DSGVO: Bereiten Sie sich auf eine europäische Einführung vor

Am Montag will ein Schweizer Unternehmen seine erste Kampagne in Frankreich und Deutschland eröffnen. Die Anzeigen sind fertig, das Formular übersetzt, die Verkäufer geschult. Dann blockiert eine Frage den Start: Gilt die DSGVO wirklich aus der Schweiz? Die Website ist in Europa zugänglich, das CRM wird in der Cloud gehostet, eine Interessentendatenbank wurde erweitert und mehrere Tools verfolgen Besucher. Wenn Sie einfach mit "Ja" oder "Nein" antworten, können Sie weder entscheiden noch verkaufen. Seit dem 25. Mai 2018 reicht der Schweizer Hauptsitz nicht mehr aus, um die europäische Regelung auszuschliessen. Zu den untersuchten Aktivitäten zählen: Angebot an Personen in der Union, Überwachung ihres Verhaltens, Rolle bei der Verarbeitung und Lieferantenkette. Diese Marktanalyse folgt daher in ihrer Logik – Targeting, Sammlung, Messung, CRM, Prospektion und Lieferantennachweis – einer echten Kampagne, ohne einen Kunden oder ein Ergebnis zu erfinden. Abschliessend wird gezeigt, wie eine EU-Einführungsprüfung zu einem schnellen ersten Kauf werden kann, bevor weitere Investitionen in die Akquisition getätigt werden. Stand: 6. August 2026. Allgemeine Information, keine individuelle Rechts-, Steuer- oder Fachberatung.

Die DSGVO gilt für ein Schweizer Unternehmen, wenn die untersuchte Verarbeitung unter seine territorialen Kriterien fällt: Tätigkeit einer Niederlassung in der Union, Anbieten von Waren oder Dienstleistungen für Personen dort oder Überwachung ihres Verhaltens in der Union. Die Schweizer Zentrale lehnt die Regelung daher nicht automatisch ab.

Artikel 3 der DSGVO öffnet mehrere Türen. Ein Unternehmen kann zunächst eine Niederlassung in der Union haben und im Rahmen seiner Tätigkeit Daten verarbeiten. Ohne eine europäische Einrichtung kann es dennoch unter die Verordnung fallen, wenn es sich mit einem Angebot an Menschen in der Union richtet, sei es gegen Entgelt oder kostenlos, oder wenn es ihr Verhalten in diesem Gebiet überwacht.

Die Europäische Kommission nennt ein aussagekräftiges Beispiel: Ein kleines Ausbildungsunternehmen mit Sitz ausserhalb der Union nimmt spanische und portugiesische Universitäten ins Visier und sammelt dann Daten, um Konten zu erstellen. Die Regelung kann gelten, da das Angebot auf diese Personen ausgerichtet ist. Umgekehrt ist die blosse Tatsache, dass Nicht-EU-Kunden einen Dienst nutzen, während sie innerhalb der Union reisen, kein Nachweis für eine gezielte Ausrichtung.

So ist das Diagramm zu lesen. Der Test betrifft eine bestimmte Aktivität. Dasselbe Unternehmen kann für zwei Angebote, zwei Abläufe oder zwei Behandlungen eine unterschiedliche Antwort erhalten.

Alternativer Text. Das Unternehmen überprüft die Einrichtung, bietet dann Angebote an und geht der Sache nach. Wenn ein Kriterium erfüllt ist, qualifiziert es die Behandlung, Rollen und Pflichten; andernfalls wird dokumentiert, warum der Geltungsbereich weiterhin ausserhalb des Geltungsbereichs liegt oder unsicher ist.

Quellen des Diagramms. Europäische Union, Datenschutzgrundverordnung; Europäischer Datenschutzausschuss, Leitlinien 3/2018 zum räumlichen Geltungsbereich.

Die Anhaltspunkte dafür, dass ein Schweizer Angebot tatsächlich auf den europäischen Markt abzielt, sind eine auf ein oder mehrere Länder ausgerichtete Geschäftsstrategie, angepasste Botschaften, Verkaufsbedingungen, Lieferbedingungen, Zahlungen, Kampagnen oder auf diese Personen zugeschnittene Teams. Die Zugänglichkeit der Website allein reicht nicht aus.

Targeting lässt sich an einem Bündel von Hinweisen ablesen. Eine Seite auf Französisch allein beweist nichts, da diese Sprache auch in der Schweiz Landessprache ist. Ein auf Frankreich ausgerichtetes Angebot, angepasste Preise oder Konditionen, europäische Referenzen, geolokalisierte Anzeigen, eine in der Union angekündigte Lieferung oder ein für diese Konten zuständiger Vertriebsmitarbeiter machen die Absicht besser sichtbar.

