Jedes KMU im Verkauf sammelt Kontaktdaten: Visitenkarten, Anfragen, Kundenlisten, Mailadressen. Seit dem 1. September 2023 gilt das revidierte Datenschutzgesetz (DSG), und wer Kontaktdaten führt, muss einiges belegen können: woher die Daten stammen, wofür sie verwendet werden und worauf eine Werbemail beruht. Dieser Ratgeber zeigt, wann eine Einwilligung für Kontaktdaten nötig ist und wann nicht, was Sie festhalten sollten, wie Sie mit Abmeldung, Auskunft und Löschwünschen umgehen und was ein sauberer Kontaktbestand im Alltag bedeutet.
Welche Kontaktdaten das Gesetz schützt
Das DSG gilt für die Bearbeitung von Personendaten natürlicher Personen durch private Personen und Bundesorgane (Art. 2 Abs. 1). Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 lit. a). «Bearbeiten» ist jeder Umgang damit, vom Beschaffen und Speichern bis zum Löschen (Art. 5 lit. d).
Für Ihre Kontaktliste heisst das: Die Ansprechperson mit Namen, Funktion, Mailadresse und Telefonnummer ist geschützt. Die Firma als solche ist es nicht; das Gesetz knüpft an natürliche Personen an. Sobald zu einer Firma eine Person gehört, die sich identifizieren lässt, bearbeiten Sie Personendaten, auch bei rein geschäftlichen Kontakten.
Die Grundsätze im Alltag
Art. 6 DSG nennt die Grundsätze. Personendaten müssen rechtmässig bearbeitet werden (Abs. 1), nach Treu und Glauben und verhältnismässig (Abs. 2). Sie dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft und nur damit vereinbar bearbeitet werden (Abs. 3). Sie sind zu vernichten oder zu anonymisieren, sobald sie für den Zweck nicht mehr erforderlich sind (Abs. 4). Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern und angemessene Massnahmen treffen, damit unrichtige oder unvollständige Daten berichtigt oder gelöscht werden (Abs. 5).
Im Verkauf übersetzt sich das so: Erfassen Sie nur, was Sie für die Kundenbeziehung brauchen. Halten Sie fest, wofür eine Adresse erfasst wurde. Räumen Sie Dubletten und veraltete Einträge auf. Und löschen Sie, was keinen Zweck mehr hat. Wie lange Sie eine Adresse behalten dürfen, nennt das Gesetz nicht in Jahren; entscheidend ist der Zweck.
Einwilligung oder anderer Grund?
Eine Persönlichkeitsverletzung ist widerrechtlich, wenn sie nicht durch Einwilligung der betroffenen Person, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist (Art. 31 Abs. 1 DSG). Die Einwilligung ist also eine von drei Möglichkeiten, nicht die einzige. Als überwiegendes Interesse des Verantwortlichen kommt insbesondere in Betracht, dass er Personendaten über die Vertragspartnerin oder den Vertragspartner in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags bearbeitet (Art. 31 Abs. 2 lit. a). Für die Rechnungsadresse eines Kunden brauchen Sie also keine gesonderte Einwilligung (zur Rechnung selbst: QR-Rechnung erstellen).
Anders bei Massenwerbung per E-Mail (zum Beispiel Newsletter). Hier verlangt Art. 3 Abs. 1 lit. o UWG die vorherige Einwilligung, sofern nicht die Ausnahme für Kundschaft greift. Der EDÖB beschreibt die Anforderungen: ausdrücklich, freiwillig, nach hinreichender Aufklärung, jederzeit widerrufbar; die Annahme von allgemeinen Geschäftsbedingungen genügt nicht. Das Datenschutzgesetz fügt hinzu (Art. 6 Abs. 6): Ist eine Einwilligung erforderlich, ist sie nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird. Die Regeln für den Newsletter selbst behandelt der Ratgeber «Newsletter rechtskonform versenden» in dieser Reihe.
Informieren: Was Sie mitteilen müssen
Wer Personendaten beschafft, muss die betroffene Person angemessen informieren, auch wenn die Daten nicht bei ihr beschafft werden (Art. 19 Abs. 1 DSG). Mitzuteilen sind mindestens Identität und Kontaktdaten des Verantwortlichen, der Bearbeitungszweck und gegebenenfalls die Empfänger (Abs. 2). Stammen die Daten nicht von der Person selbst, kommen die Kategorien der bearbeiteten Daten dazu (Abs. 3) und die Information erfolgt spätestens einen Monat nach Erhalt der Daten (Abs. 5). Die Information muss präzise, transparent, verständlich und leicht zugänglich sein (Art. 13 DSV).
