Das revidierte Schweizer Datenschutzgesetz (revDSG) ist seit September 2023 in Kraft und verlangt von allen Unternehmen, die personenbezogene Daten bearbeiten, klare Massnahmen zur Datenhaltung und Transparenz. Für dein Webhosting heisst das konkret: die Wahl des Hosters, die Gestaltung der Datenschutzerklärung und die Konfiguration von Tracking-Tools müssen zueinander passen. Dieser Artikel zeigt dir, was du beachten musst und welche Schweizer Hoster dir die DSG-Konformität leichter machen.
Was ist das revidierte DSG
Das revidierte Schweizer Datenschutzgesetz ist seit dem 1. September 2023 in Kraft. Es ersetzt das alte DSG von 1992 und bringt viele Schweizer Regeln näher an die DSGVO der EU, ohne sie 1:1 zu übernehmen. Für Unternehmen in der Schweiz bedeutet das: mehr Pflichten bei der Dokumentation, Transparenz gegenüber Betroffenen und höhere Anforderungen an die technische Umsetzung.
Wichtigste Neuerungen
- Informationspflicht bei der Datenerhebung: Betroffene müssen wissen, welche Daten zu welchem Zweck erhoben werden.
- Meldepflicht bei Datenschutzverletzungen: Vorfälle müssen dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten gemeldet werden, wenn sie zu einem hohen Risiko für die Betroffenen führen.
- Verzeichnis der Bearbeitungstätigkeiten: grössere Unternehmen müssen eine Liste aller Datenbearbeitungen führen.
- Datenschutz-Folgenabschätzung: bei Bearbeitungen mit hohem Risiko muss eine Abschätzung gemacht werden.
- Strafbestimmungen: vorsätzliche Verstösse können mit Busse geahndet werden.
Wer ist betroffen
Alle Unternehmen, die in der Schweiz personenbezogene Daten bearbeiten, fallen unter das revDSG. Das beginnt beim einfachen Kontaktformular und reicht bis zum Shop mit Kundendaten oder der Praxis mit Patientenakten. Wer eine Website mit Interaktion betreibt, bearbeitet personenbezogene Daten und ist betroffen.
Hosting im DSG-Kontext
Der Hoster ist im DSG-Sinne ein Auftragsbearbeiter. Er verarbeitet deine Daten in deinem Auftrag, bleibt aber nicht verantwortlich für den Inhalt. Du als Website-Betreiberin bist verantwortlich dafür, dass der Hoster bestimmte Mindestanforderungen erfüllt.
Was du vom Hoster erwarten solltest
- Klarheit darüber, wo die Server stehen und wer Zugriff auf die Daten hat.
- Einen schriftlichen Datenbearbeitungsvertrag, der die Pflichten des Hosters regelt.
- Technische Massnahmen wie Verschlüsselung, Backups und Zugriffsschutz.
- Meldeketten für den Fall eines Sicherheits-Vorfalls.
- Unterstützung bei Auskunftsbegehren von Betroffenen.
Auftragsbearbeiter im Ausland
Wenn du einen Hoster ausserhalb der Schweiz nutzt, musst du zusätzliche Massnahmen treffen. Für Hoster in der EU ist das meist unproblematisch, weil die Schweiz die EU als angemessen bewertet. Für Hoster in den USA oder anderen Drittstaaten brauchst du spezielle Vertragsklauseln oder musst andere Schutzmassnahmen nachweisen.
Datenhaltung in der Schweiz
Der einfachste Weg zur DSG-Konformität ist die Datenhaltung in der Schweiz. Dann musst du keine internationalen Übermittlungen dokumentieren, keine Angemessenheitsbeschlüsse prüfen und keine Standardvertragsklauseln abschliessen.
Schweizer Hoster mit Schweizer Rechenzentren
- Cyon: Rechenzentrum in Basel, Schweizer Datenhaltung.
- Hostpoint: Schweizer Rechenzentrum, Schweizer Datenhaltung.
- Infomaniak: Rechenzentren in der Schweiz, Schweizer Datenhaltung.
- Hosttech: Schweizer Rechenzentrum.
- Green.ch: Schweizer Rechenzentrum mit erneuerbarer Energie.
- Hostfactory: Schweizer Rechenzentrum.
- Metanet: Schweizer Rechenzentrum.
Für DSG-kritische Projekte (Treuhand, Medizin, Anwalt) ist Schweizer Datenhaltung praktisch Pflicht, nicht Empfehlung. Für andere Projekte bleibt sie die einfachste Lösung.
Datenschutzerklärung und Cookies
Das DSG verlangt eine transparente Information über die Datenbearbeitung. Die Datenschutzerklärung auf der Website ist das zentrale Dokument dafür.
Was in die Datenschutzerklärung gehört
- Name und Kontaktdaten des Verantwortlichen (dein Unternehmen).
- Welche personenbezogenen Daten erhoben werden.
- Zu welchem Zweck die Daten erhoben werden.
- Wie lange die Daten aufbewahrt werden.
- An wen die Daten weitergegeben werden (Auftragsbearbeiter wie Hoster, Zahlungsdienstleister, Analytics).
- Welche Rechte die Betroffenen haben (Auskunft, Berichtigung, Löschung).
- Wie die Daten gesichert werden.
- Bei internationalen Übermittlungen: wohin die Daten übermittelt werden und auf welcher Rechtsgrundlage.
