- Das Datenschutzgesetz verlangt für Tracking keine Einwilligung als Regel. Es verlangt angemessene Information, und das Fernmeldegesetz verlangt zusätzlich den Hinweis, dass sich die Bearbeitung ablehnen lässt.[1, 10]
- Eine ausdrückliche Einwilligung braucht es dort, wo besonders schützenswerte Personendaten bearbeitet werden oder ein Profiling mit hohem Risiko stattfindet.[2]
- Unternehmen mit weniger als 250 Mitarbeitenden führen kein Verzeichnis der Bearbeitungstätigkeiten, solange sie keine sensiblen Daten in grossem Umfang bearbeiten und kein Profiling mit hohem Risiko betreiben.[8]
- Auskunft müssen Sie kostenlos erteilen, in der Regel innerhalb von 30 Tagen.[6]
Welche Regeln für einen Schweizer Shop gelten
Für einen Shop mit Sitz in der Schweiz gelten zwei Erlasse gleichzeitig. Das Bundesgesetz über den Datenschutz regelt, wie Personendaten bearbeitet werden dürfen. Es ist seit dem 1. September 2023 in Kraft.[1] Daneben steht Artikel 45c des Fernmeldegesetzes. Er betrifft nicht die Daten selbst, sondern den Zugriff auf das Gerät der Besucherin: Daten auf fremden Geräten zu bearbeiten ist nur erlaubt, wenn es dem Fernmeldedienst dient oder wenn die Nutzerinnen und Nutzer über die Bearbeitung und ihren Zweck informiert werden und darauf hingewiesen werden, dass sie die Bearbeitung ablehnen können.[10]
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hält in seinem Leitfaden fest, dass diese Bestimmung kumulativ zum Datenschutzgesetz gilt. Jede Bearbeitung auf einem fremden Gerät muss also entweder der Übertragung dienen oder für die Nutzenden kontrollierbar bleiben, und die Form der Information richtet sich nach dem Datenschutzgesetz.[11]
Der wichtigste Unterschied zur EU liegt im Ausgangspunkt. Das schweizerische Recht stellt Transparenz und ein Widerspruchsrecht in den Vordergrund, während das Unionsrecht für nicht notwendige Cookies grundsätzlich eine vorherige ausdrückliche Einwilligung fordert. Der EDÖB formuliert das in seinem Merkblatt vom 31. März 2026 genau so.[12]
Ein Freibrief ist das nicht. Artikel 6 verlangt, dass Daten nur zu einem bestimmten und erkennbaren Zweck beschafft und verhältnismässig bearbeitet werden. Artikel 7 verpflichtet den Verantwortlichen zudem, über geeignete Voreinstellungen sicherzustellen, dass die Bearbeitung auf das für den Zweck nötige Mindestmass beschränkt bleibt, soweit die betroffene Person nichts anderes bestimmt.[2, 3]
Die Busse trifft im schweizerischen Datenschutzrecht die Person, nicht in erster Linie die Firma. Artikel 60 und 61 bestrafen private Personen auf Antrag mit Busse bis zu 250 000 Franken, etwa wenn sie vorsätzlich falsch oder unvollständig informieren oder Daten ohne die Voraussetzungen ins Ausland bekanntgeben. Nur wenn eine Busse von höchstens 50 000 Franken in Betracht fällt und die Ermittlung der verantwortlichen Person unverhältnismässig wäre, kann stattdessen der Geschäftsbetrieb verurteilt werden.[7]
Information, Ablehnung, Einwilligung
Der Leitfaden des EDÖB ordnet den Einsatz von Cookies und vergleichbaren Techniken in Stufen. Welche Stufe gilt, hängt nicht am Namen des Werkzeugs, sondern an der Eingriffsintensität der Bearbeitung.[11]
| Einsatz | Beispiele | Was verlangt wird |
|---|---|---|
| technisch notwendig | Warenkorb, Anmeldung, Sprachwahl, Captcha, Lastverteilung | Information in der Datenschutzerklärung. Ein Widerspruch ist nur möglich, indem die Anwendung nicht genutzt wird |
| nicht notwendig, gewöhnliches Profiling | Reichweitenmessung, Werbung, Wiedererkennung über Sitzungen hinweg | Information und ein Opt-out, das beim ersten und bei jedem späteren Besuch sofort erkennbar ist, mit datenschutzfreundlichen Voreinstellungen |
| unerwartet oder mit hoher Eingriffsintensität | besonders schützenswerte Daten, Profiling mit hohem Risiko | ausdrückliche Einwilligung vor der Bearbeitung. Auf überwiegende Interessen kann sich der Betreiber dann nicht berufen |
Einordnung nach dem Leitfaden des EDÖB, Version 1.1 vom 6. Oktober 2025, Ziffer 3.