Das Dossier muss die Elemente enthalten, die zur Schlussfolgerung geführt haben. Es führt den Marktbearbeitungsplan, Zielseiten, Werbeparameter, akzeptierte Länder, Vertragsbedingungen und die Vertriebsprozess zusammen. Dieser Nachweis schützt die beiden möglichen Entscheidungen: das Feld anerkennen, wenn es existiert, oder die Regelung aufgrund eines zufälligen Besuchers nicht auf das gesamte Unternehmen auszudehnen.

So ist die Tabelle zu lesen. Kein einzelner Hinweis ist automatisch entscheidend. Ihre Konsistenz beschreibt die Aktivität, die das Unternehmen tatsächlich gestartet hat.

Kampagnenmessung wird zu Verhaltensüberwachung, wenn die Verarbeitung es ermöglicht, Menschen in der Union zu beobachten, um ihre Vorlieben, Verhaltensweisen oder Einstellungen zu analysieren oder vorherzusagen. Das einfache Wort "Statistik" neutralisiert weder Profiling, Retargeting noch anhaltende Beobachtung.

Eine moderne Kampagne kann Kennungen weglassen, mehrere Besuche verknüpfen, Interessen segmentieren, Zielgruppen aufbauen, einen Lead bewerten oder eine Sequenz personalisieren. Die EDÖB nennt die Überwachung der Aktivitäten eines Besuchers und die Beobachtung seiner Navigation als Beispiele, die ein Schweizer Unternehmen in den territorialen Bereich bringen könnten. Die Frage ist also nicht nur das installierte Tool, sondern auch die Frage, welche Rückschlüsse wir daraus auf die Person ziehen können.

Wir müssen aggregierte Messung und individualisierten Pfad trennen. Das Zählen von Besuchen ohne vernünftige Möglichkeit zur Identifizierung einer Person erfordert nicht die gleiche Analyse wie die Zuordnung einer Navigation, eines Downloads und eines Verkaufsgesprächs zu einem CRM-Profil. Einstellungen, Aufbewahrungsfrist, Identifikatoren und Anbieter sollten berücksichtigt werden, bevor eine Einwilligungsgrundlage, Informationen oder Mechanismen ausgewählt werden.

Die Kampagne muss vor dem Verfassen der Erwähnungen kartiert werden, da ein Text unbekannte Ströme nicht korrekt beschreiben kann. Die Karte muss Kontaktquelle, Zweck, beabsichtigte Grundlage, bereitgestellte Informationen, CRM, Subunternehmer, Übertragungen, Dauer, Rechte und kommerzielle Entscheidung verknüpfen.

Die Reise beginnt manchmal schon vor der Form. Eine Liste kann von einer öffentlichen Quelle, einem Lieferanten, einer Messe oder einem Partner stammen. Es kann angereichert, dedupliziert, bewertet, an den Vertriebsmitarbeiter übermittelt, mit einer Werbeplattform synchronisiert und nach der Kampagne aufbewahrt werden. Jeder dieser Vorgänge gehört zur Verarbeitung und erfordert einen Eigentümer.

Durch das Mapping werden kosmetische Korrekturen vermieden. Durch das Hinzufügen eines Satzes zu einer Datenschutzrichtlinie wird eine Liste nicht aufgelöst, deren Herkunft nicht vertretbar ist. Eine Schaltfläche zum Verweigern verhindert nicht, dass ein Tool weiterhin sendet. Ein Lieferantenvertrag ersetzt nicht die tatsächliche Weisung an diesen Lieferanten.

So ist das Diagramm zu lesen. Der Interessent durchläuft mehrere Systeme, bevor er zum Kunden wird. Ein konsistenter Nachweis sollte Passagen umfassen, nicht nur die Zielseite.

Alternativer Text. Das Unternehmen dokumentiert die Quelle, Anreicherung, CRM, Aktivierung, Reaktion und Aufbewahrung und verknüpft dann jeden Lieferanten mit den von ihm durchgeführten Vorgängen.

Diese Karte wird auch von europäischen Käufern verwendet. In einer B2B-Beziehung kann der Auftraggeber erfragen, wo die Daten verarbeitet werden, welche Subunternehmer beteiligt sind, wie mit Anfragen von Personen umgegangen wird und was am Ende der Dienstleistung passiert. Der Nachweis wird dann Bestandteil des Marktzugangs, sofern er die betriebliche Realität widerspiegelt.

