WordPress datenschutzkonform machen: revDSG-Grundlagen (Schweiz)

Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG) — ohne Übergangsfrist. Für Website-Betreiber heisst das: mehr Transparenz darüber, welche Daten zu welchem Zweck bearbeitet werden. Die gute Nachricht ist, dass sich die technischen Grundlagen mit überschaubarem Aufwand umsetzen lassen.

Das Wichtigste in Kürze

Gesetz: Das revDSG gilt seit 1. September 2023 für Schweizer Unternehmen — ohne Übergangsfrist.
Transparenz: Eine aktuelle, verständliche Datenschutzerklärung, die offenlegt, welche Daten zu welchem Zweck bearbeitet werden.
Dienstleister: Mit Auftragsbearbeitern wie dem Hosting-Anbieter braucht es einen Auftragsbearbeitungsvertrag (ADV).
Wichtig: Dieser Beitrag erklärt die technischen Grundlagen. Die verbindliche rechtliche Beurteilung gehört zu einer Anwältin oder einem Anwalt.

Aktualisiert am 22. September 2026

Einwilligung für Besucherstatistiken richtiggestellt. Der Beitrag verlangte, Analyse-Werkzeuge erst nach einer Einwilligung zu laden, und nannte «Analytics ohne Einwilligung» als Datenschutz-Falle. Für die Schweiz ist das zu streng. Art. 45c lit. b des Fernmeldegesetzes verlangt, dass Sie über die Bearbeitung und ihren Zweck informieren und auf die Ablehnungsmöglichkeit hinweisen — eine Einwilligung schreibt er nicht vor, und der EDÖB hält das in seinem Leitfaden ausdrücklich fest. Für Statistikzwecke kommt nach dem Datenschutzgesetz zudem ein überwiegendes eigenes Interesse in Betracht, wenn anonymisiert und nur zusammengefasst ausgewertet wird. Neu unterscheidet der Beitrag deshalb zwischen einer cookielosen, aggregierten Zählung und Werkzeugen, die Besucher wiedererkennen.
Die EU-Lage bleibt strenger — und steht jetzt getrennt daneben. Für Publikum in der EU gibt es keine behördliche Freistellung der Reichweitenmessung; 2025 hat eine deutsche Aufsichtsbehörde ein cookieloses Tracking untersagt, unter anderem weil kein Einwilligungsbanner vorhanden war. Der Beitrag sagt deshalb für die Schweiz, was genügt, und verspricht für die EU nichts. Ergänzt sind die tragenden Gesetzesartikel und der EDÖB-Leitfaden im Quellenverzeichnis.

revDSG und DSGVO — was gilt für Ihre Website?

Für Schweizer Unternehmen gilt in erster Linie das revDSG. Es verlangt unter anderem mehr Transparenz gegenüber den betroffenen Personen und angemessene Massnahmen zur Datensicherheit. Sobald Sie zusätzlich Personendaten von Menschen in der EU bearbeiten — etwa Kundschaft in Deutschland oder Österreich — kann parallel die europäische DSGVO greifen. Viele Anforderungen überschneiden sich; wer sauber nach revDSG arbeitet, erfüllt einen grossen Teil bereits. Wo genau die DSGVO für Sie gilt, ist eine rechtliche Frage.

Die technischen Grundlagen in WordPress

Aktuelle Datenschutzerklärung. Verständlich und vollständig: welche Daten, zu welchem Zweck, an welche Dienstleister. Sie gehört gut auffindbar in den Footer.
Verschlüsselte Übertragung (HTTPS). Ein gültiges SSL-Zertifikat ist Grundvoraussetzung — besonders bei Formularen und Log-ins.
Statistik und Tracking: informieren und Widerspruch ermöglichen. Für die Schweiz verlangt das Gesetz keine Einwilligung, sondern dass Sie über die Bearbeitung und ihren Zweck informieren und darauf hinweisen, dass man sie ablehnen kann (Art. 45c lit. b FMG). Für Bearbeitungen zu Statistikzwecken können Sie sich zudem auf ein überwiegendes eigenes Interesse berufen, sofern Sie die Daten anonymisieren, sobald der Zweck es erlaubt, und die Ergebnisse so auswerten, dass niemand bestimmbar ist (Art. 31 Abs. 2 lit. e DSG). Eine Einwilligung brauchen Sie dagegen für Werbe-Cookies und für Werkzeuge, die Besucher über Geräte oder Websites hinweg wiedererkennen — und der strengere europäische Massstab gilt, sobald sich Ihre Website auch an Publikum in der EU richtet.
Datensparsame Einbindungen. Externe Dienste (Schriftarten, Karten, Videos) laden oft Daten zu Dritten. Lokal einbinden oder erst nach Einwilligung nachladen.
Auftragsbearbeitungsvertrag (ADV). Mit Dienstleistern, die in Ihrem Auftrag Daten bearbeiten — allen voran der Hosting-Anbieter — braucht es einen ADV.
Datenstandort bewusst wählen. Wo Ihre Website und die Daten liegen, ist relevant. Ein Hosting mit Datenstandort Schweiz oder EU schafft Klarheit und Vertrauen.

Häufige Datenschutz-Fallen

Drei Klassiker begegnen uns immer wieder. Erstens Google Fonts aus der Ferne: Werden Schriften direkt von Google-Servern geladen, fliesst die IP-Adresse der Besucher mit — besser lokal einbinden. Zweitens Statistik ohne Rechtsgrundlage: Werkzeuge, die Besucher wiedererkennen und Daten an Dritte senden, ohne dass die Besucher darüber informiert wurden und widersprechen könnten. Drittens die veraltete oder generische Datenschutzerklärung, die nicht zu den tatsächlich eingesetzten Werkzeugen passt. Alle drei sind mit überschaubarem Aufwand behebbar.

