Kurz: Ja, für praktisch jede Webseite. Das Schweizer Datenschutzgesetz verlangt, dass du Leute informierst, sobald du Personendaten von ihnen beschaffst. Eine Webseite tut das fast immer, schon beim blossen Aufruf. Das Wort „Datenschutzerklärung" steht nicht im Gesetz, aber sie ist der übliche Weg, diese Pflicht zu erfüllen.
Woher die Pflicht kommt
Seit dem 1. September 2023 gilt das revidierte Datenschutzgesetz (revDSG). Art. 19 verlangt: Wer Personendaten beschafft, informiert die betroffene Person angemessen. Mindestens darüber, wer verantwortlich ist und wie man ihn erreicht, wozu die Daten bearbeitet werden, wer sie sonst noch bekommt und, wenn sie ins Ausland gehen, in welchen Staat.
Das gilt für Firmen, Einzelunternehmen und Vereine gleichermassen. Auf die Grösse kommt es nicht an. Was sich seit 2023 geändert hat, steht im Artikel zum neuen Datenschutzgesetz.
Warum fast jede Webseite betroffen ist
Personendaten sind alle Angaben, die sich einer Person zuordnen lassen. Dazu gehört auch die IP-Adresse. Schon der Aufruf deiner Seite hinterlässt sie in den Protokollen deines Hosters. Dazu kommt fast immer etwas mehr:
- ein Kontaktformular oder eine angezeigte E-Mail-Adresse, über die dir Leute schreiben,
- eine Statistik wie Google Analytics,
- eine eingebettete Google-Karte, ein YouTube-Video oder Schriften von Google,
- ein Newsletter, eine Terminbuchung, ein Shop.
Jedes davon ist eine Bearbeitung, über die du informieren musst. In meiner eigenen Erhebung über 206 Schweizer KMU-Websites hatten 65 von 206 gar keine lesbare Erklärung, also fast ein Drittel. Fehlen tut sie also oft, Pflicht ist sie trotzdem.
Für wen sie Pflicht ist
- Firmen und Einzelunternehmen: ja, sobald die Webseite Personendaten bearbeitet. Siehe auch Datenschutzerklärung für Einzelfirmen.
- Vereine: ja. Das Gesetz gilt für alle Privaten, auch für Vereine mit ehrenamtlichem Vorstand. Mehr dazu unter Datenschutzerklärung für Vereine.
- Private Webseiten: Ausgenommen ist nur, was eine Person ausschliesslich für den persönlichen Gebrauch bearbeitet (Art. 2 Abs. 2 lit. a revDSG). Eine Seite, die öffentlich im Netz steht und Besucher empfängt, fällt kaum mehr darunter. Spätestens mit Kontaktformular, Statistik oder Gästebuch brauchst auch du eine Erklärung.
Wann braucht eine Webseite keine?
Nur selten: wenn sie wirklich keine Personendaten bearbeitet. Das hiesse kein Formular, keine eingebetteten Dienste, keine Statistik und ein Hoster, der keine IP-Adressen protokolliert. Das ist in der Praxis kaum je der Fall, und wer es behaupten will, muss es auch wissen. Welche Dienste auf einer Seite laufen, ohne dass man sie bewusst eingebaut hat, steht unter Welche Dienste laufen auf meiner Website?.
Wo die Erklärung stehen muss
Das Gesetz nennt keinen Ort und keine Anzahl Klicks. Die Information muss aber „angemessen" sein, also leicht zu finden. Bewährt hat sich:
- ein Link «Datenschutz» in der Fusszeile, damit sie von jeder Seite aus erreichbar ist,
- zusätzlich ein Hinweis direkt beim Kontaktformular oder bei der Newsletter-Anmeldung, weil dort die Daten beschafft werden.
Wie du sie auf deiner Seite einbaust, zeigen die Anleitungen für WordPress, Wix, Jimdo und Co..
Was passiert, wenn sie fehlt
Bussen gibt es nur bei vorsätzlicher Verletzung der Informationspflicht, auf Antrag und gegen die verantwortliche Person, in der Regel nicht gegen die Firma. Die Firma selbst kann nur ausnahmsweise gebüsst werden, bis CHF 50'000, wenn die verantwortliche Person bloss mit unverhältnismässigem Aufwand zu ermitteln wäre (Art. 64 DSG). Häufiger ist eine Auskunftsanfrage oder eine Rückfrage aus der Kundschaft. Die vier Wege, auf denen eine fehlende oder falsche Erklärung wirklich Folgen hat, beschreibe ich unter Was passiert, wenn die Datenschutzerklärung fehlt oder nicht stimmt?.