Datenschutzerklärung für eine kleine Website: was hineingehört

Eine Schreinerei in Thun hat eine kleine Website: fünf Seiten, Bilder von Küchen und Treppen, ein Kontaktformular, eine eingebettete Karte zur Werkstatt und eine Besucherstatistik, die der Webdesigner beim Einrichten eingeschaltet hat. Im Fuss der Seite steht ein Link «Datenschutz». Dahinter liegt ein langer Text, den die Inhaberin nie ganz gelesen hat. Er stammt aus einem Generator und erwähnt einen Online-Shop, den es nicht gibt.

Eine Datenschutzerklärung wirkt oft wie ein Pflichttext, den man einmal einfügt und dann vergisst. Das Gesetz versteht sie anders: als Information für die Menschen, die die Website benutzen. Damit sie diese Aufgabe erfüllt, muss sie zur eigenen Website passen.

Wozu die Erklärung da ist

Das DSG verlangt, dass der Verantwortliche die betroffene Person angemessen über die Beschaffung von Personendaten informiert (Art. 19 Abs. 1 DSG). Die Information soll ihr ermöglichen, ihre Rechte nach dem Gesetz geltend zu machen, und eine transparente Datenbearbeitung gewährleisten (Art. 19 Abs. 2 DSG).

Der EDÖB beschreibt die Datenschutzerklärung auf seiner Seite zu Datenschutzerklärungen im Internet als das Mittel, mit dem eine Website diese Informationspflicht umsetzt. Die Nutzerinnen und Nutzer sollen so informiert sein, dass sie frei entscheiden können, ob und wie sie ihre Daten bearbeiten lassen möchten.

Das Gesetz schreibt dafür keine Überschrift und keine Form vor. Es beschreibt einen Zweck. Ein Text, den niemand versteht, erfüllt ihn nicht, auch wenn er vollständig ist.

Vor dem Schreiben: eine Bestandesaufnahme

Der EDÖB empfiehlt, vor dem Verfassen zu klären, was auf der Website tatsächlich geschieht. Seine Fragen lassen sich in einer halben Stunde durchgehen:

• Welche Daten werden erhoben, und woher stammen sie?
• Zu welchen Zwecken werden sie verwendet?
• Wer hat Zugriff, und wie lange werden sie aufbewahrt?
• Werden Daten an Dritte oder ins Ausland bekanntgegeben?
• Welche Werkzeuge von Dritten sind eingebunden — Statistik, Karten, Schaltflächen sozialer Netzwerke, Schriften, Videos?

Die letzte Frage ist die, bei der die meisten Überraschungen liegen. Eine eingebettete Karte, ein Video oder eine extern geladene Schrift kann dazu führen, dass der Browser beim Besuch Daten an einen weiteren Anbieter überträgt. Die Inhaberin der Schreinerei weiss vielleicht nicht, dass ihre Website das tut. Die Erklärung kann es erst beschreiben, wenn jemand nachgesehen hat.

Was hineingehört

Das DSG nennt, was die betroffene Person mindestens erfährt (Art. 19 Abs. 2 DSG):

1. die Identität und die Kontaktdaten des Verantwortlichen;
2. den Bearbeitungszweck;
3. gegebenenfalls die Empfängerinnen und Empfänger oder deren Kategorien.

Werden Personendaten ins Ausland bekanntgegeben, gehört auch der Staat dazu und gegebenenfalls die Garantien nach Art. 16 Abs. 2 DSG oder die Ausnahme nach Art. 17 DSG (Art. 19 Abs. 4 DSG). Der EDÖB ergänzt auf seiner Seite weitere Angaben, die eine verständliche Erklärung typischerweise enthält: welche Daten erhoben werden, wie lange sie aufbewahrt werden, welche Wahlmöglichkeiten die Nutzenden haben und an wen sie sich für ihre Rechte wenden.

