Datenschutz auf dem neuesten Stand

Die Betroffenenrechte

Sie sind verpflichtet, die Betroffenen über ihre Rechte zu informieren. In Ihren Datenschutzbestimmungen müssen Sie auf folgende Rechte in Bezug auf die Bearbeitung von Personendaten hinweisen:

• Recht, Auskunft über die gesammelten Personendaten zu verlangen
• Recht, die eigenen Personendaten berichtigen zu lassen
• Recht, die eigenen Personendaten löschen zu lassen
• Recht, die Bearbeitung der eigenen Personendaten einschränken zu lassen
• Recht, eine erteilte Einwilligung zur Bearbeitung von Personendaten zu widerrufen
• Recht, die Herausgabe der Personendaten in einem gängigen, lesbaren Format zu verlangen
• Sie müssen den Betroffenen zudem zeigen, wie sie ihre Rechte wahrnehmen können und wen sie dafür kontaktieren müssen (beispielsweise via E-Mail oder Schreiben inkl. Kopie eines Identitätsausweises an eine angegebene E-Mail-Adresse respektive Postadresse).

Sie müssen die Betroffenen auch informieren über sogenannte automatisierte Einzelentscheide – beispielsweise die Analyse von CVs durch künstliche Intelligenz oder eine onlinebasierte Bonitätsprüfung – und darüber, was diese bedeuten. Wird ein solcher automatisierter Einzelentscheid mit Rechtsfolgen komplett von einer Maschine gefällt, hat die betroffene Person das Recht, darüber informiert zu werden, und kann verlangen, dass der Entscheid von einem Menschen überprüft wird.

Wenn es die Einwilligung braucht

Bei gewissen Datenbearbeitungen – beispielsweise bei der Nutzung der Daten für einen Newsletter – reicht es nicht, bloss darüber zu informieren. Sie müssen bei möglichen Neukunden vorgängig eine Einwilligung einholen. Die Einwilligung muss der oder die Betroffene – nachdem vorher transparent informiert wurde – aus freien Stücken und aktiv geben, zum Beispiel durch das Setzen eines Häkchens. Auch muss man die Einwilligung jederzeit widerrufen können und der Widerruf darf nicht mit Nachteilen verbunden sein.

Rasch auf Kundenanfragen reagieren

Sie müssen einen internen Prozess aufstellen, der die Beantwortung von Anfragen der Kunden oder anderer Betroffener regelt, damit Sie die Betroffenenrechte wahrnehmen können. Dazu brauchen Sie den Überblick über die Datenbearbeitungen in Ihrem Unternehmen. Wenn etwa eine Kundin ein Auskunftsgesuch stellt, muss klar sein, in welchen «Datentöpfen» die gesammelten Personendaten liegen, und es muss ein interner Prozess bestehen, damit Sie rasch auf diese Töpfe zugreifen können.

Einen Überblick über die Datentöpfe und Datenbearbeitungen in Ihrem Unternehmen gibt Ihnen Ihr Verzeichnis der Bearbeitungstätigkeiten. Das ermöglicht Ihnen, rasch Auskunft über die gesammelten Personendaten zu geben und diese wenn nötig auch zu berichtigen und zu löschen.

Vorgehen bei Anfrage auf Datenlöschung

Erläutern Sie Ihren Mitarbeitenden, wie sie reagieren sollen, wenn Kundinnen oder Dritte Anfragen zur Datenlöschung, zur Datenberichtigung etc. an Ihre Firma stellen.

Wichtig: Sie müssen innerhalb von 30 Tagen auf eine Anfrage oder einen Antrag antworten.

Sie und Ihre Mitarbeitenden können so vorgehen:

1. Prüfen Sie bei Erhalt eines Löschungsbegehrens, ob und welche Daten des oder der Betroffenen Sie in Ihrer Firma für welche Zwecke verarbeiten. 
2. Klären Sie anschliessend, für welche Datenverarbeitungen durch das Löschungsbegehren der Verarbeitungszweck weggefallen ist beziehungsweise welche Daten nicht mehr benötigt werden. Nur diese Daten sind zu löschen. Daten, die weiterhin einen rechtmässigen Verarbeitungszweck haben, brauchen Sie nicht zu löschen. 
3. Nennen Sie in Ihrem Antwortschreiben die Quellen, von denen die Daten stammen. Ihre Kundinnen und Kunden können dann dort weitere Auskunfts- und/oder Löschungsbegehren stellen. 

