Datenschutzerklärung nach nDSG für Ihre KMU-Website

Warum Ihre Website eine Datenschutzerklärung braucht

Das revidierte Datenschutzgesetz (nDSG) gilt seit dem 1. September 2023. Sobald eine Website Personendaten bearbeitet, müssen Sie die betroffenen Personen darüber informieren. Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen. Das sind der Name und die E-Mail-Adresse im Kontaktformular, aber auch die IP-Adresse, die bei jedem Seitenaufruf in den Logdateien Ihres Hosters landet. Eine Website ganz ohne Personendaten gibt es deshalb kaum.

Das nDSG verlangt mindestens diese Angaben: Identität und Kontaktdaten des Verantwortlichen, den Zweck der Bearbeitung und, wenn Daten weitergegeben werden, die Empfänger. Gehen Daten ins Ausland, gehört das Land dazu. An diesem Grundsatz ändert die Betriebsgrösse nichts. Auch die Malerfirma im Kanton Bern mit drei Angestellten ist Verantwortliche im Sinn des Gesetzes.

Zwei Hinweise vorweg. Wer gezielt Personen in der EU anspricht, für den kann zusätzlich die DSGVO gelten. Und: Dieser Beitrag ist keine Rechtsberatung. Er nennt gesicherte Grundsätze. Bei Unsicherheit, besonders bei Gesundheitsdaten, Online-Shops oder Kundschaft im Ausland, ziehen Sie eine Fachperson bei. Aufsichtsbehörde ist der EDÖB, das Gesetz steht auf Fedlex.

Was in die Erklärung gehört

Eine brauchbare Datenschutzerklärung beantwortet acht Fragen:

1. Wer ist verantwortlich? Firma, Adresse und eine E-Mail-Adresse für Datenschutzanfragen.
2. Welche Daten fallen an? Logdaten beim Seitenaufruf, Angaben im Kontaktformular, Newsletter-Anmeldung, Bewerbungen, Cookies.
3. Wozu? Anfragen beantworten, die Seite sicher betreiben, Besucherzahlen verstehen.
4. Wer erhält die Daten? Hoster, E-Mail-Anbieter, Newsletter- oder Buchungstool, Statistikdienst.
5. Gehen Daten ins Ausland? Wenn ja, in welches Land und mit welchen Garantien.
6. Wie lange bleiben sie gespeichert? Zum Beispiel Anfragen, solange die Bearbeitung es braucht, danach Löschung.
7. Welche Rechte haben Besucher? Auskunft, Berichtigung, Löschung, Widerspruch, und an wen sie sich wenden.
8. Welcher Stand gilt? Das Datum der letzten Änderung.

Schreiben Sie in kurzen, einfachen Sätzen. Eine Erklärung, die niemand versteht, erfüllt den Zweck der Information nicht. Verlinken Sie sie in der Fusszeile jeder Seite, direkt neben dem Impressum.

Formular, Statistik und eingebundene Dienste

Hier entstehen die meisten Lücken, weil jeder Baustein eine eigene Zeile in der Erklärung braucht.

• Kontaktformular. Nennen Sie die abgefragten Felder, den Zweck und wohin die Nachricht geht, also in Ihr Postfach oder an einen Formulardienst. Fragen Sie nur ab, was Sie für die Antwort brauchen. Die Telefonnummer ist nur dann ein Pflichtfeld, wenn Sie wirklich anrufen. Setzen Sie beim Absenden-Knopf einen Link auf die Erklärung. Mehr dazu im Beitrag Kontaktformular optimieren.
• Statistik. Werkzeuge wie Google Analytics sind Dienste Dritter, die Daten oft ins Ausland übermitteln. Nennen Sie Anbieter, Zweck, gemessene Daten, Land und die Möglichkeit zum Widerspruch. Laden Sie das Werkzeug erst nach Einwilligung, wie im Beitrag Cookie-Banner in der Schweiz beschrieben. Und fragen Sie sich ehrlich, ob Sie die Zahlen brauchen: Was nicht läuft, müssen Sie nicht erklären.
• Eingebundene Dienste. Google Maps, YouTube, Vimeo, Schriften von fremden Servern, Buchungs- und Chat-Widgets, Social-Media-Knöpfe. Jeder dieser Bausteine lädt Inhalte von einem fremden Server, und dabei erfährt der Anbieter die IP-Adresse des Besuchers. Entweder nennen Sie den Dienst mit Zweck, Anbieter und Land, oder Sie verzichten darauf. Schriften lassen sich auf dem eigenen Server ablegen, eine Karte kann als Bild mit Link erscheinen, ein Video lädt erst nach einem Klick.

