Neues Datenschutzrecht: Auswirkungen auf Schweizer Agenturen und Webmaster

Ein Gastbeitrag von Rechtsanwalt Martin Steiger, Datenschutzpartner AG / Steiger Legal AG.

Am 1. September 2023 tritt in der Schweiz das neue Datenschutzrecht in Kraft. Bist du als Agentur oder Webmaster:in tätig? Dann musst auch du dich mit dem neuen Datenschutzrecht befassen. Deine Kund:innen zählen auf deine Unterstützung!

Mit dem neuen Datenschutzgesetz (nDSG) und seinen Verordnungen soll das Datenschutzrecht in der Schweiz kein Papiertiger mehr sein. Wer Pflichten gemäss dem neuen Datenschutzrecht nicht einhält, riskiert unter anderem persönliche Bussen bis zu 250’000 Franken und eine Intervention des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

Wer eine Website betreibt oder Website-Betreiber:innen unterstützt, bearbeitet immer auch Personendaten. In der Folge müssen auch Agenturen und Webmaster:innen das neue Datenschutzrecht für sich und ihre Kund:innen umsetzen. Wenn du dich bereits um die Einhaltung des geltenden Datenschutzrechts oder der europäischen Datenschutz-Grundverordnung (DSGVO) bemüht hast, wird dir im neuen DSG vieles bekannt vorkommen.

Zuerst: Eigene Umsetzung als Agentur oder Webmaster:in

Für dich als Agentur oder Webmaster:in ist naheliegend, dass du in einem ersten Schritt sicherstellst, für das neue Datenschutzrecht bereit zu sein. Wirf einen Blick auf das neue Datenschutzgesetz mit seinen 74 Artikeln!

Im Vordergrund steht, dass du dir nach aussen keine Blösse gibst und das Risiko für eine Busse reduzierst. Dafür solltest du anhand der nachfolgenden fünf Fragen deinen Handlungsbedarf prüfen.

1. Ist ein Daten-Inventar vorhanden?

Welche Daten über welche Personen bearbeitest du wofür, wie und wo?

Ohne Daten-Inventar ist es kaum möglich, das neue Datenschutzrecht einzuhalten. Als Agentur oder Webmaster:in ist für dich das sogenannte Verzeichnis der Bearbeitungstätigkeiten normalerweise freiwillig. Wichtig ist aber, dass ein Daten-Inventar vorhanden ist, sei es als Excel-Tabelle, Mindmap, Notiz oder mit einem Online-Tool.

2. Ist dein Outsourcing abgesichert?

Hast du deine Nutzung von Drittdiensten jeweils mit einem Auftragsverarbeitungsvertrag (AVV) abgesichert?

Fliessen Daten in unsichere Drittstaaten wie die USA auf Grundlage zusätzlicher Absicherungen, insbesondere mit Standarddatenschutzklauseln?

Die Nutzung von Diensten aus den USA bleibt datenschutzrechtlich heikel, ist aber für die meisten Agenturen und Webmaster:innen unverzichtbar. Erfreulicherweise stellen etablierte Anbieter den notwendigen Auftragsverarbeitungsvertrag zur Verfügung und ermöglichen mit Standarddatenschutzklauseln einen halbwegs abgesicherten Daten-Export.

Wenn du eine europäische oder gar schweizerische Alternative nutzt, kannst du dein Risiko reduzieren. In vielen Fällen wird aber nur ein amerikanischer Dienst in Frage kommen.

Der Auftragsverarbeitungsvertrag heisst auf Englisch meistens Data Processing Agreement (DPA). Die deutsche Bezeichnung Auftragsdatenverarbeitungsvertrag (ADV) ist nicht falsch, aber veraltet. Die Standarddatenschutzklauseln werden auf Englisch als Standard Contractual Clauses (SCC) bezeichnet.

Einige Beispiele für Auftragsverarbeitungsverträge:

• • HubSpot Data Processing Agreement
  • Data Processing Addendum von Mailchimp
  • Zoom Global Data Processing Addendum

Bei diesen Beispielen sind, wie bei den meisten Diensten, die Standarddatenschutzklauseln über die Allgemeinen Geschäftsbedingungen (AGB) oder den AVV automatisch integriert.

Ein Outsourcing ist auch ein Webhosting wie beispielsweise bei cyon. Deinen AVV bzw. ADV mit cyon kannst du direkt in deinem my.cyon abschliessen.

3. Sorgst du für genügend Transparenz?

Informierst du die betroffenen Personen mit einer aktuellen und vollständigen Datenschutzerklärung?

