Kostenlose Vorlage: Datenschutzerklärung nach nDSG
Das revidierte Schweizer Datenschutzgesetz (nDSG) ist seit dem 1. September 2023 in Kraft und verpflichtet jedes Unternehmen, das Personendaten bearbeitet, zu einer transparenten Information der Betroffenen. Die Doxuno-Vorlage führt Sie durch alle Pflichtangaben nach nDSG Art. 19: Datenarten, Bearbeitungszwecke, Rechtsgrundlagen, Empfänger, Aufbewahrung, Drittlandtransfers, Cookies und Tools — inkl. Hinweisen auf Google Analytics, Meta Pixel und Einwilligungs-Banner.
| Verantwortlicher | Muster AG |
| Adresse | Bahnhofstrasse 10, 8001 Zürich |
| datenschutz@muster.ch | |
| Telefon | +41 44 123 45 67 |
| Webseite | https://www.muster.ch |
• Name und Vorname
• E-Mail-Adresse
• Telefonnummer
• Postadresse
• Zahlungsinformationen (IBAN, Kreditkarte)
• IP-Adresse und Logdaten
• Cookies und Tracking-Daten
Die Datenerhebung erfolgt transparent im Sinne der Informationspflicht nach nDSG Art. 19 — in der Regel durch direkte Angabe der betroffenen Person, durch Nutzung unserer Dienste oder automatisiert beim Besuch der Webseite. Besonders schützenswerte Personendaten (nDSG Art. 5 lit. c) werden nur bearbeitet, soweit dies ausdrücklich vorgesehen oder gesetzlich zulässig ist.
• Vertragsabwicklung und Kundenbetreuung
• Newsletter- und Marketingkommunikation
• Webseitenanalyse und Verbesserung der Dienste
• Gewährleistung der IT-Sicherheit und Missbrauchsvermeidung
• Erfüllung gesetzlicher Aufbewahrungs- und Meldepflichten
• Kundensupport und Bearbeitung von Anfragen
Eine Bearbeitung zu anderen als den angegebenen Zwecken erfolgt nur, sofern dies mit dem ursprünglichen Zweck vereinbar ist, eine neue Einwilligung eingeholt wurde oder eine gesetzliche Grundlage besteht.
Das revidierte Schweizer Datenschutzgesetz (nDSG) verlangt — anders als die EU-DSGVO — grundsätzlich keine ausdrückliche Rechtsgrundlage für jede Bearbeitung durch Private. Die Bearbeitung ist zulässig, solange sie die Persönlichkeit der betroffenen Person nicht widerrechtlich verletzt (nDSG Art. 30 f.) und die Grundsätze nach nDSG Art. 6 eingehalten werden. Rechtfertigungsgründe bei sonst widerrechtlicher Bearbeitung sind Einwilligung, überwiegendes privates oder öffentliches Interesse oder Gesetz (nDSG Art. 31).
Mögliche Empfänger Ihrer Daten sind insbesondere:
Hetzner Online GmbH (Hosting), Stripe Payments Europe Ltd. (Zahlungsabwicklung), Mailchimp / Intuit Inc. (Newsletter-Versand), Microsoft Ireland Operations Ltd. (Cloud-Infrastruktur)
Werden Dritte als Auftragsbearbeiter beigezogen (IT-Dienstleister, Hosting, Zahlungsabwicklung, Buchhaltung usw.), so verpflichten wir diese vertraglich auf die Einhaltung der datenschutzrechtlichen Vorgaben. Die Auftragsbearbeiter dürfen Personendaten nur so bearbeiten, wie es der Verantwortliche selbst tun dürfte (nDSG Art. 9 Abs. 1).
Die aktuelle Liste der Staaten mit angemessenem Datenschutzniveau wird vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) geführt und ist öffentlich einsehbar. Bei Bekanntgaben ohne angemessenen Datenschutz ist der Verantwortliche verpflichtet, geeignete Garantien nach nDSG Art. 16 Abs. 2 sicherzustellen.
Die Aufbewahrungsdauer richtet sich nach dem Zweck der Bearbeitung und den anwendbaren gesetzlichen Aufbewahrungspflichten. Personendaten, die für die Aufgabenerfüllung nicht mehr erforderlich sind, werden unverzüglich vernichtet oder anonymisiert (nDSG Art. 6 Abs. 4 — Grundsatz der Datenminimierung).
• Technisch notwendige Cookies: Für den Betrieb der Webseite erforderlich, setzen keine Einwilligung voraus.
• Analyse-Cookies: Dienen der anonymisierten Nutzungsmessung (Reichweite, Verweildauer).
