Wer Websites betreibt, Leads generiert oder Kundendaten im Support verarbeitet, muss Betroffene transparent darüber informieren. Diese Informationspflichten sind in der Schweiz im Datenschutzgesetz (DSG) verankert und in der Europäischen Union über die Datenschutz-Grundverordnung (DSGVO).
Wir erklären Unterschiede und Gemeinsamkeiten der Regelungen, welche Angaben Ihre Datenschutzhinweise enthalten sollten, wo typische Lücken entstehen und wie Sie Informationspflichten so organisieren, dass Marketing und Vertrieb handlungsfähig bleiben.
Was sind Informationspflichten und warum sind sie für Marketing und Vertrieb so wichtig?
Informationspflichten sind die Obliegenheit, Betroffene in verständlicher Form darüber zu informieren, wie und zu welchen Zwecken ihre Personendaten verarbeitet werden. Die wesentlichen Vorgaben dazu finden Sich in Art. 19 DSG bzw. Art. 13 und 14 DSGVO.
Für Marketing und Vertrieb ist das eines der wichtigsten Themen: Transparenz entscheidet mit darüber, ob Einwilligungen wirksam sind, ob Tracking rechtskonform aufgesetzt ist und ob Leads und Kundenkontakte rechtssicher genutzt werden können.
In der Praxis gilt: Je komplexer Ihre Datenflüsse (Website, Consent-Management, CRM, Support, Analytics, Werbeplattformen), desto mehr zahlt sich eine klare, gepflegte Transparenzdokumentation aus.
Was sind die wichtigsten Unterschiede zwischen DSGVO und DSG bei den Informationspflichten?
Beide Regelwerke verlangen Transparenz. Unternehmen müssen darüber informieren, wer Personendaten bearbeitet, zu welchem Zweck dies geschieht und an wen die Daten weitergegeben werden.
Die DSGVO verlangt jedoch regelmässig mehr Detailangaben. Dazu gehören insbesondere die konkrete Rechtsgrundlage, die Speicherdauer, die einzelnen Betroffenenrechte, das Beschwerderecht bei einer Aufsichtsbehörde sowie Informationen über automatisierte Entscheidungen. Bei Daten aus Drittquellen müssen zudem die Herkunft der Daten und bestimmte Informationsfristen angegeben werden.
Das Schweizer DSG ist offener formuliert. Es verlangt insbesondere Informationen über den Verantwortlichen, den Bearbeitungszweck, die Empfänger sowie bei Auslandübermittlungen über den Empfängerstaat und allfällige Garantien. Die Informationen müssen so vollständig sein, dass betroffene Personen ihre Rechte ausüben können.
Beispiel: Bei einem Online-Bewerbungsformular sollte ein Schweizer Unternehmen über den Zweck der Datenbearbeitung, die zugriffsberechtigten Personen, eingesetzte Dienstleister und die Speicherdauer informieren. Unter der DSGVO müssen zusätzlich regelmässig die Rechtsgrundlage, das Beschwerderecht und gegebenenfalls automatisierte Auswertungen genannt werden.
Der Unterschied liegt daher vor allem in der Detailtiefe: Die DSGVO enthält einen stärker formalisierten Pflichtenkatalog, während das Schweizer DSG flexibler formuliert ist. Bei umfangreichen, sensiblen oder grenzüberschreitenden Bearbeitungen sind die Informationsanforderungen jedoch auch in der Schweiz hoch.
Für international tätige Unternehmen ist entscheidend, dass Ihre Datenschutzhinweise oft zwei Perspektiven gleichzeitig abdecken müssen: Sowohl die Anforderungen der DSGVO (z. B. für Betroffene in der EU) als auch die Anforderungen des Schweizer DSG (z. B. für Beschäftigte oder Kunden in der Schweiz oder Schweizer Niederlassungen).
Typische Praxisfolge: Ein einzelner, globaler Hinweistext ist möglich, aber nur, wenn er die nötigen Informationen so strukturiert enthält, dass Betroffene sie schnell finden. Reine Minimalhinweise oder Copy-Paste aus alten Vorlagen führen häufig zu Lücken, etwa bei Empfängerkategorien, Speicherdauer-Logik oder internationalen Datentransfers.
Welche Inhalte gehören in Datenschutzhinweise?
Ein guter Datenschutzhinweis beantwortet drei Fragen: Was passiert mit meinen Daten, warum passiert es, und welche Optionen habe ich?
