Mit der Revision des Schweizer Datenschutzgesetzes (nDSG) ändern sich wichtige Bestimmungen über die Bearbeitung von Personendaten. Schweizer KMU müssen verschärfte Regeln beachten – sonst drohen hohe Bussen und ein Verfahren durch den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Das neue Schweizer Datenschutzgesetz tritt am 1. September 2023 in Kraft. Unternehmen sollten auf ihrer Website bis spätestens zum Inkrafttreten des nDSG eine rechtssichere Datenschutzerklärung publizieren.
Schweizer KMU müssen als Besitzer oder Betreiber einer Website sowohl die Schweizer wie auch die europäischen Anforderungen verstehen, um ihre Datenschutzerklärungen und die Verwendung von Cookies rechtssicher zu machen. Massgebend ist das neue Schweizer Datenschutzgesetz (nDSG) und die Datenschutz-Grundverordnung (DSGVO) der EU: Letztere müssen KMU beachten, wenn sie auch Nutzerinnen und Nutzer aus dem europäischen Raum ansprechen – zum Beispiel mit einem Online-Shop.
Das neue Schweizer Datenschutzgesetz tritt am 1. September 2023 in Kraft. Es enthält wichtige Neuerungen, die Unternehmen beachten müssen – bei Missachtung drohen hohe Bussen. Eine frühzeitige Überarbeitung der eigenen Datenschutzrichtlinien sowie eine sorgfältige Dokumentation sind notwendig, um die gesetzlichen Anforderungen zu erfüllen. Gefordert sind auch KMU und Kleinunternehmen.
Das Schweizerische Datenschutzgesetz verlangt, dass die Behandlung von Personendaten und ihr Zweck für die Betroffenen erkennbar sein müssen. So enthält das neue schweizerische Datenschutzgesetz (nDSG) ausdrückliche Informationspflichten. Was viele KMU nicht realisieren: Der Betrieb ihrer Website ist kaum denkbar ohne die Bearbeitung von Personendaten, auch wenn sie diese nicht aktiv erfassen: So stellen IP-Adressen, die in Server-Logdateien erfasst werden, bereits Personendaten dar. Um ihre Informationspflicht zu erfüllen, müssen Unternehmen die Besucherinnen und Besucher einer Website über die Beschaffung und Bearbeitung ihrer Personendaten in Kenntnis setzen. Dies geschieht durch Veröffentlichung einer Datenschutzerklärung.
Das neue Datenschutzgesetz will Persönlichkeit und Grundrechte von natürlichen Personen mit Schweizer Wohnsitz besser schützen. Die Datenbearbeitung durch Private (oder den Staat) unterliegt strengen Bestimmungen: Betroffene Personen sollen mehr Transparenz und eine Stärkung ihrer Rechte zum Schutz ihrer Daten erhalten. Die Unternehmen sind bei der Erhebung von Personendaten zu grösster Sorgfalt verpflichtet – das gilt insbesondere für die Verhinderung von Verlust oder Missbrauch dieser Daten.
Folgende Punkte sind zentral für eine rechtssichere Datenschutzerklärung, die auf der Website eines Unternehmens veröffentlicht wird:
Fazit: Eine Datenschutzerklärung ist eine rechtlich komplexe Angelegenheit. Es lohnt sich daher, professionelle Unterstützung in Anspruch zu nehmen.
Falls ein Unternehmen gegen das neue Datenschutzgesetz verstösst, drohen Bussen bis zu 250‘000 Franken. Die Sanktionen richten sich nicht gegen das fehlbare Unternehmen, sondern gegen die Person, die für die Einhaltung des Datenschutzes verantwortlich ist (z.B. Geschäftsführer oder Verwaltungsrat). Bestraft wird aber nur, wer vorsätzlich falsche oder unvollständige Angaben macht, die Zusammenarbeit mit dem EDÖB verweigert oder dessen Verfügungen missachtet.
Wichtig: Jede Website benötigt ein Impressum, sonst drohen dem Betreiber Abmahnung oder Busse. Das Impressum gibt Auskunft darüber, wer für einen Blog, Onlineshop oder eine Website verantwortlich ist und wie er oder sie kontaktiert werden kann.
Betreiber müssen die Nutzer ihrer Website über die verwendeten Cookies, ihre Funktion und die gesammelten Daten informieren. Diese Informationen sollten sofort sichtbar sein, sobald ein Benutzer die Website des Betreibers aufruft. Cookies sind Dateien, die eine besuchte Webseite auf dem Rechner speichert: Sie erleichtern das Surfen im Internet, werden aber auch eingesetzt, um das Verhalten der Nutzerinnen und Nutzer auszuspähen.
Mit dem neuen Datenschutzgesetz genügt es nicht mehr, eine Information über die Verwendung der Cookies aufpoppen zu lassen, die der Nutzer oder die Nutzerin mit einem «OK» oder «Verstanden» wegklicken kann: Der Nutzer muss umfassend über die Verwendung der gesammelten Daten informiert werden, und er muss mit einer differenzierten Auswahl seine spezifische und aktive Zustimmung geben.
Es ist also von Vorteil, wenn eine Auswahl zur Verfügung steht, zum Beispiel:Der Nutzer muss eine echte Wahl haben, d. h. ohne Druck oder Zwang zustimmen können. Selbst wenn er alle Cookies ablehnt, darf ihm der Zugang zur Website nicht verweigert werden. Anders gesagt: Der Nutzer darf nicht gezwungen werden, Cookies zuzulassen, damit er oder sie auf die Website zugreifen kann.
Sowohl die europäische Datenschutz-Grundverordnung (DSGVO) wie auch das revidierte Schweizer Datenschutzgesetz (nDSG) schreiben vor, dass dem Nutzer eine spezifische Auswahl anzubieten ist, die er differenziert bestätigen oder ablehnen kann. Die Zustimmung muss also für jeden Zweck, den Cookies erfüllen, eingeholt werden. Die gesetzlichen Bestimmungen verlangen eine detailliertere Auswahl, kein «alles oder nichts». Erst die Zustimmung zu einzelnen Arten von Cookies ist datenschutzkonform.
Für Schweizer Unternehmen gilt primär das Schweizer Datenschutzgesetz. Als Betreiber von Websites tun sie gut daran, die Nutzerinnen und Nutzer umfassend zu informieren, welche Personendaten sie zu welchen Zwecken bearbeiten (Datenschutzerklärung, AGB).
Dazu gehören:
Die europäische Datenschutz-Grundverordnung (DSGVO) ist nicht direkt auf Schweizer Unternehmen anwendbar. Unter bestimmten Bedingungen sind die EU-Bestimmungen trotzdem einzuhalten. Es lohnt sich, dies bereits heute zu klären.
Nützliche Links:
• https://bit.ly/35vFTpg (Tipps des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten)
• https://bit.ly/3qpAtTV (Online-Check von Economy Suisse zur Anwendbarkeit der DSVGO für Schweizer Unternehmen
Bildquelle: Pixabay