RATGEBER
Website und Datenschutz: Was braucht eine KMU-Website nach dem revDSG?
Ben Schmidt, Inhaber von Flowrenix · Aktualisiert:
Kurzantwort
Nach dem revidierten Datenschutzgesetz, das seit September 2023 in Kraft ist, braucht eine Website vor allem eine Datenschutzerklärung, die ehrlich beschreibt, welche Personendaten sie erfasst, wozu, an welche Dienste sie gehen und in welche Länder. Dazu kommen ein Hinweis zu Cookies und eingebundenen Diensten, ein sparsames Kontaktformular und Verträge mit den Anbietern, die Daten in Ihrem Auftrag bearbeiten; dieser Artikel ist eine Orientierung aus meiner Praxis und ersetzt keine Rechtsberatung.
Vorweg: Orientierung, keine Rechtsberatung
Ich bin kein Anwalt. Ich baue Websites und setze technisch um, was eine Datenschutzerklärung beschreibt: welche Dienste eingebunden sind, wann sie laden und wohin Daten fliessen. Hier stehen die Punkte, die mir in jedem Projekt begegnen.
Für eine verbindliche Beurteilung lassen Sie Ihre Rechtstexte anwaltlich prüfen. Das gilt besonders, wenn Ihre Website besonders schützenswerte Daten wie Gesundheitsangaben erfasst, wenn Sie einem Berufsgeheimnis unterstehen oder wenn sich Ihr Angebot auch an Kundschaft in der EU richtet.
Was sich mit dem revDSG geändert hat
Das revidierte Datenschutzgesetz ist seit dem 1. September 2023 in Kraft. Es schützt nur noch Personendaten natürlicher Personen, nicht mehr die Daten von Firmen. Für eine Website wichtiger ist die erweiterte Informationspflicht: Wer Personendaten beschafft, muss die betroffenen Personen von sich aus informieren.
Neu verlangt das Gesetz ausserdem Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen. Für eine Website heisst das: Was nicht nötig ist, ist zunächst ausgeschaltet. Bestimmte vorsätzliche Verstösse können mit Busse bestraft werden, und zwar in erster Linie die verantwortlichen Personen.
Die Datenschutzerklärung
Fast jede geschäftliche Website erfasst Personendaten: über ein Kontaktformular, eine Besucherstatistik, eine Buchung oder schlicht über die Zugriffsprotokolle des Servers. Deshalb braucht praktisch jede Website eine Datenschutzerklärung. Dazu gehören mindestens:
- wer für die Bearbeitung verantwortlich ist, mit Kontaktangaben
- welche Daten die Website erfasst und zu welchem Zweck
- an welche Empfänger oder Kategorien von Empfängern die Daten gehen, etwa Hosting, E-Mail-Versand oder Statistik
- in welche Länder Daten bekanntgegeben werden und mit welchen Garantien, wenn diese Länder keinen angemessenen Schutz bieten
- üblich sind zudem Angaben zur Aufbewahrungsdauer und zu den Rechten der Betroffenen, etwa auf Auskunft
Die Erklärung muss zur Website passen
Der häufigste Fehler ist nicht eine fehlende Datenschutzerklärung, sondern eine, die nicht zur Website passt. Ein Text aus einem Generator nennt Dienste, die gar nicht eingebunden sind, und lässt die weg, die tatsächlich laufen.
Deshalb mache ich vor dem Text eine Bestandsaufnahme: Welche Schriften, Karten, Videos, Statistik-, Buchungs- oder Chat-Dienste lädt die Website, und welche Daten gehen dabei an wen? Erst diese Liste macht eine Datenschutzerklärung richtig.
Cookies und eingebundene Dienste
Nach Schweizer Recht gilt für Cookies grundsätzlich, dass Besucher informiert werden und die Bearbeitung ablehnen können. Eine vorherige Einwilligung für jedes Cookie, wie sie in der EU üblich ist, verlangt das Schweizer Recht nicht allgemein. Richtet sich Ihre Website auch an Kundschaft in der EU, kann zusätzlich europäisches Recht gelten, das für nicht notwendige Cookies in der Regel eine Einwilligung verlangt.
Schriften, Karten oder Videos, die beim Seitenaufruf direkt von fremden Servern geladen werden, übermitteln die IP-Adresse des Besuchers an diese Anbieter. Oft gibt es einfache Alternativen: Schriften selbst ausliefern, Karte und Video erst nach einem Klick laden. Wie ich das auf dieser Website handhabe, steht in der Cookie-Richtlinie.
Das Kontaktformular
Am Kontaktformular nimmt eine Website in der Regel die meisten Personendaten auf.
- Fragen Sie nur ab, was Sie für die Antwort brauchen, und kennzeichnen Sie Pflichtfelder.
