Datenschutz auf der Website: Was Schweizer KMU wissen müssen

nDSG und DSGVO: Eine kurze Pflichtlektüre für Schweizer KMU

Das revidierte Schweizer Datenschutzgesetz (nDSG), in Kraft seit 1. September 2023, modernisiert den Datenschutz in der Schweiz und bringt ihn näher an die EU-Datenschutz-Grundverordnung (DSGVO) heran. Für Schweizer KMU bedeutet dies, dass der Umgang mit Personendaten auf der Website sorgfältiger denn je erfolgen muss. Die Unterschiede mögen subtil sein, aber die Konsequenzen bei Nichteinhaltung können weitreichend sein.

Es ist wichtig zu verstehen, dass die DSGVO für viele Schweizer Unternehmen weiterhin relevant ist, insbesondere wenn sie Kunden in der EU haben, Personen in der EU beobachten (z.B. Marketing-Tracking) oder Dienstleistungen an EU-Bürger erbringen. Das nDSG fokussiert sich stärker auf den Schutz natürlicher Personen und sieht im Gegensatz zur DSGVO keine Sanktionen gegen Unternehmen, sondern primär gegen verantwortliche Privatpersonen vor. Trotzdem können zivilrechtliche Klagen und der Reputationsverlust für ein KMU verheerend sein. Eine umfassende Datenstrategie, die sowohl nDSG als auch DSGVO berücksichtigt, ist daher der sicherste Weg.

Der Territorialitätsgrundsatz der DSGVO besagt, dass die Verordnung auch für Unternehmen ausserhalb der EU gilt, wenn sie Daten von Personen, die sich in der EU befinden, verarbeiten. Dies trifft auf viele Schweizer KMU zu, die beispielsweise einen Onlineshop betreiben, Marketing-Kampagnen auf EU-Zielgruppen ausrichten oder einfach eine Website haben, die auch von EU-Bürgern besucht wird. Es reicht nicht aus, sich nur auf das nDSG zu verlassen, eine sogenannte 'doppelte Konformität' ist oft unumgänglich, um rechtlich auf der sicheren Seite zu stehen und das Vertrauen internationaler Kunden nicht zu verlieren. Die Umsetzung erfordert sorgfältige Planung und Anpassung bestehender Prozesse.

Die Datenschutzerklärung: Das Herzstück Ihrer Website-Compliance

Die Datenschutzerklärung ist das A und O jeder gesetzeskonformen Website. Sie muss transparent und verständlich darlegen, welche Daten wann, wie und zu welchem Zweck erhoben, gespeichert und verarbeitet werden. Für Schweizer KMU bedeutet dies, dass die Erklärung sowohl den Anforderungen des nDSG als auch gegebenenfalls der DSGVO entsprechen muss. Ein einfacher Mustertext aus dem Internet reicht hier oft nicht aus, da er selten die spezifischen Datenverarbeitungspraktiken Ihres Unternehmens abbildet.

Ihre Datenschutzerklärung muss leicht auffindbar sein, idealerweise mit einem permanenten Link im Footer Ihrer Website. Sie sollte detailliert Auskunft geben über: die verantwortliche Stelle (Ihr KMU), die erhobenen Datenkategorien (z.B. Name, E-Mail, IP-Adresse), die Rechtsgrundlage der Verarbeitung, die Empfänger dieser Daten (z.B. Hosting-Provider, Analyse-Tools, CRM-Systeme), die Speicherdauer und die Rechte der betroffenen Personen (Auskunft, Berichtigung, Löschung). Besonders wichtig ist die Beschreibung der verwendeten Tracking-Technologien wie Cookies und Analysetools sowie die Übermittlung von Daten ins Ausland.

