Datenschutz auf der Website: Was das revDSG für KMU bedeutet

Das revidierte Datenschutzgesetz (revDSG, oft auch nDSG genannt) ist seit dem 1. September 2023 in Kraft. Für Ihre Website bedeutet es vor allem eines: Wenn Sie Personendaten beschaffen, müssen Sie die betroffenen Personen angemessen informieren. Das betrifft Kontaktformulare, Analyse-Tools, eingebettete Karten und Videos sowie alle Dienstleister, die Daten für Sie bearbeiten. Die übliche Form dafür ist eine verständliche Datenschutzerklärung.

Hinweis: Dieser Artikel fasst öffentlich zugängliche Gesetzestexte und Informationen des EDÖB zusammen. Er ist keine Rechtsberatung und ersetzt keine Prüfung Ihres konkreten Falls durch eine Fachperson.

Was ist neu am Datenschutzgesetz?

Das Bundesgesetz über den Datenschutz (DSG, SR 235.1) vom 25. September 2020 hat das frühere Gesetz von 1992 abgelöst und gilt seit dem 1. September 2023. Für Websites besonders relevant sind drei Bereiche:

• Informationspflicht bei der Beschaffung von Personendaten (Art. 19 DSG),
• Auftragsbearbeitung, wenn Dienstleister Daten für Sie bearbeiten (Art. 9 DSG),
• Bekanntgabe ins Ausland, wenn Daten auf Servern ausserhalb der Schweiz landen (Art. 16 ff. DSG).

Die Informationspflicht: was Sie mitteilen müssen

Nach Art. 19 DSG müssen Sie bei der Beschaffung von Personendaten mindestens mitteilen:

• die Identität und die Kontaktdaten des Verantwortlichen,
• den Bearbeitungszweck,
• gegebenenfalls die Empfängerinnen und Empfänger oder deren Kategorien, denen Daten bekanntgegeben werden.

Werden Daten ins Ausland bekanntgegeben, müssen Sie zusätzlich den Staat nennen und gegebenenfalls die Garantien, die einen angemessenen Schutz sicherstellen. Der EDÖB weist darauf hin, dass diese Angabe zum Empfängerstaat ein Unterschied zur EU-DSGVO ist und empfiehlt Unternehmen, ihre Datenschutzerklärungen entsprechend zu überprüfen.

Eine bestimmte Form schreibt das Gesetz laut EDÖB nicht vor. Die Information muss aber knapp, transparent, verständlich und einfach zugänglich sein.

Was in eine Datenschutzerklärung gehört

Der EDÖB nennt für Datenschutzerklärungen im Internet unter anderem diese Inhalte:

• wer für die Bearbeitung verantwortlich ist,
• welche Personendaten zu welchen Zwecken bearbeitet werden,
• wie lange Daten aufbewahrt werden,
• welche Daten an Dritte gehen und warum,
• welche Dienste oder Produkte von Dritten eingebunden sind und wie man der Datenweitergabe widersprechen kann,
• an wen man sich mit Fragen und Anliegen wenden kann, etwa für Auskunft, Berichtigung oder Löschung,
• ob Daten ins Ausland gehen.

Zur Form gibt der EDÖB praktische Hinweise: Die Datenschutzerklärung soll von jeder Seite aus leicht zugänglich sein, in den Sprachen der Website vorliegen und verständlich formuliert sein. Er empfiehlt einen mehrstufigen Aufbau mit einer kurzen Übersicht und weiterführenden Details. Allgemeine Formulierungen wie "unter Umständen" sollten vermieden werden, und vor allem muss der Text zur tatsächlichen Datenbearbeitung passen.

Kontaktformulare

Ein Kontaktformular ist auf fast jeder Firmenwebsite die wichtigste Stelle, an der Personendaten anfallen. Aus unserer Sicht helfen diese Grundsätze:

• Nur abfragen, was Sie brauchen. Name, E-Mail und Nachricht genügen oft. Telefonnummer oder Adresse nur, wenn Sie sie wirklich benötigen.
• Zweck klar nennen. Zum Beispiel: Die Angaben werden zur Beantwortung Ihrer Anfrage verwendet.
• Weg der Daten kennen. Wird die Nachricht per E-Mail zugestellt, in einem CRM gespeichert oder über einen Formulardienst verarbeitet? Jeder dieser Dienste gehört in die Datenschutzerklärung.
• Aufbewahrung festlegen. Wie lange bleiben Anfragen gespeichert, wenn daraus kein Auftrag entsteht?

