Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz. Für einen Firmenblog heisst das: eine verständliche Datenschutzerklärung, die nennt, welche Daten erhoben werden und wohin sie gehen, ein bewusster Umgang mit Besucherstatistik und ausländischen Diensten, eine saubere Einwilligung für den Newsletter und Regeln für Kommentare und Bilder. Eine Cookie-Einwilligung nach EU-Muster ist nicht in jedem Fall nötig, Information und Ablehnmöglichkeit aber schon. Ob Ihre Website zusätzlich unter die DSGVO fällt, muss eine Fachperson beurteilen.
Ein Firmenblog sammelt mehr Daten, als es auf den ersten Blick scheint: Besucherstatistik, Newsletter-Adressen, Kommentare, Kontaktformulare, Bilder von Menschen. Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz, oft nDSG genannt. Diese Seite erklärt, was es für die typischen Bausteine eines Blogs bedeutet. Sie ersetzt keine Rechtsberatung: Für Ihre konkrete Situation ist eine Fachperson zuständig, und die amtlichen Texte finden Sie beim EDÖB und auf Fedlex.
Die Grundzüge des revidierten DSG
Das neue Gesetz hat die Schweizer Regeln näher an die europäische DSGVO gerückt, ohne sie zu kopieren. Für Website-Betreiber sind vor allem diese Grundsätze relevant:
- Transparenz: Wer Personendaten beschafft, muss die Betroffenen darüber informieren. Praktisch heisst das: eine Datenschutzerklärung, die verständlich sagt, welche Daten zu welchem Zweck erhoben werden und an wen sie gehen.
- Zweckbindung und Verhältnismässigkeit: Nur so viele Daten wie nötig, nur für den genannten Zweck.
- Datenexport: Werden Daten ins Ausland übermittelt, muss dort ein angemessener Schutz bestehen oder es braucht zusätzliche Garantien. Der EDÖB führt eine Liste der Staaten mit angemessenem Schutz.
- Datensicherheit: Technische und organisatorische Massnahmen, etwa Verschlüsselung und Zugriffsbeschränkung.
- Privacy by Design: Datenschutz von Anfang an einplanen, nicht nachträglich aufsetzen.
Anders als die DSGVO kennt das DSG keine Bussen gegen Unternehmen in Millionenhöhe, sondern richtet Strafbestimmungen an verantwortliche natürliche Personen. Das ist ein Grund, das Thema in der Geschäftsleitung ernst zu nehmen.
Die Datenschutzerklärung für den Blog
Jede Website braucht eine Datenschutzerklärung, und der Blog ist Teil davon. Sie muss für Ihre Website stimmen, nicht für eine Vorlage. Prüfen Sie, ob diese Punkte abgedeckt sind:
| Baustein des Blogs | Was in die Erklärung gehört |
|---|---|
| Hosting | Wo die Website liegt, welcher Anbieter, Serverstandort |
| Besucherstatistik | Welches Werkzeug, welche Daten, ob Cookies gesetzt werden, Speicherort |
| Newsletter | Anbieter, Zweck, Einwilligung, Abmeldung |
| Kommentare | Welche Daten gespeichert werden (Name, E-Mail, IP), wie lange |
| Kontaktformular | Zweck, Speicherdauer, Weitergabe |
| Eingebettete Inhalte | YouTube-Videos, Karten, Social-Media-Buttons, die Daten an Dritte senden |
| Blogsystem oder Agentur | Wenn ein Dienstleister Beiträge in Ihre Website schreibt und dafür Zugänge hat |
Der letzte Punkt wird oft vergessen. Ein externes System, das Beiträge per Schnittstelle veröffentlicht, verarbeitet in der Regel keine Besucherdaten, hat aber Zugang zu Ihrem Redaktionssystem. Wie der Anbieter mit diesem Zugang und mit Ihren Firmendaten umgeht, gehört in den Vertrag.
Besucherstatistik: wissen, was gezählt wird
Statistikwerkzeuge sind der häufigste Datenschutzfall auf KMU-Websites. Drei Fragen entscheiden:
- Werden Cookies gesetzt? Das Schweizer Fernmelderecht verlangt, dass Besucher über Cookies informiert werden und sie ablehnen können. Eine Einwilligung nach EU-Muster ist nicht in jedem Fall nötig, aber die Information schon. Werkzeuge ohne Cookies vereinfachen das.
- Wo werden die Daten gespeichert? Liegen sie in den USA, gelten die Regeln zum Datenexport. Der EDÖB informiert über die aktuelle Lage und die anerkannten Garantien.
- Werden IP-Adressen gekürzt? Eine gekürzte IP-Adresse reduziert den Personenbezug. Die meisten Werkzeuge bieten diese Einstellung.
