Datenschutz-Konformität von Webflow-Websites unter dem Swiss-U.S. Data Privacy Framework

Einleitung

In der heutigen digitalen Landschaft sind Datenschutz und Datensicherheit zu zentralen Themen für Unternehmen geworden, die in der Schweiz und in den USA tätig sind. Das revidierte Datenschutzgesetz (revDSG) hat strengere Vorgaben für den Umgang mit Personendaten eingeführt und verlangt von Unternehmen, die Konformität sicherzustellen, um das Vertrauen der Nutzer:innen zu erhalten und Bussen zu vermeiden.

Sich durch die Komplexität der revDSG-Konformität zu navigieren, kann anspruchsvoll sein – besonders für Website-Betreiber:innen und Unternehmen, die auf US-basierte Tools und Dienste setzen.

Die Herausforderung transatlantischer Datenübermittlungen

Das Thema der Datenübermittlung zwischen der Schweiz und den USA rückte in den Fokus, als Bedenken über die Angemessenheit der US-Datenschutzstandards im Vergleich zu den Schweizer Anforderungen aufkamen. Mit der Ungültigerklärung des EU-U.S. Privacy Shield stellten sich auch Fragen zur Anwendbarkeit ähnlicher Rahmenwerke für die Schweiz.

Das liess Schweizer Website-Betreiber:innen und Unternehmen in einer rechtlichen Grauzone zurück, da die Übermittlung von Personendaten an US-basierte Firmen nach Schweizer Recht potenziell problematisch wurde. Der Bedarf an einem klaren und robusten Rahmen, der Datenübermittlungen ermöglicht und gleichzeitig die Privatsphäre schützt, war offensichtlich.

Das Swiss-U.S. Data Privacy Framework

Nach umfangreichen Gesprächen und bilateralen Verhandlungen führten die Schweizer und US-Regierungen im September 2024 das Swiss-U.S. Data Privacy Framework ein. Dieser Rahmen schafft eine rechtliche Grundlage für die Übermittlung von Personendaten aus der Schweiz in die USA unter definierten Bedingungen und ist auf das revidierte revDSG abgestimmt.

Zentrale Merkmale des Swiss-U.S. Data Privacy Framework

Das Swiss-U.S. Data Privacy Framework etabliert robuste Datenschutzstandards für US-Unternehmen, die Schweizer Personendaten verarbeiten. Zu den wichtigsten Bestimmungen gehören:

• Zertifizierung von US-Unternehmen: US-Unternehmen können über ein Selbstzertifizierungsverfahren am Rahmen teilnehmen, das vom U.S. Department of Commerce verwaltet wird. Zertifizierte Unternehmen werden auf der offiziellen Framework-Website aufgeführt, was Transparenz und Rechenschaftspflicht gewährleistet.
• Jährliche Rezertifizierung: Zertifizierte Unternehmen müssen ihre Zertifizierung jährlich erneuern, um die fortlaufende Einhaltung der Anforderungen des Rahmens sicherzustellen.
• Rechte der betroffenen Personen: Der Rahmen wahrt die Rechte der betroffenen Schweizer Personen, einschliesslich Auskunft, Berichtigung und Löschung ihrer Daten, und stellt wirksame Mechanismen bereit, um im US-Rechtssystem Rechtsmittel einzulegen.
• Einschränkungen beim Zugriff durch US-Behörden: Beschränkungen beim Zugriff von US-Behörden auf Personendaten stellen sicher, dass solche Zugriffe notwendig, verhältnismässig und mit den Privatsphäre-Rechten der Einzelnen ausgewogen sind.

Auswirkungen auf Webflow-Websites

Webflow, eine beliebte Plattform für die Website-Entwicklung, war von diesen Entwicklungen direkt betroffen. Mit der Einführung des Swiss-U.S. Data Privacy Framework haben Website-Betreiber:innen, die Webflow nutzen, nun einen klareren Weg zur Konformität.

