Datenschutz auf der Website: was das nDSG verlangt

Vorab: keine Rechtsberatung

Dieser Artikel gibt dir einen praktischen Überblick aus Sicht einer Agentur, die täglich Websites baut. Er ersetzt keine Rechtsberatung. Für deine konkrete Situation, besonders bei sensiblen Daten oder Kundschaft in der EU, lohnt sich eine Abklärung durch eine Fachperson.

Was das nDSG für Websites bedeutet

Das nDSG schützt Personendaten, also alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen. Auf einer Website fallen solche Daten schnell an: über Kontaktformulare, Newsletter-Anmeldungen, Bestellungen, aber auch über IP-Adressen, Cookies und eingebundene Dienste.

Kern des Gesetzes ist Transparenz. Wer Personendaten bearbeitet, muss offen informieren, welche Daten zu welchem Zweck bearbeitet werden, an wen sie gehen und in welche Länder. Zudem gilt das Prinzip, nur so viele Daten zu erheben wie nötig.

Das nDSG gilt für alle, die in der Schweiz Personendaten bearbeiten, unabhängig von der Grösse des Unternehmens. Für KMU unter 250 Mitarbeitenden gibt es zwar Erleichterungen, etwa beim Verzeichnis der Bearbeitungstätigkeiten, sofern keine besonders heiklen Daten im Spiel sind. Die Informationspflicht auf der Website gilt aber auch für kleine Firmen.

Die Datenschutzerklärung

Praktisch jede Website braucht eine Datenschutzerklärung. Sie muss leicht auffindbar sein, meist über einen Link in der Fusszeile, und in verständlicher Sprache erklären, was mit den Daten geschieht.

Eine Vorlage aus dem Internet ist ein Anfang, muss aber an deine Website angepasst werden. Sie sollte genau die Dienste nennen, die du tatsächlich einsetzt, und bei jeder Änderung an der Website aktualisiert werden.

• Wer verantwortlich ist, mit Kontaktangaben
• Welche Daten zu welchem Zweck bearbeitet werden
• Eingesetzte Dienste wie Hosting, Analyse, Newsletter, Karten oder Chatbot
• An wen Daten weitergegeben werden und in welche Länder
• Wie lange Daten aufbewahrt werden
• Welche Rechte Betroffene haben, etwa Auskunft und Löschung

Cookies, Tracking und eingebundene Dienste

Das nDSG kennt keine allgemeine Pflicht für ein Cookie-Banner, wie es oft aus der EU bekannt ist. Das Fernmeldegesetz verlangt aber, dass du über Cookies und ähnliche Techniken informierst und erklärst, wie man sie ablehnen kann. Richtet sich deine Website auch an Personen in der EU, kann die DSGVO mit strengeren Einwilligungsregeln gelten.

Dienste wie Google Analytics, eingebettete YouTube-Videos, Google Maps oder Schriften von externen Servern übertragen Daten an Dritte, teils ins Ausland. Prüfe, welche Dienste wirklich nötig sind, und erwähne sie in der Datenschutzerklärung. Datensparsame Alternativen wie lokal eingebundene Schriften oder eine Analyse ohne Cookies reduzieren den Aufwand.

Formulare, Newsletter und Datenübermittlung ins Ausland

Frage in Formularen nur ab, was du für die Bearbeitung wirklich brauchst. Die Übertragung muss verschlüsselt über HTTPS erfolgen. Beim Newsletter brauchst du eine klare Anmeldung, idealerweise mit Bestätigung per Mail, und eine einfache Abmeldemöglichkeit in jeder Ausgabe.

Werden Daten ins Ausland übermittelt, etwa an Cloud-Dienste, braucht es dort einen angemessenen Datenschutz oder vertragliche Garantien. Für viele europäische Länder ist das gegeben. Für die USA gibt es seit 2024 das Swiss-U.S. Data Privacy Framework für zertifizierte Unternehmen. Kläre bei deinen Anbietern, wo sie die Daten bearbeiten.

Impressum und weitere Pflichten

Wer online Waren oder Dienstleistungen anbietet, muss nach dem Gesetz gegen den unlauteren Wettbewerb klare Angaben zur Identität machen: Firmenname, Adresse und eine Kontaktmöglichkeit wie eine Mailadresse. Ein Impressum mit diesen Angaben ist deshalb für praktisch jede Firmenwebsite sinnvoll.

Kommt es zu einer Datenpanne mit hohem Risiko für Betroffene, muss sie dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten gemeldet werden. Bei vorsätzlichen Verstössen gegen bestimmte Pflichten drohen Bussen von bis zu CHF 250'000, die sich gegen die verantwortlichen Personen richten. Sorgfalt lohnt sich also.

Typische Schwachstellen auf KMU-Websites

Bei der Analyse bestehender Websites stossen wir immer wieder auf dieselben Punkte. Häufig ist die Datenschutzerklärung eine Vorlage, die nie angepasst wurde und Dienste nennt, die gar nicht im Einsatz sind, während tatsächlich genutzte Werkzeuge fehlen.

Ebenfalls verbreitet sind Schriften, Karten oder Videos, die beim Seitenaufruf ohne Hinweis Daten an Dritte übertragen. Oder Kontaktformulare, die Anfragen unverschlüsselt per Mail weiterleiten oder unnötig viele Angaben verlangen. Solche Punkte lassen sich meist mit wenig Aufwand beheben.

Ein dritter Bereich sind alte Plugins und fehlende Updates. Sicherheitslücken können dazu führen, dass Daten aus Formularen oder dem Shop in falsche Hände geraten. Regelmässige Wartung ist deshalb nicht nur eine technische, sondern auch eine datenschutzrechtliche Aufgabe.

• Datenschutzerklärung als ungeprüfte Vorlage
• Externe Dienste ohne Hinweis eingebunden
• Formulare mit zu vielen Pflichtfeldern
• Veraltete Plugins und fehlende Updates
• Kein Überblick, welche Daten wo gespeichert sind

Checkliste für deine Website

Bei neuen Websites setzen wir die technischen Grundlagen von Anfang an datenschutzfreundlich um, etwa mit lokal eingebundenen Schriften, verschlüsselten Formularen und sparsamen Diensten. Wenn du wissen willst, wie deine Website dasteht, frag uns im kostenlosen Erstgespräch oder über das Kontaktformular.

• Aktuelle, auf deine Website angepasste Datenschutzerklärung
• Vollständiges Impressum mit Firma, Adresse und Kontakt
• HTTPS auf allen Seiten
• Nur nötige Felder in Formularen
• Liste aller eingesetzten Dienste und ihrer Datenstandorte
• Information über Cookies und Möglichkeit zur Ablehnung
• Bei EU-Kundschaft zusätzlich die DSGVO prüfen