Datenschutzerklärung nach revDSG: auch die kleine Website braucht eine
Das revidierte Datenschutzgesetz gilt seit dem 1. September 2023. Es betrifft nicht nur grosse Firmen: Sobald Ihre Website ein Kontaktformular hat, Zugriffe protokolliert oder einen Dienst von aussen einbindet, bearbeiten Sie Personendaten und müssen darüber informieren.
- Die Informationspflicht nach Art. 19 revDSG gilt unabhängig von der Firmengrösse.
- Hinein gehören: wer verantwortlich ist, welche Daten zu welchem Zweck bearbeitet werden, an wen sie gehen und welche Rechte die betroffene Person hat.
- Weitergabe ins Ausland ist offenzulegen, das betrifft fast jede Website mit Hosting, Schriften oder Statistik aus den USA.
- Die Erklärung gehört als Link in den Fussbereich jeder Seite, direkt neben das Impressum.
Wann Sie betroffen sind
Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen. Eine IP-Adresse gehört dazu. Damit ist praktisch jede Website betroffen, denn jeder Webserver protokolliert Zugriffe.
Typische Fälle auf einer KMU-Website:
- ein Kontakt- oder Offertformular
- ein Newsletter-Eintrag
- Zugriffsstatistik, egal ob Google Analytics oder eine schlanke Alternative
- eingebundene Karten, Videos oder Schriften von fremden Servern
- Kommentar- oder Bewertungsfunktionen
Wer nichts davon hat, informiert trotzdem über die Server-Protokolle. Das sind drei Sätze.
Was in der Erklärung stehen muss
Art. 19 revDSG verlangt, dass die betroffene Person angemessen informiert wird. Konkret gehören diese Punkte hinein:
- Verantwortliche Stelle. Name und Kontaktadresse, dieselben Angaben wie im Impressum.
- Zweck der Bearbeitung. Wofür Sie die Daten brauchen, in normaler Sprache: um eine Anfrage zu beantworten, um eine Offerte zu stellen, um den Betrieb der Website sicherzustellen.
- Empfänger. Wer die Daten sonst noch sieht: Hosting-Anbieter, Mailversand, Statistikdienst, Treuhand.
- Bekanntgabe ins Ausland. Welche Länder und auf welcher Grundlage. Für die USA und andere Staaten ohne angemessenes Schutzniveau braucht es eine Absicherung, in der Praxis meist Standardvertragsklauseln.
- Rechte der betroffenen Person. Auskunft, Berichtigung, Löschung, Widerspruch und Datenherausgabe, mit der Adresse, an die man sich wendet.
- Aufbewahrungsdauer. Wie lange Sie die Daten behalten oder nach welchen Kriterien sich das bestimmt.
Die häufigsten Lücken
Aus den Checks der letzten Monate fallen vier Muster auf.
- Deutsche Vorlage übernommen. Die Erklärung spricht von der DSGVO, nennt Art. 6 Abs. 1 lit. f und einen Datenschutzbeauftragten. Das Schweizer Gesetz kommt nicht vor. Das ist nicht automatisch falsch, wirkt aber wie abgeschrieben, und die Verweise gehen ins Leere.
- Dienste nicht genannt. Die Seite bindet Google Fonts, eine Karte und ein Video ein, in der Erklärung steht davon nichts.
- Kein Link im Fussbereich. Die Erklärung existiert, ist aber nur über die Sitemap erreichbar.
- Datum von 2019. Eine Erklärung, die vor der Revision geschrieben wurde und seither nicht angefasst worden ist.
Der kürzeste ehrliche Weg
Die beste Datenschutzerklärung ist die, die wenig zu erklären hat. Wer Schriften lokal einbindet statt von einem fremden Server, wer auf eingebettete Videos verzichtet und die Statistik ohne Cookies betreibt, kommt mit einer kurzen, wahrheitsgemässen Seite aus.
Das spart nicht nur Text. Es macht die Seite schneller, siehe Website schneller machen, und es erspart den Einwilligungsdialog, den niemand gerne anklickt.
Den Link setzen Sie neben das Impressum:
<a href="/datenschutz.html">Datenschutz</a>Häufige Fragen
Braucht meine Website einen Cookie-Banner?
Das revDSG kennt keine allgemeine Pflicht zum Einwilligungsdialog wie die EU-Regeln. Nötig wird er, wenn Sie Dienste einsetzen, die Daten für eigene Zwecke weiterverwenden, etwa Werbenetze, oder wenn Sie Besucher aus der EU ansprechen. Wer nur eine Statistik ohne Cookies betreibt, braucht keinen.
Gilt für mich auch die DSGVO?
Möglich, wenn Sie sich gezielt an Personen in der EU richten, etwa mit Versand dorthin oder mit Preisen in Euro. Eine Schweizer Website, die Schweizer Kundschaft bedient, fällt in der Regel nur unter das revDSG.
Kann ich einen Generator verwenden?
Ja, als Ausgangspunkt. Danach muss der Text aber durchgesehen werden: Generatoren nennen oft Dienste, die Sie gar nicht einsetzen, und lassen solche weg, die Sie einsetzen. Falsche Angaben sind schlechter als knappe.
Der Check von seoptimizer.ch prüft genau diesen Punkt zusammen mit 42 weiteren, in zwei Sekunden und ohne Anmeldung.
Weiterlesen
- SEO für Schweizer Websites: die Grundlagen, die messbar sind Der Überblick: welche Punkte wirklich über Sichtbarkeit entscheiden und welche nur nach Arbeit aussehen.
- Impressum auf der Website: was in der Schweiz hinein muss Pflichtangaben nach UWG, die häufigsten Lücken und eine Vorlage, die Sie direkt übernehmen können.
- Titel und Beschreibung: die zwei Zeilen, die über den Klick entscheiden Länge, Aufbau und Wortwahl für Seitentitel und Beschreibung, plus die Fehler, die jede zweite Website macht.
Dieser Beitrag erklärt, wie der Check von seoptimizer.ch diesen Punkt bewertet. Er ist keine Rechtsberatung. Bei rechtlichen Fragen zu Impressum und Datenschutz fragen Sie eine Anwältin oder einen Anwalt.