nDSG für Websites: Was KMU wirklich umsetzen müssen

Seit dem 1. September 2023 gilt das revidierte Datenschutzgesetz. In Beratungen hören wir seither fast wöchentlich dieselbe Frage: «Brauchen wir jetzt auch so ein Cookie-Banner?» Die Antwort fällt kürzer aus, als viele erwarten – und die eigentliche Arbeit liegt an einer anderen Stelle.

Was das nDSG von einer Website verlangt

Das revidierte Bundesgesetz über den Datenschutz stellt drei Forderungen: Transparenz, Zweckbindung und Sicherheit. Auf eine Website übersetzt heisst das: Sie sagen verständlich, welche Personendaten Sie erheben, wozu Sie diese verwenden und an wen sie weitergehen. Anders als die europäische DSGVO verlangt das nDSG für gewöhnliche Reichweitenmessung keine vorgängige Einwilligung, sondern eine klare Information. Wer aber Kundschaft in der EU anspricht, fällt zusätzlich unter die DSGVO – dann gilt das strengere Regime.

Cookie-Banner: was in der Schweiz wirklich nötig ist

Ein Banner ist in der Schweiz nicht generell vorgeschrieben. Eine echte Einwilligung brauchen Sie dort, wo Daten zu Werbezwecken an Dritte fliessen – bei Remarketing-Pixeln, beim Conversion-Tracking von Werbenetzwerken oder bei eingebetteten Diensten, die Profile bilden. Für technische Cookies wie Warenkorb, Login oder Sprachwahl braucht es keine Zustimmung. Wichtig ist: Wenn Sie ein Banner einsetzen, muss «Ablehnen» gleich einfach erreichbar sein wie «Akzeptieren», und die Skripte dürfen erst nach der Zustimmung laden. Ein Banner, das nichts blockiert, ist Dekoration und schafft eher Haftung als Schutz.

Analytics, Schriften und Karten

Drei Klassiker aus unserer Prüfpraxis:

Kontaktformulare und Newsletter

Beim Formular gilt: nur erheben, was Sie wirklich brauchen. Jedes zusätzliche Pflichtfeld senkt die Abschlussquote und erhöht die Begründungspflicht. Ein Hinweis unter dem Absendeknopf, wohin die Daten gehen und wie lange sie bleiben, genügt. Für den Newsletter empfehlen wir das Double-Opt-in: Bestätigungsmail, protokollierter Zeitstempel, Abmeldelink in jeder Sendung. Das ist nicht nur datenschutzrechtlich sauber, es schützt auch vor Beanstandungen nach dem Gesetz gegen den unlauteren Wettbewerb.

Wer verantwortlich ist

Verantwortlich ist immer das Unternehmen – nicht die Agentur und nicht der Hoster. Wer Daten in Ihrem Auftrag bearbeitet, also Hosting, Newsletter-Werkzeug, Shopsystem oder Buchhaltung, gehört in eine Liste mit Zweck, Datenart und Serverstandort. Ab 250 Mitarbeitenden ist ein Bearbeitungsverzeichnis Pflicht; allen anderen raten wir ebenfalls dazu, weil die Übersicht bei jeder Anfrage Zeit spart.

Checkliste für den nächsten Website-Termin

Fazit

Das nDSG ist keine Bedrohung, sondern eine Aufforderung zur Ordnung. Wer weiss, welche Dienste auf der eigenen Seite mitlaufen, hat den grössten Teil erledigt. Wir gehen diese Liste mit Kundschaft aus Solothurn und Bern in einem Termin durch und halten fest, was bleibt und was verschwindet.