Das Wichtigste in Kürze
- Drei Dinge gehören auf jede Schweizer Firmenwebsite: ein Impressum, eine Datenschutzerklärung, die dem seit September 2023 geltenden Datenschutzgesetz entspricht, und ein Cookie-Hinweis.
- Die häufigsten Fehler sind nicht die fehlenden Seiten. Es sind Google Fonts, die von Google geladen werden, Analytics ohne Hinweis, und Kontaktformulare, die Daten verschicken, von denen niemand spricht.
- Das ist praktische Orientierung von einem Webentwickler, keine Rechtsberatung. Bei allem Ungewöhnlichen fragen Sie eine Anwältin oder einen Anwalt.
Das Impressum
Das Schweizer Recht verlangt von allen, die online Waren oder Dienstleistungen anbieten, dass sie sich klar zu erkennen geben: Name, Adresse, eine Kontaktmöglichkeit. Die Regel stammt aus dem Gesetz gegen den unlauteren Wettbewerb und gilt im engen Sinn für Shops, aber praktisch jede Schweizer Firmenwebsite hat ein Impressum, und Besucher erwarten eines. Eine Website ohne wirkt, als hätte sie etwas zu verbergen.
Was hineingehört:
- Firmenname und Rechtsform (Einzelfirma, GmbH, AG) sowie der Name der verantwortlichen Person.
- Eine Postadresse, nicht nur ein Postfach.
- Eine E-Mail-Adresse, und eine Telefonnummer, wenn Sie eine für Kunden haben.
- Handelsregister- und MWST-Nummer, falls vorhanden.
Es gehört in den Footer jeder Seite.
Die Datenschutzerklärung nach nDSG
Das revidierte Schweizer Datenschutzgesetz, das nDSG, gilt seit dem 1. September 2023. Seine praktische Wirkung auf eine Website: Wenn Sie Personendaten bearbeiten, und ein Kontaktformular oder ein Analytics-Tool heisst, dass Sie das tun, müssen Sie den Besuchern sagen, was Sie erheben, wozu, wohin es geht und welche Rechte sie haben.
Eine Datenschutzerklärung für eine normale Firmenwebsite umfasst:
- Wer verantwortlich ist (Sie), mit Kontaktangaben.
- Welche Daten die Website erhebt: Formulareingaben, Serverlogs, Analytics, Newsletter-Anmeldungen.
- Welche Tools beteiligt sind und wo sie gehostet werden. Wenn Daten die Schweiz verlassen: in welches Land und auf welcher Grundlage.
- Wie lange Daten aufbewahrt werden.
- Die Rechte der Besucher: Auskunft, Berichtigung, Löschung.
Die Erklärung muss zur Website passen. Ein Generator liefert das Gerüst, aber jemand muss prüfen, ob jedes Tool auf der Website tatsächlich drinsteht. Diese Prüfung gehört bei mir zu jeder Website.
Cookies und die Banner-Frage
Das Schweizer Recht verlangt, dass Sie Besucher darüber informieren, dass die Website Cookies nutzt und dass sie diese im Browser ablehnen können. Es verlangt für sich allein nicht das Einwilligungsbanner, das Sie von EU-Websites kennen. Dieses Banner kommt aus EU-Regeln, und die gelten für Sie, wenn Sie gezielt Kunden in der EU ansprechen: Preise in Euro, Lieferung nach Deutschland, eine EU-Telefonnummer.
Für einen Schweizer Betrieb mit Schweizer Kunden reicht meist ein klarer Hinweis in der Datenschutzerklärung und eine kurze Cookie-Zeile, sofern die Website nicht einen Haufen Tracking-Skripte lädt. Je weniger Fremdskripte eine Website hat, desto einfacher wird das, und desto schneller ist sie. Das ist kein Zufall.
Die Fehler, die ich am häufigsten sehe
Google Fonts, die von Google geladen werden. Jeder Besuch schickt die IP-Adresse des Besuchers an Googles Server. Die Lösung ist, die Schriften auf dem eigenen Server zu hosten, was die Website obendrein schneller macht. Jede Website, die ich baue, macht das.
Analytics ohne Hinweis. Google Analytics ist im Einsatz, aber die Datenschutzerklärung sagt nichts dazu, oder nicht, dass Daten in die USA gehen. Entweder sauber ausweisen oder ein datenschutzfreundliches Tool mit Hosting in Europa nutzen, was ich für die meisten kleinen Websites empfehle.
Formulare, die mehr tun, als sie sagen. Ein Kontaktformular, das die Adresse zusätzlich in eine Newsletter-Liste einträgt oder eine Kopie an ein CRM in einem anderen Land schickt, ohne das zu sagen.
Eingebettete Karten und Videos. Eine Google-Maps- oder YouTube-Einbettung lädt Googles Skripte und Cookies auf Ihre Seite. Ein statisches Kartenbild mit Link, oder ein Video, das erst auf Klick lädt, vermeidet das.
Eine Datenschutzerklärung, die von einer anderen Website kopiert wurde. Sie nennt Tools, die Sie nicht nutzen, und verschweigt die, die Sie nutzen. Das ist schlimmer als keine, weil es schriftlich falsch ist.
Eine Checkliste für Ihre Website
- Impressum im Footer, vollständig und aktuell.
- Datenschutzerklärung, die jedes Tool nennt, das tatsächlich auf der Website läuft.
- Cookie-Hinweis, mit der Möglichkeit abzulehnen, wo eine Einwilligung nötig ist.
- Schriften lokal gehostet.
- Analytics entweder datenschutzfreundlich oder sauber ausgewiesen.
- Formulare, die sagen, was mit den Daten passiert, und sie verschlüsselt übertragen.
- SSL auf der ganzen Website, mit Weiterleitung der alten http-Adresse.
All das ist in jedem meiner Pakete enthalten, weil es ein schlechter Tausch für den Kunden wäre, es wegzulassen, um eine Stunde zu sparen.
Häufige Fragen
Brauche ich einen Datenschutzberater?
Als kleiner Betrieb in der Schweiz nicht. Grössere Unternehmen und solche, die in grossem Umfang besonders schützenswerte Daten bearbeiten, haben zusätzliche Pflichten, und da kommt der Anwalt ins Spiel.
Gilt die EU-DSGVO für meine Schweizer Website?
Wenn Sie Personen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten verfolgen, können Teile davon gelten. Eine deutschsprachige Website mit Schweizer Preisen und Lieferung in der Schweiz liegt in der Regel ausserhalb. Im Zweifel: annehmen, dass sie gilt, und die Website schlank halten.
Kann ich die Datenschutzerklärung selbst schreiben?
Entwerfen können Sie sie mit einem Generator. Lassen Sie sie von jemandem, der die Website kennt, gegen das prüfen, was die Website tatsächlich tut. Das ist der Teil, den Generatoren nicht können.
Welche Strafen drohen?
Das nDSG sieht bei vorsätzlicher Verletzung bestimmter Pflichten Bussen gegen die verantwortlichen Personen bis CHF 250'000 vor. In der Praxis ist das grössere Risiko für einen kleinen Betrieb eine Beschwerde oder ein verlorener Kunde. Die Grundlagen richtig zu machen, ist eine günstige Versicherung.
Zwanzig Minuten am Telefon, eine schriftliche Offerte innert zwei Arbeitstagen.