Matomo anstatt Google Analytics
Mit Matomo kann man Herkunft, Geräteeigenschaften, Userverhalten, Conversions, uvm. Anonym, Cookieless und Datenschutz-Konform messen und auswerten. Wir betreiben in der Schweiz eine eigene Instanz.
Was muss gemacht werden?
Unsere Zusammenfassung der wichtigsten Themen
Das Datenschutzrecht definiert eine Reihe von Pflichten die den Umgang mit Personendaten definiert, sprich auch ausserhalb Ihrer Webseite / Webshops.
Grundsatz der Datenbearbeitung
Daten dürfen nur zu dem Zweck bearbeitet werden, für welchen sie erhoben wurden, und der Zweck für die betroffene Person auch erkennbar ist (Zweckbindung) oder z.B. Datenbearbeitung in unmittelbarem Zusammenhang mit einem Vertrag.
Löschen von Personendaten
Personendaten müssen gelöscht oder anonymisiert werden, sobald sie für den Zweck der Bearbeitung nicht mehr erforderlich sind.
Inventar der Bearbeitungen
Firmen mit mindestens 250 Mitarbeitenden müssen ein Inventar sämtlicher Bearbeitungen führen. Firmen mit weniger als 250 Mitarbeitenden sind grundsätzlich davon befreit, ausser es werden besonders schützenswerte Personendaten in grossem Umfang bearbeitet oder ein Profiling mit hohem Risiko durchgeführt.
Informationspflichten und Datenschutzerklärung
Wie bisher soll eine gut auffindbare (z.B. auf jeder Webseite im Footer) Datenschutzerklärung über den Umfang und Zweck der Datenbearbeitung informieren.
Auftragsbearbeiter
Mit jedem externen Anbieter, der in Ihrem Auftrag Personendaten bearbeitet - also z.B. wir als Webagentur, Ihr Webhoster, E-Mail Anbieter, Statistik-Tool wie Google Analytics, etc. sollten Sie einen Auftragsbearbeitungsvertrag bzw. Auftragsdatenverarbeitungsvertrag (ADV) abschliessen. Ein ADV nach der europäischen Datenschutz-Grundverordnung (DSGVO) genügt grundsätzlich auch in der Schweiz.
Datensicherheit
Der Zugriff auf Personendaten sollte nur für diejenigen Personen (z.B. Mitarbeiter, Vereinsmitglieder) möglich sein, welche den Zugriff auch wirklich benötigen. Websites und IT-Systeme sollten technisch auf dem aktuellsten Stand gehalten werden, damit keine Sicherheitslücken entstehen, die unter Umständen verheerende Auswirkungen haben könnten.
Sollte es dennoch zu einem Datenleck kommen und deswegen ein hohes Risiko für betroffene Personen besteht, muss dies dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden.
Datenbekanntgabe ins Ausland
Werden Daten ins Ausland bekannt gegeben, muss entweder das Land über ein angemessenes Datenschutzniveau verfügen oder es müssen zusätzliche Massnahmen ergriffen werden. Die betroffene Person muss in jedem Fall über die Weitergabe der Personendaten ins Ausland informiert werden.
Betroffenenrechte
Personen, deren Personendaten bearbeitet werden, haben das Recht, Auskunft über ihre eigenen Daten zu erhalten. Diese Auskunft sollte in der Regel innert 30 Tagen und ohne Kostenfolge für die Betroffenen erfolgen. Ferner besteht auch das Recht der Personen, fehlerhafte Daten korrigieren zu lassen oder die Löschung von Daten zu verlangen.
Einwilligung
Ist für eine Datenbearbeitung eine Einwilligung nötig, muss die betroffene Person über die Folgen der Einwilligung informiert werden und die Einwilligung muss freiwillig erfolgen.
«Privacy by Default und Privacy by Design»
Wir als Webagentur und Sie als Betreiber einer Webseite oder eines Webshops sind verpflichtet, die Datenbearbeitungen technisch und organisatorisch so auszugestalten, dass das Datenschutzrecht eingehalten wird, sowie dass Voreinstellungen möglichst datenschutzfreundlich ausgestaltet sind.
Datenschutz-Folgenabschätzung
Werden neue Datenbearbeitungen geplant, welche potenziell ein hohes Risiko für betroffene Personen haben können, muss eine Datenschutz-Folgenabschätzung durchgeführt werden. In einer solchen sind sowohl das genaue Vorhaben zu dokumentieren als auch entsprechende Massnahmen zum Schutz der betroffenen Personen zu prüfen.
Strafbarkeit
In Bezug auf die Strafbarkeit ist insbesondere zu berücksichtigen, dass ab dem 1. September 2023 die Verletzung gewisser Pflichten eine Strafbarkeit begründet, welche – im Gegensatz zu der DSGVO – nicht das Unternehmen trifft, sondern die dafür verantwortliche natürliche Person. Die verantwortlichen Personen können sowohl Mitglieder der Geschäftsleitung als auch andere entscheidungsbefugte Personen im Unternehmen oder aber auch diejenigen Personen sein, welche eine Pflichtverletzung (z.B. Verletzung der Geheimhaltung) begangen haben. Im Schweizer Recht ist jedoch nur die bewusste Begehung strafbar.