Übertragen auf die Elemente einer typischen KMU-Website:

Element der Website	Was die Erklärung dazu beschreibt
Hosting	Bei welchem Anbieter die Website läuft und in welchem Land
Kontaktformular	Welche Angaben erhoben werden, wozu, wo sie gespeichert werden und wie lange
Besucherstatistik	Welcher Dienst, welche Daten, ob Cookies oder ähnliche Technologien im Spiel sind
Eingebettete Karte	Welcher Anbieter beim Laden Daten erhält
Newsletter	Welcher Versanddienst, auf welcher Grundlage, wie man sich abmeldet
Rechte der Personen	An wen man sich für Auskunft, Berichtigung oder Löschung wendet

Wie sie aufgebaut ist

Der EDÖB empfiehlt einen mehrstufigen Aufbau:

• Erste Ebene: knappe, einfach verständliche Informationen, die einen Überblick über die wesentlichen Punkte geben.
• Zweite Ebene: die ausführliche Erklärung, von der ersten Ebene aus verlinkt.
• Dritte Ebene: bei Bedarf vertiefte Informationen.

Zwei weitere Hinweise auf seiner Seite betreffen gerade Schweizer Websites. Die Erklärung soll von jeder Seite aus leicht erreichbar sein. Und wird die Website in mehreren Sprachen angeboten, soll auch die Erklärung in diesen Sprachen vorliegen. Eine Website in Deutsch und Französisch mit einer Erklärung nur auf Deutsch erreicht einen Teil ihrer Besucherinnen nicht.

Für die Schreinerei heisst das konkret: Oben in der Erklärung stehen fünf Sätze, die sagen, wer die Website betreibt, dass das Kontaktformular Name, E-Mail und Nachricht an die Werkstatt schickt, welche Statistik läuft, welche Karte eingebunden ist und wo man nachfragen kann. Darunter folgt die ausführliche Fassung.

Wann die Informationspflicht entfällt

Das DSG kennt Ausnahmen. Die Informationspflicht entfällt etwa, wenn die betroffene Person bereits über die Informationen verfügt oder die Bearbeitung gesetzlich vorgesehen ist (Art. 20 Abs. 1 DSG). Für eine gewöhnliche KMU-Website spielen diese Ausnahmen selten eine Rolle, weil die Besucherinnen die Website in der Regel zum ersten Mal sehen und nicht wissen, was im Hintergrund geschieht.

Was die Erklärung nicht ersetzt

Eine Datenschutzerklärung informiert. Sie ist keine Einwilligung, auch wenn Formulare das manchmal mit einem Häkchen «gelesen und akzeptiert» nahelegen. Wo das Gesetz eine Einwilligung verlangt, ist sie nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird (Art. 6 Abs. 6 DSG). Ein allgemeiner Verweis auf einen langen Text erfüllt das nicht ohne Weiteres.

Umgekehrt braucht nicht jede Information eine Bestätigung. Die Information muss vorhanden und leicht zugänglich sein; ob jemand sie liest, entscheidet die Person selbst. Die Datenschutzerklärung ist deshalb am wirksamsten dort, wo die Daten entstehen: als kurzer Hinweis direkt beim Formular, mit einem Link auf die ausführliche Fassung.

Die Erklärung muss zur Website passen

Was eine Datenschutzerklärung am ehesten entwertet, ist kein fehlender Absatz, sondern ein Unterschied zwischen Text und Wirklichkeit. Ein Generator-Text, der einen Shop beschreibt, den es nicht gibt, informiert falsch. Eine Erklärung, die eine Statistik verschweigt, die eingebunden ist, ebenso.

Ein paar Anlässe, die Erklärung wieder zu lesen:

• ein neues Werkzeug auf der Website, etwa ein Buchungs- oder Chat-Fenster;
• ein Wechsel des Hosting- oder Newsletter-Anbieters;
• ein neues Formular, das andere Angaben erhebt als das alte;
• eine zusätzliche Sprachversion der Website.

Wir haben unsere eigene Datenschutzerklärung nach diesem Muster aufgebaut. Sie beschreibt, dass diese Website über Cloudflare ausgeliefert wird, einen Anbieter mit Sitz in den USA, dass Eintragungen und Nachrichten in einem Rechenzentrum in Zürich gespeichert werden, und was die Website ausdrücklich nicht tut. Sie ist nicht kurz, aber jeder Abschnitt entspricht etwas, das tatsächlich geschieht.

Welche Angaben eine bestimmte Website braucht, hängt von ihrem Aufbau und von den eingebundenen Diensten ab. Die Seite des EDÖB zu Datenschutzerklärungen im Internet ist eine gute Grundlage, um die eigene Erklärung durchzugehen; bei rechtlichen Fragen im Einzelfall hilft eine Fachperson weiter.