Ein konkretes Beispiel: Wenn Ihr KMU Google Analytics nutzt, muss dies in der Datenschutzerklärung erwähnt werden, inklusive des Hinweises auf die IP-Anonymisierung, falls diese aktiviert ist, und die Möglichkeit des Opt-outs. Für die Datenübermittlung in die USA ist der sogenannte Data Privacy Framework relevant. Achten Sie darauf, dass Ihre Datenschutzerklärung stets aktuell ist und bei Änderungen in der Datenverarbeitung angepasst wird. Eine individuell auf Ihr Unternehmen zugeschnittene und regelmässig überprüfte Datenschutzerklärung minimiert nicht nur Ihr rechtliches Risiko, sondern stärkt auch das Vertrauen Ihrer Website-Besucher.

• Verantwortliche Stelle klar benennen.
• Alle erhobenen Datenkategorien detailliert auflisten.
• Zweck und Rechtsgrundlage der Datenverarbeitung erläutern.
• Empfänger und Speicherdauer der Daten angeben.
• Rechte der betroffenen Personen (Auskunft, Löschung) aufzeigen.
• Hinweise zu Cookies, Tracking-Tools und Datenübermittlung ins Ausland.

Cookie-Banner: Mehr als nur ein Klick

Ein Cookie-Banner ist auf den meisten Websites von Schweizer KMU unverzichtbar geworden. Es dient dazu, die Einwilligung der Nutzer für den Einsatz nicht zwingend notwendiger Cookies einzuholen. Unter dem nDSG gibt es keine explizite Pflicht für einen Cookie-Banner, die DSGVO verlangt jedoch eine informierte, transparente und unmissverständliche Einwilligung. Da viele Schweizer KMU auch von EU-Bürgern besucht werden, ist ein DSGVO-konformer Cookie-Banner oft die sicherste Variante.

Ein DSGVO-konformer Cookie-Banner muss bestimmte Kriterien erfüllen: Er muss vor der Setzung nicht essenzieller Cookies erscheinen, eine echte Wahlmöglichkeit bieten (Annehmen / Ablehnen / Einstellungen), präzise Informationen zu den verwendeten Cookies geben und die Möglichkeit bieten, die Einwilligung jederzeit zu widerrufen. Darüber hinaus darf der 'Ablehnen'-Button nicht weniger prominent sein als der 'Akzeptieren'-Button. Viele KMU machen den Fehler, nur einen 'Ok'-Button anzubieten, was nicht DSGVO-konform ist.

Die Implementierung eines 'Consent Management Platforms' (CMP) wie Usercentrics, OneTrust oder Borlabs Cookie (für WordPress) ist eine professionelle Lösung. Diese Tools scannen Ihre Website automatisch nach Cookies, kategorisieren sie und generieren einen rechtskonformen Banner sowie die notwendige Dokumentation der Einwilligungen. Die Kosten für solche Lösungen können je nach Umfang variieren, von kostenlosen Basisversionen bis zu mehreren hundert Franken pro Jahr für erweiterte Funktionen. Eine Investition, die sich lohnt, um Reputationsschäden und mögliche Bussen zu vermeiden.

• Echte Wahlmöglichkeit bieten (nicht nur 'OK').
• Vor Setzung nicht essenzieller Cookies erscheinen.
• Präzise Infos über verwendete Cookies geben.
• Widerruf der Einwilligung jederzeit ermöglichen.
• 'Ablehnen' und 'Akzeptieren' gleich prominent gestalten.

Datenminimierung und Zweckbindung: Weniger ist mehr

Das Prinzip der Datenminimierung ist ein Eckpfeiler sowohl des nDSG als auch der DSGVO. Es besagt, dass Sie nur diejenigen Personendaten erheben und verarbeiten dürfen, die für den jeweiligen Zweck unbedingt erforderlich sind. Wenn Ihr KMU beispielsweise eine Kontaktanfrage über ein Formular erhält, benötigen Sie in der Regel Name, E-Mail-Adresse und die Nachricht – aber vielleicht nicht zwingend die Telefonnummer oder den Geburtstag, es sei denn, es gibt einen klaren, begründeten Zweck dafür.