• Marketing-Cookies: Ermöglichen personalisierte Werbung und Retargeting auf Drittplattformen.
• Präferenz-Cookies: Speichern Spracheinstellungen, Region und weitere Benutzereinstellungen.
Sie können Ihre Cookie-Einstellungen jederzeit über unsere Cookie-Consent-Lösung anpassen. Nicht technisch notwendige Cookies werden erst nach Ihrer aktiven Einwilligung gesetzt (Opt-in).
• Google Analytics 4 (Google Ireland Ltd. / Google LLC) — Webanalyse; Datenübermittlung in die USA nach nDSG Art. 16 möglich.
• Google Tag Manager (Google Ireland Ltd.) — Tag-Management-System zur Verwaltung von Marketing- und Analyse-Tags.
• Hotjar / Microsoft Clarity — Heatmaps und Session-Recording zur Verbesserung der Nutzerfreundlichkeit.
Diese Dienste können Daten in Länder ausserhalb der Schweiz — insbesondere in die USA — übermitteln. Eine solche Übermittlung erfolgt nur unter Einhaltung der Voraussetzungen nach nDSG Art. 16 ff. (Standardvertragsklauseln, Angemessenheitsbeschluss oder Einwilligung). Detaillierte Informationen zu Zweck, Umfang und Rechtsgrundlage der einzelnen Dienste finden Sie in den Datenschutzerklärungen der jeweiligen Anbieter.
• Auskunftsrecht (nDSG Art. 25): Sie können Auskunft darüber verlangen, ob und welche Personendaten wir über Sie bearbeiten, inklusive Zweck, Kategorien, Empfänger und Aufbewahrungsdauer.
• Recht auf Datenherausgabe und Datenportabilität (nDSG Art. 28): Sie können die Herausgabe Ihrer Personendaten in einem gängigen elektronischen Format oder die direkte Übermittlung an einen anderen Verantwortlichen verlangen.
• Recht auf Berichtigung (nDSG Art. 32 Abs. 1): Sie können die Berichtigung unrichtiger Personendaten verlangen.
• Recht auf Löschung / Vernichtung: Sie können unter den Voraussetzungen von nDSG Art. 32 Abs. 2 die Vernichtung Ihrer Daten verlangen, soweit die Bearbeitung nicht mehr erforderlich oder rechtswidrig ist.
• Widerspruchsrecht: Sie können der Bearbeitung widersprechen, sofern kein überwiegendes öffentliches oder privates Interesse entgegensteht.
• Recht auf Widerruf der Einwilligung: Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
• Beschwerderecht: Sie können beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) Beschwerde einreichen.
Zur Ausübung Ihrer Rechte wenden Sie sich bitte schriftlich an: datenschutz@muster.ch. Wir werden Ihr Anliegen innerhalb von 30 Tagen beantworten (nDSG Art. 25 Abs. 7). Eine Identitätsprüfung kann zum Schutz Ihrer Daten verlangt werden.
Dr. Anna Keller
E-Mail: datenschutz@muster.ch
• SSL/TLS-Verschlüsselung aller Datenübertragungen (HTTPS)
• Firewalls und Intrusion-Detection-Systeme
• Regelmässige, verschlüsselte Datensicherungen
• Zugriffskontrollen, Rollen- und Berechtigungskonzepte
• Verschlüsselung gespeicherter Daten (At-Rest-Encryption)
Verletzungen der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führen, melden wir dem EDÖB so rasch als möglich (nDSG Art. 24). Die betroffenen Personen werden informiert, soweit dies zu ihrem Schutz erforderlich ist oder der EDÖB dies verlangt.
Stand: 1. April 2026
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter
Feldeggweg 1, 3003 Bern
Webseite: www.edoeb.admin.ch
Sie haben das Recht, beim EDÖB eine Anzeige gemäss nDSG Art. 49 einzureichen. Unabhängig davon steht Ihnen der zivilrechtliche Weg nach ZGB Art. 28 ff. zum Schutz Ihrer Persönlichkeit offen. Für die Durchsetzung zivilrechtlicher Ansprüche richtet sich der Gerichtsstand nach der Schweizerischen Zivilprozessordnung (ZPO Art. 20).
Was ist eine Datenschutzerklärung nach nDSG?