Diese Fragen muss Ihre Datenschutzerklärung beantworten

• Welche Personendaten werden zu welchem Zweck erhoben? Wie wird der Benutzer, die Benutzerin darüber informiert? Wie wird sein respektive ihr Einverständnis eingeholt?
• Verwenden Sie die erhobenen Daten für Marketingmassnahmen – allenfalls durch dritte Trackinganbieter, insbesondere Google Analytics?
• Wie lange werden die Daten wo gespeichert? Wie schützen Sie die Daten beim Speichern?
• Werden die Daten weitergegeben? Wenn ja, an wen?
• Wohin wendet man sich mit einer Anfrage für Auskunft, Löschung, Korrektur oder Herausgabe der Daten? Welche Angaben (insbesondere Identitätsnachweis) sind nötig?
• Setzen Sie automatisierte Verfahren ein, um Benutzende zu identifizieren (Profiling) oder um aus den Daten rechtlich relevante Informationen abzuleiten (zum Beispiel Credit Score)?
• Verwenden Sie auf Ihrer Website Vorlagen von Google oder haben Sie Google-Fonts eingebunden, die Google einen Zugriff ermöglichen (heruntergeladene Fonts sind unproblematisch)?

Erstellen Sie ein Impressum

Erstellen Sie ein Impressum mit Postadresse und Kontaktmöglichkeiten. Auf das Impressum sollten Sie am Ende jeder Seite verlinken, zum Beispiel im Footer (Fusszeile). Die Angaben darin sind nötig, damit Besucherinnen und Besucher Ihrer Website wissen, wer ihre Daten verarbeitet und an wen sie sich mit Problemen und Fragen wenden können.

Wie ein Impressum oder eine solche Kontaktseite formuliert sein kann, sehen Sie beispielsweise bei Gryps, Ringier Axel Springer Schweiz oder der Handelszeitung.

Vorsicht bei Social-Media-Buttons

Die Share-Buttons von Facebook, Twitter und anderen Netzwerken übertragen schon Daten, wenn eine Besucherin Ihre Website aufruft. Setzen Sie daher möglichst keine Social-Media-Buttons ein.

Bitten Sie den Entwickler Ihrer Website oder eine Programmiererin, stattdessen einen sogenannten Shariff-Button einzubauen. Damit werden die Nutzerdaten Ihrer Website-Besuchenden nur dann an Facebook und Co. weitergeleitet, wenn jemand den Share-Button tatsächlich angeklickt hat.

Überprüfen Sie Plug-ins, Tools und Dienstleister

Moderne Webauftritte werden häufig mithilfe von baukastenartigen Systemen kreiert, die eine Vielzahl von Plug-ins und Tools zur Integration in die Website anbieten – zum Beispiel für Audio, Grafik, Fonts oder Video. Gehen Sie mit solchen Tools und Plug-ins sparsam um. Überprüfen Sie die Nutzungsbedingungen, um sicherzugehen, dass Sie nicht unwissentlich Daten weitergeben.

Nehmen Sie externe Leistungen in Anspruch, beispielsweise für den Versand Ihres Newsletters? Überprüfen Sie auch solche Anbieter auf Plug-ins und andere Tools, die Daten weitergeben; konsultieren Sie dazu deren Datenschutzerklärung. In Ihrer eigenen Datenschutzerklärung müssen Sie sowohl die Anbieter angeben als auch die Tatsache, dass Sie die Daten an diese weitergeben. Auch Provider, sei es Swisscom, Sunrise oder Wingo, speichern Daten. Fragen Sie direkt bei Ihrem Provider nach, welche Daten er speichert und wie er sie schützt, und weisen Sie in Ihrer Datenschutzerklärung darauf hin.

