Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Für Ihre konkrete Situation empfehlen wir die Abklärung mit einer Fachperson.
Wen das Gesetz betrifft
Das Datenschutzgesetz (DSG) gilt für alle privaten Unternehmen, die Personendaten bearbeiten, und das tut praktisch jede Website: Kontaktformulare, Newsletter-Anmeldungen, Server-Logfiles mit IP-Adressen oder eingebundene Dienste wie Karten und Videos. Die Grösse des Unternehmens spielt dafür keine Rolle.
Richtet sich Ihr Angebot auch an Personen in der EU, kann zusätzlich die europäische Datenschutz-Grundverordnung (DSGVO) anwendbar sein. Viele Schweizer Unternehmen orientieren sich deshalb an beiden Regelwerken.
Die Datenschutzerklärung
Kern des revDSG ist die Informationspflicht: Wer Personendaten beschafft, muss die betroffenen Personen angemessen informieren. Auf der Website geschieht das mit einer Datenschutzerklärung, die leicht auffindbar ist, üblicherweise verlinkt in der Fusszeile jeder Seite. Sie nennt mindestens:
- die Identität und die Kontaktdaten des Verantwortlichen,
- den Zweck der Bearbeitung (z. B. Beantwortung von Anfragen, Versand des Newsletters),
- die Empfänger oder Kategorien von Empfängern, etwa Hosting-Anbieter oder Analyse-Dienste,
- bei Bekanntgabe ins Ausland: die Staaten und die Garantien, die dafür gelten.
Eine gute Datenschutzerklärung ist konkret. Sie beschreibt die Dienste, die Ihre Website tatsächlich einsetzt. Kopierte Mustertexte mit Tools, die Sie gar nicht verwenden, schaffen eher Verwirrung als Vertrauen.
Cookies und Tracking
Anders als die DSGVO kennt das Schweizer Recht keine generelle Pflicht, vor dem Setzen von Cookies eine Einwilligung einzuholen. Es genügt in vielen Fällen, in der Datenschutzerklärung transparent über Cookies und Tracking zu informieren und eine Möglichkeit zum Widerspruch aufzuzeigen. Wer auch EU-Besucherinnen und -Besucher gezielt anspricht oder umfangreiche Profile bildet, sollte ein Einwilligungsbanner dennoch prüfen.
Unsere Empfehlung: Setzen Sie nur ein, was Sie wirklich auswerten. Datensparsame Statistik-Tools liefern die wichtigsten Kennzahlen, ohne Besucherprofile anzulegen.
Tools und Server im Ausland
Viele Website-Dienste (Schriften, Karten, Videos, Analyse, Newsletter) werden aus dem Ausland betrieben. Eine Bekanntgabe von Personendaten ins Ausland ist erlaubt, wenn der Bundesrat dem Zielstaat einen angemessenen Datenschutz bescheinigt hat (das gilt etwa für die Staaten der EU) oder wenn geeignete Garantien bestehen, zum Beispiel Standardvertragsklauseln. Für zertifizierte Unternehmen in den USA gilt seit September 2024 zudem das Swiss-U.S. Data Privacy Framework.
Praktisch heisst das: Führen Sie eine Liste aller eingebundenen Dienste, prüfen Sie deren Standort und Vertragsgrundlage und nennen Sie sie in der Datenschutzerklärung. Wo möglich, lohnt sich die Alternative in der Schweiz, etwa beim Hosting oder bei lokal eingebundenen Schriften.
Datensicherheit
Das revDSG verlangt eine dem Risiko angemessene Datensicherheit. Für eine Website gehören dazu mindestens:
- verschlüsselte Verbindungen (HTTPS) auf allen Seiten,
- regelmässige Updates von CMS, Plugins und Server-Software,
- Backups, die auch tatsächlich wiederhergestellt werden können,
- starke Passwörter und, wo möglich, Zwei-Faktor-Anmeldung für Redaktionszugänge,
- Formulardaten, die nur so lange gespeichert werden, wie sie gebraucht werden.
Kommt es trotzdem zu einer Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt, muss sie so rasch wie möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden.
Bussen richten sich nach dem neuen Recht an die verantwortlichen natürlichen Personen und können bei vorsätzlichen Verstössen bis zu CHF 250'000 betragen. Ein weiterer Grund, das Thema nicht an die lange Bank zu schieben.
Checkliste für Ihre Website
- Datenschutzerklärung vorhanden, aktuell und von jeder Seite aus verlinkt?
- Alle eingebundenen Dienste (Schriften, Karten, Videos, Analyse) erfasst und beschrieben?
- Datenübermittlungen ins Ausland geprüft und offengelegt?
- HTTPS aktiv, Software aktuell, Backups getestet?
- Formulare fragen nur ab, was wirklich gebraucht wird?
- Impressum mit vollständigen Unternehmensangaben vorhanden?
Sicher betrieben, in der Schweiz
Zusammen mit unserem Partner SecureIT Swiss hosten und betreuen wir Websites in der Schweiz, mit Updates, Backups und Monitoring. Sprechen Sie uns an, wenn Sie Ihre bestehende Website überprüfen lassen möchten.
