revDSG: Was Ihre Website enthalten muss

Das Prinzip: Informieren, bevor Daten erhoben werden

Das revDSG verpflichtet die verantwortliche Person, betroffene Personen bei der Beschaffung ihrer Daten zu informieren. Auf einer Website geschieht dies mit einer Datenschutzerklärung, die von jeder Seite aus erreichbar ist, und mit einem kurzen Hinweis bei jedem Formular.

Die Erklärung ist kein Dokument, das man einmal schreibt und dann vergisst. Sie muss dem entsprechen, was die Website tatsächlich tut: Kommt ein Buchungstool oder ein Newsletter dazu, folgt die Erklärung.

Was die Datenschutzerklärung enthalten muss

Die folgende Liste ist nicht abschliessend, deckt aber die Punkte ab, die bei einer Firmenwebsite mit Kontaktformular und einigen Werkzeugen erwartet werden.

• Ihre Identität und Kontaktangaben für Fragen zum Datenschutz
• Für jedes Formular: welche Daten erhoben werden und zu welchem Zweck
• Die Aufbewahrungsdauer oder die Kriterien, die sie bestimmen
• Die Dienstleister, die Daten in Ihrem Auftrag bearbeiten, und das Land, in dem sie sitzen
• Die Rechte der betroffenen Person: Auskunft, Berichtigung, Löschung, Widerspruch und wie sie diese geltend machen kann
• Die wichtigsten Sicherheitsmassnahmen, zum Beispiel die Verschlüsselung der Übertragung
• Das Recht, sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu wenden

Formulare und E-Mails: der heikle Punkt

Ein Kontaktformular fragt nur, was für die Antwort nötig ist. In den meisten Fällen genügen Name, E-Mail-Adresse und Nachricht; die Telefonnummer ist freiwillig und darf es auch sein.

Das Kästchen für einen Newsletter ist standardmässig leer zu lassen und von den übrigen Einwilligungen getrennt zu halten. Wer eine Offerte oder ein Audit anfordert, stimmt damit dem Newsletter nicht zu.

Hosting, Reichweitenmessung und Drittanbieter

Jedes Werkzeug, das Daten Ihrer Besucherinnen und Besucher erhält, gehört in die Erklärung, samt Land, in dem die Daten bearbeitet werden. Ein Hoster in den USA oder ein Dienst im Ausland sind nicht verboten; man muss es aber offenlegen und die Übermittlung absichern, etwa mit anerkannten Standardvertragsklauseln.

Eine Reichweitenmessung ohne Cookies und ohne individuelles Profiling vereinfacht vieles. Eine Website ohne Drittanbieter-Tracker braucht kein Cookie-Banner, behält aber die Informationspflicht. Für Werkzeuge, die Besucher profilieren, kann eine Einwilligung nötig sein: Prüfen Sie den Einzelfall, bevor Sie es einschalten.

Verzeichnis, Auftragsbearbeiter und Sicherheit

Ein KMU mit weniger als 250 Mitarbeitenden und einer Bearbeitung mit geringem Risiko muss in der Regel kein Verzeichnis der Bearbeitungstätigkeiten führen. Diese Ausnahme entbindet aber nicht von der Information der Personen und nicht von der Sicherheit der Daten.

Die Daten Ihrer Kundschaft gehören zu einem zuverlässigen Anbieter mit geschützten Zugängen. Bei WebMake liegt die Datenbank in Zürich, und die Übertragung läuft über HTTPS.