Für eine B2B-Website ist das praktisch relevant: Der Mechanismus der Erkennung auf Firmenebene ist derselbe, aber Unterlagen, Begriffe und das Bezugsgesetz, das eine Schweizer Prüfung erwartet, sind andere. Diese Seite beschreibt, was hier gilt.
Auf einen Blick
- Rechtsrahmen
- revDSG / revFADP — Schweizer Recht, nicht die DSGVO
- Aufsicht
- EDÖB, Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter
- Übliche Grundlage
- Keine Einwilligungspflicht im Grundsatz; Bearbeitung muss rechtmäßig, verhältnismäßig und erkennbar sein
- Verarbeitungsort
- ISO-zertifizierte EU-Rechenzentren
revDSG statt DSGVO: was wirklich anders ist
Regulierung auf einen Blick
- RechtsrahmenrevDSG / revFADP — Schweizer Recht, nicht die DSGVO
- AufsichtEDÖB, Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter
- Übliche GrundlageKeine Einwilligungspflicht im Grundsatz; Bearbeitung muss rechtmäßig, verhältnismäßig und erkennbar sein
- VerarbeitungsortISO-zertifizierte EU-Rechenzentren
Das revidierte DSG wurde bewusst an die DSGVO angenähert, ist aber ein eigenes Gesetz, und die Unterschiede sind nicht kosmetisch. Der folgenreichste für Website-Betreiber: Das Schweizer Recht arbeitet nicht mit einer geschlossenen Liste von Rechtsgrundlagen. Private Bearbeitung braucht im Grundsatz keine Rechtfertigung wie ein berechtigtes Interesse — sie ist zulässig, solange sie nicht widerrechtlich die Persönlichkeit der betroffenen Person verletzt, etwa durch fehlende Erkennbarkeit, unverhältnismäßige Bearbeitung oder Bearbeitung gegen einen ausdrücklichen Widerspruch. Statt einer Interessenabwägung lautet die Schweizer Frage also: verhältnismäßig, erkennbar, ohne Überraschung.
Das revDSG hat seinen Anwendungsbereich zudem in einem hier direkt relevanten Punkt verengt: Es schützt nur Daten natürlicher Personen. Das alte Schweizer Recht erfasste auch juristische Personen, das revidierte nicht mehr. Eine Erkennung auf Firmenebene, die eine Organisation und keine Person auflöst, steht damit unter Schweizer Recht in einer merklich klareren Position als unter einem Regime, das Firmendaten als solche schützt.
Die Pflichten wirken vertraut, heißen aber anders. Es gibt ein Verzeichnis der Bearbeitungstätigkeiten, eine Informationspflicht bei der Beschaffung von Personendaten, eine Datenschutz-Folgenabschätzung bei hohem Risiko und die Meldung von Verletzungen der Datensicherheit an den EDÖB — mit Schweizer Schwelle und Fristenlogik, nicht mit der 72-Stunden-Regel der DSGVO. Auftragsbearbeiter sind mit Vertrag zulässig; eine Unterbeauftragung bedarf der Genehmigung.
Bekanntgaben ins Ausland laufen über die Länderliste des Bundesrats mit angemessenem Schutzniveau, die die EWR-Staaten umfasst. Die Bearbeitung von Besucherdaten mit Schweizer Bezug in ISO-zertifizierten EU-Rechenzentren stützt sich damit auf eine Angemessenheitsentscheidung und nicht auf Vertragsklauseln — einer der Gründe, warum ein EU-Verarbeitungsort in einer Schweizer Prüfung leicht zu begründen ist.
Ein struktureller Punkt überrascht ausländische Anbieter oft: Ein Verantwortlicher im Ausland, der Daten von Personen in der Schweiz bearbeitet, muss in definierten Fällen eine Vertretung in der Schweiz bezeichnen. Das ist eine Pflicht auf Anbieterseite und keine Kundeneinstellung — gefragt wird trotzdem danach.
Wie Schweizer Käufer prüfen
Schweizer Prüfende sind bei Begriffen präzise. Wer eine revDSG-Frage mit DSGVO-Textbausteinen beantwortet, signalisiert, dass er das lokale Recht nicht gelesen hat. Gefragt wird, nach welchem Gesetz geantwortet wird, ob juristische Personen erfasst sind und wo die Daten physisch liegen.
Die Erwartung an Unterlagen ist überschaubar, aber verbindlich: ein Bearbeitungsvertrag, eine benannte Subprozessoren-Liste, eine klare Aussage zum Verarbeitungsort und ein Informationstext für die eigene Datenschutzerklärung. Auch die Mehrsprachigkeit zählt — Deutsch, Französisch und Italienisch sind Arbeitssprachen, und deutschsprachige Unterlagen decken den größten Teil des B2B-Markts ab.
Weil die Schweiz ein kleiner, beziehungsgetriebener Markt ist, zahlt sich Zurückhaltung bei Behauptungen aus. Was aufgelöst wird, was verworfen wird und wo die eigene Verantwortung beginnt: Diese Version überlebt das zweite Gespräch.
Kostenlos starten
Snippet einbauen und die ersten benannten Firmen im eigenen Traffic sehen.