Typische Lücken auf KMU-Websites

• Die Erklärung stammt aus einer Vorlage und nennt Dienste, die gar nicht im Einsatz sind, während die tatsächlich laufenden fehlen.
• Google Maps, YouTube oder Schriften von fremden Servern sind eingebunden, stehen aber nirgends.
• Hoster und E-Mail-Anbieter fehlen als Empfänger der Daten.
• Der Text beruht noch auf dem alten Gesetz oder nennt nur die DSGVO.
• Es fehlt eine Adresse, an die Besucher ihre Anfragen zu Auskunft oder Löschung schicken können.
• Datum oder Version fehlen, und nach dem letzten Umbau wurde nichts nachgeführt.
• Der Text wurde von einer anderen Firma kopiert. Er beschreibt dann eine fremde Website und verletzt womöglich Urheberrechte.
• Die Erklärung steckt nur als PDF auf der Seite oder in winziger Schrift am Seitenende.

Ablauf: Inventur und Text in sechs Schritten

1. Inventur. Klicken Sie jede Funktion Ihrer Seite durch: Formular, Karte, Video, Chat, Buchung, Newsletter, Statistik. Notieren Sie zu jeder, welcher Anbieter dahintersteckt. Ihr Webdesigner kann Ihnen die fremden Server auflisten, mit denen sich die Seite verbindet.
2. Vier Angaben je Dienst. Anbieter, Zweck, welche Daten, welches Land.
3. Hoster und E-Mail. Ergänzen Sie diese beiden, auch wenn sie auf der Seite nicht sichtbar sind.
4. Text schreiben. Folgen Sie den acht Fragen oben, in einfachen Sätzen.
5. Verlinken. In der Fusszeile jeder Seite, neben dem Absenden-Knopf jedes Formulars und im Cookie-Banner, falls Sie einen einsetzen.
6. Nachführen. Neues Werkzeug eingebunden, zuerst die Erklärung anpassen. Datum ändern und den Text einmal im Jahr durchlesen.

Generatoren und Vorlagen liefern ein brauchbares Gerüst. Prüfen Sie aber jeden Satz gegen Ihre Inventur, denn ein Generator kennt Ihre Seite nicht. Wie Ihre Daten technisch geschützt werden, behandelt der Beitrag Website-Sicherheit. Weitere Beiträge finden Sie in der Ratgeber-Übersicht.

Wenn Sie Ihre Seite neu aufsetzen möchten

Edelweiss vermittelt Ihr Vorhaben an eine Agentur, die dazu passt. Für Sie ist das kostenlos, bezahlt werden wir von den Agenturen. Sie können Ihr Vorhaben in sechs Fragen beschreiben. Wenn Sie sich zuerst einen Überblick verschaffen möchten, schauen Sie sich den kostenlosen Website-Check an.

Häufige Fragen

Gilt das nDSG auch für meine kleine Website?

Ja, es gilt für Private, die Personendaten bearbeiten, also auch für Firmen jeder Grösse. Schon der Hoster speichert bei jedem Besuch technische Daten. Eine kurze, korrekte Erklärung ist deshalb die sichere Lösung.

Reicht ein Generator oder eine Vorlage?

Als Ausgangspunkt ja. Entscheidend ist, dass der fertige Text zu Ihrer Seite passt: genau die Dienste, die Sie nutzen, und keine, die Sie nicht nutzen. Gehen Sie darum zuerst die Inventur durch und gleichen Sie die Vorlage damit ab.

Brauche ich bei einer reinen Visitenkarten-Seite auch eine Erklärung?

Auch eine einfache Seite erzeugt beim Hoster Logdaten, und sobald es ein Kontaktformular oder einen Newsletter gibt, kommen weitere Daten dazu. Eine kurze Erklärung mit den Grundangaben ist darum auch hier empfehlenswert.

Gilt die DSGVO für mich als Schweizer Firma?

Sie kann gelten, wenn Sie gezielt Personen in der EU ansprechen, zum Beispiel mit Lieferungen nach Deutschland oder mit Werbung für Kundschaft dort. Ob das bei Ihnen zutrifft, klären Sie im Zweifel mit einer Fachperson.