Schweizer Onlineshop aufbauen: Datenschutz, Barrierefreiheit und Betrieb

Ausgangslage: Onlineshop in der Schweiz aufbauen

Wer in der Schweiz einen Onlineshop aufbaut, bewegt sich gleichzeitig in drei Feldern: Recht, Technik und Betrieb. Das Recht bestimmt, was mit Kundendaten erlaubt ist und welche Vorgaben zur Zugänglichkeit gelten. Die Technik regelt das Zusammenspiel von Shop, Zahlung und Logistik, der Betrieb die langfristige Sicherheit, Verfügbarkeit und Wartbarkeit.

Der Aufbau folgt diesen drei Bereichen in einer festen Reihenfolge: zuerst Recht und Barrierefreiheit, dann die Technik, dann der Betrieb. Entscheidungen im Recht wirken auf die Technik, Entscheidungen in der Technik auf den Betrieb. Wer die Reihenfolge kennt, plant die Bereiche nicht gegeneinander.

Die drei Felder werden mit Namen geführt. Recht: DSG, BehiG und BehiV sowie bei EU-Geschäft EAA und BFSG. Technik: eCH-0059, WCAG 2.1 AA, EN 301 549, Shop-Systeme wie Shopify oder Plenty, dazu Webhosting, Zahlungsabwicklung und Webanalyse. Betrieb: Updates, Schlüsselverwaltung, Protokollierung und automatisierte Löschläufe.

Das technische Feld besteht aus wenigen tragenden Bausteinen: Shop-System, Webhosting, Zahlungsabwicklung und Webanalyse. Der Shop SIGG läuft auf der Plattform Shopify, die die Dienste bereitstellt. Wer diese Bausteine vor der Systemwahl ordnet, verhindert spätere Umbauten.

Die vier Bausteine greifen ineinander: Das Shop-System führt Katalog, Konto und Checkout, das Webhosting liefert die Seiten aus, die Zahlungsabwicklung schliesst den Kauf ab, die Webanalyse liefert die Zahlen für den Betrieb. Wer die Bausteine einzeln bestimmt, kann später einen ersetzen, ohne den ganzen Shop neu zu bauen.

Die Systemwahl folgt Grösse und Rollen. Globale Unternehmen mit vielen Produkten und Rollen wie Super-Admin, Admin, Redakteur und Shop-Manager greifen zu Oracle Commerce Cloud, IBM WebSphere Commerce, SuiteCommerce von Oracle Netsuite, SAP Commerce Cloud, Sitecore Experience Commerce, Intershop Commerce Suite, SAP Hybris Commerce oder Salesforce Commerce Cloud.

Mittelständische Unternehmen wenden sich an Digitalagenturen oder lokale Webdesigner, die sich auf einige wenige E-Commerce-Systeme spezialisiert haben. Kein System ist perfekt für die Suchmaschinenoptimierung vorbereitet; Aussagen wie «SEO ready» sind aktiv zu hinterfragen.

Diese Agenturen und Webdesigner haben sich meist auf einige wenige Systeme spezialisiert; Plenty gehört zu den Systemen, um die sie ihre Leistungen anbieten. Wer ein solches System wählt, hält die Wunschliste der wichtigsten Funktionalitäten gegen die tatsächlich angebotenen Funktionen.

Hinter «SEO ready» steht keine geprüfte Zusage. Wer das Etikett prüft, fragt nach, welche Funktionen konkret gemeint sind und ob sie zum eigenen Sortiment und zur eigenen Kundschaft passen.

Der Markt ist breit: Viele Shopsysteme auf dem freien Markt richten sich an unterschiedliche Zielgruppen, und jedes hat Vor- und Nachteile. Vor der Systemsuche hilft eine Wunschliste der wichtigsten Funktionalitäten, damit Auftraggeber, Agentur und Entwicklerteam dieselben Anforderungen prüfen.

Weitere Funktionen sind Newsletter, Push-Mitteilungen, Messenger-Kommunikation, Plug-ins sowie eingebettete Inhalte. Hinzu kommen Single-Sign-On und der Bezug von Apps aus Appstores. Jede Funktion erzeugt eigene Bearbeitungen und braucht einen eigenen Abschnitt in der Datenschutzerklärung.

Datenschutz und Barrierefreiheit gehören in diese frühe Phase. Beide greifen tief in Architektur und Prozesse ein: Datenfelder, Consent-Logik, Konto- und Checkout-Flows, Komponenten-Bibliothek und Testverfahren. Wer sie erst nach dem Launch anpackt, baut meist Strukturen um, statt sie zu ergänzen.

Die rechtlichen Ausgangspunkte sind unterschiedlich klar. Für Kundschaft in der Schweiz gilt das Bundesgesetz über den Datenschutz (DSG).

