Schweizer Website und EU-Besucher: revDSG, DSGVO oder beides?

Kurze Antwort: oft beides. Ein Schweizer Unternehmen unterliegt weiterhin dem revDSG, aber auch die DSGVO gilt für es, wenn es Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten online beobachtet (Art. 3 Abs. 2 DSGVO). Für diese Besucher verlangen die europäischen Cookie-Regeln grundsätzlich eine vorgängige Einwilligung für jedes nicht notwendige Cookie, einschliesslich Reichweitenmessung, während sich die Schweiz mit einem Ablehnungsrecht begnügt. Die einfachste Lösung: die europäischen Regeln auf alle Besucher anwenden, mit einem eigenen Banner oder mit einem Tool, das dies von Anfang an tut (um den Preis von Statistiken, die nur Besucher erfassen, die zustimmen).

Letzte Überprüfung der Quellen: 16. Oktober 2026. Text aktualisiert am 17. Oktober 2026 (Regelung von AlpiStats). Dieser Artikel dient der Information; er ersetzt keine Rechtsberatung.

---

Wann gilt die DSGVO für ein Schweizer Unternehmen?

Die Datenschutz-Grundverordnung (DSGVO) gilt zunächst für Organisationen mit Sitz in der EU. Ein Unternehmen ohne Niederlassung in der EU unterliegt ihr ebenfalls in zwei Fällen (Art. 3 Abs. 2 DSGVO):

1. Es bietet Personen, die sich in der EU befinden, Waren oder Dienstleistungen an, entgeltlich oder unentgeltlich.
2. Es beobachtet das Verhalten dieser Personen, soweit dieses Verhalten in der EU stattfindet.

Das Kriterium des gezielten Angebots

Dass Ihre Website von Lyon oder München aus erreichbar ist, genügt nicht. Entscheidend ist laut den Leitlinien des Europäischen Datenschutzausschusses (EDSA) die Absicht, Personen in der EU anzusprechen. Typische Anhaltspunkte:

• in Euro angezeigte Preise, Lieferung oder Leistung in einem EU-Land;
• Sprachversion oder Domainname für ein EU-Land (.fr, .de);
• Werbekampagnen, die auf EU-Länder abzielen;
• Erwähnung von Kunden oder Telefonnummern in der EU.

Ein Waadtländer KMU, das nach Frankreich liefert, ein Walliser Hotel, das in Deutschland wirbt, oder ein Genfer Softwareanbieter, der in Euro verkauft, sind typischerweise betroffen. Ein Handwerker, der nur in der Westschweiz arbeitet, in der Regel nicht.

Das Kriterium der Verhaltensbeobachtung

Der EDSA betrachtet die Online-Verfolgung einer Person, namentlich durch Cookies oder ähnliche Techniken, um ihr Verhalten zu analysieren oder vorherzusagen, als mögliche «Verhaltensbeobachtung». Werbe- und Profiling-Tools sind klar gemeint. Bei einer einfachen aggregierten Reichweitenmessung ist die Frage umstrittener, das Risiko ist aber nicht null, sobald das Tool Besucher von einem Besuch zum nächsten wiedererkennt.

Was das konkret ändert

1. Cookies: vorgängige Einwilligung für EU-Besucher

In der EU unterliegen Cookies der «ePrivacy»-Richtlinie, die in jedem Land umgesetzt wurde (in Frankreich Art. 82 des Gesetzes «Informatique et Libertés»). Grundregel: Jedes nicht notwendige Cookie erfordert eine vorgängige Einwilligung, die durch eine aktive Handlung erteilt wird, wobei die Ablehnung so einfach sein muss wie die Zustimmung.

Auch die Reichweitenmessung ist davon nicht ausgenommen, abgesehen von engen nationalen Ausnahmen. Die CNIL zum Beispiel befreit Reichweitenmessungs-Tools von der Einwilligung, wenn sie strenge Bedingungen erfüllen: Zweck beschränkt auf die Messung der Website selbst, Daten ausschliesslich zur Erstellung anonymer Statistiken, keine Verknüpfung mit anderen Bearbeitungen, keine Verfolgung auf anderen Websites, begrenzte Lebensdauer der Tracker und begrenzte Aufbewahrungsdauer. Google Analytics erfüllt diese Bedingungen in der Standardkonfiguration nicht.

2. Die Datenschutzerklärung

Die DSGVO verlangt eine detailliertere Information als das revDSG, namentlich die Rechtsgrundlage jeder Bearbeitung (Einwilligung, berechtigtes Interesse, Vertrag …) und die Aufbewahrungsdauer. Eine Datenschutzerklärung, die die DSGVO erfüllt, deckt in der Regel auch das revDSG ab; umgekehrt gilt das nicht.

3. Ein Vertreter in der EU

Ein Schweizer Unternehmen, das der DSGVO nach Art. 3 Abs. 2 unterliegt, muss grundsätzlich einen in der EU niedergelassenen Vertreter benennen (Art. 27 DSGVO). Eine Ausnahme besteht für gelegentliche Bearbeitungen, die nicht in grossem Umfang besonders schützenswerte Daten betreffen und kein Risiko für die betroffenen Personen darstellen. Viele Schweizer KMU kennen diese Pflicht nicht.

4. Datenübermittlungen in die Schweiz

Gute Nachricht: Die Europäische Kommission anerkennt die Schweiz als Land mit angemessenem Datenschutzniveau und hat diesen Beschluss im Januar 2024 bestätigt. Die Daten europäischer Besucher dürfen daher ohne zusätzliche Garantien in der Schweiz gehostet werden.

