besucherdaten werden in der Schweiz bei Infomaniak gehostet und verarbeitet, URL werden vor der Speicherung von E-Mail-Adressen, Nummern und Tokens bereinigt, und ein Auftragsbearbeitungsvertrag sowie die Liste der Unterauftragsbearbeiter sind öffentlich. So bearbeitet AlpiStats die Daten der Besucher.

Häufige Fragen

Zählt eine IP-Adresse in der Schweiz als Personendaten?

Meistens ja, weil sie mit Hilfe Dritter (Internetanbieter) einen Rückschluss auf eine Person ermöglichen kann. Vorsichtshalber ist sie als solche zu behandeln.

Unterliegen anonyme Statistiken dem revDSG?

Nein, wirklich anonyme Daten sind keine Personendaten. Die Bearbeitung vor der Anonymisierung (zum Beispiel das Auslesen der IP-Adresse) kann jedoch dem Gesetz unterstehen.

Muss ich mein Statistik-Tool in meiner Datenschutzerklärung erwähnen?

Ja, sobald es Personendaten bearbeitet, auch nur kurz. Aus Transparenzgründen ist es auch in allen anderen Fällen gute Praxis.

Gilt das revDSG für eine kleine Visitenkarten-Website?

Ja. Das Gesetz sieht keine Ausnahme nach der Grösse der Website vor. Nur das Verzeichnis der Bearbeitungstätigkeiten ist für Unternehmen mit weniger als 250 Mitarbeitenden erleichtert.

Wer ist verantwortlich, wenn mein Statistik-Anbieter das Gesetz nicht einhält?

Sie bleiben für die Bearbeitung verantwortlich: Sie wählen das Tool und entscheiden über seinen Einsatz. Deshalb sind der Auftragsbearbeitungsvertrag und die Wahl des Anbieters so wichtig.