Gemäss dem geltenden Datenschutzgesetz müssen die betroffenen Personen, zum Beispiel Website-Besucher:innen, die Bearbeitung ihrer Daten erkennen können. Dafür wird heute üblicherweise eine Website-Datenschutzerklärung veröffentlicht.

Mit dem neuen Datenschutzgesetz genügt allein die Erkennbarkeit nicht mehr, sondern es besteht eine ausdrückliche Informationspflicht über die Bearbeitung von Personendaten. Am einfachsten ist es, eine allgemeine Datenschutzerklärung zu erstellen und auf der Website zu veröffentlichen.

Die Datenschutzerklärung solltest du auf einer eigenen Webseite veröffentlichen und auf der ganzen Website im Footer unter einem Stichwort wie «Datenschutz», «Datenschutzerklärung» oder «Datenschutzhinweise» verlinken. Bezeichnungen wie «Datenschutzbedingungen» oder «Datenschutzrichtlinien» solltest du vermeiden.Du möchtest nicht, dass deine Datenschutzerklärung mit verbindlichen Allgemeinen Geschäftsbedingungen (AGB) verwechselt wird. Eine Datenschutzerklärung dient der Information und ist kein Vertrag.

4. Hast du die Datensicherheit im Griff?

Kennst du deine technischen und organisatorischen Massnahmen (TOM)?

Die beste Datenschutzerklärung und der beste Auftragsverarbeitungsvertrag nützen dir nichts, wenn deine Daten oder – noch schlimmer – die Daten deiner Kund:innen unbefugten Dritten zugänglich werden. Datensicherheit ist anspruchsvoll, wie zahlreiche Datenpannen auch bei grossen Unternehmen zeigen. So waren bei einer grossen schweizerischen Kreditkartenherausgeberin während Monaten viele Kreditkartenabrechnungen im Internet frei zugänglich. Einige Wochen zuvor verschickte das Unternehmen zudem eine Datenauskunft an die falsche Person.

Die Datensicherheit muss deshalb mit angemessenen und geeigneten technischen und organisatorischen Massnahmen (TOM) gewährleistet werden. Vermutlich hast du bereits TOM, ohne es zu wissen! In diesem Fall solltest du deine TOM dokumentieren.

Gängige TOM sind beispielsweise eine regelmässige Datensicherung (mit funktionierender Wiederherstellung!), ein wirksamer Passwortschutz (mit Zwei-Faktor-Authentisierung, 2FA), die Protokollierung von Website-Zugriffen und die vollständige Verschlüsselung von Datenträgern oder Geräten.

5. Bist du auf Anfragen von betroffenen Personen vorbereitet?

Kannst du bei Bedarf Auskunft erteilen oder Daten löschen?

Betroffene Personen können sich jederzeit bei dir melden und Auskunft darüber verlangen, welche Daten du über sie bearbeitest. Die erste Frist für eine Antwort beträgt 30 Tage. Es kann aber auch sein, dass eine betroffene Person die Löschung ihrer Daten verlangt.

In einem solchen Fall musst du oder eine andere zuständige Person rechtzeitig und richtig reagieren. Stammt die Anfrage von einer berechtigten und identifizierten Person? Welche Daten müssen herausgegeben oder vernichtet werden?

Wenn dir diese Fragen bekannt vorkommen, erinnerst du dich allenfalls an meinen früheren Beitrag «Neues Datenschutzgesetz: Diese 5 Schritte müssen Website-Betreiber:innen umsetzen, um 2022 bereit zu sein» von 2021.

Für die Vertiefung lohnt es sich, diesen Beitrag nochmals zu lesen. Abgesehen davon, dass sich das neue Datenschutzrecht bis am 1. September 2023 verzögert, ist der Beitrag immer noch hilfreich.

Bei dsat.ch findest du übrigens zahlreiche kostenlose Muster für datenschutzrechtliche Texte.

Danach: Unterstützung für Kund:innen als Agentur oder Webmaster:in

Deine Kund:innen müssen das neue Datenschutzrecht ebenfalls umsetzen und zählen häufig auf deine Unterstützung.

Wichtig ist für deine Kund:innen insbesondere, dass du ihnen spätestens auf Nachfrage erklären kannst, welche Daten über welche Personen im Rahmen ihrer Website wofür, wie und wo bearbeitet werden. Diese Angaben benötigen deine Kund:innen für ihr eigenes Daten-Inventar.

Diese Angaben benötigen deine Kund:innen aber auch, wenn sie Anfragen von betroffenen Personen erhalten. Die gleichen Angaben benötigen deine Kund:innen ferner, damit sie eine aktuelle und vollständige Datenschutzerklärung erstellen können.

