Cookie-Banner, Tracking, Newsletter: Hier passieren die meisten Datenschutzverstösse im E-Commerce. Was 2026 in der Schweiz nach revDSG gilt, wann zusätzlich die DSGVO greift und wie Sie Ihren Shop absichern, inklusive Checkliste und Shopware-Praxisteil.
Für Onlineshops in der Schweiz gilt seit dem 1. September 2023 das revidierte Datenschutzgesetz (revDSG). Wer auch an Kundinnen und Kunden in der EU verkauft, muss zusätzlich die DSGVO beachten. Die meisten Fehler passieren an denselben drei Stellen: Cookie-Banner, Tracking und Newsletter.
Das Schweizer Recht ist bei Cookies weniger streng als das EU-Recht, bei der Transparenz aber klar: Sie müssen vorgängig über jede Beschaffung von Personendaten informieren. Vorsätzliche Verstösse können mit Bussen bis CHF 250’000 geahndet werden, und zwar gegen die verantwortlichen Personen, nicht in erster Linie gegen das Unternehmen.
Wer Datenschutzerklärung, Cookie-Lösung, Auftragsbearbeitung und Newsletter-Einwilligungen im Griff hat, deckt bereits den Grossteil der Risiken ab. Die Checkliste in diesem Beitrag führt Sie durch die zwölf wichtigsten Punkte.
Dieser Beitrag richtet sich an Shopbetreiber in der Schweiz, die ihren Onlineshop rechtlich sauber aufstellen wollen, ohne dafür Jura studieren zu müssen. Sie erfahren, welche Pflichten 2026 nach Schweizer Recht gelten, wann zusätzlich die DSGVO greift, worauf der EDÖB achtet und wie Sie die Anforderungen konkret in Shopware 6 umsetzen.
Ich bin seit Oktober 2026 TÜV-zertifizierter Datenschutzbeauftragter und betreue bei solution25 die Datenschutzthemen unserer Shop-Projekte. Die Beispiele in diesem Beitrag stammen aus echten Audits und Projekten. Eine Rechtsberatung ersetzt der Artikel nicht; bei Schweizer Besonderheiten empfehlen wir im Zweifel die Prüfung durch eine Schweizer Fachperson.
Ein Onlineshop bearbeitet an fast jeder Stelle Personendaten: beim Seitenaufruf, im Warenkorb, im Checkout, beim Newsletter und im Kundenkonto. Für jede dieser Stellen gibt es eine klare Anforderung. Die Tabelle zeigt die Schweizer Rechtslage; verkaufen Sie auch in die EU, gelten zusätzlich die Regeln der DSGVO.
| Bereich | Was gefordert ist | Rechtsgrundlage (Schweiz) | Risiko bei Verstoss |
|---|---|---|---|
| Cookie-Banner | Information über Cookies und ihren Zweck, einfache Ablehnung; Einwilligung bei unerwarteter oder risikoreicher Bearbeitung | Art. 45c FMG, revDSG | Untersuchung durch den EDÖB, Reputationsschaden |
| Datenschutzerklärung | Vorgängige Information über jede Datenbeschaffung, inklusive Empfängerstaaten bei Bekanntgabe ins Ausland | Art. 19 ff. revDSG | Busse bei vorsätzlicher Verletzung |
| Checkout | Nur Daten erheben, die für den Zweck nötig sind | Art. 6 revDSG (Verhältnismässigkeit) | Beschwerden, Untersuchung |
| Newsletter | Einwilligung für Werbe-E-Mails, korrekte Absenderangabe, einfache Abmeldung | Art. 3 Abs. 1 lit. o UWG | Zivil- und strafrechtliche Folgen nach UWG |
| Dienstleister | Vertrag zur Auftragsbearbeitung mit Hosting, Payment, Tools | Art. 9 revDSG | Busse bei vorsätzlicher Verletzung |
| Betroffenenrechte | Auskunft in der Regel innert 30 Tagen, Berichtigung und Löschung | Art. 25 revDSG, Art. 18 DSV | Busse bei vorsätzlich falscher oder unvollständiger Auskunft |
| Datensicherheit | Angemessene technische und organisatorische Massnahmen, Meldung schwerer Verletzungen an den EDÖB | Art. 8, 24 revDSG | Busse, Haftung |
Das Cookie-Banner ist die sichtbarste Datenschutz-Baustelle eines Shops und gleichzeitig die häufigste Fehlerquelle. In unseren Audits ist kaum ein Banner auf Anhieb sauber konfiguriert.