Privacy by Desgin: Folgen Sie dem Grundsatz der Datensparsamkeit

In allgemeinen Kontaktformularen sollten Sie nur die wirklich zwingenden Angaben als Pflicht-Eingabefelder definieren (siehe unten stehende Info-Box). Sie folgen damit dem Grundsatz der «Privacy by Design», der sowohl von der DSGVO der EU als auch vom schweizerischen Datenschutzgesetz (seit dem 1. September 2023) vorgeschrieben wird. Privacy by Design meint das Prinzip, IT-Systeme von Anfang an so zu bauen, dass möglichst wenig Personendaten erhoben und die erhobenen Daten geschützt werden. Das erhöht die Motivation von Kunden, Interessentinnen und weiteren Betroffenen, sich überhaupt zu melden. Zudem stellen Sie sicher, dass Sie nicht zur Datenkrake werden (als Datenkraken bezeichnet man Unternehmen, die Daten im grossen Stil sammeln, um sie dann auszuwerten und damit spezifische Werbung zu schalten oder um die Daten an Dritte weiterzuverkaufen).

Führen Sie regelmässige Updates durch

Teile Ihres Webauftritts – respektive die dahinterliegenden Plattformen, Tools, Plug-ins und Content-Management-Systeme – wurden vielleicht seit längerer Zeit nicht aktualisiert oder sie gehen vergessen, weil sie wenig genutzt werden. Achten Sie darauf, dass auf Ihrer Website regelmässig Sicherheitsupdates durchgeführt werden.

Vor allem bei Content-Management-Systemen (CMS) sind in der Vergangenheit immer wieder Schwachstellen aufgetreten, die von böswilligen Akteuren ausgenutzt wurden. Im besten Fall benutzen Angreifende diese Schwachstellen, um eigene Inhalte auf Ihre Website hochzuladen (Defacement). Im schlimmsten Fall wird Ihr Webserver missbraucht, um Angriffe auf Dritte auszuführen. Etwa indem jemand Daten aus Ihrem CMS stiehlt und damit einen Betrug begeht (Identitätsdiebstahl). Oder indem Ihr System übernommen und davon ein Schadcode an User weitergegeben wird. Auf diese Weise können Sie ohne Ihr Wissen in Cyberkriminalität involviert werden und geraten in Erklärungsnot.

Daten müssen verschlüsselt werden

Personendaten müssen sowohl bei der Übermittlung (Data-in-Transit) als auch bei der Speicherung (Data-at-Rest) geschützt werden. Ein bewährtes Mittel dazu ist das Verschlüsseln von Daten.

Achten Sie also darauf, dass die Datenübermittlung verschlüsselt geschieht, etwa mittels Verwendung von HTTPS respektive SSL/TSL. Ihr Website-Anbieter hilft Ihnen dabei, Ihre Website zu verschlüsseln.

Achten Sie ebenso darauf, dass Personendaten auf Ihren IT-Systemen nur verschlüsselt gespeichert werden (zum Beispiel in der Datenbank des CMS Ihrer Website).

Verzeichnis der Bearbeitungstätigkeiten

Das Datenschutzgesetz verpflichtet an sich die Unternehmen, ein Verzeichnis der Bearbeitungstätigkeiten zu führen. Beschäftigen Sie jedoch weniger als 250 Mitarbeitende, sind Sie von dieser Pflicht befreit – vorausgesetzt die Bearbeitung der durch Ihr Unternehmen gesammelten Personendaten stellt kein hohes Risiko für die betroffenen Personen dar. Das wäre beispielsweise bei Daten zur Gesundheit oder zu religiösen Ansichten der Fall.

Auch wenn Ihr Unternehmen nicht verpflichtet ist, ein solches Verzeichnis zu führen, kann es sinnvoll sein, festzuhalten, welche Systeme Personendaten erheben und verarbeiten und wo diese Daten wie gespeichert werden. So können Sie rasch auf Betroffenenanfragen reagieren. Von Datenschutzfachleuten dringend empfohlen ist zudem eine Übersicht, wer für welche Daten verantwortlich ist, damit Sie für eine allfällige Untersuchung oder bei Datenverlust gewappnet sind.