Die Informationspflicht entfällt unter anderem, wenn die Person bereits über die Informationen verfügt (Art. 20 Abs. 1 lit. a), und bei nicht bei der Person beschafften Daten, wenn die Information nicht möglich ist oder einen unverhältnismässigen Aufwand erfordert (Art. 20 Abs. 2). Üblich ist eine Datenschutzerklärung auf der Website, auf die Formulare und Mailsignaturen verweisen (Praxis). Wer vorsätzlich die Information unterlässt, riskiert auf Antrag eine Busse bis CHF 250’000 (Art. 60 Abs. 1 lit. b).
Einwilligung festhalten
Art. 6 DSG nennt keine bestimmte Form für die Einwilligung. Ausdrücklich muss sie unter anderem für die Bearbeitung besonders schützenswerter Personendaten erfolgen (Abs. 7 lit. a). Praxisempfehlung (nicht gesetzlich): Halten Sie für jede Einwilligung fest
- die Adresse, für die sie gilt,
- den Zweck (zum Beispiel «Newsletter» oder «Angebote»),
- Datum, Quelle und gezeigten Text (Formular, Gespräch, Karte),
- einen Widerruf mit Datum.
Trennen Sie die Zwecke. Wer sich für den Newsletter anmeldet, hat damit nicht in Telefonanrufe oder Angebotsmails eingewilligt. Und trennen Sie Einwilligung und Kundenbeziehung: Der Kauf macht jemanden zum Kunden, aber nicht automatisch zum Newsletter-Abonnenten.
Rechte der Kontakte: Auskunft, Berichtigung, Löschung
Auskunft. Jede Person kann Auskunft verlangen, ob Personendaten über sie bearbeitet werden (Art. 25 Abs. 1 DSG). Sie erhält unter anderem Identität und Kontaktdaten des Verantwortlichen, die bearbeiteten Daten, den Zweck, die Aufbewahrungsdauer und die verfügbaren Angaben zur Herkunft (Abs. 2). Die Auskunft ist grundsätzlich kostenlos (Abs. 6); verursacht sie einen unverhältnismässigen Aufwand, kann eine Kostenbeteiligung von höchstens CHF 300 verlangt werden, die vorher mitzuteilen ist (Art. 19 DSV). Sie wird in der Regel innerhalb von 30 Tagen erteilt (Abs. 7). Nach Art. 18 DSV muss sie innerhalb von 30 Tagen seit Eingang des Begehrens erteilt werden; ist das nicht möglich, informieren Sie die Person und nennen die Frist. Das Begehren erfolgt schriftlich, elektronisch ist möglich (Art. 16 DSV); Sie müssen die Person identifizieren. Der EDÖB hält fest, dass das Begehren nicht begründet werden muss. Wer vorsätzlich falsche oder unvollständige Auskunft erteilt, riskiert eine Busse (Art. 60 Abs. 1 lit. a).
Berichtigung und Löschung. Die betroffene Person kann verlangen, dass unrichtige Personendaten berichtigt werden (Art. 32 Abs. 1). Mit Klage kann sie unter anderem verlangen, dass eine Datenbearbeitung verboten, die Bekanntgabe an Dritte untersagt oder Daten gelöscht werden (Art. 32 Abs. 2). Eine Bearbeitung entgegen der ausdrücklichen Willenserklärung der Person ist eine Persönlichkeitsverletzung (Art. 30 Abs. 2 lit. b).
Aufbewahrungspflichten. Rechnungen dienen in der Regel als Buchungsbelege (Art. 957a Abs. 3 OR); Buchungsbelege sind zehn Jahre aufzubewahren, ab Ende des Geschäftsjahres (Art. 958f Abs. 1 OR). Mehr dazu im Ratgeber Buchführungspflicht für KMU. Wie sich ein Löschwunsch zu dieser Pflicht im Einzelfall verhält, ist eine Rechtsfrage. Als Praxis bietet sich an, Kontakte mit Rechnungsbezug für Werbung und Nachfassen zu sperren und die Belege unverändert zu belassen.
