Ist eine Datenschutzerklärung in der Schweiz Pflicht?
Eine Datenschutzerklärung ist in der Schweiz immer dann nötig, wenn du Personendaten beschaffst und betroffene Personen darüber informieren musst. Das ist bei fast jeder geschäftlichen Website der Fall, etwa wenn Kontaktformulare, Newsletter-Anmeldungen, Webanalyse, Cookies, Bewerbungsformulare, Kundenkonten oder Online-Shops eingesetzt werden.
Das Datenschutzgesetz verlangt, dass der Verantwortliche die betroffene Person angemessen über die Beschaffung von Personendaten informiert (Art. 19 Abs. 1 DSG). Verantwortlich ist die Person oder das Unternehmen, das über Zweck und Mittel der Datenbearbeitung entscheidet (Art. 5 lit. j DSG). Eine Datenschutzerklärung ist daher kein rein formales Dokument, sondern die praktische Umsetzung dieser Informationspflicht.
Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 lit. a DSG). Dazu gehören nicht nur Name, Adresse oder E-Mail-Adresse, sondern je nach Situation auch IP-Adressen, Kundenhistorien, Bestelldaten, Bewerbungsunterlagen oder Tracking-Informationen. Das Schweizer Datenschutzrecht schützt natürliche Personen, über die Personendaten bearbeitet werden (Art. 1 DSG).
Wichtig ist auch die Form. Die Information muss präzise, transparent, verständlich und leicht zugänglich erfolgen (Art. 13 DSV). Für Websites bedeutet das in der Praxis, dass die Datenschutzerklärung gut auffindbar sein sollte, typischerweise über einen Link im Footer. Der EDÖB empfiehlt für Datenschutzerklärungen im Internet zudem, dass sie mit den tatsächlich vorgenommenen Datenbearbeitungen übereinstimmen und nicht aus allgemeinen Standardsätzen bestehen.
Was muss eine Datenschutzerklärung enthalten?
Eine Datenschutzerklärung in der Schweiz muss mindestens diejenigen Informationen enthalten, die betroffene Personen benötigen, um ihre Rechte auszuüben und die Datenbearbeitung zu verstehen. Das Gesetz nennt ausdrücklich die Identität und Kontaktdaten des Verantwortlichen, den Bearbeitungszweck sowie gegebenenfalls die Empfängerinnen und Empfänger oder Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden (Art. 19 Abs. 2 DSG).
In der Praxis sollte die Erklärung deshalb zuerst klar sagen, wer für die Datenbearbeitung verantwortlich ist. Dazu gehören Firma, Adresse und eine Kontaktmöglichkeit für Datenschutzanfragen. Danach sollte sie erklären, welche Datenkategorien bearbeitet werden. Bei einer einfachen Website können das etwa Zugriffsdaten, Kontaktangaben und Kommunikationsdaten sein. Bei einem Online-Shop kommen Bestelldaten, Zahlungsinformationen und Lieferangaben hinzu. Bei Bewerbungen können Lebenslauf, Zeugnisse und weitere Bewerbungsunterlagen betroffen sein.
Ebenso wichtig sind die Zwecke der Bearbeitung. Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden (Art. 6 Abs. 3 DSG). Eine gute Datenschutzerklärung erklärt deshalb nicht bloss, dass Daten bearbeitet werden, sondern weshalb. Typische Zwecke sind die Beantwortung von Anfragen, die Abwicklung von Verträgen, der Betrieb der Website, Marketing, Newsletter-Versand, Webanalyse, Sicherheit oder die Erfüllung gesetzlicher Pflichten.
Wenn Daten an Dritte weitergegeben werden, muss dies ebenfalls transparent beschrieben werden. Das betrifft zum Beispiel Hosting-Anbieter, IT-Dienstleister, Newsletter-Tools, Zahlungsdienstleister, CRM-Systeme, Buchhaltungssoftware oder Analyse- und Marketingdienste. Werden Personendaten durch Auftragsbearbeiter bearbeitet, bleibt der Verantwortliche in der Pflicht und muss sich insbesondere vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann (Art. 9 Abs. 2 DSG).
Auch die Aufbewahrung darf nicht vergessen werden. Personendaten müssen vernichtet oder anonymisiert werden, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind (Art. 6 Abs. 4 DSG). Eine Datenschutzerklärung muss nicht immer für jede Datenart eine exakte Tageszahl nennen. Sie sollte aber erklären, nach welchen Kriterien die Speicherdauer bestimmt wird, etwa Vertragsdauer, gesetzliche Aufbewahrungspflichten oder berechtigte Dokumentationsinteressen.
Was gilt bei Cookies, Tracking und Analyse-Tools?
