Datenschutz-Konformität von Webflow-Webseiten unter dem Swiss-U.S. Data Privacy Framework

Einleitung

In der heutigen digitalen Landschaft sind Datenschutz und Datensicherheit zu zentralen Themen für Unternehmen geworden, die in der Schweiz und in den USA tätig sind. Das revidierte Datenschutzgesetz (revDSG) hat strengere Vorgaben für den Umgang mit Personendaten eingeführt und verlangt von Unternehmen, die Konformität sicherzustellen, um das Vertrauen der Nutzer:innen zu erhalten und Bussen zu vermeiden.

Sich durch die Komplexität der revDSG-Konformität zu navigieren, kann anspruchsvoll sein – besonders für Webseiten-Betreiber:innen und Unternehmen, die auf US-basierte Tools und Dienste setzen.

Die Herausforderung transatlantischer Datenübermittlungen

Das Thema der Datenübermittlung zwischen der Schweiz und den USA rückte in den Fokus, als Bedenken über die Angemessenheit der US-Datenschutzstandards im Vergleich zu den Schweizer Anforderungen aufkamen. Mit der Ungültigerklärung des EU-U.S. Privacy Shield stellten sich auch Fragen zur Anwendbarkeit ähnlicher Rahmenwerke für die Schweiz.

Das liess Schweizer Webseiten-Betreiber:innen und Unternehmen in einer rechtlichen Grauzone zurück, da die Übermittlung von Personendaten an US-basierte Firmen nach Schweizer Recht potenziell problematisch wurde. Der Bedarf an einem klaren und robusten Rahmen, der Datenübermittlungen ermöglicht und gleichzeitig die Privatsphäre schützt, war offensichtlich.

Das Swiss-U.S. Data Privacy Framework

Seit Juli 2023 können sich US-Unternehmen beim US-Handelsministerium unter dem Swiss-U.S. Data Privacy Framework zertifizieren. Der Bundesrat hat den Rahmen im August 2024 anerkannt, seit dem 15. September 2024 ist er in Kraft. Damit gibt es eine rechtliche Grundlage, um Personendaten aus der Schweiz unter definierten Bedingungen an zertifizierte US-Unternehmen zu übermitteln. Der Rahmen ist auf das revidierte Datenschutzgesetz (revDSG) abgestimmt.

Zentrale Merkmale des Swiss-U.S. Data Privacy Framework

Das Swiss-U.S. Data Privacy Framework etabliert robuste Datenschutzstandards für US-Unternehmen, die Schweizer Personendaten verarbeiten. Zu den wichtigsten Bestimmungen gehören:

• Zertifizierung von US-Unternehmen: US-Unternehmen können über ein Selbstzertifizierungsverfahren am Rahmen teilnehmen, das vom U.S. Department of Commerce verwaltet wird. Zertifizierte Unternehmen werden auf der offiziellen Framework-Webseite aufgeführt, was Transparenz und Rechenschaftspflicht gewährleistet.
• Jährliche Rezertifizierung: Zertifizierte Unternehmen müssen ihre Zertifizierung jährlich erneuern, um die fortlaufende Einhaltung der Anforderungen des Rahmens sicherzustellen.
• Rechte der betroffenen Personen: Der Rahmen wahrt die Rechte der betroffenen Schweizer Personen, einschliesslich Auskunft, Berichtigung und Löschung ihrer Daten, und stellt wirksame Mechanismen bereit, um im US-Rechtssystem Rechtsmittel einzulegen.
• Einschränkungen beim Zugriff durch US-Behörden: Beschränkungen beim Zugriff von US-Behörden auf Personendaten stellen sicher, dass solche Zugriffe notwendig, verhältnismässig und mit den Privatsphäre-Rechten der Einzelnen ausgewogen sind.

Auswirkungen auf Webflow-Webseiten

Webflow, eine beliebte Plattform für die Webseiten-Entwicklung, war von diesen Entwicklungen direkt betroffen. Mit der Einführung des Swiss-U.S. Data Privacy Framework haben Webseiten-Betreiber:innen, die Webflow nutzen, nun einen klareren Weg zur Konformität.