Webflows Konformität mit dem Swiss-U.S. Data Privacy Framework

Webflow hat sich proaktiv mit dem Rahmen in Einklang gebracht und ist seit September 2024 zertifiziert. Diese Zertifizierung gibt die Gewissheit, dass Webflow die notwendigen Datenschutzstandards erfüllt, sodass Schweizer Unternehmen die Plattform ohne zusätzliche rechtliche Unsicherheiten nutzen können.

Wichtige Punkte für Webflow-Nutzer:innen

Auch wenn das Swiss-U.S. Data Privacy Framework Klarheit schafft, müssen Schweizer Website-Betreiber:innen weiterhin gewisse Pflichten erfüllen:

1. Auftragsverarbeitungsvertrag (AVV): Unterzeichne Webflows Data Privacy Addendum, um die Verantwortlichkeiten beider Parteien bei der Verarbeitung von Personendaten klar zu definieren.
2. Aktualisiere deine Datenschutzerklärung: Führe Webflow als deinen Hosting-Anbieter in deiner Datenschutzerklärung auf, um Transparenz über die Datenverarbeitung zu wahren.
3. Implementiere ein Cookie-Consent-Tool: Nutze ein Tool, das optionale Dienste und Cookies blockiert, bis die Nutzer:innen ausdrücklich zustimmen – so stellst du die Einhaltung der revDSG-Anforderungen sicher.
4. Binde Schriften lokal ein: Vermeide Drittanbieter-Schriftdienste wie Google Fonts, indem du Schriften lokal hostest oder direkt in dein Webflow-Projekt hochlädst.
5. Schliesse weitere AVV ab: Wenn deine Dienste die Verarbeitung von Personendaten im Auftrag von Kund:innen umfassen, stelle sicher, dass passende Verträge die gegenseitigen Verantwortlichkeiten regeln.
6. Setze auf kontinuierliche Datenschutzmassnahmen: Folge den Grundsätzen des revDSG, indem du robuste technische und organisatorische Schutzmassnahmen für Personendaten umsetzt.

Fazit

Das Swiss-U.S. Data Privacy Framework bietet eine dringend benötigte Lösung für Unternehmen, die das revDSG einhalten und gleichzeitig US-basierte Tools und Dienste wie Webflow nutzen möchten. Die Zertifizierung unter dem Rahmen stellt sicher, dass die Datenschutzstandards erfüllt sind, sodass Schweizer Unternehmen die Möglichkeiten von Webflow mit Zuversicht nutzen können.

Website-Betreiber:innen müssen jedoch ebenfalls ihren Pflichten nachkommen – dazu gehören das Unterzeichnen von Auftragsverarbeitungsverträgen, das Aktualisieren der Datenschutzerklärung und das Implementieren von Cookie-Consent-Lösungen. Indem Unternehmen die revDSG-Konformität unter dem neuen Rahmen umsetzen, stärken sie das Vertrauen ihrer Nutzer:innen und schützen Personendaten bei transatlantischen Datenübermittlungen.

‍

::: Disclaimer

Dieses Dokument dient ausschliesslich zu Informationszwecken und stellt keine Rechtsberatung dar. Ich bemühe mich, korrekte und aktuelle Informationen bereitzustellen, übernehme jedoch keinerlei Zusicherung oder Gewähr – weder ausdrücklich noch stillschweigend – für die Vollständigkeit, Richtigkeit, Zuverlässigkeit, Eignung oder Verfügbarkeit der in diesem Dokument enthaltenen Informationen. Jegliches Vertrauen, das du in solche Informationen setzt, erfolgt daher strikt auf eigenes Risiko.

Dieses Dokument begründet kein Mandatsverhältnis, und nichts in diesem Dokument ist als Rechtsberatung oder Rechtsgutachten zu konkreten Sachverhalten oder Umständen auszulegen.

:::