Cookies und ähnliche Technologien sind einer der häufigsten Gründe, weshalb eine Datenschutzerklärung in der Schweiz nicht sauber umgesetzt ist. Viele Websites verwenden Analyse-Tools, Marketing-Pixel, eingebettete Videos, Karten, Social-Media-Plugins oder Consent-Management-Tools. Dabei können Personendaten bearbeitet und teilweise an Dritte weitergegeben werden.
Nach dem Fernmeldegesetz ist das Bearbeiten von Daten auf fremden Geräten durch fernmeldetechnische Übertragung erlaubt, wenn die Nutzerinnen und Nutzer über die Bearbeitung und ihren Zweck informiert werden und darauf hingewiesen werden, dass sie die Bearbeitung ablehnen können (Art. 45c lit. b FMG). Daneben bleiben die allgemeinen Regeln des Datenschutzgesetzes anwendbar, insbesondere die Informationspflicht nach Art. 19 DSG und die Grundsätze nach Art. 6 DSG.
Für die Datenschutzerklärung bedeutet das, dass Cookies und Tracking nicht pauschal mit einem Satz erledigt werden sollten. Es sollte verständlich erklärt werden, welche Arten von Technologien eingesetzt werden, wofür sie dienen und wie Nutzerinnen und Nutzer widersprechen oder ihre Einstellungen ändern können. Besonders heikel sind Tools, die Verhalten über mehrere Websites hinweg analysieren, Marketingprofile bilden oder Daten an Anbieter im Ausland übermitteln.
Eine Einwilligung ist nach dem DSG nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird (Art. 6 Abs. 6 DSG). Für besonders schützenswerte Personendaten, Profiling mit hohem Risiko durch private Personen oder Profiling durch Bundesorgane muss die Einwilligung ausdrücklich erfolgen (Art. 6 Abs. 7 DSG). Eine Datenschutzerklärung ersetzt deshalb nicht jedes Cookie-Banner und nicht jede Einwilligung. Sie bildet aber die Informationsgrundlage dafür.
Was muss bei Datenübermittlungen ins Ausland stehen?
Viele digitale Dienste speichern oder verarbeiten Daten nicht nur in der Schweiz. Hosting, Newsletter-Tools, Cloud-Systeme, Webanalyse, Support-Tools und Zahlungsanbieter können Daten ins Ausland übertragen. Sobald Personendaten ins Ausland bekanntgegeben werden, muss die betroffene Person auch über den Staat oder das internationale Organ informiert werden und gegebenenfalls über die Garantien oder Ausnahmen, auf die sich die Übermittlung stützt (Art. 19 Abs. 4 DSG).
Das Gesetz erlaubt Auslandbekanntgaben grundsätzlich, wenn der Bundesrat festgestellt hat, dass der betreffende Staat oder das internationale Organ einen angemessenen Datenschutz gewährleistet (Art. 16 Abs. 1 DSG). Fehlt ein solcher Angemessenheitsentscheid, braucht es geeignete Garantien, etwa Standarddatenschutzklauseln, die vom EDÖB genehmigt, ausgestellt oder anerkannt wurden (Art. 16 Abs. 2 lit. d DSG). In bestimmten Fällen kann eine Ausnahme greifen, etwa bei ausdrücklicher Einwilligung oder wenn die Bekanntgabe unmittelbar mit dem Abschluss oder der Abwicklung eines Vertrags zusammenhängt (Art. 17 Abs. 1 DSG).
Ein häufiger Fehler besteht darin, internationale Tools zu nennen, aber nicht zu erklären, wohin Daten fliessen können. Ebenso problematisch ist die pauschale Aussage, Daten würden «gegebenenfalls weltweit» bearbeitet, ohne konkrete Einordnung. Die Datenschutzerklärung sollte die wichtigsten Empfängerländer oder Ländergruppen nennen und verständlich erklären, wie der Datenschutz abgesichert wird.
Welche Rechte müssen betroffene Personen kennen?
Eine gute Datenschutzerklärung zeigt nicht nur, was ein Unternehmen mit Daten macht. Sie erklärt auch, welche Rechte betroffene Personen haben und wie sie diese ausüben können. Besonders wichtig ist das Auskunftsrecht. Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden (Art. 25 Abs. 1 DSG).
Die Auskunft muss diejenigen Informationen enthalten, die erforderlich sind, damit die betroffene Person ihre Rechte geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist (Art. 25 Abs. 2 DSG). Dazu gehören unter anderem die bearbeiteten Personendaten, der Bearbeitungszweck, die Aufbewahrungsdauer oder Kriterien dafür, Angaben zur Herkunft der Daten, Empfängerinnen und Empfänger sowie gegebenenfalls Informationen zu automatisierten Einzelentscheidungen (Art. 25 Abs. 2 DSG).