Die Rolle des Schweizer Unternehmens verändert die erwarteten Nachweise, da ein Datenverantwortlicher über die Zwecke und Mittel entscheidet, während ein Auftragsverarbeiter nach dokumentierten Anweisungen handelt. Dasselbe Unternehmen kann für die Akquise und den Subunternehmer für die an einen europäischen Kunden verkaufte Dienstleistung verantwortlich sein.

Bei der eigenen Kampagne entscheidet das Schweizer Unternehmen in der Regel darüber, warum es Leads sammelt, welche Tools es nutzt und wie lange es die Daten speichert. In dem an einen Kunden gelieferten Produkt kann es in dessen Auftrag Daten verarbeiten. Verträge, Weisungen, Sicherheitsmassnahmen, Unterauftragsverarbeiter und Rückgabeverfahren sind dann nicht identisch.

Der KMU-Leitfaden des Europäischen Datenschutzausschusses erinnert daran, dass die Beziehung zwischen Verantwortlichem und Unterauftragnehmer durch einen Vertrag geregelt werden muss. Der Subunternehmer handelt weisungsgebunden, wahrt die Vertraulichkeit, überwacht seine eigenen Subunternehmer, hilft bei der Bearbeitung von Anfragen und löscht oder gibt Daten entsprechend der vereinbarten Wahl zurück. Ein kommerzieller Titel reicht nicht aus, wenn die tatsächlichen Entscheidungen etwas anderes aussagen.

So ist die Tabelle zu lesen. Dasselbe Unternehmen kann nicht eine einzige Dossier für alle seine Aktivitäten wiederverwenden. Jede Beziehung beginnt mit der Behandlung und den tatsächlich getroffenen Entscheidungen.

Der Angemessenheitsbeschluss von 2024 erleichtert die Übermittlung personenbezogener Daten aus der Union oder dem Europäischen Wirtschaftsraum in die Schweiz ohne zusätzliche Garantien zur Gewährleistung eines angemessenen Niveaus. Sie entbindet Sie jedoch nicht von den sonstigen Pflichten der DSGVO und auch nicht von der Qualifikation der Verarbeitungs- und Folgelieferanten.

Die Europäische Kommission hat am 15. Januar 2024 bestätigt, dass die Schweiz weiterhin ein angemessenes Niveau gewährleistet. Für einen europäischen Käufer verringert diese Anerkennung eine erhebliche Reibung: Der Übergang zu einem Schweizer Unternehmen erfordert allein aus diesem Grund nicht, das Schutzniveau durch zusätzliche Klauseln neu aufzubauen.

Die Angemessenheit führt jedoch nicht dazu, dass jeder Vorgang in eine rechtmässige Verarbeitung umgewandelt wird. Es ist weiterhin erforderlich, festzustellen, warum die Daten verwendet werden, die Menschen zu informieren, ihre Rechte zu respektieren, den Subunternehmer zu überwachen, die Verarbeitung zu sichern und spätere Übermittlungen zu prüfen. Ein Partnertool kann selbst Daten in ein anderes Land senden; Dieser neue Schritt muss in seiner eigenen Kette analysiert werden.

So ist die Tabelle zu lesen. Angemessenheit beantwortet eine Transferfrage. Sie ersetzt nicht die Kampagnendatei oder den vom Käufer erwarteten Lieferantennachweis.

Die DSGVO allein erlaubt keine kommerzielle Akquise in Europa. Sie regelt die Verarbeitung personenbezogener Daten, auch die elektronische Kommunikation fällt unter die ePrivacy-Richtlinie und deren nationale Umsetzung. Daher müssen Kanal, Land, Quelle und Empfänger überprüft werden.

Die Europäische Kommission weist darauf hin, dass es sich bei einer nominativen beruflichen Adresse um personenbezogene Daten handeln kann, im Gegensatz zu einer generischen Adresse wie z info@entreprise. Wenn eine Liste von einem Dritten stammt, muss die Organisation überprüfen, ob ihre Sammlung und Übermittlung die beabsichtigte Verwendung ermöglicht. Sie muss die betroffene Person spätestens beim Erstkontakt informieren und ihr Widerspruchsrecht gegenüber Direktmarketing respektieren.