Praxisbeispiel: Beispiel Holzbau AG
Die Beispiel Holzbau AG (erfunden) wechselt zu einer neuen Kontaktverwaltung und übernimmt ihre Newsletter-Abonnentenliste mit 1’200 Zeilen, die sie aus Excel als CSV-Datei speichert. Beim Bereinigen der Liste fallen 85 Zeilen auf, die dieselbe Adresse ein zweites Mal enthalten. Es bleiben 1’115 Adressen. Zur Einwilligung steht Folgendes in der Liste:
| Gruppe | Zeilen | Behandlung |
|---|---|---|
| Anmeldedatum und Quelle vorhanden | 640 | als Einwilligung übernehmen |
| Anmeldedatum fehlt | 360 | «ungeklärt», nicht anschreiben |
| Quelle fehlt | 115 | «ungeklärt», nicht anschreiben |
| Summe Adressen | 1’115 |
Die Geschäftsleiterin entscheidet: 640 Adressen erhalten künftig den Newsletter, die übrigen 475 (360 plus 115) nicht. Diese 475 will sie nicht per Rundmail um Zustimmung bitten: Auch eine solche Rundmail kann als Massenwerbung ohne Einwilligung gelten (Auslegung; ob Massenwerbung vorliegt, entscheidet im Einzelfall das Gericht). Sie spricht die Personen persönlich an, wenn sie sich ohnehin melden. Drei Wochen später verlangt ein Kontakt Auskunft; sie liefert Name und Kontaktdaten der Firma, die gespeicherten Angaben (Name, Mailadresse), Zweck, Aufbewahrungsdauer bzw. die Kriterien dafür und die Herkunft («Importliste Oktober 2026») innerhalb von acht Tagen, also vor Ablauf der 30 Tage. Eine andere Person widerruft ihre Einwilligung; die Adresse wird für Werbung gesperrt, die Rechnungen bleiben unverändert.
Checkliste
- Für jede Werbeadresse sind Zweck, Datum und Quelle der Einwilligung festgehalten
- Zwecke sind getrennt (Newsletter, Angebote, Telefon)
- Datenschutzerklärung nennt Identität, Zweck und Empfänger
- Bei nicht selbst erhobenen Daten ist die Information innerhalb eines Monats erfolgt oder die Ausnahme dokumentiert
- Widerruf und Abmeldung wirken sofort und sind nachvollziehbar
- Dubletten sind bereinigt, eine Adresse ist nur einmal geführt
- Prozess für Auskunftsbegehren steht: wer antwortet, bis wann (30 Tage)
- Kontakte mit Rechnungsbezug sind gesperrt statt gelöscht, wenn sie Werbung ablehnen
- Veraltete Kontakte ohne Zweck werden regelmässig gelöscht
So löst es KMU | base
In Sales | base hat jeder Kontakt eine Seite mit Reitern. Auf «Übersicht» stehen offene Deals, Zeitleiste, Kontaktwege und Beziehungen, unter «Marketing» Tags und Einwilligungen, selten Gebrauchtes unter «Weitere».
1. Einwilligung festhalten. Im Menü Verkauf öffnen Sie Kontakte, den Kontakt und den Reiter Marketing. Unter «Grundlagen und Zustellsperren» wählen Sie «Grundlage erfassen» mit Adresse, Zweck (zum Beispiel newsletter oder angebote), Art der Grundlage und Beleg. Eine Einwilligung zählt nur mit Beleg (wann, wo, wie erteilt). Andere Arten wie Kundenbeziehung, Registrierung oder Recherche sind ausdrücklich keine Einwilligung. Die Funktion «Einwilligung je Adresse und Zweck, Sperren, Abmeldung, Widerruf» belegt jederzeit, worauf ein Kontakt beruht.
2. Widerruf und Sperre. Eine Einwilligung widerrufen Sie am Eintrag («Widerrufen»). Nach einem Widerruf gilt die Adresse erst wieder, wenn Sie eine neue, belegte Einwilligung erfassen. Mit «Adresse sperren» sperren Sie eine Adresse von Hand: Sie erhält keine Sendungen mehr, wartende Sendungen werden gestoppt. Abmeldungen, Beschwerden und Löschbegehren bleiben dauerhaft gesperrt. Ganze Kontakte sperren Sie mit «Kontakt sperren» («Ausschliessen und Sperren»); das lässt sich rückgängig machen.
