Sicherheit + Datenschutz

Drei Schweizer Pflichten, ein konsistenter Ansatz.

Sicherheit und Datenschutz auf einer KMU-Webseite haben sich seit 2024 deutlich verändert. Drei Regelwerke greifen heute parallel und müssen sauber zusammen gedacht werden:

• revDSG — das revidierte Schweizer Datenschutzgesetz, in Kraft seit 1. September 2023. Rechtsgrundlage für jede Schweizer Webseite.
• DSGVO — die EU-Datenschutz-Grundverordnung. Gilt für jede Schweizer Site, die Menschen in der EU erreicht — also praktisch jede.
• BFSG — das deutsche Barrierefreiheitsstärkungsgesetz (Umsetzung der EU-Richtlinie 2019/882), anwendbar seit 28. Juni 2025. Erfasst Schweizer Anbieter mit EU-Kunden, vor allem im E-Commerce.

Sicherheit, Datenschutz und Barrierefreiheit sind 2026 ein zusammenhängender Block — und einer, der bei Audits und Lieferanten-Bewertungen ernsthaft geprüft wird. Wer das ignoriert, verliert Mandate noch vor dem Erstgespräch.

Was sich für KMU-Webseiten konkret ändert hat.

Das revidierte DSG bringt für KMU-Webseiten vier praktische Pflichten, die wir standardmässig einrichten:

1 · Aktive Information statt versteckte Klauseln

Datenschutzerklärung muss aktiv und verständlich sein, nicht nur zugänglich. Was wir bauen: separate Seite /datenschutz/, klar gegliedert, mit konkreten Aussagen — welche Tools, welche Daten, welche Aufbewahrung, welche Drittanbieter, welche Rechte.

2 · Profiling-Hinweise

Wenn Profile gebildet werden (auch automatisch durch Tracking), muss das transparent sein. Roger-Grundsatz auf rundum.dog und in unseren Mandaten: keine Profilbildung — anonymisierte Analytics, kein Personalisierungs-Tracking. Was wir empfehlen, leben wir selbst.

3 · Datenweitergabe ins Ausland

Cloud-Anbieter mit Sitz in den USA (Google Analytics, Stripe, Cloudflare) erfordern eine Information darüber, wohin die Daten gehen. Wir dokumentieren das in der Datenschutzerklärung mit Standardvertragsklauseln, wo nötig.

4 · Auskunfts- und Berichtigungspflichten

Nutzende können verlangen, welche Daten gespeichert sind und Korrekturen einfordern. Wir richten dafür einen klaren Pfad ein — typischerweise eine E-Mail-Adresse datenschutz@ mit interner Verarbeitungs-Logik.

Webseiten und Apps müssen für alle bedienbar sein.

Das BFSG verpflichtet Anbieter, ihre digitalen Produkte barrierefrei zu gestalten — vor allem im E-Commerce. Für Schweizer KMU mit EU-Kunden ist das relevant. Was wir standardmässig in jedem Mandat berücksichtigen:

Barrierefreiheit gehört 2026 zum seriösen Webauftritt — auch unabhängig vom BFSG-Geltungsbereich.

Pflichtangaben für jeden Online-Verkauf in die EU.

Die EU-Allgemeine Produktsicherheitsverordnung (GPSR) gilt seit 13. Dezember 2024. Sie betrifft jede Schweizer Webseite, die Produkte nach EU verkauft — und das ist im WooCommerce-Bereich praktisch jede.

Was Pflicht ist

• Verantwortliche Person in der EU — Hersteller-Adresse oder bevollmächtigter Vertreter mit EU-Sitz
• CH-Importeur-Adresse für Schweizer Anbieter, die nach EU exportieren
• Sicherheitswarnungen + Bedienungsanleitung auf der Produkt-Detail-Seite, in den Sprachen des Ziellandes
• Identifikations-Daten — Hersteller-Name, Modell, Chargennummer wenn vorhanden
• Meldekanal für Verbrauchende bei Sicherheitsbedenken

Wir haben einen GPSR-konformen Produktdaten-Block für WooCommerce, der diese Felder strukturiert verwaltet. Mehr dazu im Werkstatt-Eintrag WooCommerce.

Was wir in jedem WordPress-Setup standardmässig einrichten.