Für das Opt-out nennt der Leitfaden drei Anforderungen: Es muss prominent platziert sein, mit wenigen Klicks funktionieren, und die Voreinstellungen müssen datenschutzfreundlich sein. Überwiegende private Interessen sind nur zurückhaltend anzunehmen, und eine Auswertung zu rein statistischen Zwecken ist an eigene Bedingungen gebunden, insbesondere an die Anonymisierung.[11]
Wo eine Einwilligung nötig ist, gilt Artikel 6 Absatz 6: Sie ist nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird. Absatz 7 verlangt die ausdrückliche Form für besonders schützenswerte Personendaten und für ein Profiling mit hohem Risiko. Ein Profiling mit hohem Risiko liegt nach der Begriffsbestimmung vor, wenn Daten so verknüpft werden, dass sie eine Beurteilung wesentlicher Aspekte der Persönlichkeit erlauben.[2]
Ein Fenster mit einer grossen Schaltfläche «Alle akzeptieren» und einem blassen Link «Details anzeigen» erfüllt die Anforderung an ein erkennbares Opt-out nicht. Der EDÖB nennt irreführende Gestaltungen ausdrücklich: Dark Patterns und Nudging können eine Einwilligung unwirksam machen. Wird der Zugang zur Website an die Einwilligung gekoppelt, hängt die Gültigkeit davon ab, ob der Verzicht zumutbar ist, und bei einer Bezahlvariante muss der Preis verhältnismässig sein.[11]
Bei eingebetteten Diensten von Dritten, etwa einem Videoplayer oder einer Kartenansicht, beschaffen diese Dritten Daten zu eigenen Zwecken. Betreiber und Dritter sind dann gemeinsam verantwortlich. Der Betreiber muss wissen, welche Dienste eingebunden sind, muss sicherstellen, dass alle Informationspflichten erfüllt sind, und muss allfällige Einwilligungen so einholen, dass die Dritten eindeutig genannt sind.[11]
Was in die Datenschutzerklärung gehört
Artikel 19 legt den Mindestinhalt fest. Mitzuteilen sind die Identität und die Kontaktdaten des Verantwortlichen, der Bearbeitungszweck und gegebenenfalls die Empfänger oder die Kategorien von Empfängern, denen Personendaten bekanntgegeben werden. Werden die Daten nicht bei der betroffenen Person beschafft, kommen die Kategorien der bearbeiteten Daten hinzu. Geht etwas ins Ausland, sind auch der Staat und die Garantien oder die Ausnahme zu nennen.[1]
Zur Form empfiehlt der EDÖB einen gestuften Aufbau: das Wichtigste auf der ersten Ebene, Details auf weiteren Ebenen. Die Erklärung muss leicht auffindbar sein und darf nicht nur auf Anfrage verfügbar sein. Im Zweifel ist von Personendaten auszugehen.[11]
Verantwortlicher mit Adresse und E-Mail. Zwecke, getrennt nach Bestellabwicklung, Buchhaltung, Versand, Werbung und Statistik. Empfänger oder deren Kategorien, mit Namen bei eingebetteten Diensten. Aufbewahrungsdauer oder die Kriterien dafür. Staaten, in die Daten gehen, samt Garantien. Rechte der betroffenen Person und die Stelle, an die sich Auskunftsgesuche richten. Verweis auf die Einstellungen für Tracking, dauerhaft erreichbar.
