Kurze Antwort: Du darfst deine Datenschutzerklärung erstellen lassen, von einem Werkzeug, einer Agentur oder einer Anwältin. Was du nicht abgeben kannst, ist die Verantwortung dafür, dass sie stimmt. Das revDSG kennt keinen Weg, die Informationspflicht auf einen Dienstleister zu übertragen.
Das klingt nach einer Feinheit. Es ist aber der Grund, warum du wissen solltest, was in deiner Erklärung steht, selbst wenn du sie nicht selbst geschrieben hast.
Wer haftet, wenn die Erklärung falsch ist
Die Informationspflicht steht in Art. 19 revDSG und trifft die verantwortliche Person, also dich als Betreiberin oder Betreiber der Website. Wer eine Vorlage kauft, ein Abo abschliesst oder eine Agentur beauftragt, bleibt verantwortlich für das, was auf seiner Seite steht.
Bei den Strafbestimmungen wird es noch deutlicher. Art. 60 revDSG sieht eine Busse bis CHF 250'000 vor, und zwar gegen natürliche Personen, nicht gegen das Unternehmen. Deine GmbH schützt dich hier also nicht. Nur wenn eine Busse bis CHF 50'000 in Betracht kommt und es unverhältnismässig wäre, die verantwortliche Person zu ermitteln, kann stattdessen der Betrieb verurteilt werden (Art. 64 Abs. 2 revDSG). Das greift ohnehin nur bei Vorsatz und nur auf Strafantrag, ist im Alltag also kein akutes Risiko, aber es zeigt, wo die Verantwortung liegt.
Wahrscheinlicher als ein Strafverfahren ist der banale Fall: jemand verlangt Auskunft nach Art. 25, oder eine Kundin meldet sich beim EDÖB. Dann musst du erklären können, was auf deiner Seite passiert. „Das macht mein Anbieter" ist keine Auskunft.
Was du abgeben kannst, und was nicht
Abgeben kannst du die Arbeit. Das Formulieren, das Nachschlagen, welche Gesellschaft hinter einem Dienst steht, das Aktualisieren, wenn sich etwas ändert. Genau dafür gibt es Werkzeuge, und das ist sinnvoll: kaum jemand kennt die Staatenliste in Anhang 1 DSV auswendig.
Nicht abgeben kannst du zweierlei. Erstens die Verantwortung. Zweitens das Wissen darüber, was auf deiner eigenen Seite läuft, denn genau das kann dir niemand abnehmen. Ein Scanner sieht, was im Code deiner Seite steht: Analyse, Werbung, Bewertungen, eingebettete Inhalte. Er sieht nicht, wer deine Zahlungen abwickelt, wer deine Pakete verschickt, mit welchem Werkzeug du deinen Newsletter versendest und wo deine Buchhaltung liegt. Diese Dienste bearbeiten Personendaten, hinterlassen aber keine Spur im Seitencode.
In meiner eigenen Erhebung über 206 Schweizer Websites liefen 93 auf einem System, dessen Betreiber von aussen unsichtbar ist. Kein automatischer Dienst hätte den gefunden. Nur der Betreiber weiss, wo seine Seite liegt.
Die zwei Fragen, die du einem Anbieter stellen solltest
Was passiert mit meiner Erklärung, wenn ich kündige? Manche Lösungen binden den Text per Skript in deine Seite ein. Das ist bequem, hat aber eine Kehrseite: hörst du auf zu zahlen, verschwindet die Erklärung von deiner Website. Andere geben dir Text zum Kopieren, der dann dir gehört. Beides kann richtig sein, aber du solltest wissen, welches Modell du kaufst.
Woher kommen die Angaben zu den einzelnen Diensten? Nach Art. 19 Abs. 4 revDSG musst du angeben, in welchen Staat Personendaten gehen und auf welcher Grundlage. Dafür zählt, wer die Daten als Vertragspartnerin erhält, und das ist bei vielen Diensten nicht die Firma, die im Namen steckt. Für Nutzerinnen und Nutzer in der Schweiz ist bei Google beispielsweise Google Ireland Limited in Dublin die Vertragspartnerin, nicht Google LLC in den USA. Eine Erklärung, die überall pauschal die Konzernmutter nennt, ist an dieser Stelle ungenau.
Was „ich verstehe es" praktisch heisst
Du musst kein Jurist werden. Es reicht, wenn du drei Dinge über deine eigene Erklärung sagen kannst:
- Welche Dienste laufen auf meiner Seite? Inklusive derer, die du einmal installiert und wieder vergessen hast. Restcode von deinstallierten Apps läuft überraschend oft weiter.
- Wohin gehen die Daten? Bleibt etwas in der Schweiz, geht etwas in die EU, geht etwas in die USA oder weiter.
- Worauf stützt sich die Bekanntgabe? Angemessener Schutz nach Anhang 1 DSV, Standardvertragsklauseln, oder das Swiss-US Data Privacy Framework.
Wenn du diese drei Fragen beantworten kannst, hast du die Verantwortung, die ohnehin bei dir liegt, auch inhaltlich in der Hand. Wenn nicht, hast du ein Dokument, aber keine Übersicht.
Und wenn ich schon eine Erklärung habe?
Dann lohnt sich der Blick, ob sie noch zu deiner Seite passt. Erklärungen veralten nicht durch Zeitablauf, sondern durch Veränderung: eine neue App, ein neues Zahlungsmittel, ein Werkzeug, das jemand zum Testen eingebaut und nie entfernt hat.
Der Scan zeigt dir in fünfzehn Sekunden, welche Dienste im Code deiner Seite laufen und ob deine Erklärung sie nennt. Er kostet nichts und braucht keine Anmeldung.