Die Zweckbindung geht Hand in Hand mit der Datenminimierung. Daten dürfen nur für den Zweck verwendet werden, für den sie ursprünglich erhoben wurden. Wenn Sie beispielsweise E-Mail-Adressen für die Bearbeitung einer Bestellung sammeln, dürfen Sie diese nicht ohne explizite, separate Einwilligung für Marketing-Newsletter verwenden. Eine klare Trennung der Zwecke und entsprechende Hinweispflichten sind unerlässlich. Dies erfordert eine genaue Analyse aller Datenflusswege auf Ihrer Website.

Praktisch bedeutet dies, Formularfelder auf das Notwendigste zu reduzieren, optionale Felder klar zu kennzeichnen und separate Checkboxen für unterschiedliche Einwilligungen (z.B. Newsletter-Anmeldung, Akzeptanz der AGB) anzubieten. Ein Beispiel: Ein Online-Terminbuchungssystem sollte nur die Daten abfragen, die für die Terminvereinbarung und -durchführung notwendig sind (Name, Kontakt, Anliegen). Zusätzliche Marketing-Zustimmungen müssen explizit und separat eingeholt werden. Diese Prinzipien helfen nicht nur bei der Compliance, sondern bauen auch Vertrauen bei Ihren Kunden auf, die sehen, dass Sie verantwortungsvoll mit ihren Daten umgehen.

Datensicherheit: Schützen Sie Kundendaten aktiv

Neben den rechtlichen Anforderungen ist die technische Datensicherheit ein absolutes Muss für jede Unternehmenswebsite. Eine professionelle Webpräsenz muss Kundendaten aktiv vor unbefugtem Zugriff, Verlust oder Veränderung schützen. Das bedeutet konkret, dass technische und organisatorische Massnahmen getroffen werden müssen, die dem Risiko der Datenverarbeitung angemessen sind. Für Schweizer KMU gilt hier das Prinzip der Verhältnismässigkeit, aber grundlegende Sicherheitsstandards sind für alle unerlässlich.

Die absolute Basis ist eine verschlüsselte Datenübertragung mittels SSL/TLS-Zertifikat (HTTPS). Ohne HTTPS werden Daten unverschlüsselt übertragen und sind anfällig für Abhörversuche, was nicht nur ein Sicherheits-, sondern auch ein Vertrauensproblem darstellt und von Suchmaschinen wie Google negativ bewertet wird. Stellen Sie sicher, dass Ihr Hosting-Provider regelmässige Backups durchführt und diese sicher speichert. Auch der Schutz vor Malware und Hackerangriffen ist entscheidend; dies erfordert regelmässige Software-Updates und die Nutzung von Firewalls.

Ein Mini-Fallbeispiel: Ein kleines Treuhandbüro in Zürich speichert Kundendaten für eine Offertanfrage über ein Kontaktformular. Ohne HTTPS und regelmässige Backups könnten diese sensiblen Finanzdaten bei einem Angriff gestohlen oder verloren gehen. Die Folgen reichen von Reputationsschäden bis zu teuren Rechtsfällen. Die Investition in ein sicheres Hosting und professionelles Webdesign, das Sicherheitsaspekte von Anfang an berücksichtigt, ist daher keine Option, sondern eine Notwendigkeit. Im Schnitt kostet ein gutes SSL-Zertifikat zwischen CHF 50 und CHF 200 pro Jahr, professionelles Hosting mit täglichen Backups und Sicherheits-Features starten ab CHF 20 pro Monat – eine marginale Investition im Vergleich zum potenziellen Schaden eines Datenlecks.