Bei der Barrierefreiheit gibt es für öffentliche Stellen konkrete Anforderungen, für die Privatwirtschaft dagegen keine allgemeine WCAG-Pflicht für sämtliche Websites. Pflichtrelevant wird es über das Verbot, Personen bei öffentlich angebotenen Dienstleistungen zu diskriminieren, und über Vorgaben aus dem EU-Geschäft.

Die einschlägigen Gesetze heissen DSG, BehiG und BehiV. Technische Standards sind eCH-0059, WCAG 2.1 AA und EN 301 549.

Für Übermittlungen ins Ausland sind Standardvertragsklauseln massgebend, die der EDÖB vorgängig genehmigt, ausgestellt oder anerkannt hat. Die SNV vertritt die weltweite Normung (ISO) und die europäische Normung (CEN) und führt den Normenshop SNV-Connect.

Massgebende Gesetze sind DSG, BehiG und BehiV. Systeme reichen von Shopify über Oracle Commerce Cloud bis Salesforce Commerce Cloud. Betriebsaufgaben sind Updates, Schlüsselverwaltung, Protokollierung und automatisierte Löschläufe.

Datenschutz nach Schweizer DSG: Grundlagen für den Shop

Für Shops mit Kundschaft in der Schweiz ist das DSG massgebend. Anders als die DSGVO verlangt das Schweizer Recht grundsätzlich keine Nennung einer Rechtsgrundlage für die Bearbeitung von Personendaten. Es fordert jedoch eine Bearbeitung nach Treu und Glauben, rechtmässig und verhältnismässig (Art. 6 Abs. 1 und 2 DSG).

Dazu kommt die Zweckbindung: Personendaten werden nur zu einem bestimmten, für die betroffene Person erkennbaren Zweck beschafft und nur so bearbeitet, wie es mit diesem Zweck vereinbar ist (Art. 6 Abs. 3 DSG).

Wer Liefer- und E-Mail-Adresse für die Bestellabwicklung erhebt, darf daraus also nicht ohne Weiteres ein Werbeprofil für andere Kanäle bauen. Jedes zusätzliche Datenfeld und jede zusätzliche Nutzung braucht einen erkennbaren Zweck, der mit der Bearbeitung vereinbar ist.

Für die Technik heisst das: Jedes Feld in Checkout, Konto und Newsletter braucht einen erkennbaren Zweck. Felder ohne Zweck gehören nicht in das Formular, und jede zusätzliche Nutzung eines bestehenden Feldes ist eine eigene Bearbeitung.

Für den Shop heisst das: einen Datenkatalog führen, Zwecke dokumentieren, Zugriffe regeln und die Datenschutzerklärung mit dem tatsächlichen Betrieb in Übereinstimmung halten.

Die Übersicht der Bearbeitungen nennt drei Dinge: Arten der bearbeiteten Daten, Kategorien betroffener Personen und Zwecke der Bearbeitung. Typische Personenkategorien sind Leistungsempfänger und Auftraggeber, Interessenten, Kommunikationspartner, Nutzer sowie Geschäfts- und Vertragspartner. Typische Zwecke sind die Erbringung vertraglicher Leistungen, Kommunikation, Sicherheitsmassnahmen und die Bereitstellung des Onlineangebots.

Die Zweckliste fällt je Betrieb unterschiedlich aus. Neben der Erbringung vertraglicher Leistungen erscheinen Zwecke wie Büro- und Organisationsverfahren, Organisations- und Verwaltungsverfahren, Feedback, Nutzerfreundlichkeit, informationstechnische Infrastruktur, Öffentlichkeitsarbeit sowie Geschäftsprozesse und betriebswirtschaftliche Verfahren.

Die Aufsicht endet nicht an der Unternehmensgrenze. Sobald Dienstleister eingebunden sind – Zahlungsabwicklung, Hosting, Analyse –, sind deren Rollen und Pflichten zu klären.

Betroffene Personengruppen sind Leistungsempfänger und Auftraggeber, Interessenten, Kommunikationspartner, Nutzer, Geschäfts- und Vertragspartner sowie Dritte Personen. Zwecke umfassen vertragliche Leistungen, Kommunikation, Sicherheitsmassnahmen und Direktmarketing.

Der Datenkatalog wächst mit dem Shop: Jede neue Zahlungsart, jeder Newsletter und jede App bringt Bearbeitungen mit, die vor dem Livegang erfasst werden.

Datenschutzerklärung, Cookies und Nutzerkonten

Eine Datenschutzerklärung für einen Onlineshop beginnt mit dem Verantwortlichen samt Adresse und Kontaktmöglichkeit. Danach folgen eine Übersicht der Bearbeitungen, Arten der bearbeiteten Daten, betroffene Personengruppen, Zwecke, Empfänger, Angaben zu Speicherung und Löschung sowie Rechte der betroffenen Personen.

Der Verantwortliche erscheint mit Namen, Adresse und Kontaktmöglichkeit. Ein Schweizer Beispiel: ETA EXTENSIONS by Mirjeta Elmazi, Merkurstrasse 9, 8953 Dietikon, mit der E-Mail-Adresse [email protected].