Kontrolle über die Weitergabe von Personendaten

Es reicht nicht, die Kontrolle darüber zu haben, welche Personendaten erfasst und bearbeitet werden. Sie müssen auch wissen, wohin diese Personendaten weitergegeben werden – sei das im Auftrag Ihrer Firma oder im Rahmen einer Zusammenarbeit, zum Beispiel mit einer Sponsorin oder einem Werbepartner. Denken Sie auch an die Daten, die Sie an Banken, Versicherungen, Treuhandfirma, Steuerbehörden etc. weitergeben. Erstellen Sie eine klare Übersicht darüber, welche Daten wohin fliessen und durch wen sie dort bearbeitet werden.

Wichtig ist vor allem auch, dass Sie den Überblick über Datentransfers ins Ausland haben. Stellen Sie sicher, dass solche Datentransfers vertraglich geregelt sind und datenschutzkonform verlaufen. Dies gilt insbesondere dann, wenn die Daten in ein Land weitergegeben werden, das kein sogenanntes adäquates Datenschutzniveau bietet (etwa die USA oder Russland). Es gibt eine Staatenliste des Eidgenössischen Datenschutzbeauftragten, auf der die Staaten aufgeführt sind, deren Gesetzgebung einen angemessenen Datenschutz gewährleistet.

Ergänzen Sie auch die Arbeitsverträge Ihrer Mitarbeitenden und legen Sie darin offen, an wen Sie Personendaten übermitteln.

Data Breach Notification

Daten sind verloren gegangen oder wurden gestohlen? E-Mails wurden an falsche Adressaten geschickt? Klären Sie bei einem Datensicherheitsvorfall so schnell wie möglich ab, ob Sie eine Meldung – eine Data Breach Notification – an den eidgenössischen Datenschutzbeauftragten (EDÖB) machen müssen. Wann das nötig ist, sehen Sie in der Checkliste «Data Breach Notification».

Um die Meldung rechtzeitig machen zu können, benötigen Sie einen internen Meldeprozess. Dieser soll sicherstellen, dass bei einem Datensicherheitsvorfall die zuständigen Personen – zum Beispiel der Datenschutzmanager oder die Informationsbeauftragte – rasch informiert wird und dass die nötigen Massnahmen getroffen werden, um den Sicherheitsvorfall schnellstmöglich zu beheben.

Internes Meldeverfahren

Setzen Sie einen internen Prozess auf, mit dem Ihre Mitarbeitenden Datenschutzverstösse und auch Graubereiche melden können. Schulen Sie alle Ihre Angestellten in diesem Prozess und erinnern Sie sie regelmässig daran, dass diese Möglichkeit offensteht, damit sie nicht in Vergessenheit gerät.

Datenschutz-Folgenabschätzung

Eine Datenschutz-Folgenabschätzung (DSFA) braucht es bei neuen grösseren Projekten, bei denen viele Daten bearbeitet werden. Mit der DSFA soll geprüft werden, ob heiklere Datenbearbeitungen – etwa die Bearbeitung von Gesundheitsdaten oder die Bearbeitung grosser Datenmengen – zu einem Risiko für die Persönlichkeit der Betroffenen führen können.

• In einer Datenschutz-Folgenabschätzung muss ein Unternehmen zuerst beschreiben, welche Daten von wem wozu wie und wo bearbeitet und allenfalls weitergegeben werden.
• Dann wird das Risiko für die betroffenen Personen beschrieben – also die möglichen negativen Folgen, die die Datenbearbeitung für sie haben könnte, beispielsweise falsche medizinische Behandlung aufgrund falscher Daten, Kreditkartenmissbrauch oder Rufschädigung.
• Schliesslich wird in der DSFA dargelegt, mit welchen technischen und organisatorischen Massnahmen diese negativen Auswirkungen verhindert oder zumindest eingeschränkt werden sollen.

Eine Datenschutz-Folgenabschätzung beantwortet vor allem die Frage, ob geplante Datenbearbeitungen trotz aller Schutzmassnahmen weiterhin ein hohes Risiko für die Persönlichkeit der betroffenen Personen mit sich bringen oder eben nicht.