Rechte der Betroffenen: Auskunft, Berichtigung, Löschung

Sowohl nDSG als auch DSGVO stärken die Rechte der betroffenen Personen erheblich. Als Schweizer KMU müssen Sie in der Lage sein, diesen Rechten nachzukommen. Dazu gehören insbesondere das Recht auf Auskunft, Berichtigung und Löschung der eigenen Daten. Wenn ein Kunde von Ihnen wissen möchte, welche Daten Sie über ihn gespeichert haben, müssen Sie ihm diese Auskunft erteilen können – in der Regel innerhalb einer bestimmten Frist (z.B. 30 Tage).

Dieses Auskunftsrecht erfordert, dass Sie über ein System verfügen, das Ihnen ermöglicht, sämtliche Daten eines Individuums über verschiedene Systeme hinweg zu identifizieren und zusammenzuführen. Wenn beispielsweise ein Kunde eine E-Mail-Adresse für einen Newsletter verwendet und gleichzeitig ein Kontaktformular ausfüllt, sollten Sie in der Lage sein, alle zu dieser Person gespeicherten Daten zu finden. Dies kann komplex sein, wenn Daten in verschiedenen Tools (CRM, E-Mail-Marketing-Tool, Website-Datenbank) verteilt sind.

Das Recht auf Löschung ('Recht auf Vergessenwerden') bedeutet, dass Sie auf Anfrage Daten löschen müssen, wenn keine rechtlichen Gründe für die weitere Speicherung bestehen. Dies ist besonders relevant für Kundendaten, die nicht mehr benötigt werden. Schulen Sie Ihr Personal, wie mit solchen Anfragen umgegangen werden muss, und implementieren Sie klare Prozesse. Eine Möglichkeit ist, im Impressum oder in der Datenschutzerklärung eine spezifische Kontakt-E-Mail-Adresse für Datenschutzanfragen anzubieten. Dies demonstriert Professionalität und hilft Ihnen, Compliance-Fallen zu vermeiden.

Drittanbieter und Auftragsverarbeitung: Wer hat Zugriff auf Ihre Daten?

Viele Schweizer KMU nutzen auf ihrer Website diverse Drittanbieter-Tools: Google Analytics für Webanalyse, Google Maps für Standortinformationen, Social-Media-Plugins, Newsletter-Tools oder Online-Terminbuchungssysteme. Jedes Mal, wenn Sie Daten an einen Drittanbieter weitergeben oder dieser auf Ihrer Website Daten erhebt, sind Sie als 'Verantwortlicher' in der Pflicht. Das nDSG wie auch die DSGVO verlangen hier besondere Sorgfalt.

Für Dienstleister, die in Ihrem Auftrag Personendaten verarbeiten (z.B. Hosting-Provider, Newsletter-Versanddienste), müssen Sie sogenannte 'Auftragsverarbeitungsverträge' (AVV) abschliessen. Diese Verträge regeln die datenschutzrechtlichen Pflichten des Dienstleisters und stellen sicher, dass Ihre Daten auch bei externen Partnern geschützt sind. Überprüfen Sie regelmässig, ob diese Verträge bestehen und aktuell sind. Insbesondere bei Diensten ausserhalb der Schweiz, wie vielen US-Anbietern, sind zusätzlich Standardvertragsklauseln (SCC) oder der Data Privacy Framework relevant, um ein angemessenes Datenschutzniveau zu gewährleisten.

Ein konkretes Beispiel: Ihr KMU nutzt ein CRM-System für die Kundenverwaltung, das von einem externen Dienstleister gehostet wird. Ohne einen AVV haften Sie, wenn der Dienstleister gegen Datenschutzvorschriften verstösst und es zu einem Datenleck kommt. Die Investition in einen standardisierten AVV oder die Überprüfung existierender Verträge durch einen spezialisierten Anwalt sind kleine Massnahmen, die grosse rechtliche Sicherheit schaffen können. Nehmen Sie die Auswahl Ihrer Drittanbieter ernst und prüfen Sie deren Datenschutzkonformität sorgfältig.