Das siehst du wirklich
Benannte Firmen in deinem Dashboard — mit Branche, Größe und den gelesenen Seiten.
Wo sich die Erkennung hier auszahlt
Präzisionsfertigung, Medtech, Zulieferer des Finanzsektors und B2B-Softwarehäuser mit Schweizer Fokus profitieren am meisten: hohe Auftragswerte, kleine Zielsegmente, Gremien, die still recherchieren, bevor sie Kontakt aufnehmen. Die Firma hinter dieser Recherche zu erkennen, ist oft mehr wert als hundert anonyme Sitzungen.
Ebenso passend für Anbieter, die aus dem Ausland in die Schweiz verkaufen. Zu sehen, dass ein Schweizer Unternehmen die Produktseiten liest, ist der Unterschied zwischen spekulativer Ansprache und einem Anruf mit Anlass.
Wie lead.box hier arbeitet
DSGVO-konforme Besuchererkennung: die 5 Regeln
1. Nur Firmenebene
Die Erkennung löst das Unternehmen hinter einem Besuch über Netzwerk- und IP-zu-Firma-Zuordnung auf. Einzelne Personen werden nie identifiziert; ein Besuch, der keiner Firma zuzuordnen ist, bleibt anonym.
2. Rechtsgrundlage: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO
Die Erkennung auf Firmenebene wird üblicherweise auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO gestützt und mit einer Interessenabwägung dokumentiert. Eine Einwilligung ist nicht erforderlich, solange keine personenbezogenen Kennungen verarbeitet werden; die Bewertung triffst du als Verantwortlicher.
3. Keine personenbezogenen Kennungen
Es entstehen keine Namen, keine persönlichen E-Mail-Adressen, keine Geräte-Fingerprints und keine seitenübergreifenden Profile. Rohe Netzwerkadressen sind weder in der Oberfläche noch in Exporten oder der API verfügbar — gespeichert wird nur die aufgelöste Firma.
4. EU-Datenverarbeitung
Personen- und Besucherdaten mit EU-Bezug werden in ISO-zertifizierten Rechenzentren in der Europäischen Union verarbeitet. EU-Besucherdaten werden dafür nicht aus der EU heraus verlagert.
5. Transparenz und Widerspruch
Weise die Erkennung in deiner Datenschutzerklärung aus — einen einsetzbaren Absatz findest du auf dieser Seite. Jeder Besucher kann jederzeit über die öffentliche Opt-out-Seite widersprechen.
lead.box setzt alle fünf Regeln von Haus aus um.
Fragen aus diesem Markt
Nicht als Schweizer Landesrecht. Die Schweiz wendet das revidierte Datenschutzgesetz (revDSG) an, beaufsichtigt durch den EDÖB — ein eigenständiges Gesetz, das bewusst an die DSGVO angenähert wurde, aber ein separates Regelwerk bleibt. Die DSGVO kann über ihren eigenen extraterritorialen Anwendungsbereich parallel gelten, etwa wenn ein Schweizer Unternehmen Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten dort beobachtet — deshalb dokumentieren viele Schweizer B2B-Anbieter beide Regelwerke, statt sie als austauschbar zu behandeln. Für eine Website mit Schweizer und EU-Besuchern lohnt sich der strengere gemeinsame Standard, mit klarer Zuordnung, welche Pflicht aus welchem Gesetz stammt, sobald danach gefragt wird — Schweizer Prüfende merken schnell, wenn diese Trennung fehlt.
Das Schweizer Recht verlangt für private Bearbeitungen im Grundsatz keine Rechtsgrundlage wie eine Einwilligung; anders als bei der geschlossenen Liste der DSGVO ist eine Bearbeitung nach revDSG zulässig, solange sie nicht widerrechtlich die Persönlichkeit verletzt — etwa durch fehlende Erkennbarkeit, unverhältnismäßige Bearbeitung oder Bearbeitung gegen einen ausdrücklichen Widerspruch. Praktisch zählen damit Erkennbarkeit, Verhältnismäßigkeit und die Beachtung von Widersprüchen statt eines Einwilligungsformulars. lead.box ist genau darauf ausgelegt: Die Erkennung wird verständlich in der Datenschutzerklärung ausgewiesen, bleibt auf die Organisation hinter einem Besuch begrenzt, und jeder Besucher kann jederzeit über eine öffentliche, unabhängig erreichbare Opt-out-Seite widersprechen, die dem EDÖB auf Anfrage vorgelegt werden kann.
Nein, und das ist einer der schärfsten Unterschiede zum alten Schweizer Recht. Das revidierte Gesetz schützt nur Daten natürlicher Personen; das frühere Datenschutzgesetz erfasste auch juristische Personen wie Unternehmen, dieser Schutz wurde in der Revision 2023 bewusst gestrichen. Die Erkennung auf Firmenebene löst die Organisation hinter einem Besuch auf — eine im Handelsregister eingetragene Einheit, keine einzelne Person — und fällt damit von vornherein aus dem Schutzbereich des revDSG heraus, statt lediglich eine Ausnahme darin zu erfüllen. Einzelne Mitarbeitende, die die Website besuchen, werden nie namentlich herausgegriffen, profiliert oder exportiert, was die Schweizer Rechtsposition des Produkts deutlich klarer macht als bei einem Werkzeug mit Personenprofilen.