Neben dem Verantwortlichen kann ein Datenschutzbeauftragter mit Adresse und eigener Kontaktstelle genannt werden. calimoto führt Dr. jur. Thomas Schwenke, Ansbacher Str. 65, 10777 Berlin, mit [email protected].

Ein Verantwortlicher kann auch im Ausland sitzen: calimoto GmbH, Babelsberger Strasse 12, 14473 Potsdam, Deutschland, mit [email protected].

Übliche Gliederungen trennen zusätzlich die Bereitstellung des Onlineangebots und das Webhosting, Zahlungsverfahren, Cookies, Registrierung und Nutzerkonto, Kontakt- und Anfrageverwaltung sowie – bei eigenem App-Angebot – besondere Hinweise zu Applikationen.

Weitere Abschnitte können geschäftliche Leistungen, Community-Funktionen, Präsenzen in sozialen Netzwerken, Änderung und Aktualisierung sowie Begriffsdefinitionen betreffen.

Ergänzend zur Funktionsgliederung stehen weitere Abschnitte. Sie betreffen die massgeblichen Rechtsgrundlagen, Sicherheitsmassnahmen, die Übermittlung von personenbezogenen Daten, internationale Datentransfers, die Datenspeicherung und Löschung sowie die Rechte der betroffenen Personen.

Bei eigenen Apps kommen eigene Abschnitte hinzu: Kommunikation via Messenger, Push-Nachrichten, Newsletter und elektronische Benachrichtigungen, Webanalyse, Monitoring und Optimierung sowie Onlinemarketing. Hinzu kommen der Bezug von Applikationen über Appstores und die Single-Sign-On-Anmeldung.

Typische Datenarten sind Kontaktdaten: Name, Rechnungs- und Lieferadresse, Telefonnummer, E-Mail-Adresse. Dazu kommen Finanzinformationen wie Karten- und Kontoinformationen, Transaktionsdetails und Zahlungsbestätigung sowie Kontoinformationen wie Benutzername, Passwort und Einstellungen.

Dazu kommen Transaktionsinformationen: angesehene, in den Warenkorb gelegte, gekaufte, retournierte oder stornierte Artikel. Weiter fallen Inhalte von Kundenanfragen, Geräteinformationen wie IP-Adresse und eindeutige Kennungen sowie Nutzungsdaten zur Interaktion mit dem Shop an.

Die Quellen sind zweierlei: Angaben, die Kundinnen und Kunden direkt machen – bei der Kontoeröffnung, beim Kauf oder bei einer Anfrage –, und Angaben, die automatisch über das Angebot und das Gerät erfasst werden. Beide Wege sind in der Erklärung sichtbar zu trennen.

Je nach Shop treten weitere Datenarten hinzu: Bestandsdaten, Zahlungsdaten, Standortdaten, Inhaltsdaten, Vertragsdaten, Nutzungsdaten, Meta-, Kommunikations- und Verfahrensdaten sowie Protokolldaten. Bei eigenen Apps können Bild- und Videoaufnahmen, ein Standortverlauf, Bewegungsprofile oder Event-Daten (Facebook) dazukommen. Die Erklärung führt nur auf, was der Shop tatsächlich bearbeitet.

Cookies brauchen einen eigenen Abschnitt: welche Kategorien eingesetzt werden, zu welchem Zweck und wie Nutzende sie steuern können.

Der Umfang richtet sich nach den Funktionen: Webanalyse, Monitoring und Optimierung, Onlinemarketing, Newsletter, Push-Nachrichten, Messenger-Dienste, Plug-ins und Einbettungen. Hinzu kommen Single-Sign-On und der Bezug von Apps über Appstores. Jede Funktion erhält einen eigenen Abschnitt.

Bei Nutzerkonten ist zu erklären, welche Pflichtangaben die Registrierung erhebt und wofür sie dienen; bei Zahlungen, welche Zahlungsdaten an wen gehen; bei Kontaktanfragen, welche Angaben aus dem Formular bearbeitet werden und wie lange sie aufbewahrt bleiben.

Der Umfang der Erhebung soll zum DSG passen: Wer Kundendaten nur für Bestellabwicklung, Versand und Support benötigt, fasst den Zweck nicht weiter und erhebt keine Daten auf Vorrat. Die Erklärung beschreibt den tatsächlichen Betrieb und wird regelmässig nachgeführt.

Die Erklärung wächst mit dem Funktionsumfang: Jede Zahlungsart, jeder Newsletter und jede App erhält ihren Abschnitt, bevor sie live geht. Abschnitte ohne tatsächliche Bearbeitung werden entfernt.

Erklärungen tragen ein Stand-Datum: SIGG führt den 16. Juni 2026, calimoto den 21. Juli 2025. Das Datum zeigt, wann der Text letztmals nachgeführt wurde.