Wer Anfragen automatisch weiterverarbeitet, sollte diese Fragen besonders sorgfältig klären. Mehr dazu im Artikel Automatische Kundenanfragen.

Analyse-Tools, Cookies und eingebettete Dienste

Neben dem DSG ist das Fernmeldegesetz zu beachten. Art. 45c FMG erlaubt das Bearbeiten von Daten auf fremden Geräten, etwa über Cookies, nur unter bestimmten Bedingungen. Ausserhalb der Fernmeldedienste müssen die Nutzerinnen und Nutzer über die Bearbeitung und ihren Zweck informiert und darauf hingewiesen werden, dass sie die Bearbeitung ablehnen können.

Der EDÖB nennt als Beispiele für Elemente von Dritten, über die zu informieren ist, Analyse-Tools, Social Plugins, Karten, Wetterinformationen und Börsenkurse. Er weist darauf hin, dass Tracker Dritten Einblick in Klicks, Werbeinteraktionen und abgespielte Videos geben können.

Praktisch heisst das:

• Erstellen Sie eine Liste aller Dienste auf Ihrer Website: Analyse, Schriften, Karten, Videos, Chat, Formulare.
• Prüfen Sie für jeden Dienst, welche Daten er bearbeitet und wo.
• Entfernen Sie Dienste, die Sie nicht wirklich brauchen.
• Beschreiben Sie die übrigen in der Datenschutzerklärung und bieten Sie, wo nötig, eine Möglichkeit zur Ablehnung an.

Dienstleister und Server im Ausland

Hosting, E-Mail, Formulardienste und Analyse-Tools sind meist Auftragsbearbeiter. Nach Art. 9 DSG dürfen diese die Daten nur so bearbeiten, wie Sie es selbst dürften, und Sie müssen sich insbesondere vergewissern, dass der Dienstleister die Datensicherheit gewährleisten kann.

Stehen die Server im Ausland, gelten die Regeln zur Bekanntgabe ins Ausland. Daten dürfen nach Art. 16 DSG ins Ausland gehen, wenn der Bundesrat dem Staat einen angemessenen Schutz bescheinigt hat oder wenn geeignete Garantien bestehen, zum Beispiel anerkannte Standarddatenschutzklauseln. Für die USA gilt laut EDÖB seit dem 15. September 2024 ein angemessener Datenschutz beim Austausch mit US-Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Für nicht zertifizierte Unternehmen gilt diese Feststellung nicht.

Richtet sich Ihre Website auch an ein Publikum im Ausland, empfiehlt der EDÖB zu prüfen, ob zusätzliche internationale Regeln greifen.

Was bei Verstössen droht

Das DSG sieht für private Personen Bussen bis zu CHF 250'000 vor, unter anderem wenn sie vorsätzlich die Informationspflicht nach Art. 19 verletzen oder eine falsche oder unvollständige Auskunft erteilen (Art. 60 DSG). Diese Bussen werden auf Antrag verfolgt. Unabhängig davon ist eine saubere Datenschutzerklärung vor allem eine Frage der Transparenz gegenüber Ihrer Kundschaft.

Checkliste für Ihre Website

• Datenschutzerklärung vorhanden und von jeder Seite aus erreichbar
• Verantwortliche Stelle mit Kontaktdaten genannt
• Zwecke der Bearbeitung konkret beschrieben
• Alle eingebundenen Dienste aufgeführt
• Staaten genannt, in die Daten gehen, und Garantien beschrieben
• Kontaktformular fragt nur nötige Angaben ab
• Hinweis auf Cookies und Möglichkeit zur Ablehnung, wo nötig
• Aufbewahrungsdauer festgelegt
• Text passt zur tatsächlichen Datenbearbeitung und wird bei Änderungen aktualisiert

Welche weiteren Elemente eine KMU-Website braucht, lesen Sie im Artikel Was eine KMU-Website braucht.

Fazit

Das revDSG verlangt von KMU keine komplizierten Systeme, aber Transparenz: Wer Personendaten über die Website beschafft, muss klar sagen, wer verantwortlich ist, wofür die Daten verwendet werden, wer sie erhält und ob sie ins Ausland gehen. Weniger eingebundene Dienste bedeuten weniger zu erklären. Dieser Artikel ist keine Rechtsberatung. Für die rechtliche Beurteilung Ihrer Website wenden Sie sich an eine Fachperson für Datenschutzrecht. Bei der technischen Seite, also welche Dienste Ihre Website tatsächlich nutzt, unterstützen wir Sie gerne über die Kontaktseite.