Was sich mit dem revDSG geändert hat
Das revidierte Datenschutzgesetz ist am 1. September 2023 in Kraft getreten. Es schützt nur noch Daten von natürlichen Personen und verlangt mehr Transparenz: Wer Personendaten beschafft, muss die betroffenen Personen aktiv informieren.
Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen. Dazu gehören Name und E-Mail-Adresse im Kontaktformular, je nach Umständen aber auch IP-Adressen, die beim Laden einer Seite übertragen werden.
Wann Sie eine Datenschutzerklärung brauchen
Eine Datenschutzerklärung ist nötig, sobald Ihre Website Personendaten bearbeitet. Das trifft auf fast jede Firmenwebsite zu: Kontaktformular, Newsletter-Anmeldung, Webanalyse, Kundenkonto oder Shop.
Die Erklärung muss leicht zugänglich sein, in der Regel über einen Link im Fussbereich jeder Seite. Stellen Sie sie in den Sprachen bereit, in denen sich Ihre Website an die Kundschaft richtet.
Diese Inhalte gehören hinein
Anzugeben sind mindestens: wer verantwortlich ist, mit Firmenname und Kontaktangaben, zu welchen Zwecken Sie Daten bearbeiten und an welche Empfänger oder Kategorien von Empfängern Sie Daten weitergeben, etwa Hosting-Anbieter, Newsletter-Dienste oder Zahlungsanbieter.
Werden Daten ins Ausland bekanntgegeben, nennen Sie die Länder und, falls diese keinen angemessenen Datenschutz bieten, die Garantien, auf die Sie sich stützen. Erklären Sie zudem die Rechte der betroffenen Personen, insbesondere Auskunft, Berichtigung und Löschung, und wie man sie geltend macht.
Bussen und Verantwortung
Bei vorsätzlichen Verstössen gegen bestimmte Pflichten, etwa die Informations- oder die Auskunftspflicht, sieht das revDSG Bussen bis CHF 250’000 vor. Anders als in der EU richten sich diese Bussen in erster Linie gegen die verantwortlichen Personen im Unternehmen und nicht gegen die Firma.
Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Betroffenen, müssen Sie sie zudem so rasch als möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden.
Checkliste für Ihre Website
Formulare: Fragen Sie nur Daten ab, die Sie wirklich brauchen, und übertragen Sie sie verschlüsselt über HTTPS. Analyse-Tools: Prüfen Sie, welche Daten erhoben werden, ob IP-Adressen gekürzt werden und wo der Anbieter die Daten speichert.
Eingebettete Inhalte: Google Maps, YouTube-Videos und extern geladene Schriften wie Google Fonts übertragen beim Seitenaufruf Daten an Dritte. Schriften lassen sich auf dem eigenen Server einbinden, Karten und Videos erst nach einem Klick laden.
Hosting-Standort und Verträge: Klären Sie, in welchem Land Ihre Website und Ihre Formulardaten gespeichert sind. Mit Dienstleistern, die Daten in Ihrem Auftrag bearbeiten, etwa Hosting-, Newsletter- oder CRM-Anbieter, regeln Sie die Auftragsbearbeitung in einem Vertrag.
Häufige Fragen
Gilt das revDSG auch für kleine Websites?
Ja, das Gesetz kennt keine Mindestgrösse. Sobald Ihre Website Personendaten bearbeitet, etwa über ein Kontaktformular, gelten die Informationspflichten. Erleichterungen für KMU betreffen vor allem die interne Dokumentation.
Muss mein KMU ein Verzeichnis der Bearbeitungstätigkeiten führen?
Unternehmen mit weniger als 250 Mitarbeitenden sind grundsätzlich davon befreit. Die Ausnahme gilt nicht, wenn Sie besonders schützenswerte Personendaten in grossem Umfang bearbeiten oder ein Profiling mit hohem Risiko durchführen. Ein einfaches Verzeichnis hilft trotzdem, den Überblick zu behalten.
Brauche ich einen Datenschutzberater?
Für private Unternehmen ist ein Datenschutzberater freiwillig. Er kann intern oder extern sein und unterstützt bei Fragen und Schulungen. Für viele KMU genügt es, eine Person im Betrieb für das Thema zuständig zu machen.