Pflichten im Schweizer Onlineshop: Impressum, Datenschutz und Bestellprozess

Wann die Impressumspflicht greift – und wann nicht

Die Schweiz kennt keine allgemeine Impressumspflicht für alle Webseiten. Es gibt weder ein Telemediengesetz noch eine Vorschrift, die jede Website zu einer Anbieterkennzeichnung zwingt. Reine Informationsseiten, Portfolios oder Blogs ohne Angebot benötigen kein Impressum.

Sobald Waren, Werke oder Leistungen im elektronischen Geschäftsverkehr angeboten werden, greift Art. 3 Abs. 1 lit. s Ziff. 1 UWG. Unlauter handelt, wer solche Angebote macht und keine klaren und vollständigen Angaben über Identität und Kontaktadresse einschliesslich E-Mail-Adresse liefert.

Der Begriff des elektronischen Geschäftsverkehrs ist breit. Er umfasst nicht nur klassische Onlineshops, sondern auch die meisten Apps, Buchungssysteme, Cloud-Dienstleister, Hosting-Anbieterinnen, Onlinemedien und Social-Media-Plattformen. Auch die Social-Media-Präsenz von Influencerinnen und Influencern, die sich über Content-Marketing und Werbung finanzieren, kann darunterfallen.

Ob ein Angebot kostenlos ist, spielt keine Rolle. Entscheidend ist, ob eine gewerbliche oder professionelle Tätigkeit ausgeübt wird. Rein ideelle, private oder wissenschaftliche Angebote sind ausgenommen, ebenso Blogs, Social-Media- und Informationsplattformen ohne gewerbliche Angebote.

Schon ein Werbebanner auf einer Website genügt, damit sie nicht mehr als rein privat gilt. Vereine sind nicht allein deshalb befreit, weil sie nicht gewinnorientiert sein dürfen. Sobald sie Produkte oder Dienstleistungen über eine Website anbieten, sind sie im elektronischen Geschäftsverkehr tätig.

Für Medienunternehmen gilt eine besondere Impressumspflicht: Nach Art. 322 Abs. 2 StGB müssen Zeitungen und Zeitschriften in einem Impressum den Sitz des Medienunternehmens, namhafte Beteiligungen an anderen Unternehmungen sowie den verantwortlichen Redaktor angeben.

Diese Angaben verlangt das Gesetz – und diese nicht

Zwingend verlangt sind klare und vollständige Angaben zur Identität und zur Kontaktadresse einschliesslich E-Mail-Adresse: Name oder Firma, Postadresse und E-Mail-Adresse. Mehr nennt der Gesetzestext nicht. Die Telefonnummer ist nicht vorgeschrieben – erwähnt wird nur die Adresse der elektronischen Post –, das KMU-Portal des SECO empfiehlt sie trotzdem.

Bei einer Einzelfirma muss die Firma den Familiennamen enthalten. Wer kein separates Geschäftsdomizil führt, macht die Privatadresse zur Kontaktadresse.

Impressum und Datenschutzerklärung sind zwei verschiedene Dokumente mit unterschiedlichen Zwecken und gehören getrennt veröffentlicht. Das Impressum, auch Anbieterkennzeichnung genannt, informiert die Besucherin, wer für den Inhalt der Website verantwortlich ist und wie diese Person kontaktiert werden kann.

Die Datenschutzerklärung klärt darüber auf, wie der Verantwortliche mit Personendaten umgeht. Wer nur eines der beiden publiziert, erfüllt die jeweils andere Pflicht nicht.

Vier Pflichten im Bestellprozess, nicht nur eine

Dieselbe UWG-Bestimmung verlangt insgesamt vier Dinge: neben Identität und Kontaktadresse Angaben zum Bestellablauf, eine Korrekturmöglichkeit für Eingabefehler und eine unverzügliche Bestellbestätigung. Die Anbieterangaben sind also nur eine von vier Pflichten.

Für die Checkout-Gestaltung heisst das: Der Shop muss den Ablauf der Bestellung erkennbar machen. Die Kundschaft muss wissen, welche Schritte sie durchläuft und wann sie die Bestellung verbindlich absendet.

Vor dem Absenden muss sie ihre Eingaben prüfen und korrigieren können. Ein Checkout, der nach dem Klick auf «Bestellen» keine Rückkehr zu Adress- oder Zahlungsdaten erlaubt, genügt dieser Anforderung nicht.

Nach dem Abschluss ist die Bestellung unverzüglich zu bestätigen, üblicherweise per E-Mail an die angegebene Adresse.

Der korrekte Bestellprozess im Schweizer Onlineshop

Die Datenschutzerklärung nach dem revidierten DSG

Seit dem 1. September 2023 gilt das revidierte Bundesgesetz über den Datenschutz (DSG). Art. 19 Abs. 2 lit. a DSG führte eine allgemeine Informationspflicht ein: Die Datenschutzerklärung muss Angaben enthalten, wie sie in einem Impressum stehen. Die daraus folgende Impressumspflicht im weiteren Sinn gilt für Websites, Apps und Profile oder Seiten auf Social-Media-Plattformen wie Instagram, LinkedIn oder TikTok.