- Übertragen Sie das Formular verschlüsselt über HTTPS.
- Legen Sie fest, wo Anfragen landen und wer Zugriff hat.
- Bestimmen Sie, wie lange Anfragen aufbewahrt werden, und löschen Sie sie danach, am besten automatisch.
- Ein Häkchen für einen Newsletter ist nie vorausgefüllt, und ein Spam-Schutz eines Drittanbieters gehört selbst in die Datenschutzerklärung.
Hosting und Datenstandort
Das Datenschutzgesetz erlaubt, Personendaten ins Ausland bekanntzugeben, wenn der Bundesrat dem Staat einen angemessenen Schutz bescheinigt. Für die Staaten der EU ist das der Fall. Für die USA gilt er seit dem 15. September 2024, aber nur für Anbieter, die nach dem Swiss-US Data Privacy Framework zertifiziert sind; ob ein Anbieter dazugehört, zeigt die öffentliche DPF-Liste des US-Handelsministeriums. Sonst braucht es Garantien wie Standardvertragsklauseln. Für gewöhnliche Website-Daten schreibt das Gesetz also kein Hosting in der Schweiz vor; bei Berufsgeheimnissen oder branchenspezifischen Vorgaben kann das anders aussehen.
Eine Website besteht zudem aus mehreren Bausteinen wie Hosting, E-Mail-Versand, Formular und Statistik, jeder mit eigenem Standort. Für meine eigenen Systeme führe ich das auf der Seite Tech-Stack einzeln auf.
Auftragsbearbeitung
Bearbeitet ein Anbieter Personendaten in Ihrem Auftrag, etwa der Hoster, der E-Mail-Dienst oder ein Formularwerkzeug, spricht das Gesetz von Auftragsbearbeitung. Verantwortlich bleiben Sie. Deshalb braucht es einen Vertrag, der festhält, dass der Anbieter die Daten nur so bearbeitet, wie Sie es selbst dürften, und sie angemessen schützt.
Führen Sie eine Liste dieser Anbieter. Ein formelles Verzeichnis der Bearbeitungstätigkeiten müssen Unternehmen mit weniger als 250 Mitarbeitenden in der Regel nicht führen, solange ihre Bearbeitung kein hohes Risiko birgt; eine einfache Übersicht hilft trotzdem, wenn jemand Auskunft verlangt.
Was ich bei einer Website übernehme
Rechtstexte gehören bei mir zum Website-Projekt. Ich erstelle die Liste der eingebundenen Dienste mit Standorten, richte Cookie-Hinweis und Formulare technisch sauber ein und schreibe die Datenschutzerklärung anhand dessen, was die Website tatsächlich tut. Konten bei Hosting und Diensten laufen auf Ihren Namen, damit auch die Verträge zur Auftragsbearbeitung bei Ihnen liegen.
Für eine verbindliche rechtliche Beurteilung empfehle ich eine anwaltliche Prüfung, besonders bei sensiblen Daten. Wie ich Websites aufbaue, steht auf der Seite Websites mit Buchung.
HÄUFIGE FRAGEN
Häufige Fragen
In aller Regel ja. Sobald die Website Personendaten erfasst, etwa über ein Kontaktformular, eine Besucherstatistik oder eingebundene Dienste, müssen Besucher darüber informiert werden. Das trifft auf fast jede geschäftliche Website zu.
Das hängt davon ab, welche Cookies und Dienste Ihre Website einsetzt und an wen sie sich richtet. Nach Schweizer Recht genügt grundsätzlich eine Information mit der Möglichkeit, abzulehnen. Richtet sich die Website auch an Kundschaft in der EU, verlangt das europäische Recht für nicht notwendige Cookies in der Regel eine Einwilligung.
Für gewöhnliche Website-Daten nicht. Das Gesetz erlaubt die Bekanntgabe in Staaten mit angemessenem Schutz, dazu gehören die Staaten der EU und seit dem 15. September 2024 zertifizierte US-Anbieter. Sonst braucht es zusätzliche Garantien, und bei Berufsgeheimnissen oder Branchenvorgaben kann mehr verlangt sein.
Ein Vertrag mit einem Anbieter, der Personendaten in Ihrem Auftrag bearbeitet, etwa Hoster oder E-Mail-Dienst. Er hält fest, dass der Anbieter die Daten nur in Ihrem Sinn bearbeitet und schützt. Grosse Anbieter stellen dafür einen Standardvertrag bereit.
Nein. Er ist eine Orientierung aus meiner Praxis als Entwickler. Für eine verbindliche Beurteilung Ihrer Rechtstexte wenden Sie sich an eine Anwältin oder einen Anwalt.