Das neue Datenschutzgesetz der Schweiz und unser Angebot dazu

Das revidierte Datenschutzgesetz (DSG) hat das Gesetz von 1992 abgelöst. Es gilt zusammen mit der Datenschutzverordnung (DSV) ab dem 1. September 2023, ohne Übergangsfrist und unabhängig von der Firmengrösse. Wer eine Website, einen Shop oder eine Plattform betreibt, bearbeitet Personendaten und ist damit betroffen.

Was das revidierte DSG verlangt

Die Revision hat das Gesetz näher an die europäische Datenschutz-Grundverordnung gebracht, aber nicht deckungsgleich gemacht. Die Punkte mit der grössten Wirkung auf digitale Angebote:

• Nur natürliche Personen sind geschützt. Daten über eine AG oder GmbH fallen nicht mehr unter das DSG. Juristische Personen können sich nicht mehr darauf berufen.
• Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen (Art. 7): Systeme sind technisch und organisatorisch so zu bauen, dass sie die Grundsätze einhalten. Die Voreinstellung ist die datensparsame Variante, nicht die maximale Erhebung.
• Ausdrückliche Einwilligung nur dort, wo sie nötig ist (Art. 6 Abs. 7): verlangt wird sie für besonders schützenswerte Personendaten und für Profiling mit hohem Risiko. Nicht jede Bearbeitung braucht ein Häkchen. Sie muss aber erkennbar, verhältnismässig und zweckgebunden sein.
• Verzeichnis der Bearbeitungstätigkeiten (Art. 12): Verantwortliche und Auftragsbearbeiter führen je ein Verzeichnis. Für Unternehmen mit weniger als 250 Mitarbeitenden und geringem Risiko sieht der Bundesrat Ausnahmen vor.
• Meldepflicht bei Verletzungen der Datensicherheit (Art. 24): «so rasch als möglich» an den EDÖB, sobald ein hohes Risiko für die betroffenen Personen besteht.
• Auskunftsrecht (Art. 25): Jede Person kann erfahren, welche Daten über sie bearbeitet werden. Die Auskunft ist kostenlos und wird in der Regel innert 30 Tagen erteilt.
• Datenschutzberatung bleibt freiwillig (Art. 10): Private Verantwortliche können eine Datenschutzberaterin oder einen Datenschutzberater ernennen, müssen aber nicht. Eine Vertretung in der Schweiz ist dagegen Pflicht für Verantwortliche mit Sitz im Ausland, wenn sie unter die Voraussetzungen von Art. 14 fallen.

Der vollständige Gesetzestext steht als SR 235.1 auf Fedlex.

Was bei Verstössen droht

Die Bussen reichen bis CHF 250'000 (Art. 60 ff.), und sie treffen private Personen, also die verantwortlichen Menschen, nicht in erster Linie die Firma. Verfolgt wird auf Antrag. Kommt eine Busse von höchstens CHF 50'000 in Betracht und wäre die Ermittlung der strafbaren Person unverhältnismässig aufwendig, kann die Behörde stattdessen den Geschäftsbetrieb büssen (Art. 64 Abs. 2).

Neben dem Strafrecht steht das Verwaltungsrecht: Der EDÖB kann verfügen, dass eine Bearbeitung angepasst, unterbrochen oder abgebrochen wird, und die Löschung oder Vernichtung von Personendaten anordnen (Art. 51). Für ein laufendes Geschäft ist das in der Regel einschneidender als die Busse.

Wie du am besten vorgehst

Ein guter Start ist eine Bestandsaufnahme: Welche Systeme bearbeiten Personendaten, welche Daten sind das, woher kommen sie, wer hat Zugriff, wie lange werden sie aufbewahrt. Daraus folgt eine Lückenanalyse und daraus die Massnahmenliste. Das lohnt sich auch dann, wenn bereits eine Analyse zur DSGVO existiert: das DSG weicht in mehreren Punkten ab, unter anderem beim Verhältnis von Einwilligung und Rechtfertigung, bei den Sanktionen und beim Umgang mit Daten juristischer Personen.

Diese Punkte gehören auf die Liste:

• Datenschutzerklärung und Informationspflicht bei der Beschaffung
• ein Ablauf für Auskunfts- und Löschbegehren, der die 30 Tage einhält
• Verträge mit Auftragsbearbeitern, inklusive Unterauftragnehmer
• Verzeichnis der Bearbeitungstätigkeiten
• Meldeprozess für Verletzungen der Datensicherheit
• Bekanntgabe ins Ausland: Zielstaat und Garantien dokumentieren
• Schulung der Mitarbeitenden: der grösste Teil der Vorfälle passiert im Alltag, nicht im Code

Betroffen ist in jedem Fall die Website. Beim Besuch hinterlassen Nutzerinnen und Nutzer Daten, und für nicht notwendige Cookies und Tracking braucht es eine dokumentierte Einwilligung oder mindestens eine funktionierende Widerspruchsmöglichkeit.

Was wir für die Website übernehmen

Wir setzen die Anforderungen dort um, wo sie technisch sichtbar werden: im Frontend, im Tracking und im Betrieb. Der Umfang:

• Unterstützung bei Datenschutzerklärung und Impressum
• Integration von Cookiebot, angepasst an das Corporate Design
• tägliche automatisierte Kontrolle der Datenschutzfunktionen mit Ghostinspector
• regelmässige Auswertung der Cookiebot-Daten
• jährliche Revision der Datenschutzsituation samt Review-Meeting

Cookiebot: Einwilligung erfassen und belegen

Cookiebot scannt die Website auf Cookies und Tracker, ordnet sie Kategorien zu und blendet das Banner ein, über das Besucherinnen und Besucher entscheiden. Wichtiger als das Banner ist das Protokoll dahinter: Es hält fest, wer wann in was eingewilligt hat. Ohne diesen Nachweis ist eine Einwilligung im Streitfall wenig wert.

Ghostinspector: täglicher Test statt Stichprobe

Ein Consent-Banner ist kein Zustand, sondern Software: Ein Deployment, ein neues Tag im Tag Manager oder ein eingebettetes Video können dafür sorgen, dass plötzlich vor der Einwilligung geladen wird. Ghostinspector fährt die relevanten Abläufe automatisiert durch und meldet, wenn eine Datenschutzfunktion nicht mehr greift. Dieselben Tests finden nebenbei ganz normale Fehler im Bestellprozess oder im Formular.

Einmal aufräumen reicht nicht

Das DSG lässt sich nicht einmalig abhaken. Es ändern sich Tools, Einbindungen und Rechtsprechung, und jede davon kann eine Website vom konformen in den nicht konformen Zustand kippen. Genau deshalb hängt an unserem Angebot ein laufender Test und ein jährlicher Review statt nur ein Projekt.

Wenn du wissen willst, wo deine Website heute steht: Nimm mit uns Kontakt auf, wir schauen uns den Ist-Zustand an und sagen dir, was zu tun ist.