Das Auskunftsrecht nach Artikel 25 verlangt mehr als die Erklärung. Auf Anfrage sind unter anderem die bearbeiteten Personendaten als solche, der Zweck, die Aufbewahrungsdauer oder die Kriterien dafür, die verfügbaren Angaben zur Herkunft und gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung samt der Logik dahinter mitzuteilen. Niemand kann im Voraus auf dieses Recht verzichten, die Auskunft ist kostenlos, und sie wird in der Regel innerhalb von 30 Tagen erteilt. Lassen Sie Daten von einem Auftragsbearbeiter bearbeiten, bleiben Sie auskunftspflichtig.[6]
Ein Verzeichnis der Bearbeitungstätigkeiten verlangt Artikel 12 grundsätzlich von jedem Verantwortlichen. Artikel 24 der Datenschutzverordnung befreit davon Unternehmen, die am 1. Januar eines Jahres weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäftigen. Die Befreiung fällt weg, wenn besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden oder ein Profiling mit hohem Risiko stattfindet.[4, 8]
Wer die Bearbeitung einem Dienstleister überlässt, braucht nach Artikel 9 eine vertragliche oder gesetzliche Grundlage und muss sich vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Eine Unterbeauftragung ist nur mit vorgängiger Genehmigung zulässig.[5]
Zwei Pflichten stehen nicht im Datenschutzrecht, gehören im Shop aber in dieselbe Ecke. Das Gesetz gegen den unlauteren Wettbewerb verlangt im elektronischen Geschäftsverkehr klare und vollständige Angaben über Identität und Kontaktadresse einschliesslich der elektronischen Post, einen Hinweis auf die technischen Schritte zum Vertragsabschluss, technische Mittel zum Erkennen und Korrigieren von Eingabefehlern und eine unverzügliche Bestätigung der Bestellung. Für Werbung per E-Mail verlangt derselbe Artikel vorher die Einwilligung der Kunden, einen korrekten Absender und einen problemlosen, kostenlosen Weg zur Ablehnung. Wer beim Verkauf Kontaktdaten erhält und dabei auf die Ablehnmöglichkeit hinweist, darf diesen Kunden ohne Einwilligung Werbung für eigene ähnliche Leistungen senden. Verstösse sind nach Artikel 23 auf Antrag mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bedroht.[17]
Daten ins Ausland: Länderliste und USA
Artikel 16 erlaubt die Bekanntgabe ins Ausland, wenn der Bundesrat festgestellt hat, dass der betreffende Staat einen angemessenen Schutz gewährleistet. Fehlt ein solcher Entscheid, braucht es einen geeigneten Datenschutz durch einen völkerrechtlichen Vertrag, durch Datenschutzklauseln in einem Vertrag, die dem EDÖB vorgängig mitgeteilt wurden, durch Standarddatenschutzklauseln, die der EDÖB genehmigt, ausgestellt oder anerkannt hat, oder durch verbindliche unternehmensinterne Datenschutzvorschriften.[9]
Die Staatenliste steht in Anhang 1 der Datenschutzverordnung. Sie zählt derzeit 44 Einträge, darunter die Staaten des Europäischen Wirtschaftsraums sowie etwa Kanada, Israel, Neuseeland, Uruguay und das Vereinigte Königreich.[13]
Die Vereinigten Staaten stehen auf der Liste, aber nur mit einer Einschränkung. Ein angemessenes Schutzniveau gilt dort für Personendaten, die von Organisationen bearbeitet werden, die nach den Grundsätzen des Datenschutzrahmens zwischen der Schweiz und den USA zertifiziert sind. Der Bundesrat hat diesen Rahmen am 14. August 2024 anerkannt, die Änderung der Datenschutzverordnung trat am 15. September 2024 in Kraft.[13, 15]
| Dienst im Shop | Was zu prüfen ist |
|---|---|
| Hosting und Shopsystem | Standort der Server, Vertrag nach Art. 9 DSG, Zugriffe von Dritten |
| Zahlungsdienst | Sitz, Zertifizierung, welche Felder tatsächlich übermittelt werden |
| Newsletter und Transaktionsmails | Sitz, Nachweis der Einwilligung, Abmeldeweg in jeder Nachricht |
| Statistik und Werbung | Opt-out oder Einwilligung, Sitz, ob Profile über Sitzungen hinweg entstehen |
Für jeden Eintrag gehören Staat und Garantie in die Datenschutzerklärung, weil Artikel 19 Absatz 4 das verlangt.
