In der heutigen digitalen Landschaft ist die Konformität von Websites mit den Datenschutzvorschriften von höchster Bedeutung. Mit der Einführung der Datenschutz-Grundverordnung (DSGVO), des revidierten Schweizer Datenschutzgesetzes (revDSG) und des EU-U.S. Data Privacy Framework müssen Website-Betreiber:innen und Unternehmen sicherstellen, dass sie diese Vorschriften einhalten, um die Personendaten ihrer Nutzer:innen zu schützen.
Dieser Artikel bietet einen umfassenden Leitfaden, wie du Website-Konformität unter diesen Vorschriften erreichst und gleichzeitig eine starke Online-Präsenz wahrst.
Die Datenschutz-Grundverordnung (DSGVO) verstehen
Die DSGVO, die am 25. Mai 2018 in Kraft trat, zielt darauf ab, die Personendaten und die Privatsphäre von Einzelpersonen in der Europäischen Union (EU) zu schützen. Sie gilt für alle Unternehmen – unabhängig von ihrer physischen Präsenz –, die Personendaten von EU-Bürger:innen erheben und verarbeiten.
Um DSGVO-Konformität zu erreichen, müssen Website-Betreiber:innen mehrere wichtige Schritte unternehmen.
- Deine Datenschutzerklärung feinjustieren: Ein wesentlicher Aspekt der DSGVO-Konformität besteht darin, deine Datenschutzerklärung feinzujustieren. Sie sollte deine Praktiken zur Datenerhebung und -nutzung klar darlegen – einschliesslich Details zu den erhobenen Datenarten, den Zwecken, für die sie genutzt werden, und wie sie geschützt sind. Sie sollte auch Informationen über etwaige Dritte enthalten, mit denen die Daten geteilt werden könnten.
- Klare Einwilligung zur Nutzung von Cookies einholen: Unter der DSGVO gelten Cookies als Personendaten und erfordern die ausdrückliche Einwilligung der Nutzer:innen. Um konform zu sein, müssen Website-Betreiber:innen vor dem Setzen von Cookies und dem Verfolgen von Aktivitäten eine klare und spezifische Einwilligung einholen. Das gelingt über ein Cookie-Consent-Banner oder Pop-up, das Nutzer:innen erlaubt, die Einwilligung zu erteilen oder zu verweigern. Wichtig ist: Nutzer:innen müssen die Möglichkeit haben, Cookies ohne negative Konsequenzen abzulehnen.
- Konformität von Plugins sicherstellen: Viele Websites setzen auf Plugins, um Funktionalität und Nutzungserlebnis zu verbessern. Es ist jedoch entscheidend, sicherzustellen, dass diese Plugins DSGVO-konform sind. Überprüfe die von dir genutzten Plugins und beurteile, ob sie Nutzerdaten erheben und verarbeiten. Falls ja, stelle sicher, dass sie den Anforderungen der DSGVO entsprechen – etwa beim Einholen der Einwilligung und beim Schutz der Daten.
- Datenerhebung und -speicherung über Formularübermittlungen begrenzen: Formulare auf deiner Website können eine erhebliche Menge an Personendaten erheben. Um DSGVO-Konformität zu erreichen, ist es wichtig, die erhobenen Daten auf das für die Verarbeitung Notwendige zu beschränken. Stelle zudem sicher, dass du Mechanismen hast, um diese Daten sicher zu speichern und zu schützen, und sie nur so lange aufbewahrst, wie nötig.
- Mailinglisten bereinigen: Wenn deine Website eine Mailingliste umfasst, ist es essenziell, deine Abonnent:innen-Datenbank zu überprüfen und zu bereinigen, um DSGVO-Konformität sicherzustellen. Wenn du die Einwilligung von Abonnent:innen ohne ordentliche Dokumentation eingeholt oder gekaufte Listen ohne ausdrückliche Einwilligung verwendet hast, könntest du gegen die DSGVO verstossen. Entferne alle nicht konformen Einträge und stelle in deiner Kommunikation klare Abmeldelinks bereit.
Das revidierte Schweizer Datenschutzgesetz (revDSG) verstehen
Das revidierte Schweizer Datenschutzgesetz (revDSG) ist das Datenschutzgesetz der Schweiz, das das vorherige Gesetz von 1992 abgelöst hat. Das revDSG bringt die Schweizer Datenschutzgesetze mit der DSGVO in Einklang, um den fortlaufenden Fluss von Personendaten zwischen der Schweiz und der EU sicherzustellen. Website-Betreiber:innen, die in der Schweiz tätig sind, müssen das revDSG verstehen und einhalten.