Impressum, Allgemeine Geschäftsbedingungen und Datenschutzerklärung sind in Onlineshops eigenständige Dokumente. Widersprechen sich Nutzungsbedingungen und Datenschutzerklärung bei Erhebung, Bearbeitung und Offenlegung personenbezogener Daten, kann die Datenschutzerklärung Vorrang haben; SIGG regelt diesen Vorrang ausdrücklich.

Internationale Datentransfers und Zusammenarbeit mit Dienstleistern

In der Praxis liegen Hosting, Zahlungsabwicklung und Analyse selten ausschliesslich in der Schweiz. Gehen Personendaten an Anbieter mit Sitz oder Serverstandort im Ausland, ist das eine abzusichernde Datenübermittlung ins Ausland.

Ein geeigneter Datenschutz lässt sich mit Standardvertragsklauseln erreichen, die der EDÖB vorgängig genehmigt, ausgestellt oder anerkannt hat. Sie stützen Übermittlungen vertraglich ab, ohne für jeden Einzelfall eine eigene Lösung zu bauen. Die Zusammenarbeit mit den eingebundenen Dienstleistern ist klar zu dokumentieren.

In der technischen Kette sind es meist dieselben Stellen, an denen Daten das Land verlassen: Webhosting, Zahlungsabwicklung und Webanalyse. Wer für diese drei Anbieter Standort, Subunternehmer und Löschung dokumentiert, deckt den grössten Teil der Übermittlungen ab.

In der Datenschutzerklärung sind Empfänger, Empfängerkategorien und Bearbeitungsländer zu nennen. Intern führt ein Vertragskatalog fest, mit welchem Anbieter welche Vereinbarung besteht und welche Daten übermittelt werden.

In den Erklärungen haben Transfers einen eigenen Abschnitt. ETA EXTENSIONS und calimoto führen «Internationale Datentransfers», daneben steht «Übermittlung von personenbezogenen Daten».

Bei der Auswahl der Anbieter lohnen dieselben Fragen: Wo werden die Daten gehostet, welche Subunternehmer kommen zum Einsatz, welche Sicherheitsmassnahmen bestehen, und wie wird gelöscht?

Wechselt ein Anbieter oder verlegt er seine Server, wird die Übermittlung neu beurteilt. Der Vertragskatalog wird bei jedem Anbieterwechsel nachgeführt.

Barrierefreiheit: Pflichten in der Schweiz und der EU

In der Schweiz bilden BehiG und BehiV die Rechtsgrundlagen für digitale Barrierefreiheit. Adressiert sind insbesondere öffentliche Stellen, in erster Linie beim Bund; Kantone und Gemeinden richten sich nach den anwendbaren kantonalen Vorgaben. Für private Unternehmen besteht keine allgemeine WCAG-Pflicht für alle Websites.

Relevant bleibt daneben das Verbot, jemanden beim Zugang zu öffentlich angebotenen Dienstleistungen zu benachteiligen. Ein Shop, der einer Kundin oder einem Kunden die Nutzung faktisch verunmöglicht, kann in einen Rechtsstreit darüber geraten.

Anders liegt der Fall bei Geschäft in der EU. Der European Accessibility Act (EAA) ist eine EU-Richtlinie aus dem Jahr 2019, die bis Juni 2025 in allen EU-Mitgliedstaaten umgesetzt sein musste. Er verlangt unter anderem, dass E-Commerce-Angebote – Websites und mobile Apps von Onlineshops – bis zum 28. Juni 2025 barrierefrei gestaltet sind.

Betroffen sind alle Elemente des Einkaufserlebnisses: Navigation, Produktinformationen, Bestell- und Bezahlvorgang. Generelle Ausnahmen für kleine Shops haben die Mitgliedstaaten nicht vorgesehen. In manchen Ländern gelten Ausnahmen für Kleinstunternehmen; grundsätzlich zielt die Regelung auf alle kommerziellen Anbieter, die Verbraucherinnen und Verbraucher adressieren.

Für Schweizer E-Commerce-Unternehmen gilt: Wer primär im Inland tätig ist, folgt den schweizerischen Vorgaben. Wer Kundschaft in der EU bedient oder dies vorhat, wird vom EAA erfasst. In Deutschland gilt seit dem 28. Juni 2025 das Barrierefreiheitsstärkungsgesetz (BFSG) für bestimmte Produkte und digitale Dienstleistungen, einschliesslich E-Commerce. Weitere EU-Länder haben eigene Umsetzungen.

In Liechtenstein war der EAA Stand September 2026 noch nicht vollständig ins EWR-Recht übernommen.

Die drei Länder regeln es unterschiedlich. In Liechtenstein bestehen gesetzliche Anforderungen an Websites und Apps öffentlicher Stellen, in Deutschland für öffentliche Stellen BGG und BITV 2.0 beziehungsweise Landesrecht. Die Rechtsgrundlagen heissen je Land anders: BehiG und BehiV in der Schweiz, BGlG in Liechtenstein, BGG, BITV 2.0, BFSG und BFSGV in Deutschland.