Was wir nicht empfehlen: Plugin-Stack-Bloat — manche Sites haben 30+ Security-, SEO-, Cache-, Backup-Plugins, die sich gegenseitig in die Quere kommen. Lieber weniger Plugins, sauber konfiguriert.

Keine Profilbildung. Anonymisierte Analytics. Bewusste Entscheidung.

Auf rundum.dog und in den meisten unserer Mandate gilt ein klares Prinzip: wir bilden keine Profile von Besuchenden. Das ist kein datenschutzrechtliches Minimum — das ist eine bewusste Wertentscheidung.

Was das im Bau bedeutet

• Google Analytics 4 mit anonymisierter IP, ohne Google-Signals, ohne erweiterte Personalisierung
• Cookies-Consent-Banner ehrlich — keine Dark-Pattern-Buttons, klare Opt-Out-Pfade
• Keine Tracking-Pixel ohne expliziten Anlass (Meta-Pixel, TikTok-Pixel, LinkedIn Insight nur bei aktiven Kampagnen)
• Server-side-Tracking wo möglich, statt Browser-side mit Drittanbieter-Cookies
• Plausible Analytics oder Matomo als Alternativen, wenn Google-freier Stack gewünscht ist

Funktioniert das ohne Profile? Ja — wir betreiben rundum.dog mit ~1 Mio. Sessions/Monat sauber ohne Profilbildung, mit klaren Konversions-Daten, die fürs Geschäft reichen. Was wir empfehlen, hat sich bei uns selbst bewährt.

Datenschutz-bewusster Stack.

Was wir oft gefragt werden — und ehrlich beantworten.

Brauchen wir wirklich einen Cookie-Banner?

Wenn ihr Cookies setzt, die nicht technisch zwingend sind — ja. Tracking-Cookies, Marketing-Cookies, Analytics. Wer ausschliesslich Session-Cookies für den Login nutzt, kann auf den Banner verzichten.

Reicht eine Standard-Datenschutzerklärung aus dem Generator?

Nein. Generator-Texte sind ein guter Ausgangspunkt, müssen aber an die tatsächlich eingesetzten Tools angepasst werden. Sonst stimmt die Erklärung mit der Realität nicht überein — und das ist ein revDSG-Problem.

Was passiert bei einem Datenschutz-Vorfall?

Meldepflicht innert 72 Stunden an den EDÖB (revDSG) bzw. die zuständige Aufsichtsbehörde (DSGVO). Wir empfehlen einen vorbereiteten Krisen-Workflow — Roger-typisch: nicht erst panisch nachschauen, was zu tun ist.

Müssen wir BFSG einhalten, wenn wir nur Schweizer Kunden haben?

Das BFSG ist deutsches Recht und setzt die EU-Richtlinie 2019/882 um — eine direkte Pflicht haben Schweizer Anbieter erst, wenn sie EU-Kunden bedienen (im E-Commerce ab gewissen Schwellenwerten). Wir empfehlen trotzdem WCAG 2.2 AA, weil Barrierefreiheit handwerklich zur sauberen Webseite gehört.

Brauchen wir eine 2FA für alle Mitarbeitenden?

Für Admin-Accounts: ja. Für Editor- und Autor-Konten: empfohlen. Für Subscriber: nein. Wir richten 2FA standardmässig für Admin ein, optional für alle anderen Rollen.

Wie hoch sind die Kosten für Wartung + Sicherheit pro Monat?

Im Retainer typischerweise 80–250 CHF/Monat, je nach Komplexität. Beinhaltet: regelmässige Updates, Security-Monitoring, monatlicher Backup-Check, Plugin-Audit, kleinere Inhaltsanpassungen. Genauer im Erstgespräch.

Querverweis: /werkstatt/woocommerce/ · /werkstatt/auffindbarkeit/

Sicherheit und Datenschutz haben keine eigene Werkstatt-Seite — sie sind in jedem Mandat Pflicht-Bestandteil, kein eigenständiges Service-Angebot. Konkrete Implementations-Patterns siehst du in den passenden Werkstatt-Einträgen:

• WooCommerce — GPSR + BFSG für Online-Shops
• Auffindbarkeit — Anonymisierte Analytics + Roger-Grundsatz
• Kirchen-Plattformen — Datenschutz bei sensiblen Anliegen

→ Direkt zum Kontakt