Wenn eine Entscheidung ausschliesslich auf automatisierter Bearbeitung beruht und für die betroffene Person eine Rechtsfolge hat oder sie erheblich beeinträchtigt, muss darüber informiert werden (Art. 21 Abs. 1 DSG). Auf Antrag kann die betroffene Person ihren Standpunkt darlegen und verlangen, dass eine natürliche Person die Entscheidung überprüft (Art. 21 Abs. 2 DSG). Das ist etwa bei vollautomatisierten Ablehnungen, Bonitätsentscheidungen oder bestimmten Plattformprozessen relevant.
Welche typischen Fehler solltest du vermeiden?
Der grösste Fehler ist eine Datenschutzerklärung, die nicht zur tatsächlichen Datenbearbeitung passt. Wer einen Generator verwendet und alle möglichen Tools erwähnt, obwohl sie gar nicht eingesetzt werden, schafft keine Transparenz. Umgekehrt ist es ebenso riskant, wenn wichtige Dienste fehlen, etwa ein Newsletter-Tool, ein Zahlungsanbieter oder ein Analyse-Dienst.
Ein weiterer Fehler ist unklare Sprache. Die Information muss verständlich sein (Art. 13 DSV). Sätze wie «Wir bearbeiten Daten im gesetzlich zulässigen Umfang» helfen den betroffenen Personen kaum. Besser ist eine konkrete Erklärung, welche Daten für welchen Zweck verwendet werden.
Auch veraltete Datenschutzerklärungen sind problematisch. Neue Tools, neue Marketingprozesse, ein Wechsel des Hosting-Anbieters oder neue Datenflüsse ins Ausland können dazu führen, dass die Erklärung angepasst werden muss. Datenschutz ist deshalb kein einmaliges Projekt, sondern Teil der laufenden Unternehmensorganisation.
Schliesslich sollte die Datenschutzerklärung nicht mit Einwilligungen verwechselt werden. Viele Datenbearbeitungen können auf Vertrag, gesetzliche Pflicht oder überwiegende Interessen gestützt sein (Art. 31 DSG). Wenn aber eine Einwilligung erforderlich ist, muss sie freiwillig, informiert und für bestimmte Bearbeitungen erfolgen (Art. 6 Abs. 6 DSG). Eine blosse Erwähnung in der Datenschutzerklärung genügt dann nicht automatisch.
Wie erstellst du eine gute Datenschutzerklärung?
Der beste Ausgangspunkt ist eine ehrliche Bestandsaufnahme. Du solltest zuerst klären, welche Personendaten du sammelst, über welche Kanäle sie eingehen, welche Tools du nutzt, wer Zugriff hat, wohin Daten übermittelt werden und wie lange sie aufbewahrt werden. Erst danach sollte der Text formuliert werden.
Eine gute Datenschutzerklärung in der Schweiz ist konkret, aber nicht unnötig kompliziert. Sie nennt die verantwortliche Stelle, beschreibt die Datenkategorien und Zwecke, erklärt Empfänger und Auftragsbearbeiter, informiert über Auslandübermittlungen, erwähnt Cookies und Tracking, beschreibt die Rechte der betroffenen Personen und nennt eine Kontaktadresse. Sie ist leicht auffindbar, aktuell und so geschrieben, dass normale Websitebesucherinnen und Kunden sie verstehen können.
Häufige Fragen zur Datenschutzerklärung in der Schweiz
Braucht jede Website eine Datenschutzerklärung?
Fast jede geschäftliche Website braucht eine Datenschutzerklärung, weil bereits Kontaktformulare, Newsletter, Webanalyse, Cookies oder Server-Logfiles Personendaten betreffen können. Entscheidend ist nicht die Grösse des Unternehmens, sondern ob Personendaten beschafft und bearbeitet werden (Art. 19 Abs. 1 DSG).
Reicht ein kostenloser Generator?
Ein Generator kann als Startpunkt helfen, ersetzt aber keine Prüfung der tatsächlichen Datenbearbeitungen. Die Datenschutzerklärung muss zu deiner Website, deinen Tools, deinen Datenflüssen und deinen Aufbewahrungsfristen passen. Allgemeine oder falsche Standardtexte schaffen keine echte Transparenz.
Muss die Datenschutzerklärung auf Deutsch sein?
Das Gesetz verlangt eine verständliche Information (Art. 13 DSV). Welche Sprache nötig ist, hängt deshalb von deinem Zielpublikum ab. Richtet sich deine Website an deutschsprachige Kundinnen und Kunden in der Schweiz, ist Deutsch naheliegend. Bei mehrsprachigen Angeboten kann eine mehrsprachige Datenschutzerklärung sinnvoll oder notwendig sein.
Muss ich die Datenschutzerklärung regelmässig aktualisieren?
Ja, sobald sich deine Datenbearbeitungen wesentlich ändern. Neue Tools, neue Empfänger, neue Tracking-Technologien, neue Auslandübermittlungen oder neue Zwecke können eine Anpassung erforderlich machen. Eine Datenschutzerklärung sollte deshalb regelmässig überprüft und nicht erst aktualisiert werden, wenn ein Problem entsteht.