3. Verlauf sehen. Die Zeitleiste zeigt Notizen, Aktivitäten, Anrufe, E-Mails und Dateien und darunter den Verlauf mit Deals, Mails, Einwilligungen und Protokoll («Zeitleiste je Kontakt»). Bei jedem Wert sehen Sie, woher er stammt und was vorher galt («Quellenpriorität und frühere Werte»). Das hilft bei der Frage nach der Herkunft.
4. Dubletten verhindern. Sie führen mehrere Mail- und Telefonwege je Kontakt, eine davon als primär; dieselbe Adresse kann nicht zweimal angelegt werden («Mehrere Adressen mit Dublettenschutz»). Eine Abmeldung gilt für die Adresse; weil jede Adresse nur einmal geführt wird, kann sie an keiner zweiten Kontaktkarte vorbeigehen.
5. Import mit Probelauf. Eine Newsletterliste übernehmen Sie unter Steuerung › Mehr › Import mit dem Profil «Newsletterliste» aus einer CSV- oder TSV-Datei. Der Probelauf zeigt Summen und Befunde und ändert nichts («Import mit Pflicht-Probelauf (CSV-Kontakte, Newsletterliste, Rechercheliste)»). Eine Einwilligung gilt nur mit Anmeldedatum und Quelle, sonst bleibt die Adresse «ungeklärt» und erhält keinen Versand. Ganze Kontaktbestände aus Excel oder CSV übernehmen Sie mit dem Import-Assistenten unter Firmeneinstellungen › Datenaustausch: mit Probelauf, Abgleichsbericht, Freigabe und Rücknahme («Kontakte per CSV oder Excel übernehmen»). Steht dort in der Spalte Einwilligung ein «ja», übernimmt Sales | base das als Einwilligung für den Newsletter mit dem Vermerk «Einwilligung aus der Importdatei». Den ursprünglichen Nachweis sehen Sie dadurch nicht; bewahren Sie ihn selbst auf und tragen Sie «ja» nur dort ein, wo Sie ihn haben.
Grenzen. Eine Ein-Klick-Auskunft für Kontakte wie im Bereich Personal gibt es in Sales | base nicht: Die Angaben stellen Sie aus Kontaktseite, Zeitleiste und Protokoll zusammen oder exportieren die Liste als CSV, sofern Sie das Recht dazu haben. Einen Kontakt löschen Sie nur, wenn kein Rechnungsbezug besteht; sonst bleibt «Ausschliessen». Automatische Löschfristen für Kontakte kennt Sales | base nicht; die Pflege des Bestands bleibt bei Ihnen.
Die Bedienung im Einzelnen finden Sie in der Anleitung zu Sales | base. Möchten Sie es selbst ausprobieren, sehen Sie sich die Demo an oder eröffnen Sie ein Testkonto. Bei Fragen helfen wir Ihnen über die Kontaktseite weiter. Preise: Preise.
Quellen
- Datenschutzgesetz (DSG, SR 235.1), Art. 2 Abs. 1, Art. 5 lit. a und d, Art. 6, Art. 19, Art. 20 Abs. 1 lit. a und Abs. 2, Art. 25, Art. 30 Abs. 2 lit. b, Art. 31 Abs. 1 und Abs. 2 lit. a, Art. 32 und Art. 60 Abs. 1, Stand 7. Juli 2025: fedlex.admin.ch, abgerufen am 27.10.2026.
- Datenschutzverordnung (DSV, SR 235.11), Art. 13, 16, 18 und 19, Stand 1. Dezember 2025: fedlex.admin.ch, abgerufen am 27.10.2026.
- Bundesgesetz gegen den unlauteren Wettbewerb (UWG, SR 241), Art. 3 Abs. 1 lit. o, Stand 1. Januar 2025: fedlex.admin.ch, abgerufen am 27.10.2026.
- Obligationenrecht (OR, SR 220), Art. 957a Abs. 3 und Art. 958f Abs. 1, Stand 1. Oktober 2026: fedlex.admin.ch, abgerufen am 27.10.2026.
- EDÖB: Auskunftsrecht (Seite ohne Datumsangabe), abgerufen am 27.10.2026.
- EDÖB: Werbung & Marketing, Abschnitt «Werbung per E-Mail» (Seite ohne Datumsangabe), abgerufen am 27.10.2026.
Dieser Ratgeber ersetzt keine Rechts- oder Steuerberatung. Stand der Informationen: 27.10.2026.