Wer 2026 in der Schweiz eine Datenschutzerklärung für die eigene Website oder App benötigt, hat zwei strukturell unterschiedliche Wege: einen kostenfreien Online-Builder, der aus Multiple-Choice-Antworten ein PDF generiert, oder einen integrierten Generator, der die Datenschutzerklärung aus dem internen Bearbeitungsverzeichnis (Art. 12 DSG) speist. Der erste Weg passt für Mikrobetriebe mit einem einzigen Verarbeitungskontext; der zweite ist Standard für KMU mit mehreren Auftragsbearbeitern, mehreren Sprachen und sich verändernder Tool-Landschaft. Dieser Beitrag richtet sich an Geschäftsführer:innen, Marketing-Verantwortliche und interne Datenschutzkoordinator:innen, die zwischen diesen Optionen entscheiden müssen.

Wir behandeln in diesem Artikel:

• die Pflichtinhalte einer DSG-konformen Datenschutzerklärung als Eingaberaster für jeden Generator;
• die typischen Funktions-Lücken kostenloser Builder gegenüber bezahlten Lösungen;
• wann die DSGVO zusätzlich greift und welche Generator-Konfiguration das verlangt;
• wie der Generator-Output mit dem Bearbeitungsverzeichnis nach Art. 12 DSG synchronisiert wird;
• die Audit-Spur: warum eine versionierte Datenschutzerklärung im EDÖB-Verfahren beweisrelevant ist;
• eine konkrete Checkliste, anhand derer Sie jeden Generator in 15 Minuten beurteilen können.

Die zentrale These: Der „Generator“ ist nicht das Produkt. Das Produkt ist das versionierte, mit dem Verzeichnis verknüpfte Compliance-Artefakt, der Generator ist nur das Werkzeug, das es erzeugt.

Die Pflichtinhalte ergeben sich aus Art. 19 Abs. 2 DSG: Identität und Kontaktdaten des Verantwortlichen, Bearbeitungszweck und gegebenenfalls Empfänger oder Empfängerkategorien. Wird die Datenbearbeitung ins Ausland exportiert, treten gemäss Art. 19 Abs. 4 DSG das Empfängerland und die Garantien nach Art. 16 Abs. 2 DSG hinzu. Werden Daten nicht direkt beim Betroffenen erhoben, sind nach Art. 19 Abs. 3 DSG zusätzlich die Datenkategorien zu nennen. Eine vollständige Auflistung der Pflichtinhalte mit Praxisbeispielen finden Sie in unserem Beitrag Datenschutzerklärung Schweiz – Pflichtinhalte.

Wer im EU/EWR-Raum Personen anspricht oder deren Verhalten beobachtet (Art. 3 Abs. 2 DSGVO), benötigt zusätzlich die Pflichtangaben aus Art. 13/14 DSGVO: Rechtsgrundlage, Speicherdauer, Betroffenenrechte nach Art. 15-22 DSGVO, Beschwerderecht bei einer EU-Aufsichtsbehörde und Kontaktdaten des EU-Vertreters nach Art. 27 DSGVO. Ein guter Generator schaltet diese Bausteine bei Bedarf automatisch zu.

Branchenspezifische Zusätze sind nicht über Art. 19 DSG abgedeckt, aber in der Praxis Pflicht: Banken benötigen Hinweise auf das Bankkundengeheimnis und die FINMA-Meldepflicht nach Art. 29 FINMAG, Spitäler auf das kantonale Patientendatengesetz, Anwaltskanzleien auf Art. 13 BGFA. Ein generischer Builder kann diese Spezifika nicht abbilden und liefert in regulierten Branchen unvollständige Texte.

Ein kostenfreier Generator-Builder erzeugt in 5 Minuten einen Textentwurf, und genau hier liegt sein Limit. Aus über 200 SIDD-Audits 2024-2025 sehen wir wiederkehrende Lücken: (1) keine Versionierung mit Wirkungsdatum, (2) keine Synchronisation mit einem Bearbeitungsverzeichnis, (3) keine Mehrsprachigkeit, die identische Inhalte über DE/FR/IT/EN garantiert, (4) keine Branchen-Schalter für regulierte Sektoren, (5) keine automatische Aktualisierung, wenn sich gesetzliche Anforderungen ändern, und (6) keine Audit-Spur, die belegt, welcher Text zum Zeitpunkt einer Datenerhebung wirksam war.

