Ist Ihre Website datenschutzkonform? Der revDSG Check

Das revidierte Datenschutzgesetz gilt seit dem 1. September 2023, heute also auf den Tag genau seit drei Jahren. Trotzdem steht auf vielen Schweizer KMU Websites noch immer eine Datenschutzerklärung, die jemand irgendwo im Netz kopiert hat. Sie nennt Werkzeuge, die gar nicht im Einsatz sind. Verschwiegen bleiben jene, die tatsächlich mitlaufen.

Das ist selten böser Wille. Meistens hat die Agentur die Seite vor Jahren gebaut, danach hat niemand mehr hingeschaut. Nur: verantwortlich sind nicht die Agentur und auch nicht das Formular Plugin, sondern Sie.

Kurz gesagt: Eine Schweizer Website erfüllt das revDSG, wenn vier Dinge stimmen. Die Datenschutzerklärung beschreibt wahrheitsgemäss, welche Daten Sie erheben und wozu. Formulare fragen nur ab, was Sie wirklich brauchen. Analyse und Werbe Werkzeuge laden erst nach einer Einwilligung. Und Sie wissen, in welchem Land Ihre Daten liegen. Bussen bis 250'000 Franken treffen dabei nicht die Firma, sondern die verantwortliche Person persönlich.

Was verlangt das revDSG von einer KMU Website?

Vier Pflichten betreffen praktisch jede Firmenseite.

Die Informationspflicht ist die sichtbarste: Wer Personendaten beschafft, muss vorher verständlich sagen, wer die Daten bearbeitet, zu welchem Zweck und an wen sie weitergehen. Genau das ist die Datenschutzerklärung. Sie muss zur Realität Ihrer Website passen, nicht zu irgendeiner Vorlage.

Dazu kommt das Auskunftsrecht. Fragt jemand, welche Daten Sie über ihn gespeichert haben, müssen Sie in der Regel innert 30 Tagen kostenlos antworten. Das setzt voraus, dass Sie überhaupt wissen, wo diese Daten liegen.

Bei einer Datenschutzverletzung mit hohem Risiko melden Sie den Vorfall so rasch als möglich dem eidgenössischen Datenschutzbeauftragten. Ein gehacktes Kontaktformular oder ein Newsletter Export im falschen Postfach kann bereits darunterfallen.

Das Bearbeitungsverzeichnis schliesslich ist für Firmen mit weniger als 250 Mitarbeitenden freiwillig, solange keine besonders schützenswerten Daten und kein Profiling mit hohem Risiko im Spiel sind. Für die meisten KMU fällt diese Pflicht damit weg. Nützlich ist so eine Liste trotzdem, denn ohne sie können Sie die drei anderen Pflichten kaum sauber erfüllen.

Wer ist betroffen und was kostet ein Verstoss?

Betroffen ist jedes Unternehmen mit Sitz in der Schweiz, das Personendaten bearbeitet. Ein Kontaktformular genügt. Selbst eine reine Visitenkarten Seite protokolliert IP Adressen auf dem Server. Auch das sind Personendaten.

Verkaufen Sie zusätzlich an Kundschaft in der EU oder verschicken Sie Newsletter dorthin, gilt parallel die DSGVO. Deren Anforderungen an die Einwilligung sind strenger. Wer nur das revDSG erfüllt, ist in diesem Fall noch nicht fertig.

Die Bussen sind das eine: bis zu 250'000 Franken, verhängt gegen die verantwortliche natürliche Person und nicht gegen die Firma. Sie können sie also nicht einfach dem Unternehmen weiterreichen. In der Praxis wird selten gebüsst, das Gesetz greift auf Anzeige hin. Der realere Schaden ist ein anderer: Immer mehr Geschäftskunden und öffentliche Auftraggeber verlangen vor der Zusammenarbeit einen Nachweis. Eine Datenschutzerklärung, die offensichtlich von einer fremden Website stammt, ist dann ein schlechter erster Eindruck.

Wo liegen Ihre Daten und warum ist das wichtig?

Personendaten dürfen ins Ausland, wenn das Zielland einen angemessenen Schutz bietet. Für den EWR ist das der Fall. Bei den USA gilt seit dem 15. September 2024 das Swiss US Data Privacy Framework: Zu einem zertifizierten US Anbieter dürfen Sie Daten ohne Zusatzgarantien übermitteln, zu einem nicht zertifizierten nicht. Diesen Unterschied kennen die wenigsten Websitebetreiber.

Deshalb hosten wir bei amai! in der EU. Datenbank und Speicher laufen über Supabase in einer EU Region, das Ausliefern über Cloudflare, der Emailversand über Resend. Alle drei stehen namentlich in unserer eigenen Datenschutzerklärung, inklusive Zweck und Standort. Das ist der Detailgrad, den das Gesetz meint.

Wie machen Sie Ihre Website in sieben Schritten konform?