Eine Datenschutzerklärung ist die öffentlich zugängliche Information, mit der ein Unternehmen (Verantwortlicher nach nDSG Art. 5 lit. j) den betroffenen Personen erklärt, welche Personendaten es bearbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage und mit welchen Empfängern. Die Informationspflicht ergibt sich direkt aus nDSG Art. 19 und muss spätestens bei der Datenerhebung erfüllt werden. In der Praxis erfolgt dies durch eine auf der Website leicht auffindbare Seite, typischerweise unter "/datenschutz".
Das nDSG löst das DSG von 1992 ab und wurde massgeblich an die EU-DSGVO angeglichen, behält jedoch Schweizer Eigenheiten: risikobasierter Ansatz (kein Verbotsprinzip), detaillierte Informationspflichten, Meldung von Datenverletzungen an den EDÖB (nDSG Art. 24), strengere Anforderungen an die Auftragsbearbeitung (nDSG Art. 9) und Bussen für natürliche Personen bis CHF 250’000 bei vorsätzlichen Verstössen (nDSG Art. 60 ff.). Für CH-Unternehmen, die auch EU-Betroffene bearbeiten, gelten nDSG und DSGVO parallel.
Die Pflicht zur Datenschutzerklärung betrifft alle Organisationen, unabhängig von der Rechtsform — Einzelunternehmen, Vereine, Stiftungen, AG, GmbH. Inhaltlich muss sie mindestens die Identität und Kontaktdaten des Verantwortlichen, den Bearbeitungszweck, die Empfänger oder Kategorien von Empfängern sowie — bei Auslandbearbeitung — den Staat und die Garantien enthalten (nDSG Art. 19 Abs. 2–4). Bei besonders schützenswerten Personendaten (Gesundheit, religiöse Überzeugung, biometrische Daten) gelten erhöhte Informationsanforderungen.
Was diese Vorlage abdeckt
Die Doxuno-Vorlage deckt alle Pflichtangaben nach nDSG Art. 19 ab und bietet konfigurierbare Abschnitte für typische Website-, SaaS- und E-Commerce-Szenarien.
Identität und Kontaktdaten des Verantwortlichen
Firma, Adresse, E-Mail, Website und Telefon
Datenschutzberater (DSB)
Optional nach nDSG Art. 10
Datenarten
Kontakt, Zahlungen, IP, Cookies, Gesundheit (besonders schützenswert)
Bearbeitungszwecke
Vertragsabwicklung, Newsletter, Analyse, Sicherheit, Support
Rechtsgrundlagen
Einwilligung, Vertrag, gesetzliche Pflicht oder berechtigtes Interesse
Empfänger und Auftragsbearbeiter
Verweis auf AVV und Drittanbieter-Services
Bekanntgabe ins Ausland
Angemessenheit und Garantien nach nDSG Art. 16–18
Aufbewahrungsdauer
Zweckbindung oder konkrete Fristen
Cookies und Tracking
Essenzielle, Analyse-, Marketing- und Präferenz-Cookies
Tools von Drittanbietern
Google Analytics, GTM, Meta Pixel, Hotjar, LinkedIn
Rechte der Betroffenen
Auskunft, Berichtigung, Löschung, Datenherausgabe (nDSG Art. 25–28)
Datensicherheit und Meldepflicht
TOM und Meldung an EDÖB nach nDSG Art. 24
So erstellen Sie Ihre Datenschutzerklärung
Die Vorlage ist so konzipiert, dass ein typisches KMU ohne juristische Unterstützung in 15–20 Minuten eine nDSG-konforme Datenschutzerklärung erstellen kann.
- 1
Geben Sie Organisationstyp und Kontaktdaten ein
Wählen Sie Einzelunternehmen oder juristische Person und erfassen Sie Firmenname, Adresse, E-Mail, Telefon und Website. Bei Unternehmen mit Datenschutzberater (nDSG Art. 10) geben Sie Name und Kontakt-E-Mail des DSB an.
- 2
Wählen Sie Datenarten und Zwecke
Markieren Sie die Datenarten, die Sie bearbeiten (Kontaktdaten, Zahlungsinformationen, IP-Adressen, Cookies, Gesundheitsdaten als besonders schützenswerte Daten). Wählen Sie die Zwecke: Vertragsabwicklung, Newsletter, Analyse, Sicherheit, Support.
- 3
Bestimmen Sie Rechtsgrundlage und Empfänger
Wählen Sie die Rechtsgrundlage je Bearbeitung (Einwilligung, Vertragserfüllung, gesetzliche Pflicht oder berechtigtes Interesse). Geben Sie an, ob Daten an Auftragsbearbeiter oder Dritte weitergegeben werden, und wo sich diese befinden (Schweiz, EU, USA).