Aus Unternehmenssicht sollten Sie die Inhalte so aufbauen, dass sie über alle Kanäle konsistent sind (Website, Formulare, Event-Anmeldungen, Support-Portal, Social Media Lead Ads). Als Mindeststandard sollten Ihre Datenschutzhinweise die folgenden Punkte abdecken (ausgerichtet an DSG und ggfs. DSGVO, je nach Anwendbarkeit):
- Verantwortliche Stelle und Kontaktmöglichkeiten (inklusive Datenschutzkontakt, falls vorhanden)
- Zwecke der Verarbeitung – konkret und kanalbezogen (z. B. Leadbearbeitung, Newsletter, Retargeting, Support)
- Rechtsgrundlagen bzw. Rechtfertigungsgründe (z. B. Einwilligung, Vertragserfüllung, berechtigtes Interesse), ggfs. aufgeschlüsselt nach DSG und DSGVO
- Art und Umfang der bearbeiteten Personendaten
- Empfänger oder Empfängerkategorien (z. B. CRM-Dienstleister, Versanddienstleister, Werbeplattformen)
- Datenübermittlungen ins Ausland und die dafür genutzten Garantien (z. B. Standardvertragsklauseln)
- Speicherdauer bzw. Kriterien zur Festlegung der Dauer («wir speichern so lange wie nötig» ist in der Regel nicht ausreichend)
- Betroffenenrechte und wie sie praktisch ausgeübt werden können
- Hinweise auf automatisierte Entscheidungen/Profiling, falls relevant
- Quelle der Daten, wenn Daten nicht direkt bei der betroffenen Person erhoben wurden
Das Schweizer DSG verlangt eine verständliche und leicht zugängliche Information der Betroffenen, Art. 19 Abs. 2 DSG fordert eine transparente Darstellung. Datenschutzhinweise, die sich an Betroffene in der EU wenden, müssen (nach Art. 12 DSGVO) «in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache» verfasst sein.
Eine ausdrückliche Pflicht zur Übersetzung in bestimmte Sprachen enthält das DSG zwar nicht. Bei mehrsprachigen Angeboten sollten Datenschutzhinweise jedoch grundsätzlich in den jeweiligen Angebotssprachen bereitgestellt werden.
Tipp: Nutzen Sie unsere kostenfreien Vorlagen, um Ihre Informationspflichten angemessen zu erfüllen:
Wie lassen sich Informationspflichten kanalübergreifend richtig umsetzen?
Informationspflichten sind mit einem einfachen Text irgendwo auf der Website nicht ausreichend erfüllt. Die Aufklärung muss dort erfolgen, wo Daten erhoben werden – also an allen Kontaktpunkten.
Für Marketing und Vertrieb lohnt sich ein Baukastenansatz: ein zentraler Datenschutzhinweis plus kurze, kontextbezogene Layer direkt am Formular oder im jeweiligen Tool:
Website-Formulare
Platzieren Sie den Link zum passenden Datenschutzhinweis direkt am Formular und beschreiben Sie den Zweck in einem Satz. Wenn Einwilligungen eingesetzt werden (z. B. Newsletter), trennen Sie diese sauber von rein funktionalen Hinweisen und dokumentieren Sie, wie die Einwilligung erteilt wird.
CRM und Lead-Importe
Sobald Leads aus Drittsystemen, Events oder Plattformen ins CRM wandern, entsteht oft eine Transparenzlücke. Stellen Sie sicher, dass Ihre Prozesse abbilden, wann und wie Sie die betroffenen Personen informieren besonders, wenn Daten nicht direkt erhoben wurden.
Support und Ticketing
Hier werden häufig zusätzliche Daten (Logfiles, Screenshots, Anhänge) verarbeitet. Erklären Sie, welche Kategorien von Daten typischerweise anfallen, welche Dienstleister eingebunden sind und wie lange Tickets und Anhänge gespeichert werden.
Damit Informationspflichten nicht zur Dauerbaustelle werden, hilft ein klarer Prozess mit wenigen, aber verbindlichen Artefakten:
- Inventarisieren Sie die Kontaktpunkte (Website, Formulare, Events, CRM, Support) und die jeweils genutzten Tools.
- Definieren Sie pro Kontaktpunkt die Zwecke, Datenkategorien, Empfänger und Speicherdauern als kurze Regeln.
- Bauen Sie daraus einen zentralen Datenschutzhinweis plus kurze kontextbezogene Hinweise (Layer) an den Erhebungsstellen.
- Verankern Sie eine Änderungsroutine: Neue Tools oder Kampagnen dürfen nur live gehen, wenn Transparenztext und Dokumentation aktualisiert sind.
Wie können Sie häufige Fehler bei den Informationspflichten vermeiden?
Viele Unternehmen scheitern nicht an der Idee der Transparenz, sondern an der operativen Umsetzung. Drei Fehler treten besonders häufig auf:
- Datenschutzhinweise sind zu allgemein und spiegeln die tatsächlichen Tools und Zwecke nicht wider.
- Tracking und Werbeplattformen werden genannt, aber Empfänger, Datenkategorien und Transfer bleiben unklar.
- Speicherdauern sind nicht konkret beschrieben (z. B.: «Lead ohne Aktivität: Löschung nach X Monaten»), sondern nur als Floskel.
Praxiserfahrung: Häufig zeigt sich im Marketing, dass neue Tools (z. B. Chat-Widget) live gehen, ohne dass die Datenschutzhinweise und das Verzeichnis der Berarbeitungstätigkeiten zeitnah nachgezogen werden. Hier drohen Abmahnungen!
Fazit: Transparenz muss im Alltag funktionieren
Informationspflichten nach Schweizer Datenschutzgesetz und EU-Datenschutz-Grundverordnung und sind kein Textprojekt, sondern ein Betriebsmodell für Ihren Kunden- und Lead-Prozess. Wenn Sie Kontaktpunkte sauber erfassen, Zwecke und Speicherdauern als Regeln formulieren und Hinweise dort platzieren, wo Daten erhoben werden, reduzieren Sie Rechtsrisiken.
Der beste erste Schritt ist meist ein kurzer Transparenz-Check: Stimmen die Datenschutzhinweise, das Consent-Setup und die tatsächlich genutzten Tools noch überein und wer aktualisiert was, bevor die nächste Kampagne live geht?