Nach Art. 5 lit. a DSG sind Personendaten alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Dazu zählen nicht nur Klardaten wie Namen, E-Mail-Adressen und Bank- oder Kreditkartendaten, sondern auch IP-Adressen und Onlinekennzeichen wie ID-Nummern in einem Cookie, die ein Verhaltensprofil einer bestimmten Nutzerin zuordnen können. Daten juristischer Personen fallen nicht unter das DSG.

Bearbeitung ist nach Art. 5 lit. b DSG jeder Umgang mit Personendaten, unabhängig von Mitteln und Verfahren. Dazu gehören insbesondere Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten.

Das DSG erfasst automatische Datenbearbeitungen sowie manuelle Bearbeitungen von Dateisystemen, also systematisch angeordnete Daten wie Personalakten.

Zu informieren ist über Umfang und Zweck der Datenbearbeitung, über eine Bekanntgabe an Dritte – etwa an einen externen Dienstleister – und über die Dauer der Aufbewahrung. Die Erklärung soll Bearbeitungstätigkeiten offline, etwa die Abwicklung von Kundenverträgen, und online, insbesondere den Betrieb der Website, abdecken.

Für einzelne Tätigkeiten können ergänzende Datenschutzerklärungen nötig sein, beispielsweise für eine Online-Bewerberplattform. Dort ist zusätzlich zu erläutern, welche Daten erhoben werden, ob sie an Dritte weitergegeben werden und wie lange sie nach Abschluss des Verfahrens aufbewahrt bleiben.

Die Pflichten enden nicht bei der Information. Als organisatorische Anforderungen gelten namentlich der Datenschutzberater oder Datenschutzbeauftragte, das Verzeichnis der Verarbeitungstätigkeiten, die Datenschutz-Folgenabschätzung (DS-FA), eine Datenschutzvereinbarung mit Dienstleistern sowie die Bezeichnung eines EU-Vertreters.

Technische Anforderungen kommen hinzu: technische und organisatorische Massnahmen (TOM) sowie Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen. Solche Vorgaben betreffen die Konfiguration des Shops, nicht nur den Text der Datenschutzerklärung.

Wenn DSGVO, Cookies und Newsletter zusätzlich dazukommen

Für Schweizer Shops, die in die EU liefern, kommt die DSGVO hinzu. Es gilt das Marktortprinzip: Unabhängig vom Sitz des Unternehmens sind die Anforderungen der DSGVO zu erfüllen, wenn Waren oder Dienstleistungen in der EU angeboten oder verkauft werden. Geht ein Schweizer Unternehmen über seinen Shop ein Rechtsgeschäft mit einer Person ein, die sich in der EU aufhält, gilt die DSGVO.

Das DSG seinerseits gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden. In der Praxis sind daher beide Regelwerke nebeneinander zu prüfen; die DSGVO enthält insgesamt strengere Vorgaben.

Neben DSG und DSGVO können weitere länderspezifische Gesetze greifen. Zu nennen ist etwa das deutsche Bundesdatenschutzgesetz (BDSG).

Zwei Themenfelder stammen nicht aus dem DSG selbst, sondern aus dem Umfeld der elektronischen Kommunikation. Dazu gehören die Regeln für das Setzen von Cookies und der Schutz der Endeinrichtungen. Diese ergeben sich etwa aus der ePrivacy-Richtlinie und länderspezifischen Gesetzen wie dem deutschen TTDSG.

Daraus folgt in der Praxis ein Einwilligungsmanagement, häufig als Cookie-Banner umgesetzt. Beim E-Mail-Newsletter ist eine Einwilligung der Empfänger nötig, die über das Double-Opt-In-Verfahren eingeholt wird.

Für elektronische Massenwerbung besteht zudem eine eigene wettbewerbsrechtliche Pflicht: Nach Art. 3 Abs. 1 lit. o UWG handelt unlauter, wer den korrekten Absender nicht angibt. Newsletter und andere Massenwerbung per E-Mail brauchen also eine korrekte Absenderangabe – unabhängig davon, ob auf der Website ein Impressum vorhanden ist.

Was bei einem Verstoss tatsächlich droht

Ein vorsätzlicher Verstoss gegen die Anbieterkennzeichnungspflicht nach UWG ist ein Antragsdelikt. Er kann mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe geahndet werden. Ein Abmahnwesen wie in Deutschland, bei dem Wettbewerber oder Anwälte kostenpflichtige Abmahnungen versenden, kennt die Schweiz nicht. Die Durchsetzung setzt vielmehr einen Strafantrag voraus.

Davon unabhängig wirken die Angaben auf die Glaubwürdigkeit des Shops. Das Impressum schafft Transparenz darüber, wer hinter einer Website steht, und dient Nutzern als Indiz für deren Vertrauenswürdigkeit.

Fehlt es ganz oder führt es verdächtige Adressen oder Kontaktangaben auf – etwa blosse Koordinaten oder eine Rechtsform, die es in der Schweiz nicht gibt –, ist die Wahrscheinlichkeit erhöht, dass es sich um ein unseriöses oder gar betrügerisches Angebot handelt.