Wer vorsätzlich Personendaten ins Ausland bekanntgibt, ohne dass die Voraussetzungen von Artikel 16 erfüllt sind, wird nach Artikel 61 auf Antrag mit Busse bis zu 250 000 Franken bestraft. Dasselbe gilt für die Übergabe an einen Auftragsbearbeiter ohne die Voraussetzungen von Artikel 9 und für das Unterschreiten der Mindestanforderungen an die Datensicherheit.[7]
Wann die DSGVO zusätzlich greift
Die europäische Datenschutz-Grundverordnung gilt nach Artikel 3 Absatz 2 auch für Verantwortliche ohne Niederlassung in der Union, wenn die Verarbeitung damit zusammenhängt, betroffenen Personen in der Union Waren oder Dienstleistungen anzubieten, unabhängig davon, ob eine Zahlung zu leisten ist, oder deren Verhalten in der Union zu beobachten.[16]
Für einen Schweizer Shop heisst das: Sobald Sie planmässig in die EU verkaufen, dort liefern, Preise in Euro ausweisen oder Besucherinnen aus der Union über Werkzeuge nachverfolgen, kommt die Verordnung zum Datenschutzgesetz hinzu. Artikel 27 verlangt dann schriftlich einen Vertreter in der Union, ausgenommen bei einer Verarbeitung, die nur gelegentlich erfolgt, keine umfangreiche Bearbeitung besonderer Datenkategorien einschliesst und voraussichtlich nicht zu einem Risiko führt. Der Bussenrahmen reicht nach Artikel 83 Absatz 5 bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.[16]
Die Schweiz spiegelt das. Artikel 14 verlangt von privaten Verantwortlichen mit Sitz im Ausland eine Vertretung in der Schweiz, wenn sie Daten von Personen in der Schweiz im Zusammenhang mit dem Angebot von Waren und Dienstleistungen bearbeiten.[14]
Wie alltäglich der grenzüberschreitende Handel ist, zeigt die Jahreserhebung von Handelsverband.swiss und NielsenIQ: Von 15,8 Milliarden Franken Online-Konsum im Jahr 2025 gingen 2,8 Milliarden an Händler im Ausland, ein Plus von acht Prozent.[18]
Zwei Rechtsordnungen bedeuten nicht zwei Banner. Die strengere Anforderung gibt den Ton vor, und das ist bei nicht notwendigem Tracking in der Regel die vorherige Einwilligung. Wer ohnehin in die EU verkauft, fährt mit einem Opt-in für alles, was nicht technisch nötig ist, einfacher als mit zwei Varianten nach Herkunftsland.
Datenpanne: wann Sie melden müssen
Artikel 24 verlangt eine Meldung an den EDÖB, sobald eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt. Die Meldung erfolgt so rasch als möglich. Eine starre Frist wie die 72 Stunden der europäischen Verordnung kennt das schweizerische Recht nicht. Der Auftragsbearbeiter meldet seinerseits so rasch als möglich an den Verantwortlichen. Die betroffene Person ist zu informieren, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt.[19]
Was in die Meldung gehört, steht in Artikel 15 der Datenschutzverordnung: Art der Verletzung, soweit möglich Zeitpunkt und Dauer, soweit möglich Kategorien und ungefähre Anzahl der betroffenen Personendaten und Personen, die Folgen samt Risiken, die getroffenen oder vorgesehenen Massnahmen und eine Ansprechperson mit Kontaktdaten. Fehlende Angaben sind so rasch als möglich nachzuliefern.[20]
Gemeldet wird über das Portal des EDÖB. Nach dem Absenden lässt sich eine Bestätigung mit den gemeldeten Angaben herunterladen. Wann ein hohes Risiko voraussichtlich vorliegt, erläutert ein Leitfaden des EDÖB vom 23. April 2025.[21, 22]
Dass der Weg benutzt wird, zeigt der Tätigkeitsbericht. Im Berichtsjahr 2025/26 gingen beim EDÖB über 2000 Meldungen möglicher Datenschutzverletzungen ein. Daraus folgten 22 Vorabklärungen, neun Untersuchungen und 156 Interventionen gegenüber Verantwortlichen.[23]
Sie brauchen keine Rechtsabteilung, aber eine benannte Stelle, die einen Vorfall innerhalb von Stunden einordnen kann. Dazu gehören eine Liste der Systeme mit Personendaten, die Kontaktdaten der Dienstleister und ein Textgerüst für die Meldung. Wer das erst im Ereignisfall zusammensucht, verliert genau die Zeit, die «so rasch als möglich» meint.
