Datenschutz im Onlineshop: revDSG, DSGVO, Cookies und Newsletter
Von Advisorn · aktualisiert am 26. Oktober 2026
Kurz gesagt
Ein Schweizer Onlineshop fällt unter das DSG und, wenn er seine Produkte Personen in der EU anbietet (Lieferung, Preise in Euro, Website in ihren Sprachen), auch unter die DSGVO (Art. 3 Abs. 2 DSGVO). Es braucht eine Datenschutzerklärung auf der Website, ein auf das Publikum abgestimmtes Cookie-Banner, die Einwilligung für den Newsletter (Art. 3 Abs. 1 lit. o UWG) und Verträge mit den Anbietern, oft mit Daten in den USA.
Die typischen Daten
- Kundenkonten, Liefer- und Rechnungsadressen;
- Bestellungen, Retouren und Korrespondenz mit dem Kundendienst;
- Zahlungsdaten, in der Regel vom Zahlungsanbieter bearbeitet;
- Cookies, Statistiken und Werbedaten;
- Newsletter-Anmeldungen und Bewertungen.
Besonders schützenswerte Personendaten
In der Regel keine, aber Vorsicht bei Produkten, die sie verraten: Aus Medikamenten, Gesundheits- oder religiösen Artikeln lassen sich Daten über die Gesundheit oder die Weltanschauung ableiten. Personalisierte Empfehlungen auf Grundlage vieler Daten können ein Profiling sein (Art. 5 lit. f DSG).
Wann auch die DSGVO gilt
Die DSGVO gilt, wenn sich der Shop an Personen in der EU richtet: Er liefert in die EU, zeigt Preise in Euro, hat eine Website in der Sprache eines Mitgliedstaats, die für diesen Markt gedacht ist. Dann braucht es auch einen Vertreter in der EU (Art. 27 DSGVO), ausser die Bearbeitung erfolgt nur gelegentlich und mit geringem Risiko; und für nicht notwendige Cookies verlangen die Gesetze der Mitgliedstaaten, die die ePrivacy-Richtlinie umsetzen, die Einwilligung der Besucherinnen und Besucher aus der EU.
Die typischen Anbieter
- die Shop-Plattform und das Hosting;
- der Zahlungsanbieter;
- der Versanddienst;
- das Newsletter-Tool;
- die Statistik- und Werbetools, oft in den USA.
Newsletter
Werbe-E-Mails verlangen die Einwilligung, ausser an Kunden für ähnliche Produkte, wenn ihnen gesagt wurde, dass sie ablehnen können (Art. 3 Abs. 1 lit. o UWG). Jeder Versand muss eine einfache Abmeldung ermöglichen.
Verwandte Fragen
- revDSG und DSGVO: Was sind die Unterschiede, und wann gelten beide?
- Cookies und Banner: Braucht es in der Schweiz eine Einwilligung?
- Newsletter: Braucht es in der Schweiz eine Einwilligung für Werbe-E-Mails?
- Darf ich Anbieter mit Servern in den USA oder in der EU nutzen?
- Was ist Profiling, und wann bringt es ein hohes Risiko mit sich?
- Eine Person verlangt die Löschung ihrer Daten: Was ist zu tun?
Nützliche Vorlagen
- Vorlage Datenschutzerklärung für die Website (DSG und DSGVO)
- Vorlage Cookie-Richtlinie für Websites in der Schweiz und der EU
- Vorlage Auftragsbearbeitungsvertrag (Art. 9 DSG, Art. 28 DSGVO)
- Vorlage Beurteilung einer Bekanntgabe von Daten ins Ausland (TIA)
- Vorlage Mandat für den Vertreter in der EU (Art. 27 DSGVO)
- Vorlage Verfahren für Begehren betroffener Personen
Die anderen Branchen
Allgemeine Informationen, keine Beratung zu Ihrem Fall: Für Ihren Fall zählt der Gesetzestext, und in einer Branche mit eigenen Regeln auch diese.