Konformität mit dem revDSG
Um Konformität mit dem revDSG zu erreichen, müssen Website-Betreiber:innen sicherstellen, dass sie:
- eine ausdrückliche Einwilligung für die Verarbeitung besonders schützenswerter Personendaten einholen.
- eine Datenschutzerklärung haben, die Praktiken zur Datenerhebung und -nutzung darlegt.
- Personendaten schützen und ihre sichere Speicherung gewährleisten.
- Datenübermittlungen in Länder ohne angemessenen Schutz einschränken.
- die Untersuchungsbefugnisse des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einhalten.
- die möglichen Bussen und strafrechtlichen Sanktionen bei Nichteinhaltung kennen.
Übermittlung von Personendaten in Drittländer
Das revDSG erlaubt die Übermittlung von Personendaten aus der Schweiz in Drittländer, sofern diese ein angemessenes Datenschutzniveau bieten. Vor der Übermittlung von Daten müssen Website-Betreiber:innen sicherstellen, dass das Empfängerland über angemessene Schutzmassnahmen verfügt, etwa verbindliche Unternehmensregeln oder Standardvertragsklauseln.
Das Swiss-U.S. Data Privacy Framework
Die Schweizer Regierung steht derzeit in Gesprächen mit den USA, um ein Swiss-U.S. Data Privacy Framework einzurichten, ähnlich dem EU-U.S. Data Privacy Framework. Diese Gespräche zielen darauf ab, den Schutz von Personendaten sicherzustellen, die zwischen der Schweiz und den USA übermittelt werden. Während dieser Rahmen aufgebaut wird, bleibt die aktuelle Liste der von der Schweiz als angemessen eingestuften Länder unverändert.
Das EU-U.S. Data Privacy Framework
Das EU-U.S. Data Privacy Framework ist eine Vereinbarung zwischen der Europäischen Kommission und der US-Regierung, um einen Datenschutzrahmen für die Übermittlung von Personendaten zwischen der EU und den USA zu schaffen. Dieser Rahmen, allgemein bekannt als Privacy Shield 2.0, bietet eine rechtliche Grundlage für die Übermittlung von Personendaten an zertifizierte US-Unternehmen.
Selbstzertifizierung für US-Unternehmen
US-Unternehmen, die als sichere Empfänger von Personendaten aus der EU gelten möchten, müssen ein Selbstzertifizierungsverfahren beim U.S. Department of Commerce durchlaufen. Dieses Verfahren verlangt von Unternehmen, relevante Dokumentation einzureichen und die im Data Privacy Framework dargelegten Grundsätze einzuhalten.
Website-Konformität für Datenexporteur:innen
Für europäische Datenexporteur:innen, die Personendaten in die USA übermitteln möchten, ist es essenziell, zu überprüfen, ob das US-Empfängerunternehmen unter dem Data Privacy Framework zertifiziert ist. Das U.S. Department of Commerce führt eine Datenbank mit zertifizierten Unternehmen, die es Datenexporteur:innen erlaubt, die Konformität mit dem Rahmen sicherzustellen.
Fazit
Website-Konformität unter der DSGVO, dem revidierten Schweizer Datenschutzgesetz und dem EU-U.S. Data Privacy Framework zu erreichen, ist entscheidend, um Personendaten zu schützen und das Vertrauen der Nutzer:innen zu wahren.
Indem du Datenschutzerklärungen feinjustierst, klare Einwilligung für Cookies einholst, die Konformität von Plugins sicherstellst, die Datenerhebung begrenzt und Mailinglisten bereinigst, kannst du dein Engagement für den Datenschutz unter Beweis stellen. Zudem helfen dir das Verständnis der spezifischen Anforderungen jeder Vorschrift und das Verfolgen der Entwicklungen rund um das Swiss-U.S. Data Privacy Framework, fortlaufende Konformität sicherzustellen und die sichere Übermittlung von Personendaten zu ermöglichen.
::: Disclaimer
Dieses Dokument dient ausschliesslich zu Informationszwecken und stellt keine Rechtsberatung dar. Ich bemühe mich, korrekte und aktuelle Informationen bereitzustellen, übernehme jedoch keinerlei Zusicherung oder Gewähr – weder ausdrücklich noch stillschweigend – für die Vollständigkeit, Richtigkeit, Zuverlässigkeit, Eignung oder Verfügbarkeit der in diesem Dokument enthaltenen Informationen. Jegliches Vertrauen, das du in solche Informationen setzt, erfolgt daher strikt auf eigenes Risiko.
Dieses Dokument begründet kein Mandatsverhältnis, und nichts in diesem Dokument ist als Rechtsberatung oder Rechtsgutachten zu konkreten Sachverhalten oder Umständen auszulegen.
:::