Datenschutzfolgeabschätzung (DFA) / Risikoanalyse: Wann ist Vorsicht geboten?

Sowohl das nDSG als auch die DSGVO sehen unter bestimmten Umständen die Durchführung einer Datenschutzfolgeabschätzung (DFA) oder einer Risikoanalyse vor. Das nDSG spricht von einer 'Datenschutz-Folgenabschätzung', wenn die Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann. Die DSGVO verwendet den Begriff 'Data Protection Impact Assessment (DPIA)'. Für Schweizer KMU bedeutet dies, dass bei neuen Projekten oder Technologien, die sensible Daten verarbeiten oder ein erhöhtes Risiko bergen, eine solche Analyse durchgeführt werden muss.

Szenarien, die eine DFA/DPIA erforderlich machen könnten, sind beispielsweise die Einführung eines neuen Kunden-Tracking-Systems, die Verarbeitung biometrischer Daten auf der Website oder die systematische Überwachung von Website-Besuchern. Ziel ist es, potenzielle Risiken für die Datenschutzrechte der betroffenen Personen frühzeitig zu erkennen und entsprechende Gegenmassnahmen zu definieren. Die Analyse sollte die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung berücksichtigen und eine Bewertung des Risikos sowie die geplanten Massnahmen zur Risikominderung enthalten.

Für viele kleinere KMU wird eine umfassende DFA zwar nicht bei jeder Datenverarbeitung auf der Website notwendig sein, aber eine grundsätzliche Risikoanalyse ist immer empfehlenswert. Überlegen Sie sich bei jeder neuen Funktionalität auf Ihrer Website: Welche Daten werden gesammelt? Sind diese besonders schützenswert? Könnte die Verarbeitung ein hohes Risiko für die Betroffenen darstellen? Bei Unsicherheit ist es ratsam, einen Datenschutzexperten zu konsultieren, um unnötige Risiken und mögliche Bussen zu vermeiden. Eine proaktive Haltung zum Datenschutz zeugt von Sorgfalt und Professionalität.

Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen ('Privacy by Design' und 'Privacy by Default')

Ein zentraler Grundsatz gemäss nDSG und DSGVO ist der Datenschutz durch Technik ('Privacy by Design') und durch datenschutzfreundliche Voreinstellungen ('Privacy by Default'). Das bedeutet, dass schon bei der Konzeption und Entwicklung Ihrer Website und digitaler Services Datenschutzaspekte von Anfang an berücksichtigt werden müssen. Es geht nicht darum, den Datenschutz nachträglich 'anzukleben', sondern ihn als integralen Bestandteil der Architektur und Funktionalität zu planen.

'Privacy by Design' fordert, dass technische Lösungen so gestaltet werden, dass sie den Schutz von Personendaten ermöglichen und fördern. Praktisch heisst das: Überlegen Sie sich bereits bei der Planung eines neuen Kontaktformulars, Onlineshops oder Newsletter-Anmeldeformulars, welche Daten minimal benötigt werden, wie diese sicher gespeichert werden und wie eine Löschung auf Wunsch des Nutzers erfolgen kann. Vermeiden Sie von vornherein die Erhebung unnötiger Daten.

'Privacy by Default' bedeutet, dass die Grundeinstellungen Ihrer Website oder Anwendungen so voreingestellt sind, dass sie den höchstmöglichen Datenschutz gewährleisten. Zum Beispiel: Tracking-Cookies sind standardmässig deaktiviert und müssen aktiv vom Nutzer aktiviert werden (Opt-in statt Opt-out). Oder in einem Kundenkonto sind öffentliche Profile standardmässig deaktiviert. Für Schweizer KMU bedeutet dies, bei der Auswahl von Software und der Gestaltung der Website von Anfang an auf datenschutzfreundliche Lösungen zu setzen und nicht erst im Nachhinein nachzubessern. Dies spart nicht nur Kosten, sondern stärkt auch das Vertrauen Ihrer Kunden in Ihre Marke.

