Das neue Datenschutzgesetz (nDSG), welches am 1. September 2023 in der Schweiz in Kraft trat, bringt wesentliche Änderungen für den Datenschutz mit sich. Es zielt darauf ab, den Schutz persönlicher Daten im Einklang mit technologischen Entwicklungen und internationalen Standards zu verbessern. Das Gesetz umfasst neben dem revidierten DSG auch die neuen Bestimmungen der Datenschutzverordnung (DSV) und der Verordnung über Datenschutzzertifizierungen (VDSZ). Zu den wichtigsten Neuerungen gehören die Stärkung der Transparenz bei der Datenerfassung, die Erhöhung der Selbstbestimmung über persönliche Daten, die Einführung von Datenschutzberatungen und -zertifizierungen sowie die Anpassung an internationale Datenschutzstandards wie die EU-DSGVO. Diese Anpassungen sollen auch die Anerkennung der Schweiz durch die EU als Land mit einem angemessenen Datenschutzniveau sichern, was für die internationale Datenübermittlung und die Wettbewerbsfähigkeit der Schweizer Wirtschaft wichtig ist.
Weitere Informationen dazu findest du hier: neues Datenschutzrecht
Nun aber zu Themen, die die Reibungspunkte zwischen Datenschutz und Marketing mit sich bringt.
Ist der Cookie Banner (meist unten an einer Webseite haftend) in der Schweiz Pflicht?
In der Schweiz ist die Verwendung eines Cookie-Banners auf Websites nicht gesetzlich vorgeschrieben. Das neue Datenschutzgesetz (nDSG), hat kein Obligatorium für Cookie-Banner eingeführt. Schweizer Websites müssen daher keine Cookie-Banner verwenden, um die Zustimmung der Nutzer zur Verwendung von Cookies einzuholen. Es braucht in der Schweiz also keinen Banner, solange nicht EU-Recht anwendbar wird (aufgrund einer Ausrichtung der Website auf Endkunden in der EU).
Was muss in der Datenschutzerklärung auf der Website erwähnt sein?
In der Schweiz muss eine Datenschutzerklärung auf der Website bestimmte Informationen enthalten, um den Anforderungen des Datenschutzgesetzes (DSG) gerecht zu werden. Hier eine Zusammenfassung der wesentlichen Punkte, die berücksichtigt werden sollten:
- Verantwortliche Person oder Unternehmen: Es muss klar angegeben werden, wer für die Datenverarbeitung verantwortlich ist, einschliesslich der Identität und Kontaktdaten.
- Art der gesammelten Daten: Die Art der personenbezogenen Daten, die gesammelt werden, sollte spezifiziert werden, z. B. Name, Kontaktinformationen, usw.
- Zweck der Datensammlung: Der Zweck, für den die Daten gesammelt werden, muss klar definiert sein, z. B. zur Erfüllung von Kundenverträgen, Sicherstellung des Funktionierens der Website, etc.
- Datenempfänger: Falls zutreffend, sollte angegeben werden, wer nebst dem Unternehmen die erhobenen Personendaten erhält, z. B. Subunternehmen und Dienstleister.
- Datenspeicherung und -übertragung: Informationen darüber, wie, wo und wie lange die Daten gespeichert werden und ob Daten ins Ausland übertragen werden.
- Cookies und Tracking-Technologien: Die Verwendung von Cookies und anderen Tracking-Technologien sollte erklärt werden, einschliesslich Informationen darüber, wie Nutzer ihre Einwilligung verwalten und Cookies ablehnen können.
- SSL/TLS-Verschlüsselung: Falls die Website eine SSL- oder TLS-Verschlüsselung verwendet, kann dies erwähnt werden, um das Vertrauen in die Sicherheit der Datenübertragung zu erhöhen.
- Rechte der betroffenen Personen: Die Rechte der betroffenen Personen, wie z. B. das Recht auf Auskunft, Berichtigung und Löschung ihrer Daten, sollten klar dargestellt werden.
- Kontaktinformationen für Datenschutzanfragen: Eine Kontaktadresse sollte angegeben werden, über die Fragen zur Datenbearbeitung gestellt werden können und Datenschutzrechte geltend gemacht werden können.