So setzen Sie das im Shop um
- Datenflüsse aufschreiben: Welche Daten entstehen bei Bestellung, Zahlung, Versand, Retoure, Konto und Newsletter, und wohin gehen sie. Diese Liste ist die Grundlage für alles Weitere.
- Verzeichnispflicht klären: Unter 250 Mitarbeitenden entfällt das Verzeichnis, solange keine sensiblen Daten in grossem Umfang bearbeitet werden und kein Profiling mit hohem Risiko stattfindet. Die Datenflussliste zeigt, ob eine der Ausnahmen greift.[8]
- Skripte inventarisieren: Jedes Werkzeug, das im Frontend lädt, wird aufgenommen und einer der drei Stufen zugeordnet. Was niemand erklären kann, kommt heraus.
- Banner einstellen: Voreinstellungen datenschutzfreundlich, Ablehnen gleich erreichbar wie Annehmen, Entscheid dauerhaft änderbar über einen Link im Fuss.[11]
- Datenschutzerklärung schreiben: Gestuft, mit dem Mindestinhalt von Artikel 19 und mit den Staaten und Garantien bei Bekanntgaben ins Ausland.[1]
- Verträge nachziehen: Für jeden Dienstleister ein Auftragsbearbeitungsvertrag nach Artikel 9, mit Regelung der Unterbeauftragung.[5]
- Auskunft und Meldung üben: Eine Adresse für Auskunftsgesuche, ein Ablauf, der die 30 Tage hält, und ein Meldeweg für Vorfälle mit benannter Ansprechperson.[6]
- Folgenabschätzung prüfen: Bei umfangreicher Bearbeitung besonders schützenswerter Daten oder einem Profiling mit hohem Risiko ist vorgängig eine Datenschutz-Folgenabschätzung zu erstellen. Der EDÖB stellt dazu ein Merkblatt bereit.[24, 25]
Die Pflichten, die im Alltag Zeit kosten, sind nicht die Texte, sondern die Auskünfte und die Löschfristen. Ein Auskunftsgesuch betrifft Shop, Buchhaltung, Versand und Newsletter gleichzeitig. Ein Ablauf, der die vier Systeme abfragt, die Treffer in ein Dokument legt und den Versand protokolliert, bringt die 30 Tage von einer Terminfrage zu einer Aufgabe von Minuten. Dasselbe gilt für Löschfristen je Datenart: eine Regel, die abgelaufene Datensätze markiert, statt einer Erinnerung im Kalender.
Häufige Fragen
Braucht mein Schweizer Onlineshop ein Cookie-Banner?
Reicht «Alle akzeptieren» mit einem Link auf die Einstellungen?
Muss ich ein Verzeichnis der Bearbeitungstätigkeiten führen?
Darf ich ein Newsletter-Werkzeug in den USA nutzen?
Gilt die DSGVO für meinen Schweizer Shop?
Wie schnell muss ich eine Datenpanne melden?