Praktische Checkliste für Schweizer KMU-Websites

Um den Überblick zu behalten und die Anforderungen von nDSG und DSGVO auf Ihrer Website zu erfüllen, haben wir eine praktische Checkliste für Schweizer KMU zusammengestellt. Gehen Sie diese Punkte regelmässig durch, idealerweise einmal jährlich oder bei wesentlichen Änderungen an Ihrer Website, um Ihre Compliance zu gewährleisten und Ihr Risiko zu minimieren.

1. Aktualisierte Datenschutzerklärung: Ist Ihre Datenschutzerklärung aktuell, spezifisch für Ihr KMU, leicht auffindbar und transparent bezüglich aller Datenverarbeitungsprozesse (erhobene Daten, Zweck, Empfänger, Speicherdauer, Betroffenenrechte, Drittanbieter, Datenübermittlung ins Ausland)? 2. DSGVO-konformer Cookie-Banner: Haben Sie einen Cookie-Banner, der eine echte Wahlmöglichkeit bietet (Annehmen / Ablehnen / Einstellungen), bevor nicht essenzielle Cookies gesetzt werden? Ist die Einwilligung freiwillig, informiert und jederzeit widerrufbar? 3. HTTPS-Verschlüsselung: Ist Ihre gesamte Website über HTTPS erreichbar und sind alle Formulare und Dateneingaben verschlüsselt? 4. Datenminimierung: Werden in Kontaktformularen, Bestellprozessen etc. nur die absolut notwendigen Daten abgefragt? Sind optionale Felder klar gekennzeichnet? 5. Auftragsverarbeitungsverträge (AVV): Haben Sie mit allen Drittanbietern, die in Ihrem Auftrag Personendaten verarbeiten (Hosting, Newsletter-Tool, Analyse-Dienste), gültige AVV abgeschlossen? Bei US-Anbietern: Sind Standardvertragsklauseln implementiert oder greift das Data Privacy Framework? 6. Datensicherheit: Werden regelmässige Backups durchgeführt? Sind Ihre Systeme vor Malware und Hackerangriffen geschützt (regelmässige Updates, Firewalls)? 7. Rechte der Betroffenen: Haben Sie Prozesse etabliert, um Auskunfts-, Berichtigungs- und Löschungsanfragen von Nutzern zeitnah und gesetzeskonform zu bearbeiten? Ist eine Kontaktstelle für Datenschutzfragen klar kommuniziert? 8. Datenschutz-Folgenabschätzung (DFA) / Risikoanalyse: Haben Sie bei potenziell risikoreichen Datenverarbeitungen eine solche Analyse durchgeführt und Massnahmen zur Risikominderung definiert? 9. Privacy by Design/Default: Sind Ihre digitalen Angebote von Grund auf datenschutzfreundlich konzipiert und sind die Grundeinstellungen stets auf den höchstmöglichen Datenschutz ausgerichtet?

Durch die sorgfältige Beachtung dieser Punkte stellen Sie sicher, dass Ihre Unternehmenswebsite nicht nur rechtlich abgesichert ist, sondern auch das Vertrauen Ihrer Kunden in Ihr verantwortungsbewusstes Handeln gestärkt wird.

• Datenschutzerklärung aktuell und spezifisch.
• DSGVO-konformer Cookie-Banner mit echter Wahlmöglichkeit.
• Komplette HTTPS-Verschlüsselung der Website.
• Datenminimierung bei Formularen und Prozessen.
• Gültige Auftragsverarbeitungsverträge mit Drittanbietern.
• Regelmässige Datensicherung und Systemschutz.
• Prozesse für Betroffenenrechte (Auskunft, Löschung) etabliert.
• Risikoanalyse bei sensiblen Datenverarbeitungen.
• Datenschutz von Anfang an (Privacy by Design/Default).