Kurz gesagt: Eine Fahrschule bearbeitet mehr Personendaten als die meisten Kleinbetriebe: Geburtsdatum, Ausweisnummer, Prüfungstermine, oft Zahlungsdaten, manchmal Angaben zur Gesundheit. Auf der Website davon meist nur der Anfang, ein Kontakt- oder Anmeldeformular. Trotzdem gehört beides in die Erklärung.
In meiner Erhebung habe ich 18 Schweizer Fahrschul-Websites geprüft. 6 hatten gar keine lesbare Datenschutzerklärung, bei 17 fand der Scan mindestens einen Punkt zum Nachbessern. Der Notendurchschnitt lag bei 5.00 von 10.
Was bei einer Fahrschule typischerweise anfällt
- Anmeldung: Name, Geburtsdatum, Adresse, Telefon, oft die Nummer des Lernfahrausweises
- Terminplanung: wann jemand fährt, mit welchem Fahrzeug, mit welcher Fahrlehrerin
- Fortschritt: Notizen zu Fahrstunden, Prüfungsbereitschaft
- Zahlungen: Rechnungen, Mahnungen, Zahlungsmittel
- Nothelfer- und Verkehrskundekurse: Teilnehmerlisten
Angaben zur Gesundheit, etwa eine Sehhilfe-Auflage oder eine ärztliche Einschränkung im Ausweis, sind besonders schützenswerte Personendaten nach Art. 5 lit. c revDSG. Wer solche Angaben notiert, braucht dafür einen guten Grund und in der Regel eine ausdrückliche Einwilligung.
Der Punkt, den Fahrschulen fast immer übersehen
Minderjährige. Den Lernfahrausweis für Kategorie B gibt es ab 17 Jahren, viele melden sich mit 16 zum Verkehrskundeunterricht an. Bei Jugendlichen ist die Einwilligung nur wirksam, wenn sie urteilsfähig sind, sonst braucht es die gesetzliche Vertretung. Für die Website heisst das vor allem: keine Werbe-Einwilligung im Anmeldeformular verstecken.
WhatsApp. Viele Fahrlehrerinnen koordinieren Termine über WhatsApp. Das ist praktisch und in der Erklärung schnell erwähnt, gehört aber hinein, wenn es der übliche Kanal ist.
Was auf der Website läuft
Auf den geprüften Fahrschul-Seiten fand ich fast überall dasselbe Muster: eine Karte auf der Kontaktseite, ein Kontaktformular mit Spamschutz, eine Statistik und Schriftarten von einem fremden Server. Dazu ein Buchungswerkzeug, wenn Fahrstunden online gebucht werden. Buchungswerkzeuge sind der Fall, bei dem eine Vorlage regelmässig versagt: Sie kennt es nicht.
Was das Gesetz verlangt
Das revidierte Datenschutzgesetz (revDSG) verlangt in Art. 19, dass du bei der Beschaffung von Personendaten angemessen informierst: wer verantwortlich ist, zu welchem Zweck du bearbeitest und wer die Daten sonst noch zu sehen bekommt. Geht etwas ins Ausland, kommt nach Art. 19 Abs. 4 der Staat dazu und die Grundlage dafür.
Empfänger sind nicht nur die grossen Namen. Auch dein Hosting-Anbieter ist einer, ebenso das Terminwerkzeug, der Newsletter-Versand und die Treuhandstelle, die deine Buchhaltung macht. Das Gesetz lässt zu, sie als Kategorien zu nennen statt einzeln, aber weglassen darfst du sie nicht.
Bussen bis CHF 250'000 sieht Art. 60 revDSG vor, allerdings nur bei Vorsatz, nur auf Strafantrag und gegen die verantwortliche natürliche Person statt gegen die Firma. In der Praxis ist das selten der Anlass. Häufiger ist eine Anfrage: jemand will wissen, welche Daten du über ihn hast, oder eine Kundin fragt, warum ihre Adresse bei einem Anbieter in den USA liegt. Wer dann nichts vorzuweisen hat, steht schlecht da, und zwar vor der Kundschaft, nicht vor einer Behörde.