- 4
Konfigurieren Sie Cookies und Tools
Markieren Sie die Cookie-Kategorien (essenziell, Analyse, Marketing, Präferenzen) und wählen Sie die eingesetzten Drittanbieter-Tools (Google Analytics 4, Google Tag Manager, Meta Pixel, Hotjar, LinkedIn Insight Tag). Entscheiden Sie, ob ein Consent-Management-Tool im Einsatz ist.
- 5
Aufbewahrung, Auskunftsrecht und Veröffentlichung
Bestimmen Sie die Aufbewahrungsdauer (zweckgebunden oder konkrete Fristen) und den Umgang mit Profiling. Tragen Sie das Datum der aktuellen Fassung ein. Laden Sie das PDF herunter, kopieren Sie den Text in eine eigene Seite Ihrer Website (z. B. /datenschutz) und verlinken Sie sie gut sichtbar im Footer.
Rechtliche Hinweise nach Schweizer Recht
Die Datenschutzerklärung muss inhaltlich korrekt und aktuell sein. Falsche oder unvollständige Angaben können Bussen und zivilrechtliche Ansprüche zur Folge haben.
Diese Vorlage dient ausschliesslich zu Informationszwecken und ersetzt keine individuelle Rechtsberatung. Bei Bearbeitung grosser Datenmengen, regelmässigem Profiling, besonders schützenswerten Daten oder umfangreichen internationalen Datentransfers empfehlen wir die Prüfung durch einen Datenschutzspezialisten oder Datenschutzberater (DSB).
Geprüft nach Schweizer Recht (nDSG, DSV, EU-DSGVO)
Informationspflicht bei Beschaffung (nDSG Art. 19)
Der Verantwortliche muss die betroffene Person bei der Beschaffung von Personendaten angemessen informieren (nDSG Art. 19 Abs. 1). Die Information umfasst zwingend: Identität und Kontaktdaten des Verantwortlichen, Bearbeitungszweck, Empfänger oder Kategorien von Empfängern sowie, bei Auslandbearbeitung, den Staat und die Garantien (Abs. 2–4). Die Information muss in verständlicher Form, gut zugänglich und klar erkennbar erfolgen — in der Praxis durch die Datenschutzerklärung auf der Website, typischerweise verlinkt im Footer oder bei jedem Formular.
Rechte der Betroffenen (nDSG Art. 25–28)
Betroffene Personen haben das Recht auf Auskunft (nDSG Art. 25), auf Berichtigung (Art. 32 Abs. 1), auf Datenherausgabe/Portabilität (Art. 28) und auf Widerspruch bei automatisierten Einzelentscheidungen (Art. 21). Das Auskunftsrecht umfasst die bearbeiteten Personendaten, Herkunft, Zweck und Rechtsgrundlage, Dauer oder Kriterien der Aufbewahrung sowie Empfänger. Die Auskunft muss in der Regel innerhalb von 30 Tagen erteilt werden; Kosten werden nur in Ausnahmefällen erhoben (nDSG Art. 25 Abs. 6).
Drittlandtransfer (nDSG Art. 16–18)
Bekanntgabe von Personendaten ins Ausland ist nur zulässig, wenn der Bundesrat den angemessenen Schutz festgestellt hat (Liste in DSV Anhang 1 — u.a. EU/EWR, UK, Andorra, Argentinien, Japan) oder geeignete Garantien vorliegen (EDÖB-Standardvertragsklauseln, verbindliche unternehmensinterne Datenschutzvorschriften, ausdrückliche Einwilligung). Für Transfers in die USA ist das "Swiss-US Data Privacy Framework" unter bestimmten Voraussetzungen eine gültige Grundlage (Entscheid des Bundesrats vom August 2024), sofern das empfangende US-Unternehmen zertifiziert ist.
Meldung von Datenverletzungen (nDSG Art. 24)
Der Verantwortliche meldet dem EDÖB eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder Grundrechte der betroffenen Person führt, "raschmöglich" (nDSG Art. 24 Abs. 1). In der Praxis wird eine 72-Stunden-Frist (wie in der DSGVO) als Orientierung empfohlen. Die betroffene Person ist zu informieren, wenn dies zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Die Meldung erfolgt über das elektronische Meldeformular des EDÖB (edoeb.admin.ch).
Häufige Fragen
Erstellen Sie jetzt Ihre Datenschutzerklärung
nDSG-konform, praxisgeprüft und mit allen Pflichtangaben — in wenigen Minuten als PDF erstellt und direkt auf Ihrer Website einsetzbar.
Kostenlos · Sofort PDF · Kein Konto erforderlich