Für Webseitenbetreiber: Was bedeutet das für Ihre Website?

Sie müssen kein Datenschutzexperte werden, aber Sie sollten die Grundlagen im Griff haben: HTTPS, eine passende Datenschutzerklärung, ein Consent-Mechanismus für Tracking und datensparsame Einbindungen — Datensicherheit gehört ebenso dazu (siehe Sicherheits-Grundlagen). Wir setzen diese technischen Punkte um und achten schon beim Hosting auf einen sinnvollen Datenstandort — laufend gepflegt über die Wartung. Für die verbindliche rechtliche Beurteilung Ihres konkreten Falls arbeiten Sie mit einer Anwältin oder einem Anwalt zusammen; wir kümmern uns um die saubere technische Umsetzung.

Für Agenturen und Entwickler: die Umsetzung

Sauber umgesetzt heisst: Skripte, die eine Einwilligung brauchen — Werbe-Werkzeuge und alles, was Besucher wiedererkennt —, erst nach dem Consent nachladen (Consent-Mode / bedingtes Laden). Für eine cookielose, aggregierte Zählung nach Schweizer Recht genügen stattdessen ein verständlicher Abschnitt in der Datenschutzerklärung und ein Ablehnungslink an prominenter Stelle, etwa im Footer; wer Publikum in der EU hat, nimmt auch sie in das Consent-Werkzeug auf. Google Fonts und ähnliche Assets lokal ausliefern. Formulardaten verschlüsselt übertragen, sparsam speichern und mit einer definierten Löschfrist versehen. IP-Anonymisierung wo möglich, ein dokumentiertes Verzeichnis der eingesetzten Dienste und der Datenflüsse. Prüfen Sie mit den Entwicklertools des Browsers, welche externen Requests wirklich vor dem Consent feuern — dort verstecken sich die meisten Verstösse.

Fazit

Datenschutzkonformität ist zu einem grossen Teil handwerkliche Sorgfalt: Transparenz, HTTPS, Einwilligung fürs Tracking, datensparsame Einbindungen und ein ADV mit dem Hoster. Die technischen Grundlagen sind machbar — die rechtliche Einordnung Ihres konkreten Falls gehört in fachkundige juristische Hände. Diese Aufteilung schützt Sie am besten.

Häufig gestellte Fragen zum Datenschutz

Braucht meine Website ein Cookie-Banner?

Das hängt von Ihren Werkzeugen und von Ihrem Publikum ab. Technisch notwendige Cookies brauchen keine Einwilligung. Für die Schweiz verlangt das Gesetz auch darüber hinaus keine Einwilligung, sondern Information über Bearbeitung und Zweck sowie den Hinweis, dass man sie ablehnen kann (Art. 45c lit. b FMG); der EDÖB hält in seinem Leitfaden ausdrücklich fest, dass weder das Datenschutzgesetz noch Art. 45c FMG eine Einwilligung zwingend voraussetzen. Eine cookielose, aggregierte Besucherzählung kommt damit ohne Banner aus — vorausgesetzt, die Datenschutzerklärung beschreibt sie verständlich und der Ablehnungslink steht an prominenter Stelle, nicht versteckt. Werbe-Cookies und Werkzeuge, die Besucher über Geräte oder Websites hinweg wiedererkennen, brauchen dagegen eine Einwilligung. Richtet sich Ihre Website auch an Publikum in der EU, gilt der strengere europäische Massstab: Die dortigen Aufsichtsbehörden haben eine Freistellung der Reichweitenmessung ausdrücklich nicht ausgesprochen, und eine deutsche Behörde hat 2025 ein cookieloses Tracking untersagt, unter anderem weil kein Einwilligungsbanner vorhanden war.

Gilt für mich als Schweizer Firma die DSGVO oder das revDSG?

In erster Linie das revDSG. Die europäische DSGVO kann zusätzlich greifen, sobald Sie Personendaten von Menschen in der EU bearbeiten — etwa wenn Sie sich gezielt an Kundschaft in Deutschland oder Österreich richten. Viele Anforderungen überschneiden sich. Die genaue Einordnung für Ihren Fall sollten Sie rechtlich klären lassen.

Sind Google Fonts ein Datenschutzproblem?

Wenn sie direkt von Google-Servern geladen werden, wird die IP-Adresse der Besucher an Google übermittelt — das ist ein häufiger Kritikpunkt. Die einfache Lösung: die Schriften lokal auf dem eigenen Server einbinden, sodass keine Verbindung zu Dritten entsteht. Das ist technisch schnell erledigt und entschärft den Punkt zuverlässig.

Reicht ein Datenschutz-Plugin, um alles abzudecken?

Nein. Ein Consent-Plugin ist ein hilfreicher Baustein, ersetzt aber weder die passende Datenschutzerklärung noch die datensparsame Umsetzung noch die rechtliche Beurteilung. Konformität entsteht aus dem Zusammenspiel von Technik, Dokumentation und rechtlicher Einordnung — ein einzelnes Plugin liefert nur einen Teil davon.

Quellen

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) — Datenschutz
Fedlex — Fernmeldegesetz (FMG), Art. 45c «Daten auf fremden Geräten»
Fedlex — Datenschutzgesetz (DSG), Art. 31 «Rechtfertigungsgründe»
EDÖB — Leitfaden betreffend Datenbearbeitungen mittels Cookies und ähnlichen Technologien, V. 1.1 vom 06.10.2025 (PDF)
Piwik PRO — Datenschutzgesetz Schweiz 2023 (revDSG): der praktische Leitfaden