Bereit für revDSG?

Braucht deine Website einen Cookie-Banner? Vielleicht. Für die meisten KMUs reicht eine transparente, gut zugängliche, inhaltlich korrekte Datenschutzerklärung.

Worum gehts?

Ab 1. September 2023 gilt es. Ohne Übergangsphase und ohne Schonfrist. Das neue Bundesgesetz über den Datenschutz (revDSG), das im September 2020 vom Parlament verabschiedet wurde. Es ist die erste gesetzliche Anpassung des Datenschutzgesetzes in der Schweiz seit 1992 – also seit es das World Wide Web gibt.

Hilfe! Sind wir zu spät?

Jaein. Klar ist: Das Gesetz gilt für alle Schweizer Unternehmen, Stiftungen, Vereine und Bundesbehörden ab 1. September 2023. Trotzdem sind wir – und viele Fachleute – der Meinung, dass der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) sich nicht gleich auf die kleinen Fische stürzen, bzw. mit Kanonen auf Spatzen schiessen wird. Es ist also noch Zeit, dein Unternehmen und insbesondere deine Website in Sachen Datenschutz auf den neusten Stand zu bringen.

revDSG? – Das Wichtigste in Kürze

Warum ein neues Gesetz?

Internet, Smartphones, Online-Shopping oder Soziale Netzwerke – das alles gab es 1992 noch nicht. Der Datenschutz in diesen Gefilden war in vielen Fällen nicht oder unzureichend geregelt. Die EU hat bereits 2018 ein neues Datenschutzgesetz verabschiedet, das auch für viele international tätige Schweizer Unternehmen seither gilt. Nun zieht die Schweiz nach.

Was ändert sich?

Die wichtigsten Änderungen im neuen Schweizer Datenschutzgesetz betreffen folgende Punkte:

1. Nur noch die Daten natürlicher Personen sind betroffen, die von juristischen Personen nicht mehr.
2. Genetische und biometrische Daten werden in die Definition der besonders schützenswerten Daten aufgenommen.
3. Für Unternehmen mit mehr als 250 Mitarbeitenden oder mit besonders schützenswerten Daten (Arztpraxis, Anwaltskanzlei, etc.) gelten strengere Vorschriften. (z.B. Verzeichnis der Bearbeitungstätigkeiten, Datenschutz-Folgenabschätzung)
4. Die Grundsätze «Privacy by Design» (Datenschutz durch Technikgestaltung, Datenvermeidung) und «Privacy by Default» (Datenschutz durch Voreinstellung, Datensparsamkeit) werden eingeführt. Heisst: sämtliche Software, Hardware sowie die Dienstleistungen müssen so konfiguriert sein, dass die Daten geschützt sind und die Privatsphäre der Nutzer*innen gewahrt wird.
5. Die Informationspflicht wird ausgeweitet: Bei jeder Beschaffung von Personendaten – und nicht mehr nur von sogenannten besonders schützenswerten Daten – muss die betroffene Person vorgängig informiert werden (z.B. mittels Datenschutzerklärung).
6. Die Meldepflicht, wenn die Datensicherheit verletzt wurde. Meldungen sind zeitnah an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu richten.
7. Der Begriff Profiling (die automatisierte Bearbeitung personenbezogener Daten) wurde in das Gesetz aufgenommen. Profiling mit hohem Risiko ist in gewissen Fällen unzulässig und bedarf einer Datenschutz-Folgenabschätzung, allenfalls in Rücksprache mit dem EDÖB.
   
8. Bei vorsätzlicher Verletzung von Informations-, Auskunfts- und Mitwirkungspflichten durch verantwortliche Personen, können persönliche Bussen von bis zu CHF 250'000 ausgesprochen werden. Der EDÖB erstattet in diesen Fällen Anzeige bei der zuständigen Strafverfolgungsbehörde.
   

Unterschiede CH und EU in Bezug auf Datenverarbeitung

Übernimmt das neue Schweizer Datenschutzgesetz nun einfach die DSGVO der Europäischen Union? Nicht ganz. Es gibt einen wesentlichen Unterschied und vieles das ähnlich gehandhabt wird. In Bezug auf die Datenverarbeitung auf Websites gilt folgendes:

Fazit – Was heisst das für deine Website?

Braucht deine Website nun einen Cookie-Banner oder gar ein Consent-Management-Plugin? Das hängt von deinem Unternehmen ab.

Mit einer transparenten, gut zugänglichen, inhaltlich korrekten Datenschutzerklärung bist du als Schweizer KMU bereits gut gerüstet. Darin muss unter anderem festgehalten sein, welche Daten, wo, wofür und wie lange gespeichert werden. Willst du bei deinen User*innen eine ausdrückliche Einwilligung für das Speichern von Cookies einholen, kannst du das mit einem entsprechenden Banner tun, musst du aber nicht.

Wenn du im EU-Raum tätig bist und deine Website bereits für die DSGVO der Europäischen Union von 2018 fit gemacht hast, sollte ein Cookie-Banner oder Consent-Management-Plugin inkl. Datenschutzerklärung implementiert sein. Damit bist du auch revDSG-technisch auf der sicheren Seite.

Wenn du besonders schützenswerte Personendaten bearbeitest, einen Webshop betreibst oder mehr als 250 Mitarbeitende beschäftigst, raten wir dir, den Datenschutz auf deiner Website und überhaupt im ganzen Unternehmen mit einer Fachperson juristisch zu klären.

Unser Angebot

* Folgende Packages und Preise gelten für Craft CMS Websites. Andere Technologien unterstützen wir mit individuellen Lösungen und nach Aufwand.

Quellen und weiterführende Links:

https://www.kmu.admin.ch/kmu/d...
https://www.edoeb.admin.ch/edo...
https://www.netzwoche.ch/news/...
Lorenz P. Zwahlen, BPA Treuhand AG

Disclaimer:
Wir haben uns als Anbieter von Weblösungen und selbst Betroffene in die Materie vertieft und ein paar Erkenntnisse gewonnen, die wir gerne mit euch teilen. Dies ist aber in keinster Weise eine Rechtsberatung by Büro Haeberli. Alle Infos sind ohne Gewähr. Bei Unsicherheiten zum Datenschutz empfehlen wir euch, eine ausgewiesene juristische Fachperson beizuziehen.