Kurz gesagt: Ja, du brauchst eine. Das revDSG unterscheidet nicht nach Firmengrösse. Sobald deine Website Personendaten bearbeitet, und das tut sie schon mit den Server-Logfiles, gilt die Informationspflicht nach Art. 19. Ein Bearbeitungsverzeichnis brauchst du dagegen in den meisten Fällen nicht.
Was für dich anders ist als für einen Konzern
Weniger, aber nicht nichts. Deine Erklärung ist kürzer, weil weniger läuft. Sie darf nicht deshalb fehlen.
Kein Datenschutzberater nötig. Das revDSG kennt keine Pflicht, eine Datenschutzberaterin zu benennen. Sie ist freiwillig (Art. 10).
Kein Bearbeitungsverzeichnis, meistens. Unternehmen mit weniger als 250 Mitarbeitenden sind davon weitgehend ausgenommen, solange die Bearbeitung kein hohes Risiko birgt (Art. 12 Abs. 5 revDSG mit der Verordnung dazu). Wer besonders schützenswerte Daten in grossem Umfang bearbeitet, fällt nicht darunter. Für eine gewöhnliche Firmenwebsite mit Kontaktformular ist das kein Thema.
Aber dein Name steht drauf. Verantwortlich ist bei einer Einzelfirma die Inhaberin oder der Inhaber persönlich, mit Namen und Adresse. Ein Postfach genügt nicht, und ein Kontaktformular ersetzt die E-Mail-Adresse nicht.
Was auf einer typischen Einzelfirma-Website läuft
Aus meiner Erhebung über 206 Schweizer KMU-Websites, im Schnitt 2.4 erkannte Fremddienste pro Seite:
- Der Hoster. Immer. Siehe Hosting in der Erklärung.
- Schriftarten von Google, auf 37% der Seiten, meist ungewollt über das Theme.
- Eine Statistik, auf 37% Google Analytics.
- Ein Kontaktformular, oft mit Spamschutz von Google (10%).
- Eine Karte auf der Kontaktseite (5%).
Dazu das, was kein Scanner sieht: Terminbuchung, Newsletter, Buchhaltung, die E-Mail beim Provider.
Was du dir sparen kannst
- DSGVO-Ballast. Wenn du dich nicht gezielt an Kundschaft in der EU richtest, brauchst du keine Artikel-6-Rechtsgrundlagen und keinen EU-Vertreter. Eine deutsche Vorlage schleppt beides mit.
- Ein Cookie-Banner um jeden Preis. Es braucht eines für einwilligungsbedürftige Dienste. Läuft auf deiner Seite keine Analyse und keine Werbung, brauchst du auch kein Banner, siehe Cookie-Banner-Pflicht.
- AGB. Für eine reine Informationsseite ohne Verkauf sind sie kein Muss.
Was das Gesetz verlangt
Das revidierte Datenschutzgesetz (revDSG) verlangt in Art. 19, dass du bei der Beschaffung von Personendaten angemessen informierst: wer verantwortlich ist, zu welchem Zweck du bearbeitest und wer die Daten sonst noch zu sehen bekommt. Geht etwas ins Ausland, kommt nach Art. 19 Abs. 4 der Staat dazu und die Grundlage dafür.
Empfänger sind nicht nur die grossen Namen. Auch dein Hosting-Anbieter ist einer, ebenso das Terminwerkzeug, der Newsletter-Versand und die Treuhandstelle, die deine Buchhaltung macht. Das Gesetz lässt zu, sie als Kategorien zu nennen statt einzeln, aber weglassen darfst du sie nicht.
Bussen bis CHF 250'000 sieht Art. 60 revDSG vor, allerdings nur bei Vorsatz, nur auf Strafantrag und gegen die verantwortliche natürliche Person statt gegen die Firma. In der Praxis ist das selten der Anlass. Häufiger ist eine Anfrage: jemand will wissen, welche Daten du über ihn hast, oder eine Kundin fragt, warum ihre Adresse bei einem Anbieter in den USA liegt. Wer dann nichts vorzuweisen hat, steht schlecht da, und zwar vor der Kundschaft, nicht vor einer Behörde.