Wer braucht eine Datenschutzerklärung?
Kurze Antwort: praktisch jeder, der eine Website betreibt. Das nDSG verpflichtet alle natürlichen und juristischen Personen, die Personendaten verarbeiten, zur Transparenz gegenüber den betroffenen Personen. Eine Datenschutzerklärung ist das zentrale Instrument dieser Transparenzpflicht (Art. 19 nDSG).
Das gilt für:
- KMUs und Einzelunternehmen mit einer Unternehmenswebsite
- Freelancer mit Portfolio-Website
- Online-Shops und E-Commerce-Anbieter
- Vereine und NGOs mit Mitgliederbereich
- Behörden und öffentliche Institutionen
- Blogs, die Webanalyse einsetzen
Seit wann gilt die Pflicht?
Das revidierte nDSG ist am 1. September 2023 in Kraft getreten und hat das alte Datenschutzgesetz von 1992 vollständig abgelöst. Es war das grösste Update des Schweizer Datenschutzrechts seit über 30 Jahren und bringt die Schweizer Regelungen näher an die europäische DSGVO heran — jedoch mit einigen wichtigen Unterschieden.
Wenn Sie Ihre Website noch vor September 2023 erstellt haben und damals eine Datenschutzerklärung hatten: Diese muss wahrscheinlich überarbeitet werden, da das neue Recht zusätzliche Anforderungen stellt (Angabe von Rechtsgrundlagen, Speicherfristen, Bekanntgabe ins Ausland, etc.).
Was gilt als Verarbeitung von Personendaten?
Der Begriff ist weit gefasst. Als Personendaten gelten alle Informationen, die sich auf eine bestimmte oder bestimmbare Person beziehen. Auf einer typischen Website wird Folgendes als Datenverarbeitung gewertet:
- Webanalyse: Google Analytics, Matomo, Plausible — IP-Adressen werden erfasst
- Cookies: Session-Cookies, Tracking-Cookies, Präferenz-Cookies
- Kontaktformulare: Name, E-Mail, Telefon werden übermittelt
- Newsletter: Anmeldung via Mailchimp, Brevo oder ähnlichem
- E-Commerce: Bestellungen, Zahlungsabwicklung über Stripe/PayPal
- Eingebettete Inhalte: YouTube-Videos, Google Maps, Social-Media-Widgets
- CDN-Dienste: Google Fonts, die extern geladen werden
Was droht bei fehlender Datenschutzerklärung?
Das nDSG sieht Bussen von bis zu CHF 250'000 vor. Ein entscheidender Unterschied zur DSGVO: Die Bussen richten sich in der Schweiz gegen natürliche Personen — also den Geschäftsführer, den Inhaber oder den verantwortlichen Mitarbeiter — und nicht gegen das Unternehmen als juristische Person.
Das persönliche Haftungsrisiko ist damit erheblich. Hinzu kommen potenzielle Abmahnungen durch Mitbewerber sowie Reputationsschäden bei Kunden und Partnern.
Was muss die Datenschutzerklärung enthalten?
Das nDSG stellt klare Anforderungen. Eine vollständige Datenschutzerklärung muss mindestens enthalten:
- Identität und Kontaktdaten des Verantwortlichen
- Welche Personendaten zu welchem Zweck verarbeitet werden
- Die Rechtsgrundlage der Verarbeitung
- Empfänger oder Kategorien von Empfängern
- Bekanntgabe von Daten ins Ausland (inkl. Länder und Garantien)
- Speicherdauer oder Kriterien zur Festlegung
- Rechte der betroffenen Personen (Auskunft, Berichtigung, Löschung, etc.)
Jetzt Ihre Datenschutzerklärung erstellen
Statt stundenlang Templates anzupassen oder CHF 600+ beim Anwalt auszugeben: Unser Generator erstellt Ihre individuelle, nDSG-konforme Datenschutzerklärung in wenigen Minuten — für einmalig CHF 29.