Für die Planung zählt der tatsächliche Absatzmarkt: Verkauft der Shop nur in der Schweiz, ist die Ausgangslage eine andere als bei grenzüberschreitendem Versand und EU-Kundenkonten. Die Richtung ist in beiden Fällen gleich – Barrierefreiheit ist bei EU-Geschäft Pflicht und im Inland ein Kriterium der Nutzbarkeit.

Für den Aufbau heisst das: Wer nur in der Schweiz verkauft, plant Barrierefreiheit als Nutzbarkeitsziel; wer in die EU verkauft, plant sie als Pflicht mit dem Stichtag 28. Juni 2025.

Barrierefreie Umsetzung: WCAG, eCH-0059 und EN 301 549

Für die technische Umsetzung sind drei Referenzen zentral. Die WCAG (Web Content Accessibility Guidelines) beschreiben die inhaltlichen Anforderungen. In der Schweiz ist eCH-0059 der wichtige Standard für die Barrierefreiheit von Websites und mobilen Anwendungen. Er stützt sich technisch auf die Konformitätsstufe AA der WCAG 2.1 und gilt in der Version 3.0 für den Bund.

Im EU-Kontext ist EN 301 549 die harmonisierte technische Referenz. In Deutschland verweist die aktuelle Rechtsreferenz auf die Fassung 3.2.1 und damit auf WCAG 2.1 AA. Seit September 2026 ist die Fassung 4.1.1 veröffentlicht, die WCAG 2.2 berücksichtigt.

Die Referenzen sind versioniert, und die Versionen fallen auseinander. eCH-0059 V3.0 gilt für den Bund. In der Schweiz nahestehenden Kontexten und in Liechtenstein gilt die harmonisierte Referenz in der Fassung 3.2.1 mit WCAG 2.1 AA.

Der EAA formuliert funktionale Anforderungen, die sich an etablierten Richtlinien wie der WCAG 2.1 AA orientieren.

Drei Prinzipien leiten dabei. Bedienbarkeit: Navigation und Steuerung müssen mit allen üblichen Eingabegeräten möglich sein – vollständig per Tastatur oder Screenreader, nicht nur mit der Maus. Wahrnehmbarkeit: Inhalte müssen gut lesbar und optisch klar erkennbar sein, mit ausreichenden Kontrasten und skalierbaren Schriftgrössen. Verständlichkeit: Informationen sollen einfach und klar formuliert sein, komplexe Sprache ist zu vermeiden.

Auf den Shop übertragen betrifft das alle Kernbereiche. Hauptnavigation und Produktsuche müssen ohne Maus bedienbar sein, mit sichtbarem Fokus und klaren Bezeichnungen für unterstützende Technologien.

Produktinformationen brauchen Alternativtexte für Bilder, eine korrekte Überschriftenstruktur und Tabellen; Preisangaben müssen als Text lesbar sein, nicht nur als Grafik. Im Checkout müssen Formularfelder eindeutig beschriftet, Fehlermeldungen verständlich und Fortschritte erkennbar sein. Mobile Apps folgen denselben Grundsätzen.

Barrierefreiheit betrifft nicht nur die Startseite. Gerade Warenkorb, Adresseingabe und Bezahlung entscheiden, ob ein Kauf abgeschlossen werden kann. Für Websites und mobile Anwendungen ist nach eCH-0059 zudem eine Barrierefreiheitserklärung vorgesehen, die den Umsetzungsstand dokumentiert.

Bei der Wahl der Zielstufe ist die eigene Situation massgebend: Wer EU-Kundschaft bedient, orientiert sich an den dort geforderten Referenzen; für den Schweizer Markt bieten eCH-0059 und die WCAG 2.1 AA eine anerkannte Grundlage.

Im Aufbau heisst das: Komponenten-Bibliothek und Checkout werden einmal barrierefrei gebaut und danach in jedem neuen Feature weiterverwendet.

Barrierefreiheit von Anfang an: Konzept, Design, Code, Testing

Barrierefreiheit lässt sich nicht am Ende über eine Website legen. Sie muss von Anfang an mitgedacht werden: im Konzept, im Design, in der Architektur, im Code und im Testing. Wer erst kurz vor dem Launch prüft, rechnet mit aufwendigeren und teureren Korrekturen.

Im Konzept geht es um Nutzungsszenarien: Wer bedient den Shop, mit welchen Geräten, Eingabemitteln und Einschränkungen? Im Design zählen Kontraste, Typografie, Fokus-Zustände, Formularbeschriftungen und Fehlermeldungen. In Architektur und Code zählen semantische Struktur, Komponenten mit klaren Zuständen und eine Bibliothek, die barrierefreie Bausteine als Standard liefert.