Cookie-Banner
Sobald du Analytics-Tools, Tracking-Pixel oder andere Drittanbieter-Dienste einbindest, brauchst du ein Cookie-Banner mit Opt-in. Die Nutzerin muss aktiv zustimmen, bevor Tracking aktiviert wird. Blosses "Weiter-nutzen ist Zustimmung" reicht nicht mehr.
Empfehlenswerte Cookie-Banner-Lösungen
- Borlabs Cookie: Kostenpflichtiges Plugin mit umfangreichen Optionen, weit verbreitet.
- Complianz: Kostenlose Basis-Version, bezahlte Pro-Version mit zusätzlichen Features.
- Real Cookie Banner: Gute kostenlose Alternative, ausführliche Konfiguration.
- Cookiebot: Cloud-basierter Dienst, erkennt verwendete Cookies automatisch.
Datenbearbeitungsverträge
Als Verantwortliche musst du mit jedem Auftragsbearbeiter (Hoster, Mail-Anbieter, Zahlungsdienstleister) einen Datenbearbeitungsvertrag abschliessen. Der Vertrag regelt die Pflichten des Auftragsbearbeiters beim Umgang mit den Daten.
Inhalte eines Datenbearbeitungsvertrags
- Beschreibung der bearbeiteten Daten und des Bearbeitungszwecks.
- Pflicht zur Vertraulichkeit und angemessenen Sicherheit.
- Regelungen zu Subunternehmern.
- Unterstützung bei Auskunftsbegehren und Datenschutzverletzungen.
- Rückgabe oder Löschung der Daten nach Ende der Bearbeitung.
- Nachweis der Einhaltung der Pflichten.
Wie du den Vertrag bekommst
Die grossen Schweizer Hoster stellen Standard-Datenbearbeitungsverträge auf Anfrage oder direkt im Kundenbereich bereit. Nicht immer auf der Website sichtbar, aber der Support hilft dir weiter. Für kleinere Anbieter kann das Schriftstück aufwendiger zu bekommen sein.
SSL und technische Massnahmen
Das DSG verlangt "angemessene technische Massnahmen" zur Datensicherheit. Was angemessen ist, hängt vom Risiko ab, aber ein paar Basis-Massnahmen sind praktisch für jede Website Pflicht.
Mindestanforderungen
- SSL-Verschlüsselung für die komplette Website.
- Starke Passwörter und Zugangsbeschränkungen.
- Regelmässige Updates von Software und Plugins.
- Automatisierte Backups.
- Schutz vor Brute-Force-Angriffen.
- Eingeschränkter Zugriff auf Admin-Bereiche.
Viele davon hast du bereits, wenn du die Sicherheits-Grundlagen beachtest. Ein Schweizer Hoster liefert ein grosses Stück davon automatisch mit.
Besondere Anforderungen nach Branche
Einige Branchen haben zusätzliche Anforderungen über das DSG hinaus.
Gesundheitswesen
Arztpraxen, Zahnärzte, Physiotherapeuten bearbeiten besonders schützenswerte Personendaten. Das DSG setzt hier höhere Massstäbe. Schweizer Datenhaltung ist praktisch Pflicht, Verschlüsselung ist Standard, und der Datenbearbeitungsvertrag mit dem Hoster sollte klar sein.
Anwaltskanzleien und Treuhand
Berufsgeheimnisse verpflichten zu besonderer Sorgfalt. Datenhaltung in der Schweiz ist die saubere Lösung, Verschlüsselung Pflicht.
Finanzdienstleister
Zusätzlich zum DSG unterliegen Banken und Versicherungen der FINMA-Aufsicht, die eigene Anforderungen stellt. Schweizer Datenhaltung ist in vielen Fällen vorgeschrieben oder dringend empfohlen.
Shops mit Kundendaten
Jeder Shop verarbeitet Kontakt-, Adress- und Zahlungsdaten. Besonders bei internationalem Publikum ist sowohl DSG als auch DSGVO relevant. Ein Schweizer Hoster erleichtert die DSG-Seite, für die DSGVO-Seite braucht es zusätzlich saubere Cookie-Banner und Datenschutzerklärungen.
Mein Fazit, DSG-konformes Hosting ist machbar
Das DSG macht das Webhosting in der Schweiz nicht komplizierter, aber präziser. Die wichtigste Entscheidung ist die Wahl des Hosters mit Schweizer Datenhaltung, weil das viele Folge-Probleme ausräumt.
Meine konkreten Empfehlungen:
- Wähl einen Schweizer Hoster mit Schweizer Rechenzentrum: Cyon, Hostpoint, Infomaniak oder Hosttech.
- Frag beim Hoster explizit nach dem Datenbearbeitungsvertrag und leg ihn zu deinen Unterlagen.
- Erstelle eine transparente Datenschutzerklärung mit allen verlangten Punkten.
- Installier ein DSG-konformes Cookie-Banner mit Opt-in für Tracking-Tools.
- Aktivier SSL für die ganze Website.
- Prüf regelmässig, welche Plugins und Dienste Daten ins Ausland schicken, und dokumentiere das.
- Bei besonderen Anforderungen (Gesundheit, Finanzen, Recht) lass die Datenschutzerklärung von einer Fachperson prüfen.
Der wichtigste Punkt: Datenschutz ist kein einmaliger Akt, sondern ein laufender Prozess. Prüf einmal im Jahr, ob deine Datenschutzerklärung noch stimmt, welche Drittanbieter-Dienste du neu eingebunden hast und ob deine Schutzmassnahmen noch passen.
