Schweizer Hosting und revDSG. Was das Datenschutzgesetz von Ihrer Website verlangt

Datenschutz klingt nach Anwalt und Formularen. Für eine normale Firmenwebsite ist es überschaubar, wenn man zwei Entscheide richtig trifft: wo die Website gehostet wird und welche fremden Dienste eingebunden sind.

Was das revDSG konkret verlangt

Das revidierte Datenschutzgesetz gilt seit dem 1. September 2023. Für Websites sind vier Pflichten relevant:

1. Informationspflicht (Art. 19 DSG). Sie müssen die Besucher informieren, welche Personendaten Sie erheben, wozu, an wen sie weitergegeben werden und in welche Länder. Das ist die Datenschutzerklärung.
2. Auslandübermittlung (Art. 16 DSG). Daten dürfen nur in Länder mit angemessenem Datenschutz. Die EU gehört dazu, die USA nur für Firmen, die dem Swiss-US Data Privacy Framework beigetreten sind. Wer einen US-Dienst einbindet, muss das prüfen und dokumentieren.
3. Datensicherheit (Art. 8 DSG). Verschlüsselte Übertragung, sichere Speicherung, Zugriffsschutz. Konkret: HTTPS, aktuelle Software, kein Formular, das Daten unverschlüsselt per Mail verschickt.
4. Auftragsverarbeitung (Art. 9 DSG). Wer Daten für Sie verarbeitet, etwa der Hoster, braucht einen Vertrag mit Ihnen. Schweizer Hoster liefern den standardmässig.

Warum der Hosting-Standort zählt

Jede eingebundene Ressource ist eine Datenübermittlung. Wenn Ihre Website Schriften von Google lädt, ein Video von YouTube zeigt oder Google Analytics nutzt, sendet der Browser jedes Besuchers seine IP-Adresse an diese Anbieter, in die USA. Das ist eine Auslandübermittlung, die Sie erklären, rechtfertigen und in der Datenschutzerklärung aufführen müssen.

Wer die Website in der Schweiz hostet und alle Ressourcen vom eigenen Server ausliefert, hat dieses Problem nicht. Keine Übermittlung, keine Rechtfertigung, keine Standardvertragsklauseln. Die Datenschutzerklärung wird eine Seite kürzer und die Website schneller.

Der Cookie-Banner, den Sie nicht brauchen

Cookie-Banner sind eine EU-Erfindung und in der Schweiz nur dann nötig, wenn Sie Cookies setzen, die nicht für den Betrieb der Website erforderlich sind. Wer keine Werbe- oder Tracking-Cookies verwendet, braucht keinen Banner. Besucherstatistik geht auch cookiefrei, mit Werkzeugen wie Umami oder Matomo auf dem eigenen Server. Das Ergebnis ist eine Website, die beim ersten Besuch keinen Dialog aufreisst. Das ist gut für Besucher, gut für die Konversion und gut für das Gesetz.

Die Checkliste

• Hosting bei einem Schweizer Anbieter mit Rechenzentrum in der Schweiz und Auftragsverarbeitungsvertrag
• HTTPS mit gültigem Zertifikat
• Keine externen Schriften, Skripte, Videos oder Karten von US-Anbietern
• Kontaktformular mit Zweckangabe und verschlüsselter Übertragung
• Datenschutzerklärung mit Verantwortlichem, Zwecken, Empfängern, Aufbewahrungsfristen und Betroffenenrechten
• Impressum mit Firma, Adresse, UID und Kontakt
• Server-Logs nach wenigen Tagen anonymisiert

So bauen wir Websites

Alle sechs Punkte sind bei uns Standard, nicht Zusatz. Unsere eigene Website macht keinen einzigen Request an einen Server ausserhalb der Schweiz, und das prüfen wir automatisiert bei jeder Änderung. Wenn Sie wissen wollen, wie Ihre bestehende Website dasteht, machen wir einen Datenschutz-Check mit konkreter Liste, was zu tun ist.

Häufige Fragen dazu

Brauche ich einen Cookie-Banner?

Nur, wenn Sie Cookies für Werbung oder Tracking setzen oder Dienste einbinden, die das tun. Eine Website ohne Google Analytics, Google Fonts, YouTube-Einbettungen und Social-Plugins braucht keinen Banner. Das ist der einfachste Weg und der sauberste.

Gilt die DSGVO auch für meine Schweizer Firma?

Wenn Sie gezielt Kunden in der EU ansprechen, ja. Für einen Betrieb, der in der Ostschweiz tätig ist, in der Regel nicht. Eine Website, die das revDSG sauber umsetzt, erfüllt die Kernanforderungen der DSGVO aber ohnehin.

Was passiert, wenn ich die Pflichten nicht erfülle?

Das revDSG sieht Bussen bis CHF 250'000 vor, und zwar gegen die verantwortliche Person, nicht gegen die Firma. In der Praxis sind Abmahnungen selten, aber ein fehlendes Impressum oder eine fehlende Datenschutzerklärung ist der einfachste Grund, eine Firma als unseriös einzustufen.