1. Inventar aufnehmen. Listen Sie jede Stelle, an der Ihre Website Daten erhebt: Kontaktformular, Newsletter, Terminbuchung, Chat, Statistik, eingebettete Karten, Videos und Schriften von fremden Servern. Fast immer ist die Liste länger als gedacht.
2. Datenschutzerklärung neu schreiben. Nicht kopieren. Sie nennt Ihre echten Werkzeuge, den Zweck, die Aufbewahrungsdauer, die Empfänger und den Kontakt für Auskunftsbegehren. Eine Erklärung, die Dienste aufzählt, die Sie gar nicht nutzen, ist selbst eine Falschinformation.
3. Formulare abspecken. Jedes Feld braucht einen Grund. Telefonnummer, Geburtsdatum und Firmengrösse sammeln sich schnell an, obwohl Sie für eine Offerte Name und Emailadresse brauchen. Weniger Felder erhöhen nebenbei die Zahl der Anfragen.
4. Tracking erst nach Einwilligung laden. Google Analytics, das Meta Pixel und Google Ads Conversion Tags gehören hinter den Einwilligungsdialog. Wichtig ist, dass der Dialog die Skripte wirklich blockiert. Ein Banner, das nur informiert, während im Hintergrund alles längst lädt, ist Kosmetik.
5. Auslandtransfer klären. Fragen Sie Ihren Hoster und Ihren Newsletter Anbieter nach dem Standort der Server. Liegt etwas in den USA, prüfen Sie die Zertifizierung unter dem Data Privacy Framework. Das dauert zehn Minuten pro Anbieter.
6. Prozesse festlegen. Eine Adresse für Auskunftsbegehren, die jemand liest. Eine interne Notiz, wer bei einem Datenleck den EDÖB informiert. 30 Tage klingen lang, bis die Anfrage in den Ferien eintrifft.
7. Regelmässig nachprüfen. Ein neues Plugin, ein eingebettetes Video oder ein zusätzliches Werbekonto bringt neues Tracking mit. Ohne Kontrolle stimmt Ihre Erklärung nach einem halben Jahr wieder nicht.

Diesen letzten Punkt automatisieren wir. Unser Feedback Loop prüft jeden Monat, wie Sie bei Google und in KI Antworten auftauchen. Im selben Durchgang schauen wir, ob auf der Seite neue Skripte aufgetaucht sind oder ob die Datenschutzerklärung von der Realität abweicht. So finden Sie die Lücke selbst, statt dass eine Kundin sie findet.

Brauchen Sie in der Schweiz ein Cookie Banner?

Das revDSG schreibt für rein technische Cookies keine Einwilligung vor. Das Fernmeldegesetz verlangt lediglich, dass Sie über die Bearbeitung informieren und eine Ablehnung ermöglichen. Ein Warenkorb oder eine Spracheinstellung darf also ohne Klick funktionieren.

Anders sieht es bei Analyse und Werbung aus. Sobald Google Analytics, Ads Remarketing oder ein Pixel im Spiel ist, gehen Daten an Dritte. Spätestens bei Besucherinnen aus der EU brauchen Sie dann eine echte Einwilligung. Praktisch heisst das: ein schlanker Dialog mit gleichwertigen Schaltflächen für Annehmen und Ablehnen, ohne dunkle Tricks.

Für Google Ads hat das eine Nebenwirkung, die viele überrascht. Ohne korrekt eingebundenen Consent Mode verlieren Sie Conversion Daten und Ihre Kampagnen optimieren auf Lücken. Sauberer Datenschutz und funktionierende Werbung sind hier dieselbe Aufgabe.

Häufige Fragen

Gilt das revDSG auch für meine kleine Website ohne Shop? Ja. Sobald Personendaten bearbeitet werden, greift das Gesetz. Eine Firmengrösse als Untergrenze kennt es nicht. Ein Kontaktformular oder Server Logs mit IP Adressen genügen bereits. Kleine Firmen sind lediglich vom Bearbeitungsverzeichnis befreit, solange sie keine besonders schützenswerten Daten bearbeiten.

Brauche ich zwingend ein Cookie Banner? Für rein technisch notwendige Cookies nicht. Sobald Sie Analyse Werkzeuge, Werbe Pixel oder eingebettete Dienste von Dritten laden, brauchen Sie einen Einwilligungsdialog, der diese Skripte tatsächlich zurückhält, bis die Person zugestimmt hat. Bei Publikum aus der EU gilt zusätzlich die DSGVO.

Was kostet ein Verstoss gegen das revDSG? Vorsätzliche Verstösse gegen die Informations und Auskunftspflicht können mit Bussen bis 250'000 Franken geahndet werden. Diese richten sich gegen die verantwortliche natürliche Person im Unternehmen. Gebüsst wird meist erst nach einer Anzeige, der häufigere Schaden ist der Vertrauensverlust bei Kundschaft und Auftraggebern.

Darf meine Website ausserhalb der Schweiz gehostet werden? Ja. Hosting im EWR ist unproblematisch, weil dort ein angemessenes Schutzniveau anerkannt ist. Bei Anbietern in den USA dürfen Sie ohne Zusatzgarantien nur übermitteln, wenn diese unter dem Swiss US Data Privacy Framework zertifiziert sind. Der Standort gehört in jedem Fall in die Datenschutzerklärung.

Reicht eine Datenschutzerklärung aus einem Generator? Als Ausgangspunkt ja, als Endprodukt selten. Ein Generator kennt Ihre Werkzeuge nicht. Eine Erklärung, die Dienste nennt, die Sie nicht einsetzen, erfüllt die Informationspflicht nicht. Dasselbe gilt, wenn sie verschweigt, was im Hintergrund läuft. Der Abgleich mit dem, was auf Ihrer Seite tatsächlich lädt, ist die eigentliche Arbeit.

Dieser Beitrag ist eine allgemeine Orientierung und keine Rechtsberatung.