Beim Testing greifen automatisierte Prüfwerkzeuge zu kurz. Sie erkennen einen Teil der technischen Probleme, etwa fehlende Alternativtexte oder ungenügende Kontraste, aber nicht, ob eine Navigation verständlich ist oder ob ein Screenreader den Bestellvorgang sinnvoll vorliest. Deshalb braucht es zusätzlich manuelle Prüfungen mit Tastatur und Screenreader und, wo möglich, Tests mit Personen, die assistive Technologien im Alltag nutzen.

Für den laufenden Betrieb gehört Barrierefreiheit in die Definition of Done neuer Features und in die regelmässige Wiederholung der Prüfungen. Jeder neue Filter, jede neue Zahlungsart und jede Design-Überarbeitung kann die bestehende Zugänglichkeit wieder verschlechtern.

Für den Aufbau folgt daraus: Barrierefreiheit gehört in die Anforderungen an Agentur und Entwicklerteam, nicht in eine spätere Prüfrunde.

Normen und Standards für den Schweizer Markt

Die Schweizerische Normen-Vereinigung (SNV) vertritt die weltweite (ISO) und die europäische (CEN) Normung und handelt zum Nutzen der Schweizer Wirtschaft und Gesellschaft. Sie fördert die Entwicklung und Harmonisierung von Normen und ermöglicht über 2'000 Schweizer Fachleuten, aktiv am nationalen und internationalen Normungsprozess teilzunehmen. Sie ist in sieben Fachbereiche gegliedert: interdisziplinärer Normenbereich, Maschinen-, Elektro- und Metallindustrie, Bauwesen, Strassen- und Verkehrswesen, Uhrenindustrie, Elektrotechnik sowie Telekommunikation.

Die sieben Fachbereiche tragen eigene Kürzel. INB steht für den interdisziplinären Normenbereich, SWISSMEM für die Maschinen-, Elektro- und Metallindustrie, SIA für das Bauwesen und VSS für das Strassen- und Verkehrswesen. FH steht für die Uhrenindustrie, Electrosuisse für die Elektrotechnik und asut für die Telekommunikation.

Bezogen werden Normen über den Normenshop SNV-Connect. Dort liegen die Produkte der nationalen und internationalen Normenorganisationen bereit, von denen sich der passende Satz auswählen lässt.

Für Shop-Betreiber sind Normen vor allem die gemeinsame Sprache zwischen Auftraggeber, Agentur, Entwicklerteam und Prüfstelle. Wer in der Ausschreibung auf anerkannte Standards verweist, macht Ergebnisse vergleichbar, statt über Geschmacksfragen zu streiten.

Im Bereich Barrierefreiheit ist eCH-0059 die Schweizer Referenz: Der Standard ist für den Bund verbindlich und folgt technisch der WCAG 2.1 in der Stufe AA; er sieht unter anderem eine Barrierefreiheitserklärung für Websites und mobile Anwendungen vor.

International steht mit EN 301 549 die harmonisierte europäische Referenz daneben, auf die sich Anforderungen im EU-Raum beziehen. Wer beide kennt, dokumentiert denselben Shop für den Schweizer und den EU-Markt, ohne zwei getrennte Systeme zu pflegen.

Referenzen und Versionen sind Teil der Abnahme: eCH-0059 V3.0 für den Bund, EN 301 549 V3.2.1 im EU-Kontext und die seit September 2026 veröffentlichte Fassung 4.1.1 mit WCAG 2.2. Wer die Version im Vertrag nennt, prüft später gegen dieselbe Grundlage.

Wichtige gesetzliche und technische Referenzen

Betrieb: Sicherheit, Speicherdauer und Löschung

Der Betrieb ist der dritte Bereich des Aufbaus: Er beginnt mit dem Launch und läuft danach weiter. Er umfasst Sicherheit, Verfügbarkeit, Wartbarkeit und die wiederkehrenden Aufgaben.

Der laufende Betrieb verlangt technische und organisatorische Massnahmen, die dem Risiko angemessen sind. Massgebend sind Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Bearbeitung sowie Eintrittswahrscheinlichkeit und Ausmass möglicher Bedrohungen für Rechte und Freiheiten natürlicher Personen. Ziel ist ein angemessenes Schutzniveau: Vertraulichkeit, Integrität und Verfügbarkeit der Daten sind zu sichern.

Zur Sicherung von Vertraulichkeit, Integrität und Verfügbarkeit gehört auch die Kontrolle des physischen Zugangs zu Systemen und Räumen. Sie ist Teil derselben risikogerechten Massnahmen wie Rollen und Berechtigungen.

Zugriffsbeschränkungen sind ein zentraler Teil davon. Wer im Shop welche Kundendaten sehen und ändern darf, wird über Rollen und Berechtigungen geregelt, nicht über Gewohnheit – im Shop-Backend ebenso wie in Analyse-, Marketing- und Supportwerkzeugen. Jeder Zugriff auf Personendaten ist auf das für die jeweilige Aufgabe Nötige zu beschränken.