Dieses Widerspruchsrecht besteht zu diesem Zweck uneingeschränkt: Wenn eine Person der Verarbeitung ihrer Daten für Direktmarketingzwecke widerspricht, muss das Unternehmen diese Verwendung einstellen. Gleichzeitig regelt Artikel 13 der ePrivacy-Richtlinie insbesondere E-Mails und überlässt bestimmte Wahlmöglichkeiten der nationalen Gesetzgebung. Eine in Frankreich gültige Methode kann daher nicht mechanisch in Deutschland oder einem anderen Staat kopiert werden.

Für getfishnet ist diese Grenze unerlässlich. Eine Multi-Channel-Strategie kann Suche, Inhalte, Netzwerke, Veranstaltungen, verschreibende Ärzte, Werbung, E-Mail, Telefon oder Sprachnachrichten umfassen. Sie wählt nie einen Kanal, nur weil er konvertiert. Es dokumentiert die geltenden Regeln, Quellen, Informationen, Einwände und die Identität des Emittenten vor der Prüfung.

Der erste Auftrag kann eine kostenpflichtige EU-Einführungsüberprüfung sein, die sich auf eine Kampagne und ein Land konzentriert: Gebietstest, Flusskarte, Rollen, Lieferanten, Blockierungspunkte und priorisierter Korrekturplan. Der Liefergegenstand bereitet eine Startentscheidung vor; es verspricht keine allgemeine Compliance oder neue Kunden.

Dieses Angebot reduziert Reibungsverluste, da es nicht beim gesamten Unternehmen ansetzt. Der Kunde bringt eine Kampagne, ein Formular, eine Liste, ein CRM, Messtools und einen Markt mit. Der Spezialist beschreibt den Umfang, identifiziert die Entscheidungen, die einer kompetenten Beratung bedürfen, und unterscheidet die vor dem Start notwendigen Korrekturen von denen, die möglicherweise noch folgen.

Der Bericht kann auch eine Lieferantendatei für einen europäischen Käufer vorbereiten: Rolle, Subunternehmer, Verarbeitungsstandorte, Masse, Personenanfragen und Ende der Dienstleistung. Sie muss jedoch von einem wirklich datenschutzkompetenten Partner mit klarem Vertragsumfang errichtet werden. Preis, Abholzeit, Versandkosten und Marge bleiben bestehen vor dem Auftrag festzulegen.

Die Strecke erhält ein bedingtes GO. Das Problem ist präzise: Das Ergebnis kann verkauft werden, bevor es zu einem massiven Einsatz kommt, und der Zugang zur EU hat einen strategischen Wert. Die Skalierung bleibt auf Eis gelegt, bis eine Partnertransaktion mit einem neuen Schweizer Unternehmen Preis, Inkasso, Vollkosten, Marge und die ursächliche Rolle der Überprüfung bei der Einführungsentscheidung geklärt hat.

Schweizer Unternehmen, die sich wirklich auf die Europäische Union vorbereiten, erkennt man an Signalen der Expansion: Länderseiten, Vertriebsrekrutierung, Vertrieb, Messen, Produktlokalisierung, Ausschreibungen, neue Lieferanten oder Käuferanforderungen. Die Qualifikation muss eine Kampagne, ein Land, einen Entscheidungsträger und eine Frist bestätigen.

Die Suche kann Unternehmensdatenbanken, öffentliche Bekanntmachungen, Stellenangebote, lokale Seiten, Partnerschaften, Veranstaltungen und Technologiesignale kombinieren. Kanäle können dann Online-Suche, Fachinhalte, berufliche Netzwerke, E-Mail, Telefon, Sprachnachrichten, verschreibende Ärzte, Veranstaltungen und strategische Konten kombinieren. Ihre Verwendung muss selbst die Regeln respektieren, die in der Lektüre gerade erläutert wurden.

So ist das Diagramm zu lesen. Ein allgemeines Interesse an Europa ist keine Akte. Das Register wird beauftragbar, wenn eine Markteinführung, Abläufe und ein Entscheidungsträger einen Termin haben.

Konten werden geschlossen, wenn die Erweiterung hypothetisch bleibt, niemand die Entscheidung trifft, der Partner nicht für das Land zuständig ist oder der Interessent eine kostenlose Validierung beantragt. Diese Filterung schützt die Expertenkapazität und verhindert, dass die Höchststrafe in ein Angstargument umgewandelt wird.

Die Indikatoren, anhand derer entschieden werden kann, ob diese Akquisition eine Fortsetzung verdient, sind die wirklich qualifizierten Markteinführungen, die in Rechnung gestellten und gesammelten Bewertungen, deren volle Akquisitionskosten, die Expertenzeit, die Marge und die tatsächlich veröffentlichten europäischen Verkäufe. Das Publikum und die Treffen reichen nicht aus.