Quellen
- Datenschutzgesetz, Art. 19 DSG, Informationspflicht bei der Beschaffung von Personendaten (SR 235.1). fedlex.admin.ch↑
- Datenschutzgesetz, Art. 6 Abs. 6 und 7 DSG, Gültigkeit und ausdrückliche Form der Einwilligung (SR 235.1). fedlex.admin.ch↑
- Datenschutzgesetz, Art. 7 DSG, Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen (SR 235.1). fedlex.admin.ch↑
- Datenschutzgesetz, Art. 12 DSG, Verzeichnis der Bearbeitungstätigkeiten (SR 235.1). fedlex.admin.ch↑
- Datenschutzgesetz, Art. 9 DSG, Bearbeitung durch Auftragsbearbeiter (SR 235.1). fedlex.admin.ch↑
- Datenschutzgesetz, Art. 25 DSG, Auskunftsrecht, kostenlose Auskunft und Regelfrist von 30 Tagen (SR 235.1). fedlex.admin.ch↑
- Datenschutzgesetz, Art. 60, 61 und 64 DSG, Bussen bis 250 000 Franken und Widerhandlungen in Geschäftsbetrieben (SR 235.1). fedlex.admin.ch↑
- Datenschutzverordnung, Art. 24 DSV, Ausnahme von der Pflicht zur Führung eines Verzeichnisses (SR 235.11). fedlex.admin.ch↑
- Datenschutzgesetz, Art. 16 DSG, Grundsätze der Bekanntgabe ins Ausland (SR 235.1). fedlex.admin.ch↑
- Fernmeldegesetz, Art. 45c FMG, Daten auf fremden Geräten (SR 784.10). fedlex.admin.ch↑
- EDÖB, Leitfaden betreffend Datenbearbeitungen mittels Cookies und ähnlichen Technologien, Version 1.1 vom 6. Oktober 2025 (PDF). edoeb.admin.ch↑
- EDÖB, Merkblatt Verwendung von Cookies und ähnlichen Technologien im Zusammenhang mit Online-Tracking, 31. März 2026 (PDF). edoeb.admin.ch↑
- Datenschutzverordnung, Anhang 1, Liste der Staaten und Gebiete mit angemessenem Datenschutz, 44 Einträge, Nr. 44 mit der Einschränkung auf zertifizierte Organisationen (SR 235.11). fedlex.admin.ch↑
- Datenschutzgesetz, Art. 14 DSG, Vertretung in der Schweiz (SR 235.1). fedlex.admin.ch↑
- Der Bundesrat, Medienmitteilung Swiss-US Data Privacy Framework, 14. August 2024, Inkrafttreten am 15. September 2024. admin.ch↑
- Verordnung (EU) 2016/679, Art. 3 räumlicher Anwendungsbereich, Art. 27 Vertreter, Art. 83 Abs. 5 Bussenrahmen. eur-lex.europa.eu↑
- Gesetz gegen den unlauteren Wettbewerb, Art. 3 Abs. 1 Bst. o und Bst. s sowie Art. 23 UWG (SR 241). fedlex.admin.ch↑
- Handelsverband.swiss und NielsenIQ, Jahreserhebung Onlinehandel Schweiz 2025, Medienmitteilung vom 12. März 2026. handelsverband.swiss↑
- Datenschutzgesetz, Art. 24 DSG, Meldung von Verletzungen der Datensicherheit (SR 235.1). fedlex.admin.ch↑
- Datenschutzverordnung, Art. 15 DSV, Inhalt der Meldung an den EDÖB (SR 235.11). fedlex.admin.ch↑
- EDÖB, Meldeportal für Verletzungen der Datensicherheit. edoeb.admin.ch↑
- EDÖB, Leitfaden betreffend die Meldung von Datensicherheitsverletzungen und Information der Betroffenen nach Art. 24 DSG, 23. April 2025 (PDF). edoeb.admin.ch↑
- EDÖB, Medienmitteilung zum Tätigkeitsbericht 2025/26, 30. Juni 2026, über 2000 Meldungen, 22 Vorabklärungen, 9 Untersuchungen, 156 Interventionen. edoeb.admin.ch↑
- Datenschutzgesetz, Art. 22 DSG, Datenschutz-Folgenabschätzung (SR 235.1). fedlex.admin.ch↑
- EDÖB, Merkblatt zur Datenschutz-Folgenabschätzung nach den Art. 22 und 23 DSG, 4. August 2023 (PDF). edoeb.admin.ch↑
Stand: Oktober 2026. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts-, Steuer- oder Finanzberatung. Gesetze, Leitfäden und Produktfunktionen ändern sich; massgebend ist der aktuelle Stand der verlinkten Quellen.