In grösseren Shops heissen die Rollen Super-Admin, Admin, Redakteur und Shop-Manager, verteilt über viele Produkte. Wer diese Rollen früh benennt, kann die Berechtigungen im Shop-Backend danach schneiden.

Zur Speicherdauer gehört ein Löschkonzept. Datenschutzerklärungen enthalten dazu üblicherweise einen eigenen Abschnitt mit allgemeinen Informationen zur Datenspeicherung und Löschung; darin wird festgehalten, wann Daten gelöscht oder anonymisiert werden.

Im Betrieb heisst das: für jede Datenkategorie eine Aufbewahrungsfrist festlegen, diese technisch durchsetzen – etwa mit automatisierten Löschläufen – und die Löschung nachvollziehbar dokumentieren. Wo gesetzliche Aufbewahrungspflichten einer sofortigen Löschung entgegenstehen, wird die weitere Bearbeitung auf diesen Zweck beschränkt.

Die Datenschutzerklärung führt einen eigenen Abschnitt zu Sicherheitsmassnahmen. Er beschreibt, welche technischen und organisatorischen Massnahmen der Shop betreibt und wie ein dem Risiko angemessenes Schutzniveau erreicht wird.

Webanalyse, Monitoring und Optimierung laufen im Betrieb mit. Sie sind als eigene Bearbeitung mit eigenem Zweck zu führen und in der Erklärung separat zu nennen.

Plattformen wie Shopify teilen den Betrieb zwischen Anbieter und Betreiber auf. Wer den Shop dort führt, klärt Updates, Schlüsselverwaltung und Löschläufe vertraglich und hält fest, welche Aufgaben beim Betreiber bleiben.

Protokolldaten sind eine eigene Datenart des Betriebs. Sie entstehen bei der Nutzung des Angebots, dienen der Sicherheit und sind in der Erklärung unter den Datenarten aufzuführen.

Für den Fall einer Datenschutzverletzung braucht es einen klaren Ablauf, der festhält, wer intern entscheidet und wie vorgegangen wird.

Dazu kommen die wiederkehrenden Aufgaben: Updates von Shop-Software und Bibliotheken, Verwaltung von Schlüsseln und Zugangsdaten, Protokollierung sicherheitsrelevanter Ereignisse und ein klarer Ablauf für den Fall einer Datenschutzverletzung.

Recht, Technik und Betrieb treffen sich in den Fristen: Die Aufbewahrungsfrist kommt aus dem Recht, der Löschlauf aus der Technik, die Kontrolle aus dem Betrieb. Wer Rollen, Fristen und Löschläufe zusammen führt, hält den Shop nachvollziehbar.

Checkliste für den Start

Diese Checkliste führt die drei Bereiche des Aufbaus: Recht, Technik und Betrieb. Sie beginnt beim Recht, geht über die technischen Bausteine und endet bei den Betriebsroutinen.

Datenschutz: Verantwortlichen mit Adresse und Kontaktstelle in der Datenschutzerklärung nennen. Datenkatalog erstellen und jeder Datenkategorie einen erkennbaren Zweck zuordnen, der mit der Bearbeitung vereinbar ist. Treu und Glauben, Rechtmässigkeit und Verhältnismässigkeit sowie die Zweckbindung nach Art. 6 DSG einhalten.

Datenschutzerklärung: Abschnitte zu Hosting, Zahlungsverfahren, Cookies, Registrierung und Nutzerkonto, Kontakt- und Anfrageverwaltung sowie – falls vorhanden – zu mobilen Apps vorsehen. Datenarten, Quellen, Empfänger, Länder und Speicherdauer aufführen. Erklärung und tatsächlichen Betrieb regelmässig abgleichen.

Verantwortlicher: Namen, Adresse und Kontaktstelle des Verantwortlichen in der Erklärung nennen. Bei Bedarf einen Datenschutzbeauftragten mit Adresse und eigener E-Mail-Adresse aufführen.

Funktionen: Für Webanalyse, Monitoring und Optimierung, Onlinemarketing, Newsletter und Push-Meldungen, Messenger-Dienste, Plug-ins und Einbettungen, Single-Sign-On sowie App-Bezug über Appstores je einen eigenen Abschnitt vorsehen.

Internationale Transfers: Für jeden Anbieter im Ausland prüfen, welche Daten übermittelt werden. Übermittlungen mit Standardvertragsklauseln absichern, die der EDÖB vorgängig genehmigt, ausgestellt oder anerkannt hat.

Technik: Shop-System, Webhosting, Zahlungsabwicklung und Webanalyse als getrennte Bausteine bestimmen und einander zuordnen. Beim Shop-System festhalten, welche Betriebsaufgaben die Plattform übernimmt und welche beim Betreiber bleiben. Für Webhosting und Analyse Standort der Daten, Subunternehmer und Löschung dokumentieren.