Zu den Vollkosten kommen Daten, Medien, Werkzeuge, Produktion, kommerzielle Zeit und Expertenzeit hinzu. Es wird mit der Marge der Überprüfung verglichen, dann möglicherweise mit dem Wert einer folgenden, tatsächlich unterzeichneten Intervention. Die Höhe der Bussen, die Grösse der Union oder die Zahl der Schweizer Unternehmen können nicht als wirtschaftlicher Nenner dienen.

Ein Targeting-Pivot liegt vor, wenn die kontaktierten Unternehmen keine veralteten Projekte haben. Ein Angebots-Pivot erfolgt, wenn der Bedarf besteht, die Überprüfung jedoch zu weit gefasst oder zu rechtmässig erscheint. Ein Kapazitäts-Pivot verlangsamt Kanäle, wenn der Partner nicht mehr innerhalb des versprochenen Zeitrahmens liefern kann. In dieser Lesung werden keine Kampagnenergebnisse beansprucht.

Eine Überprüfung kann zu einer dauerhaften Beziehung werden, wenn ein neues Land, ein neuer Kanal, ein neues Produkt, ein neuer Lieferant oder Käufer eine neue dokumentierte Entscheidung trifft. Kontinuität ergibt sich nicht automatisch aus der DSGVO: Jeder Eingriff muss einen Auslöser, ein Ergebnis, eine Verantwortung und einen Preis haben.

Der Partner kann die Flusskarte aktualisieren, einen neuen Subunternehmer prüfen, einen Käuferfragebogen vorbereiten oder eine andere Kampagne prüfen. Eine wiederkehrende Beratungstätigkeit ist nur dann glaubwürdig, wenn Verfügbarkeit, Fristen und Grenzen vertraglich tragbar sind. Umsatz, Dauer und Marge bleiben bestehen vor dem Auftrag festzulegen.

Lesen auf der neues DSG befasst sich mit der Schweizer Daten-Governance. Der auf demCyber-Werbung folgt einer Vorfallentscheidung innerhalb von 24 Stunden. Das Archiv IT und Cybersicherheit sollte nur validierte Messwerte anzeigen.

Die Quellen, die eine Überprüfung des Rahmenwerks ermöglichen, sind der von der Europäischen Union veröffentlichte Text der DSGVO, die Richtlinien des Europäischen Datenschutzausschusses, die Blätter der Europäischen Kommission und die für Schweizer Unternehmen bestimmten Informationen des EDÖB.

Die wichtigsten Verweise sind die DSGVO, insbesondere deren Artikel 3, 13, 14, 21, 27, 28 und 44; der Europäische Datenschutzausschuss, Leitlinien 3/2018 zum territorialen Bereich und sein KMU-Leitfaden; die Europäische Kommission, Für wen gilt die Datenschutzgesetzgebung? und ihre Marketingblätter; das EDÖB, Die DSGVO und ihre Folgen für die Schweiz und EU-Angemessenheitsbeschluss betreffend die Schweiz; die ePrivacy-Richtlinie für elektronische Kommunikation.

Die Analyse kommt zu dem Schluss, dass eine EU-Einführungsprüfung ein glaubwürdiger Erstauftrag sein kann, der profitable Markt jedoch noch nachgewiesen werden muss. Voraussetzung für den Test sind ein kompetenter Partner, wachsende Schweizer Unternehmen, ein schnell lösbares Angebot und ausreichende Kapazitäten, um das Versprechen einzuhalten.

Die DSGVO ist keine an der Grenze errichtete Mauer. Es geht darum, die Aktivität nachvollziehbar zu machen: wer angesprochen wird, welche Daten zirkulieren, wer entscheidet, welche Lieferanten beteiligt sind und welche Regeln den Kanal regeln. Diese Lesbarkeit kann einen europäischen Verkauf beschleunigen, wenn ein Käufer auf Nachweise wartet; es produziert selbst keine Kunden.

getfishnet kann mit Ihnen eine massgeschneiderte Akquisestrategie rund um diesen Eintrag entwickeln: Ziele, Signale, Kanäle, Qualifikation und erstes Angebot. Der Test vergleicht diesen Weg mit Ihren aktuellen Akquisitionsschwierigkeiten, Ihrem Know-how und Ihrer Wirtschaftlichkeit und prüft anschliessend, ob wir echte Entwicklungssynergien haben.