Anders als das EU-Recht setzt die Schweiz bei Cookies vor allem auf Transparenz und ein Widerspruchsrecht. Nach Art. 45c FMG müssen Besucher über Cookies und ihren Zweck informiert und darauf hingewiesen werden, dass sie diese ablehnen können. Eine vorgängige, ausdrückliche Einwilligung ist laut Merkblatt des EDÖB dann nötig, wenn die Bearbeitung für Besucher unerwartet ist, ein hohes Risiko birgt oder besonders schützenswerte Personendaten betrifft.
Wie teuer das Thema in der EU werden kann, zeigt der Fall Shein. Die französische Aufsichtsbehörde CNIL verhängte 2025 eine Busse von 150 Millionen Euro, weil der Händler Cookies ohne wirksame Einwilligung gesetzt hatte. Für Schweizer Shops ist das relevant, sobald sie gezielt Kundinnen und Kunden in der EU ansprechen. Am einfachsten ist es deshalb, das Banner von Anfang an so zu konfigurieren, dass es auch den EU-Anforderungen genügt.
Praxis-Tipp: Öffnen Sie Ihren Shop im Inkognito-Fenster mit geöffneten Entwicklertools. Wenn vor Ihrem Klick auf „Akzeptieren» bereits Marketing- oder Analyse-Cookies gesetzt werden, besteht Handlungsbedarf, spätestens wenn Sie auch in die EU verkaufen.
Das revDSG verlangt, dass Personendaten verhältnismässig bearbeitet werden: erhoben wird nur, was für den Zweck nötig ist. Für den Kaufvertrag brauchen Sie Name, Liefer- und Rechnungsadresse, E-Mail-Adresse und Zahlungsdaten. Ein Geburtsdatum brauchen Sie nur, wenn Sie altersbeschränkte Ware verkaufen. Eine Telefonnummer ist nur dann ein Pflichtfeld, wenn der Versanddienstleister, etwa die Schweizerische Post, sie wirklich benötigt.
Empfehlenswert ist auch die Gastbestellung. In Deutschland hat die Datenschutzkonferenz der Aufsichtsbehörden 2022 klargestellt, dass ein Kundenkonto keine Pflicht sein darf. Das revDSG schreibt das nicht ausdrücklich vor, mit Blick auf die Verhältnismässigkeit ist eine Bestellung ohne Registrierung aber auch für Schweizer Shops die sauberste Lösung. Das ist nebenbei gut für die Conversion, denn ein Registrierungszwang ist einer der häufigsten Gründe für Kaufabbrüche.
Tracking ist nicht verboten, es braucht nur eine saubere Grundlage. In der Schweiz müssen Sie Google Analytics, Meta Pixel und vergleichbare Tools in der Datenschutzerklärung und im Cookie-Banner offenlegen und eine Ablehnung ermöglichen. Für Besucher aus der EU laufen diese Tools ausschliesslich mit Einwilligung; ohne Consent darf dort kein Tag feuern. Da die meisten Shops Schweizer und EU-Kunden gleichzeitig bedienen, ist eine Lösung mit Einwilligung für alle Besucher der einfachste Weg.
Drei Punkte, die in der Praxis oft fehlen: Erstens gehört jedes Tool in die Datenschutzerklärung, inklusive der Staaten, in die Daten bekanntgegeben werden. Zweitens brauchen Sie mit Google eine Vereinbarung zur Auftragsbearbeitung, die Sie in den Kontoeinstellungen abschliessen. Drittens sollte der Consent Mode korrekt eingebunden sein, damit Google-Dienste den Einwilligungsstatus respektieren. Wer auf Nummer sicher gehen will, prüft zusätzlich serverseitiges Tracking oder datensparsame Alternativen wie Matomo ohne Cookies für die Basis-Statistik.
Für Werbe-E-Mails gilt in der Schweiz Art. 3 Abs. 1 lit. o UWG: Massenwerbung per E-Mail ist nur mit vorgängiger Einwilligung zulässig, mit korrekter Absenderangabe und einer einfachen, kostenlosen Abmeldemöglichkeit. Das Double-Opt-in ist gesetzlich nicht ausdrücklich vorgeschrieben, aber der sicherste Weg, die Einwilligung zu beweisen: Der Kunde trägt sich ein und bestätigt die Anmeldung über einen Link in der ersten Mail. Die Bestätigung protokollieren Sie mit Zeitstempel. Für Empfänger in der EU ist dieses Vorgehen ohnehin Standard.