Webflow und das Swiss-U.S. Data Privacy Framework

Webflow ist beim US-Handelsministerium unter dem Swiss-U.S. Data Privacy Framework zertifiziert, das die Schweiz seit dem 15. September 2024 anerkennt. Damit dürfen Personendaten aus der Schweiz ohne zusätzliche Garantien an Webflow übermittelt werden. Für die Datenschutzerklärung, Cookies und Einwilligungen sowie Formulare bleibst du als Betreiber:in der Webseite aber selbst verantwortlich.

Wichtige Punkte für Webflow-Nutzer:innen

Auch wenn das Swiss-U.S. Data Privacy Framework Klarheit schafft, müssen Schweizer Webseiten-Betreiber:innen weiterhin gewisse Pflichten erfüllen:

1. Auftragsverarbeitungsvertrag (AVV): Unterzeichne Webflows Data Processing Addendum, um die Verantwortlichkeiten beider Parteien bei der Verarbeitung von Personendaten klar zu definieren.
2. Aktualisiere deine Datenschutzerklärung: Führe Webflow als deinen Hosting-Anbieter in deiner Datenschutzerklärung auf, um Transparenz über die Datenverarbeitung zu wahren.
3. Implementiere ein Cookie-Consent-Tool: Nutze ein Tool, das optionale Dienste und Cookies blockiert, bis die Nutzer:innen ausdrücklich zustimmen – so erfüllst du eine zentrale Anforderung des revDSG.
4. Binde Schriften lokal ein: Vermeide Drittanbieter-Schriftdienste wie Google Fonts, indem du Schriften lokal hostest oder direkt in dein Webflow-Projekt hochlädst.
5. Schliesse weitere AVV ab: Wenn deine Dienste die Verarbeitung von Personendaten im Auftrag von Kund:innen umfassen, stelle sicher, dass passende Verträge die gegenseitigen Verantwortlichkeiten regeln.
6. Setze auf kontinuierliche Datenschutzmassnahmen: Folge den Grundsätzen des revDSG, indem du robuste technische und organisatorische Schutzmassnahmen für Personendaten umsetzt.

Fazit

Das Swiss-U.S. Data Privacy Framework bietet eine dringend benötigte Lösung für Unternehmen, die das revDSG einhalten und gleichzeitig US-basierte Tools und Dienste wie Webflow nutzen möchten. Ist ein Anbieter wie Webflow darunter zertifiziert, dürfen Personendaten aus der Schweiz ohne zusätzliche Garantien an ihn übermittelt werden.

Webseiten-Betreiber:innen müssen jedoch ebenfalls ihren Pflichten nachkommen – dazu gehören das Unterzeichnen von Auftragsverarbeitungsverträgen, das Aktualisieren der Datenschutzerklärung und das Implementieren von Cookie-Consent-Lösungen. Indem Unternehmen die revDSG-Konformität unter dem neuen Rahmen umsetzen, stärken sie das Vertrauen ihrer Nutzer:innen und schützen Personendaten bei transatlantischen Datenübermittlungen.

‍

::: Disclaimer

Dieses Dokument dient ausschliesslich zu Informationszwecken und stellt keine Rechtsberatung dar. Ich bemühe mich, korrekte und aktuelle Informationen bereitzustellen, übernehme jedoch keinerlei Zusicherung oder Gewähr – weder ausdrücklich noch stillschweigend – für die Vollständigkeit, Richtigkeit, Zuverlässigkeit, Eignung oder Verfügbarkeit der in diesem Dokument enthaltenen Informationen. Jegliches Vertrauen, das du in solche Informationen setzt, erfolgt daher strikt auf eigenes Risiko.

Dieses Dokument begründet kein Mandatsverhältnis, und nichts in diesem Dokument ist als Rechtsberatung oder Rechtsgutachten zu konkreten Sachverhalten oder Umständen auszulegen.

:::