Kurz: Liegt dein Geschäftspostfach bei Google, gehört Google in deine Datenschutzerklärung. Nicht wegen der Website, sondern wegen allem, was dir Leute schreiben.
Warum das Postfach in die Erklärung gehört
Dein Kontaktformular schickt jede Anfrage als E-Mail in dein Postfach. Wer dir direkt schreibt, landet ebenfalls dort. Name, E-Mail-Adresse, Telefonnummer und alles, was jemand in die Nachricht schreibt, liegen damit auf den Servern deines Mail-Anbieters. Er ist Empfänger dieser Daten, auch wenn auf der Website selbst nichts von ihm zu sehen ist.
Genau deshalb fehlt er so oft: Ein Scan der Website findet ihn nicht, weil er im Seitencode nicht vorkommt. Er steht nur dann in der Erklärung, wenn jemand danach fragt. In meinem Fragebogen ist das die Frage „Wo liegen deine E-Mails und Dateien?“.
Was Google bekommt
- Jede E-Mail, die du bekommst und schreibst, samt Absender, Empfänger und Inhalt.
- Die Anfragen aus deinem Kontaktformular, sobald sie als E-Mail eintreffen.
- Dateien in Google Drive, falls du Offerten, Kundenlisten oder Rechnungen dort ablegst.
- Termine im Google-Kalender, wenn du Kundentermine dort einträgst.
Die Angaben, geprüft
Welche Google-Gesellschaft deine Vertragspartnerin ist, hängt davon ab, was du nutzt:
- Google Workspace (bezahltes Geschäftskonto, meist mit deiner eigenen Domain): Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland. Sie ist Vertragspartnerin für Kundschaft mit Rechnungsadresse in Europa, also auch in der Schweiz.
- Ein kostenloses Gmail-Konto, das du geschäftlich nutzt: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.
Beide Angaben stammen aus den Rechtstexten von Google und liegen bei mir mit Quelle und Prüfdatum vor. In beiden Fällen bearbeitet Google die Daten konzernintern auch in den USA, und die Google LLC war bei meiner letzten Prüfung im Swiss-U.S. Data Privacy Framework eingetragen.
Was das revDSG dazu verlangt
Die Informationspflicht nach Art. 19 revDSG verlangt, dass du nachvollziehbar sagst, welche Personendaten du bearbeitest, wozu und wer sie sonst noch bekommt. Gehen sie ins Ausland, kommt Art. 19 Abs. 4 revDSG dazu: das Zielland gehört genannt und die Grundlage der Übermittlung.
Seit dem 15. September 2024 anerkennt die Schweiz die USA über das Swiss-U.S. Data Privacy Framework als Land mit angemessenem Datenschutz, aber nur für Unternehmen, die dort eingetragen sind. Für eingetragene Unternehmen braucht es keine zusätzlichen Garantien, für die übrigen weiterhin Standardvertragsklauseln. Zu informieren ist in beiden Fällen.
So kann der Abschnitt aussehen
E-Mail und Büroprogramme
Für E-Mail, Kalender und Dateiablage nutzen wir Google Workspace. Anbieterin ist die Google Cloud EMEA Limited, Dublin, Irland. Wenn du uns schreibst oder das Kontaktformular nutzt, werden deine Angaben dort gespeichert. Google bearbeitet Daten auch in den USA; die Übermittlung stützt sich auf das Swiss-U.S. Data Privacy Framework, in dem die Google LLC eingetragen ist.
Nutzt du ein kostenloses Gmail-Konto, setzt du statt der Google Cloud EMEA Limited die Google Ireland Limited ein.
Google ist dann oft mehrfach drin
Wer Google für E-Mail nutzt, hat oft auch eine Google-Karte auf der Kontaktseite, Google Fonts im Theme oder Google Analytics. Jedes davon ist ein eigener Zweck und gehört einzeln genannt, auch wenn die Firma dieselbe ist. Mehr dazu: Google Maps und Google Fonts.