Eine Ausnahme gibt es für Kunden: Wer Ihnen beim Kauf seine E-Mail-Adresse gegeben hat, darf Werbung für Ihre eigenen ähnlichen Produkte erhalten, wenn er schon dabei auf die Möglichkeit zur Ablehnung hingewiesen wurde. Diese Ausnahme ist nützlich, wird aber oft falsch umgesetzt. Fehlt der Hinweis im Checkout, ist die Grundlage weg.
Ihr Shop läuft nicht allein. Hoster, Payment-Anbieter, Newsletter-Tool, Fulfillment-Dienstleister und Support-Software bearbeiten Kundendaten in Ihrem Auftrag. Mit jedem dieser Anbieter brauchen Sie einen Vertrag zur Auftragsbearbeitung nach Art. 9 revDSG, bei EU-Kunden zusätzlich nach Art. 28 DSGVO. Bei den grossen Anbietern ist das ein Klick im Kundenbereich, es muss nur jemand machen und ablegen.
Bei Anbietern im Ausland kommt die Bekanntgabe ins Ausland dazu. Die EU-Staaten haben aus Schweizer Sicht ein angemessenes Datenschutzniveau, Hosting in deutschen Rechenzentren ist deshalb unkompliziert. Für US-Dienste gilt seit dem 15. September 2024 das Swiss-U.S. Data Privacy Framework: Prüfen Sie, ob Ihr Anbieter dafür zertifiziert ist. Falls nicht, braucht es zusätzliche Garantien wie Standardvertragsklauseln. Die Empfängerstaaten nennen Sie in jedem Fall in der Datenschutzerklärung. Führen Sie ausserdem ein Verzeichnis der Bearbeitungstätigkeiten nach Art. 12 revDSG. Unternehmen mit weniger als 250 Mitarbeitenden sind davon befreit, wenn ihre Bearbeitung nur ein geringes Risiko birgt; als Grundlage für jedes Audit lohnt sich die Tabelle trotzdem.
Wie das Hosting-Setup insgesamt aussehen sollte, haben wir im Beitrag über Shopware Hosting 2026 ausführlich beschrieben.
Jede Person kann Auskunft darüber verlangen, ob und welche Daten Sie über sie bearbeiten, und deren Berichtigung oder Löschung verlangen. Die Auskunft erteilen Sie in der Regel innert 30 Tagen und grundsätzlich kostenlos. Was viele unterschätzen: Auch ein formloser Zweizeiler per E-Mail löst die Frist aus. Legen Sie deshalb intern fest, wer solche Anfragen beantwortet und wie Sie die Identität des Anfragenden prüfen.
Bei der Löschung gilt: Geschäftsbücher und Buchungsbelege, also auch Rechnungen, sind nach Art. 958f OR zehn Jahre aufzubewahren und werden nicht gelöscht, sondern für die weitere Nutzung gesperrt. Marketingdaten, Tracking-Profile und inaktive Kundenkonten dagegen brauchen ein Löschkonzept mit klaren Fristen.
Shopware 6 bringt vieles mit, was Schweizer Shops brauchen. Es muss nur richtig konfiguriert sein. Diese Punkte prüfen wir in jedem Projekt:
In der Schweiz funktioniert die Durchsetzung anders als in der EU. Der EDÖB kann Untersuchungen eröffnen und Massnahmen verfügen, etwa die Anpassung oder Einstellung einer Bearbeitung. Bussen bis CHF 250’000 verhängen dagegen die kantonalen Strafbehörden, und zwar gegen die verantwortlichen natürlichen Personen und nur bei Vorsatz. Das Unternehmen selbst kann nur ausnahmsweise mit bis zu CHF 50’000 gebüsst werden, wenn die verantwortliche Person nicht mit verhältnismässigem Aufwand ermittelt werden kann.