Hinzu kommt ein subtileres Problem: Viele kostenlose Builder finanzieren sich über Affiliate-Links zu Hosting-, Cookie- oder Analytics-Anbietern. Das führt zu Texten, die diese Tools in der Datenschutzerklärung empfehlen oder vorausgesetzt einbauen, auch wenn der Kunde sie gar nicht einsetzt. Ergebnis: Eine Erklärung, die mehr Tools listet als das Unternehmen tatsächlich nutzt, ist sachlich falsch und kann im Schadenfall den Vorwurf der Irreführung nach Art. 3 lit. b UWG begründen.

Unsere Empfehlung: Ein kostenloser Builder eignet sich für die rein informative Erstfassung. Sobald die Website mehr als drei Auftragsbearbeiter, eine zweite Sprache oder regulatorisch sensitive Inhalte (Bonität, Gesundheit, Bewerbungen) führt, lohnt sich der Wechsel zu einer integrierten Lösung.

Der Marktortgrundsatz nach Art. 3 Abs. 2 DSGVO erfasst Schweizer Anbieter, sobald sie aktiv EU-Personen ansprechen, etwa durch DE/FR-Sprachversionen mit EU-Preisangaben, Lieferung nach Deutschland oder gezielte Suchmaschinen-Werbung in der EU. Beobachten reicht ebenfalls: Werbe-Cookies eines Drittlandanbieters, die auf einer Schweizer Website EU-Nutzer tracken, lösen ebenfalls die DSGVO-Anwendung aus. Wer das nicht im Generator abbildet, riskiert ein Verfahren der zuständigen EU-Aufsichtsbehörde, typischerweise jener im Land des wichtigsten Zielmarkts.

Ein DSGVO-fähiger Generator muss vier Module zusätzlich bereitstellen: (1) die Rechtsgrundlage je Verarbeitung mit Verweis auf Art. 6 oder Art. 9 DSGVO; (2) den Verweis auf den EU-Vertreter nach Art. 27 DSGVO (Identität, Kontakt, Mandatsbasis); (3) die Betroffenenrechte mit DSGVO-Bezug, insbesondere das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO, das es im DSG so nicht gibt; (4) das Beschwerderecht bei einer EU-Aufsichtsbehörde unter Angabe der typischerweise zuständigen Behörde des Sitzlandes des Kunden. Für UK-Kunden parallel: Art. 27 UK GDPR via UK-Vertreter.

Wer keinen EU-Vertreter benannt hat, kann die Datenschutzerklärung nicht abschliessend befüllen. Wir paketieren dieses Mandat unter EU-Vertreter nach Art. 27 DSGVO.

Art. 12 DSG (i. V. m. Art. 24 ff. DSV) verlangt von jedem Verantwortlichen ein Bearbeitungsverzeichnis, das pro Bearbeitungstätigkeit Zweck, Datenkategorien, Empfänger, Aufbewahrung und allenfalls Drittstaatentransfer dokumentiert. Genau diese Felder bilden auch das Eingaberaster einer guten Datenschutzerklärung. Ein integrierter Generator wendet daher ein simples Prinzip an: Single source of truth ist das Verzeichnis; die Datenschutzerklärung ist eine kuratierte Sicht darauf.

Konkret bedeutet das, dass die Einführung eines neuen Auftragsbearbeiters, etwa eines Newsletter-Dienstes, drei Schritte in einem Workflow auslöst: (1) Eintrag im Verzeichnis (Art. 12 DSG), (2) AVV-Abschluss nach Art. 9 DSG, (3) automatische Erweiterung der Datenschutzerklärung um die Empfängerkategorie „Newsletter-Versand“. Wer diese drei Schritte manuell führt, verliert in 9 von 10 Fällen die Synchronität nach 12 Monaten.

Die SIDD-Lösung führt das Verzeichnis und die Datenschutzerklärung als zwei Ansichten desselben Datenmodells. Details zur AVV-Komponente finden Sie unter AVV / Auftragsbearbeitungsvertrag Schweiz.