Ja. Die EWR-Staaten stehen auf der Länderliste des Bundesrats mit anerkannt angemessenem Schutzniveau, damit stützt sich die Bearbeitung von Besucherdaten mit Schweizer Bezug in ISO-zertifizierten EU-Rechenzentren auf diese Angemessenheitsentscheidung und nicht auf zusätzliche Vertragsmechanismen wie Standardvertragsklauseln. Das ist einer der Gründe, warum ein EU-Verarbeitungsort in einer Schweizer Beschaffungsprüfung einfach zu begründen ist: Es muss kein separater Übermittlungsmechanismus zusätzlich zum gewöhnlichen Bearbeitungsvertrag verhandelt werden. Der an revDSG-Begriffe angepasste Bearbeitungsvertrag und die versionierte Subprozessoren-Liste sind veröffentlicht, damit Rechts- oder Compliance-Teams die Kette vor der Unterschrift prüfen können.
Die Schweiz kennt kein direktes Gegenstück zur EU-ePrivacy-Richtlinie, und das Fernmeldegesetz (FMG) begründet keine allgemeine Cookie-Einwilligungspflicht, wie sie EU-Umsetzungen kennen. Für die eigene Schweizer Website gilt weiterhin der Verhältnismäßigkeits- und Transparenztest des revDSG, ergänzt um vertragliche Pflichten aus der Fernmeldedienstverordnung, sofern der Besucher einen Schweizer Telekom-Anschluss nutzt. lead.box legt keine Werbekennungen oder Tracking-Cookies auf dem Gerät ab und liest keine dort bereits gespeicherten Informationen aus, fällt also nicht unter die enge Gruppe von Technologien, die Schweizer Datenschutzhinweise als einwilligungsrelevant behandeln — eigene Analyse- oder Werbe-Pixel der Website können davon unabhängig trotzdem Beachtung brauchen.
Jedes im kantonalen Handelsregister eingetragene Unternehmen trägt eine eindeutige Unternehmens-Identifikationsnummer, die UID, und Schweizer B2B-Käufer erwarten, dass Anbieterunterlagen, Rechnungen und Bearbeitungsverträge sie korrekt referenzieren statt eines generischen internationalen Formats. Die Erkennung auf Firmenebene löst die Organisation aus Netzwerkinformationen auf und gleicht sie mit Firmendaten ab; ist die Organisation eines Schweizer Besuchers hierzulande eingetragen, lässt sich der Treffer mit Schweizer Firmenname und Handelsregisterkanton anzeigen statt mit dem Namen einer ausländischen Holding — genau das braucht ein Schweizer Vertriebsteam, um ein relevantes, korrekt adressiertes Gespräch zu eröffnen, statt einem mehrdeutigen internationalen Konzernnamen hinterherzulaufen.
Das Bundesgesetz über die Information und Mitsprache der Arbeitnehmerinnen und Arbeitnehmer in den Betrieben (Mitwirkungsgesetz) gewährt Mitsprache vor allem bei größeren organisatorischen, sicherheitsrelevanten oder betriebsübergreifenden Entscheidungen in Betrieben ab einer bestimmten Beschäftigtenzahl; es verlangt in der Regel keine Konsultation für die Einführung eines Marketing- oder Vertriebswerkzeugs, das besuchende Organisationen erkennt statt einzelne Mitarbeitende zu überwachen. Weil lead.box keine identifizierbaren Personen verfolgt, keine Tastatureingaben protokolliert und keine Leistung von Mitarbeitenden bewertet, fällt es typischerweise nicht unter jene Überwachungsmaßnahmen, die eine Mitwirkungspflicht auslösen — interne IT- und Datenschutzrichtlinien sollten dennoch im Einzelfall geprüft werden.
Die meisten Schweizer Teams installieren zunächst ein kleines JavaScript-Snippet auf der Haupt-Marketing-Domain und prüfen innerhalb des ersten Tages die ersten erkannten Firmen, um zu sehen, ob Schweizer Kantone und Sprachregionen korrekt abgebildet werden, bevor das Tool auf weitere Domains ausgeweitet wird. Anschließend fließen die Ergebnisse in tägliche oder wöchentliche Übersichten, CSV- oder Excel-Exporte für Berichte auf Deutsch, Französisch oder Italienisch sowie über Webhooks in die in der Schweizer B2B-Praxis gängigen CRM-Systeme wie HubSpot, Pipedrive oder Microsoft Dynamics. Nutzerplätze lassen sich pro Vertriebs- oder Marketingteammitglied hinzufügen, und das Abo kann direkt im Konto gekündigt werden, ohne Kündigungsfrist oder Rückgewinnungsgespräch.
Sieh die Schweizer Firmen hinter deinem Traffic
Snippet einbauen, die ersten Firmen beobachten und revDSG-Fragen mit Unterlagen statt mit Versprechen beantworten.