Wer auch in die EU verkauft, unterliegt zusätzlich der DSGVO und damit den europäischen Bussgeldern. 2025 wurden europaweit rund 690 Millionen Euro an DSGVO-Bussgeldern verhängt, in Deutschland waren es 249 Bussgelder mit einer Gesamtsumme von rund 47 Millionen Euro. Es handelt sich um Zahlen aus der EU, nicht aus der Schweiz.
| Unternehmen (EU-Verfahren) | Bussgeld | Grund |
|---|---|---|
| TikTok | 530 Mio. € | Unzulässige Datenübermittlung nach China |
| 325 Mio. € | Werbung in Gmail ohne Einwilligung | |
| Shein | 150 Mio. € | Cookies ohne wirksame Einwilligung |
| Vodafone | 45 Mio. € | Mängel bei Partneragenturen und Authentifizierung |
Für kleinere Shops sind weniger die Rekordsummen relevant als die Sorgfalt im Alltag. Die typischen Verfahren betreffen genau die Themen aus diesem Beitrag: fehlende Information, unbeantwortete Auskunftsersuchen und ungesicherte Kundendaten. Dazu kommt das Reputationsrisiko, das bei sichtbaren Fehlern wie dem Cookie-Banner am grössten ist.
Es muss über Cookies und ihren Zweck informieren und eine einfache Ablehnung ermöglichen (Art. 45c FMG). Bei unerwarteten oder risikoreichen Bearbeitungen und für Besucher aus der EU brauchen Sie eine Einwilligung, bevor nicht notwendige Cookies gesetzt werden. Vorangekreuzte Kästchen sind dafür ungeeignet.
Nein. Für private Unternehmen ist die Ernennung einer Datenschutzberaterin oder eines Datenschutzberaters nach Art. 10 revDSG freiwillig. Das revDSG müssen Sie trotzdem vollständig einhalten. Verkaufen Sie gezielt in die EU, kann nach der DSGVO zudem ein Vertreter in der EU nötig sein.
Ja. In der Schweiz müssen Sie transparent informieren, die Bekanntgabe in die USA in der Datenschutzerklärung nennen und eine Ablehnung ermöglichen. Für Besucher aus der EU braucht es zusätzlich eine wirksame Einwilligung über das Cookie-Banner und die korrekte Einbindung des Consent Mode.
Das revDSG sieht Bussen bis CHF 250’000 vor. Sie richten sich gegen die verantwortlichen natürlichen Personen und setzen Vorsatz voraus; das Unternehmen kann nur ausnahmsweise mit bis zu CHF 50’000 gebüsst werden. Wer in die EU verkauft, riskiert zusätzlich DSGVO-Bussgelder von bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes.
Das revDSG schreibt die Gastbestellung nicht ausdrücklich vor. Mit Blick auf den Grundsatz der Verhältnismässigkeit und auf Kunden aus Deutschland, wo die Aufsichtsbehörden sie verlangen, ist eine Bestellung ohne Registrierung aber die sauberste Lösung.
Nur mit Einwilligung oder über die Kundenausnahme in Art. 3 Abs. 1 lit. o UWG. Dafür müssen Sie die E-Mail-Adresse beim Kauf erhalten, schon dabei auf die Ablehnungsmöglichkeit hinweisen, nur eigene ähnliche Produkte bewerben und jederzeit eine einfache Abmeldung ermöglichen.
Ein Vertrag nach Art. 9 revDSG mit jedem Dienstleister, der Daten für Sie bearbeitet: Hosting, Payment, Newsletter-Tool, Fulfillment, Support-Software. Bei EU-Kunden muss er zusätzlich Art. 28 DSGVO entsprechen. Bei den meisten Anbietern schliessen Sie ihn digital im Kundenbereich ab.
In der Regel innert 30 Tagen. Die Frist beginnt mit Eingang der Anfrage, auch wenn sie formlos per E-Mail kommt. Können Sie die Frist nicht einhalten, informieren Sie die anfragende Person und teilen ihr mit, bis wann die Auskunft erfolgt.
Wir prüfen Cookie-Banner, Checkout, Tracking und Verträge Ihres Shops mit Blick auf das revDSG und, wenn Sie in die EU verkaufen, auf die DSGVO, und zeigen Ihnen, wo Handlungsbedarf besteht. Als Shopware-Agentur setzen wir die Massnahmen direkt mit um, von der Consent-Konfiguration bis zum Löschkonzept, für Händler in der Schweiz und in Deutschland.
Kostenlosen Datenschutz-Check anfragen
Henrik Schäfer ist TÜV-zertifizierter Datenschutzbeauftragter und betreut bei solution25 die Datenschutz- und Compliance-Themen in E-Commerce-Projekten. Er unterstützt Shopbetreiber dabei, die Anforderungen von DSGVO und Schweizer Datenschutzgesetz praxistauglich umzusetzen, ohne die Conversion aus dem Blick zu verlieren. Kontakt aufnehmen
Stand: November 2026. Nächste inhaltliche Prüfung: Februar 2027.