Shopsystem: Zwischen Systemen für grosse Unternehmen mit vielen Produkten und Rollen – Oracle Commerce Cloud, IBM WebSphere Commerce, SuiteCommerce von Oracle Netsuite, SAP Commerce Cloud, Sitecore Experience Commerce, Intershop Commerce Suite, SAP Hybris Commerce, Salesforce Commerce Cloud – und Systemen für mittelständische Betriebe unterscheiden. Prüfen, was «SEO ready» konkret bedeutet.

KMU-Systeme: Für mittelständische Betriebe Systeme wie Plenty prüfen, die Digitalagenturen und lokale Webdesigner betreuen. Die Wunschliste der wichtigsten Funktionalitäten vor der Wahl gegen die tatsächlich angebotenen Funktionen halten.

Zahlungsdaten: Karten- und Kontoinformationen, Transaktionsdetails und Zahlungsbestätigung nur so weit erheben, wie die Bestellabwicklung sie braucht. In der Datenschutzerklärung festhalten, welche Zahlungsdaten an wen gehen.

Dokumente: Datenschutzerklärung, Allgemeine Geschäftsbedingungen und Impressum getrennt führen. Bei Widersprüchen zwischen Nutzungsbedingungen und Datenschutzerklärung den Vorrang bei Erhebung, Bearbeitung und Offenlegung personenbezogener Daten klären.

Barrierefreiheit Recht: Klären, ob der Shop EU-Kundschaft bedient – dann gelten die EAA-Vorgaben mit dem Stichtag 28. Juni 2025 für Websites und mobile Apps von Onlineshops. Im Inland die Vorgaben für öffentliche Stellen nach BehiG/BehiV beachten und das Diskriminierungsverbot im Dienstleistungsverkehr mitdenken. In Deutschland ist das BFSG seit dem 28. Juni 2025 zu berücksichtigen.

Barrierefreiheit Technik: Die WCAG 2.1 AA als technische Basis umsetzen, eCH-0059 als Schweizer Referenz beachten und im EU-Geschäft EN 301 549 berücksichtigen. Navigation vollständig per Tastatur bedienbar machen, Kontraste und Schriftgrössen prüfen, Sprache einfach halten. Bilder mit Alternativtexten, Formulare mit eindeutigen Beschriftungen und verständlichen Fehlermeldungen versehen. Checkout, Produktseiten und mobile Apps gleich behandeln wie die Startseite.

Barrierefreiheit Prozess: Anforderungen in Konzept, Design, Architektur, Code und Testing verankern. Automatisierte Prüfungen mit manuellen Tests per Tastatur und Screenreader ergänzen und Barrierefreiheit in die Definition of Done aufnehmen. Eine Barrierefreiheitserklärung nach eCH-0059 für Website und App vorbereiten.

Normen: In Ausschreibungen und Abnahmen auf anerkannte Standards verweisen. Zwischen Schweizer Referenz (eCH-0059) und europäischer Referenz (EN 301 549) unterscheiden und die Ergebnisse entsprechend dokumentieren. Bezug über den Normenshop SNV-Connect.

Betrieb: Technische und organisatorische Sicherheitsmassnahmen risikogerecht festlegen und Vertraulichkeit, Integrität und Verfügbarkeit der Daten sichern. Rollen und Berechtigungen für jeden Zugriff auf Kundendaten definieren. Für jede Datenkategorie eine Aufbewahrungsfrist festlegen, automatisierte Löschläufe einrichten und die Löschung dokumentieren. Wiederkehrende Updates, Schlüsselverwaltung, Protokollierung und einen Ablauf für Datenschutzverletzungen einplanen.

Datenschutzverletzung: Einen Ablauf vorsehen, der interne Zuständigkeit und Vorgehen festhält.

Sicherheit und Protokolle: Einen Abschnitt zu Sicherheitsmassnahmen führen und Protokolldaten als eigene Datenart behandeln. Ein Stand-Datum in der Erklärung pflegen und den Text nachführen.

Standards: eCH-0059 V3.0 für den Bund, EN 301 549 in der Fassung 3.2.1 im EU-Kontext und die Fassung 4.1.1 seit September 2026 mit WCAG 2.2 auseinanderhalten.

Betriebsroutinen: Updates von Shop-Software und Bibliotheken, Verwaltung von Schlüsseln und Zugangsdaten, Protokollierung sicherheitsrelevanter Ereignisse und ein klarer Ablauf für Datenschutzverletzungen gehören ab dem ersten Tag in den Betrieb.

Kurz geführt: Recht sind DSG, BehiG und BehiV; im EU-Geschäft EAA, in Deutschland BFSG, BGG, BITV 2.0 und BFSGV, in Liechtenstein BGlG. Technik sind eCH-0059, WCAG 2.1 AA, EN 301 549, Shop-Systeme wie Shopify oder Plenty sowie Webhosting, Zahlungsabwicklung und Webanalyse. Betrieb sind Updates, Schlüsselverwaltung, Protokollierung und automatisierte Löschläufe.