Die Datenschutzerklärung ist ein Compliance-Artefakt, kein Marketing-Text. Bei einer Auskunftsanfrage nach Art. 25 DSG, bei einem EDÖB-Verfahren oder bei einem zivilrechtlichen Schadenersatzanspruch wegen unzureichender Information muss der Verantwortliche nachweisen, welche Information die betroffene Person zum Zeitpunkt der Datenerhebung erhalten hat. Eine versionierte Datenschutzerklärung mit Wirkungsdatum, Diff zur Vorversion und nachvollziehbarer Änderungshistorie ist hier zentral.

Ein guter Generator pflegt daher:

1. Versionsnummer und Wirkungsdatum auf jeder Auslieferung.
2. Diff zur Vorversion für interne Reviews und Genehmigungs-Workflows.
3. Archivierte PDF-Snapshots aller historischen Fassungen, mindestens 10 Jahre.
4. Mehrsprachige Auslieferung synchron, mit dokumentiertem Konsistenz-Check.
5. Genehmigungs-Workflow mit Vier-Augen-Prinzip vor Publikation.

Diese fünf Funktionen heben einen integrierten Generator über jeden kostenlosen Builder hinaus. Sie sind in einem EDÖB-Verfahren nach Art. 49-53 DSG der Unterschied zwischen einer schnell entkräfteten Behauptung und einem belegten Compliance-Programm.

Wenn Sie zwischen mehreren Generator-Angeboten wählen, prüfen Sie folgende 12 Punkte. Ein vollwertiger Anbieter erfüllt mindestens 10 davon:

• Vollständige Abdeckung von Art. 19 Abs. 2-4 DSG (Identität, Zweck, Empfänger, Drittstaat).
• Modul für Profiling und automatisierte Einzelentscheidung (Art. 21 DSG).
• Optional zuschaltbare DSGVO-Bausteine (Art. 13/14 DSGVO).
• Verzeichnis-Synchronisation oder mindestens Import/Export zu Art.-12-DSG-Verzeichnissen.
• Mehrsprachige Ausgabe DE/FR/IT/EN mit dokumentiertem Konsistenz-Check.
• Versionierung mit Wirkungsdatum und PDF-Archivierung.
• Branchen-Schalter für Banken, Spitäler, Anwälte, Behörden.
• EU-Vertreter-Block mit aktivem Mandatsbezug, nicht Platzhalter.
• Drittstaat-Logik mit Unterscheidung Angemessenheits-Liste vs. SCC vs. DPF-Zertifizierung.
• Cookie-Banner-Integration zur Konsistenz zwischen Banner und Erklärung.
• Vier-Augen-Genehmigung vor Publikation.
• Klare Trennung zwischen redaktionellem Text und juristischer Pflichtinformation.

Wer all 12 Punkte erfüllt, bietet ein integriertes Compliance-Produkt. Wer 4 oder weniger erfüllt, bietet einen reinen Text-Builder.

SIDD bietet als Teil der Priverion-Plattform einen integrierten Datenschutzerklärungs-Generator, der alle 12 Checklisten-Punkte abdeckt. Die Datenschutzerklärung wird aus dem Bearbeitungsverzeichnis nach Art. 12 DSG gespeist, automatisch versioniert, mehrsprachig synchron ausgeliefert und mit den abgeschlossenen AVV-Verträgen verknüpft. Änderungen an einem Auftragsbearbeiter propagieren in einem einzigen Workflow durch Verzeichnis, AVV-Inventar und Datenschutzerklärung.

Für KMU ohne internen Datenschutzbeauftragten kombinieren wir den Generator mit einem externen DSB-Mandat unter Datenschutzberater Schweiz. Bei zusätzlicher DSGVO-Pflicht ergänzen wir DSGVO-DPO und EU-Vertreter. Wenn Sie unsicher sind, welche Lösung zu Ihrem Bedarf passt, vereinbaren Sie über unser Kontaktformular ein 30-minütiges Erst-Gespräch. Für ein konkretes, fixpreisiges Angebot, inklusive Erstaufnahme Ihres Verzeichnisses und Migration einer bestehenden Datenschutzerklärung, nutzen Sie unsere Offert-Anfrage. Wir liefern in der Regel innert 10 Werktagen die erste produktiv einsetzbare Version.