revDSG für KMU-Websites: Die wichtigsten Pflichten kompakt erklärt

Das revidierte Datenschutzgesetz (revDSG) ist seit dem 1. September 2023 in Kraft und betrifft praktisch jede Firma, die eine Website mit Kontaktformular, Newsletter oder Tracking betreibt – unabhängig von der Unternehmensgrösse.

Die Kernpflichten im Überblick

Kernpflichten in aller Kürze: eine verständliche, aktuelle Datenschutzerklärung (Informationspflicht), klare vertragliche Regelungen mit Drittanbietern wie Hosting-, Analytics- oder E-Mail-Diensten (Auftragsbearbeitung), sowie – ab einer gewissen Grösse oder bei besonders schützenswerten Daten – ein Verzeichnis der Bearbeitungstätigkeiten. Bei einer Datenschutzverletzung mit hohem Risiko besteht zudem eine Meldepflicht an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDOEB).

Dazu kommen die Rechte der betroffenen Personen: jede Website-Besucherin und jeder Website-Besucher kann grundsätzlich Auskunft darüber verlangen, welche Daten über sie gespeichert sind, eine Berichtigung falscher Daten fordern oder deren Löschung verlangen. Wer diese Anfragen ignoriert oder zu langsam beantwortet, verstösst bereits gegen eine Kernpflicht des Gesetzes.

Was das für den Website-Alltag bedeutet

Für den Website-Alltag praktisch relevant: Kontaktformulare sollten nur die Daten abfragen, die für die Anfrage wirklich nötig sind (Zweckbindung), eine sinnvolle Aufbewahrungsdauer haben, und jedes Tracking- oder Cookie-Tool muss transparent kommuniziert werden. Schweizer Hosting ist dabei kein Muss, vereinfacht aber die Beurteilung von Datenflüssen ins Ausland spürbar.

Was bei Verstössen droht

Anders als die EU-DSGVO kennt das revDSG keine Bussen gegen Unternehmen direkt, sondern setzt bei vorsätzlichen Verstössen auf eine persönliche strafrechtliche Verantwortung der zuständigen Person – mit Bussen von bis zu CHF 250'000 in schweren Fällen. Das ist ein wichtiger Unterschied zur EU-Regelung, ändert aber nichts daran, dass die Grundpflichten ernst zu nehmen sind.

Internationale Datentransfers

Werden Daten an Dienstleister im Ausland übermittelt – etwa an einen E-Mail-Marketing-Anbieter oder ein Analytics-Tool mit Sitz ausserhalb der Schweiz –, verlangt das revDSG eine Prüfung, ob das Zielland ein angemessenes Datenschutzniveau bietet. Der Bundesrat führt dazu eine Liste anerkannter Staaten; die EU/der EWR gilt grundsätzlich als angemessen. Fehlt die Angemessenheit, braucht es zusätzliche vertragliche Garantien, etwa Standardvertragsklauseln.

Wann eine Folgenabschätzung nötig wird

Eine Datenschutz-Folgenabschätzung ist Pflicht, wenn eine geplante Bearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder Grundrechte der betroffenen Personen mit sich bringt – etwa bei systematischer Profilbildung, der Bearbeitung besonders schützenswerter Personendaten in grossem Umfang oder einer systematischen Überwachung öffentlich zugänglicher Bereiche. Für die meisten einfachen KMU-Websites mit Kontaktformular und Standard-Analytics ist das in der Regel nicht der Fall, eine kurze Prüfung zu Beginn eines Projekts schafft aber Klarheit.

Cookie-Banner richtig einsetzen

Das revDSG selbst schreibt kein bestimmtes Cookie-Banner-Design vor, verlangt aber Transparenz: Besucherinnen und Besucher müssen vor dem Setzen nicht notwendiger Cookies (z. B. für Marketing oder Tracking) informiert sein und in der Lage sein, dem zu widersprechen oder zuzustimmen. Technisch notwendige Cookies, etwa für den Warenkorb oder die Spracheinstellung, benötigen keine Einwilligung.

Meine Einordnung: Genau deshalb setze ich bewusst auf Hosting in der Schweiz und auf möglichst wenige externe Drittdienste. Diese Übersicht ersetzt keine individuelle Rechtsberatung – für die verbindliche Ausgestaltung der eigenen Datenschutzerklärung empfehle ich immer die Prüfung durch eine Fachperson.

Sandro Geissmann | Geissmann Webconsulting

Alle Beiträge sind allgemeine fachliche Einordnungen und ersetzen keine individuelle Rechts- oder Fachberatung.