Kurz: Wenn deine Webseite Personendaten bearbeitet, und das tut praktisch jede, gilt für dich das revidierte Schweizer Datenschutzgesetz (revDSG). Diese Checkliste zeigt dir verständlich, was du brauchst, ohne Juristendeutsch. Geh sie Punkt für Punkt durch.
Die Checkliste
- Datenschutzerklärung vorhanden und erreichbar. Sie muss auf der Seite verlinkt und leicht auffindbar sein, üblicherweise im Footer.
- Auf Schweizer Recht gebaut. Die Erklärung stützt sich auf das revDSG, nicht primär auf die DSGVO. DSGVO nur ergänzend, wenn du EU-Kunden bedienst.
- Verantwortliche Stelle genannt. Wer bearbeitet die Daten, mit Name, Adresse und Kontakt.
- Alle eingesetzten Dienste aufgeführt. Jedes Analyse-, Marketing- und Einbettungs-Tool namentlich, mit Zweck und Anbieter. Genau hier haben die meisten Seiten Lücken.
- Auslandbekanntgabe korrekt. Für Dienste, die Daten ins Ausland senden (v.a. USA), klar deklariert, mit aktueller Grundlage (Swiss-U.S. Data Privacy Framework bzw. Standardvertragsklauseln), kein Privacy Shield.
- Zwecke der Bearbeitung beschrieben. Wofür verwendest du die Daten.
- Rechte der betroffenen Personen. Auskunft, Berichtigung, Löschung, Datenherausgabe, Widerspruch, samt Kontaktweg.
- Aufbewahrung und Datensicherheit. Wie lange werden Daten aufbewahrt, welche Schutzmassnahmen bestehen.
- Impressum vorhanden. Für geschäftliche Seiten in der Schweiz Pflicht.
- Stand aktuell. Die Erklärung sollte nach dem 1. September 2023 (Inkrafttreten revDSG) erstellt oder aktualisiert sein.
Die drei häufigsten Lücken
In der Praxis scheitern die meisten Webseiten an denselben drei Punkten:
1. Fehlende Dienste. Die Erklärung nennt nicht die Tools, die tatsächlich laufen, oft weil sie eine allgemeine Vorlage ist.
2. Falscher Rechtsrahmen. Eine deutsche DSGVO-Vorlage, die nicht zur Schweiz passt.
3. Veraltete Auslandbekanntgabe. Kein Wort zu US-Transfers, oder Verweise auf das ungültige Privacy Shield. Was heute die richtige Grundlage ist, steht in Daten in die USA.
Was das revDSG von dir verlangt (in einem Satz)
Der Kern ist die Informationspflicht: Du musst transparent machen, dass und wie du Personendaten bearbeitest, an wen du sie weitergibst und, bei Auslandtransfers, wohin und auf welcher Grundlage. Die Datenschutzerklärung ist das Werkzeug dafür.
Was, wenn ein Punkt nicht stimmt?
Kein Grund zur Panik. Das revDSG kennt für vorsätzliche Verstösse Bussen gegen die verantwortliche Person, in der Praxis ist die Durchsetzung gegen kleine Webseiten zurückhaltend. Das eigentliche Argument ist ein anderes: eine Erklärung, die zu deiner Seite passt, ist in Minuten erledigt und danach ist das Thema vom Tisch. Wenn schon, dann richtig.