Drei Wege, sich zu organisieren

Option 1: ein je nach Land des Besuchers unterschiedlicher Banner.
Consent-Management-Plattformen (CMP) können in der Schweiz ein Opt-out und in der EU ein Opt-in anzeigen. Diese Lösung bewahrt am meisten Daten, ist aber aufwendiger zu konfigurieren und zu testen, und die Geolokalisierung ist nicht immer zuverlässig (VPN, Grenzgänger).

Option 2: die europäischen Regeln auf alle anwenden.
Ein einziger Opt-in-Banner für alle Besucher. Einfach und vorsichtig, aber Sie verlieren einen Teil der Statistiken Ihrer Schweizer Besucher, die gar nicht hätten einwilligen müssen.

Option 3: ein Tool wählen, das von Anfang an für alle die strengste Regel anwendet.
Ein Messtool, das vor jeder Messung die Zustimmung jedes Besuchers einholt, unabhängig von dessen Land, erspart Ihnen zwei Regelungen und das Raten des Standorts der Besucher, und Sie müssen in Ihrer Datenschutzerklärung nur eine einzige Funktionsweise beschreiben. Der Nachteil ist bewusst in Kauf genommen: Die Statistiken erfassen nur Besucher, die zustimmen, und sind nie vollständig. Kombinieren Sie das mit Videos im «Zwei-Klick»-Modus und ohne Werbepixel auf den gewöhnlichen Seiten.

Was sich auf EU-Seite ändern könnte

Im November 2025 hat die Europäische Kommission in einem Paket namens Digital Omnibus vorgeschlagen, die Cookie-Regeln in die DSGVO zu integrieren. Der Text sieht namentlich eine Befreiung von der Einwilligung für eine aggregierte Reichweitenmessung vor, die der Betreiber für seinen eigenen Dienst und zur internen Verwendung durchführt. Tools, die Besucher über mehrere Dienste oder Kunden hinweg verfolgen, blieben einwilligungspflichtig. Es handelt sich um einen Vorschlag, der noch verhandelt wird: Es ändert sich nichts, solange er nicht verabschiedet und anwendbar geworden ist.

Wie AlpiStats mit diesem Fall umgeht

AlpiStats, das Schweizer Statistik-Tool, wendet die strengste Regel auf alle Besucher an, in der Schweiz wie in der EU: keine unterschiedliche Behandlung je nach Land, keine geografische Erkennung. Die Reichweitenmessung findet in beiden Modi erst nach der Einwilligung des Besuchers statt, mit dem AlpiStats-Banner (gleichwertige Schaltflächen «Akzeptieren» und «Ablehnen», dauerhaftes Badge, um die Meinung zu ändern) oder mit Ihrem eigenen Banner, der mit AlpiStats verknüpft ist. Lehnt der Besucher ab, findet keine Reichweitenmessung von AlpiStats statt, und es gibt keinen Rückfall auf eine einfachere Zählung. Der Modus Essenziell misst die Reichweite (Seiten, Herkunft, Gerät, Land) ohne dauerhafte Reichweiten-Kennung im Browser. Der Modus Vollständig erkennt zusätzlich wiederkehrende Besucher mithilfe einer zufälligen Kennung, ohne Cookie, die höchstens sechs Monate im Browser bleibt; die detaillierten Besuche werden dabei pseudonymisiert. Besucher können ihre Einwilligung jederzeit über das Badge widerrufen: Die Messung stoppt, die Kennung wird gelöscht, und die pseudonymisierten Daten, die ihnen zugeordnet sind, werden entfernt. Die Statistiken erfassen nur Besucher, die zugestimmt haben, und sind nicht vollständig. Die Besucherdaten werden in der Schweiz gehostet und verarbeitet. AlpiStats entdecken.

Häufige Fragen

Mein Unternehmen ist in der Schweiz. Kann die DSGVO wirklich für mich gelten?

Ja, wenn Sie Personen in der EU gezielt ansprechen (Angebot von Waren oder Dienstleistungen) oder ihr Verhalten online beobachten. Der Standort des Unternehmens genügt nicht, um dies auszuschliessen.

Genügen ein paar französische Besucher, damit ich der DSGVO unterliege?

Nein. Gelegentliche Besuche auf einer Website, die sich nicht an die EU richtet, genügen nicht. Entscheidend ist die Absicht, Personen in der EU anzusprechen.

Brauche ich für Google Analytics die Einwilligung europäischer Besucher?

Ja, in der Regel: Seine Cookies sind nicht notwendig, und seine Standardkonfiguration erfüllt die Voraussetzungen der nationalen Ausnahmen nicht.

Darf ich die Daten europäischer Besucher in der Schweiz hosten?

Ja. Die EU anerkennt die Schweiz als Land mit angemessenem Datenschutzniveau; ein zusätzlicher Übermittlungsmechanismus ist nicht nötig.

Welches Recht ist strenger?

Bei Cookies und der Information der Betroffenen sind die DSGVO und die ePrivacy-Regeln anspruchsvoller als das Schweizer Recht. Wer die DSGVO einhält, erfüllt in diesen Punkten in der Regel auch das revDSG.

---

Quellen

• Verordnung (EU) 2016/679 (DSGVO), Art. 3 und 27
• EDSA, Leitlinien 3/2018 zum räumlichen Anwendungsbereich der DSGVO
• Bundesamt für Justiz, Angemessenheit der Schweiz durch die EU
• CNIL, Ausnahme von der Einwilligung für die Reichweitenmessung (Konfigurationsbeispiel)
• Taylor Wessing, The Digital Omnibus: Cookies
• EDÖB, Leitfaden des EDÖB betreffend Datenbearbeitungen mittels Cookies und ähnlichen Technologien, Version 1.1 vom 6. Oktober 2025 (französische Fassung)
• Bundesgesetz über den Datenschutz (DSG), SR 235.1