Es ist wichtig, dass die Datenschutzerklärung regelmässig überprüft und bei Bedarf aktualisiert wird, um sicherzustellen, dass sie stets aktuell, vollständig und korrekt ist. Zudem wird empfohlen, die Datenschutzerklärung zielgruppengerecht zu gestalten und sicherzustellen, dass sie auf der Website leicht zugänglich ist.
Weitere Informationen zum Thema und Vorlagen: Infos und Eidgenössischer Datenschutz- und Öffentlichkeitsarbeitbeauftragter
Was ändert sich beim Newsletter-Versand in der Schweiz?
In der Schweiz hat sich in Bezug auf den Versand von Newslettern und die damit verbundenen rechtlichen Anforderungen grundsätzlich nichts geändert, obwohl viele Unternehmen aufgrund der Datenschutzgrundverordnung (DSGVO) der EU und der ständigen Weiterentwicklung der Technologie besorgt sind. Die Zustellung von elektronischen Werbe-E-Mails und Newslettern ist nur zulässig, wenn eine ausdrückliche Einwilligung der betroffenen Person vorliegt oder wenn ein Auftraggeberverhältnis zur betroffenen Person besteht und die E-Mail-Adresse im Zuge dieses Verhältnisses erhalten wurde. Bestehende Einwilligungen müssen grundsätzlich nicht neu eingeholt werden, allerdings ist der Absender dafür verantwortlich, das Vorliegen einer Einwilligung nachweisen zu können.
Um Datenschutzprobleme beim Newsletter-Versand zu vermeiden, sollten Unternehmen sicherstellen, dass ihre Newsletter den Anforderungen des schweizerischen Datenschutz- und Fernmeldegesetzes entsprechen. Dabei ist es wichtig, dass die Kunden transparent über die Verwendung ihrer Daten informiert werden und selbst entscheiden können, welche ihrer persönlichen Daten sie anvertrauen möchten.
Beim Versand von Newslettern sind einige rechtliche Vorschriften zu beachten, um sicherzustellen, dass die Nachrichten nicht als Spam eingestuft werden oder gegen den Datenschutz verstossen. Neben der Einholung einer expliziten Einwilligung durch ein Double-Opt-In-Verfahren ist es auch notwendig, dass jeder Newsletter einen deutlichen Hinweis auf die Abmeldemöglichkeit enthält, sodass die Einwilligung jederzeit widerrufen werden kann. Es ist auch wichtig, die Transparenz bei der Datenbearbeitung zu gewährleisten und zu prüfen, ob die Bearbeitung der Daten zum Zweck des Versandes eines Newsletters zulässig ist.
Weitere Informationen findest du hier.
Ist die Verwendung von Google Analytics ohne Einwilligung erlaubt?
Das neue Datenschutzgesetz (nDSG) in der Schweiz übernimmt nicht die EU-Richtlinie für Cookie-Banner. Gemäss Art. 7 Abs. 3 nDSG muss der Verantwortliche durch geeignete Voreinstellungen sicherstellen, dass die Bearbeitung der Personendaten auf das für den Verwendungszweck nötige Mindestmass beschränkt ist, es sei denn, die betroffene Person bestimmt etwas anderes.
Obwohl die DSGVO ein europäisches Regelwerk ist, hat sie auch Einfluss auf Physiotherapie Praxen in der Schweiz, insbesondere wenn diese das Verhalten von Personen im Europäischen Wirtschaftsraum beobachten. In solchen Fällen müssen Schweizer Unternehmen bestimmte Pflichten erfüllen, wie beispielsweise die Einholung der Einwilligung der Person, deren Daten verarbeitet werden, und die Garantie von «Privacy by design» und «Privacy by default».
Die rechtliche Lage bezüglich Datenschutz für die Nutzung von Google Analytics in der Schweiz ist momentan also noch nicht eindeutig geklärt. Für eine konkrete Anwendung von Google Analytics in der Schweiz bedeutet dies, dass Webseitenbetreiber sorgfältig prüfen sollten, wie Google Analytics konfiguriert ist und ob Massnahmen erforderlich sind, um den datenschutzrechtlichen Anforderungen gerecht zu werden. Die Verwendung von Google Analytics sollte auf jeden Fall in der Datenschutzerklärung der Webseite vermerkt werden.
Quelle: KMU-Portal, Bund