Auch wichtig ist, dass du deinen Kund:innen ermöglichst, ihr Outsourcing abzusichern. Wenn beispielsweise Google Ads für deine Kund:innen wichtig sind und sie Google Analytics verwenden, solltest du sie fragen, ob sie mit Google einen Auftragsverarbeitungsvertrag abgeschlossen haben und ob sie schon die Möglichkeiten von Google Analytics 4 nutzen.

Wenn du eine Website gestaltest, solltest du von Anfang an vorsehen, dass es eine einzelne Webseite für die Datenschutzerklärung gibt und dass eine Verlinkung im Footer der gesamten Website möglich ist. Datenschutzerklärung und Impressum sollten nicht vermischt werden.

Genauso solltest du von Anfang an auf die Datensicherheit achten. Auch bei einer Website kann 2FA für den Login eingesetzt werden und für den Server-Zugriff ist ein SSH-Key anstelle eines Passwortes die bessere Wahl.

Wenn du Plugins in Websites einbaust, solltest du sicherstellen, dass sie von deinen Kund:innen datenschutzkonform genutzt werden können. Ein Fokus auf Datensparsamkeit ist hilfreich, zum Beispiel bei der Spam-Bekämpfung: Muss es wirklich Google reCAPTCHA sein oder funktioniert eine Alternative wie Antispam Bee?

Ist Google Analytics erforderlich oder kommt eine Alternative wie Matomo, selbst gehostet oder über einen Anbieter wie Friendly Analytics, in Frage?

Allenfalls bietest du deinen Kund:innen selbst Outsourcing an, zum Beispiel für ein Website-Hosting oder wenn du sie bei Werbung auf Social Media-Plattformen unterstützt. In diesem Fall hilfst du dir und deinen Kund:innen, wenn du einen eigenen Auftragsverarbeitungsvertrag (AVV) vorlegen kannst. So wirst Du nicht gezwungen, die unterschiedlichen AVV von einzelnen Kund:innen zu akzeptieren.

Schliesslich unterliegen viele deiner Kund:innen mindestens teilweise der Datenschutz-Grundverordnung (DSGVO) und sonstigem europäischem Recht. Entspricht ein allfälliges Cookie-Banner noch der heutigen Rechtslage? Wird die Datenschutzerklärung häufig genug, sicherlich zwei Mal im Jahr, aktualisiert?

Wichtig ist allerdings, dass die datenschutzrechtliche Verantwortung bei deinen Kund:innen bleibt. Du kannst und sollst sie unterstützen, aber du musst ihnen diese Verantwortung nicht abnehmen. Du solltest deshalb deinen Kund:innen in deinem eigenen Interesse immer klar kommunizieren, wo die Grenzen deiner rechtlichen Fachkompetenz liegen.

Möchten deine Kund:innen ein nerviges Cookie-Banner einsetzen, obwohl es in der Schweiz dafür auch in Zukunft keine Pflicht gibt? Das liegt in der Verantwortung deiner Kund:innen!

In jedem Fall: Datenschutz-Compliance benötigt Ausdauer!

Die Einhaltung von Datenschutzrecht, die Datenschutz-Compliance, ist nicht einmal erledigt, sondern ein Prozess. Du und deine Kund:innen müssen sich regelmässig um ihre Datenschutz-Compliance kümmern. Ausdauer ist erforderlich!

Eine einfache Möglichkeit ist, sich alle paar Monate einige Stunden im Kalender zu blockieren. In dieser Zeit kann man beispielsweise das Daten-Inventar, die Datenschutzerklärung und die TOM auf Aktualität und Vollständigkeit prüfen. Anpassungs- und Verbesserungsmöglichkeiten gibt es eigentlich immer. Und ansonsten geniesst man unverhoffte Freizeit oder nutzt die gewonnene Zeit, um für Kund:innen zu arbeiten.

Hinweis: Der vorliegende Beitrag kann nur allgemeine Hinweise zu einem Einstieg in die Thematik geben. Für Abklärungen im Einzelfall, bei Unklarheiten und im Zweifelsfall empfiehlt sich die gezielte Beratung durch eine erfahrene und qualifizierte Fachperson wie beispielsweise einen Rechtsanwalt.

*) Beim Link handelt es sich um einen Partnerlink. Schliesst du einen Kauf bei Datenschutzpartner ab, erhält cyon eine kleine Provision, ohne dass dir zusätzliche Kosten entstehen. Im Gegenteil: Durch die Nutzung des Gutscheincodes profitierst du sogar von 10% Rabatt im ersten Jahr.

Titelbild: Lianhao Qu/Unsplash