Die Google Search Console ist ein Sonderfall: Sie zeigt, mit welchen Suchbegriffen Besucher kommen, ohne auf Ihrer Website Daten zu erheben. Für viele Blogs reicht sie als Erfolgsmessung aus. Wie Sie sie mit dem Blog verbinden, steht unter Search Console mit dem Blog verbinden.
Newsletter: die Einwilligung muss aktiv sein
Werbemails fallen in der Schweiz unter das Gesetz gegen den unlauteren Wettbewerb. Massenmails ohne Einwilligung sind unzulässig. In der Praxis hat sich das Double-Opt-in durchgesetzt: Die Person trägt sich ein, erhält eine Bestätigungsmail und wird erst nach dem Klick aufgenommen. So können Sie die Einwilligung belegen.
Drei Dinge gehören in jede Mail: ein korrekter Absender mit Adresse, ein Hinweis auf die Abmeldemöglichkeit und ein funktionierender Abmeldelink. Eine Ausnahme kennt das Gesetz für bestehende Kunden, die beim Kauf ihre Adresse angegeben haben und ähnliche Produkte angeboten bekommen; auch hier muss die Abmeldung jederzeit möglich sein. Wie der Blog technisch in den Versand fliesst, beschreibt die Seite Blog und Newsletter verbinden.
Kommentare: wenig Daten, klare Fristen
Wer Kommentare erlaubt, speichert Name, E-Mail-Adresse und meist die IP-Adresse der Kommentierenden. Das ist zulässig, wenn es in der Datenschutzerklärung steht und Sie die Daten nicht länger als nötig behalten. Fragen Sie nur ab, was Sie brauchen: Eine Website-Adresse des Kommentators ist selten nötig. Ob Kommentare für einen Firmenblog überhaupt sinnvoll sind, behandelt die Seite Soll ein Firmenblog Kommentare erlauben?
Bilder: Personen und Rechte
Zwei Rechtsgebiete treffen sich bei Blogbildern. Das Datenschutzrecht, weil ein erkennbares Gesicht ein Personendatum ist, und das Urheberrecht, weil Fotos und Grafiken jemandem gehören.
- Für Mitarbeitende, Kunden und Gäste auf Fotos: Einwilligung einholen und dokumentieren.
- Für Stockfotos: Lizenz prüfen, Lizenznachweis aufbewahren.
- Für KI-generierte Bilder: Nutzungsbedingungen des Dienstes lesen, keine erkennbaren realen Personen erzeugen lassen.
Welche Bildquellen sich für einen Blog eignen, steht unter Bilder für KI-Blogbeiträge.
Prüfliste für den Blog
- Datenschutzerklärung aktuell und auf Ihre Werkzeuge abgestimmt?
- Statistikwerkzeug bekannt, Cookies erklärt, Speicherort geklärt?
- Newsletter mit Double-Opt-in und Abmeldelink?
- Kommentare mit minimaler Datenerhebung und Löschfrist?
- Bildrechte und Einwilligungen dokumentiert?
- Externe Dienstleister mit Zugang zum System vertraglich geregelt?
Wer diese sechs Punkte einmal sauber aufsetzt, hat im Alltag Ruhe. Die Prüfung durch eine Fachperson lohnt sich besonders, wenn Sie Kunden in der EU ansprechen oder sensible Daten verarbeiten, etwa im Gesundheits- oder Treuhandbereich.
Häufige Fragen
Brauche ich in der Schweiz einen Cookie-Banner?
Das Schweizer Recht verlangt, dass Besucher über Cookies informiert werden und sie ablehnen können, etwa in der Datenschutzerklärung und über Browsereinstellungen. Eine aktive Einwilligung per Banner wie in der EU ist nicht in jedem Fall vorgeschrieben. Wer Kunden in der EU anspricht oder DSGVO-pflichtig ist, braucht meist mehr. Lassen Sie das von einer Fachperson prüfen.
Darf ich Google Analytics auf einer Schweizer Website nutzen?
Der Einsatz ist möglich, aber er muss in der Datenschutzerklärung genannt werden, und die Übermittlung ins Ausland muss zulässig sein. Der EDÖB informiert über die Voraussetzungen für Datenexporte. Viele KMU weichen auf Statistikwerkzeuge aus, die Daten in der Schweiz oder EU speichern und ohne Cookies auskommen.
Reicht für den Newsletter ein vorangekreuztes Kästchen?
Nein. Für Werbemails verlangt das Gesetz gegen den unlauteren Wettbewerb eine Einwilligung, und ein vorangekreuztes Kästchen gilt nicht als aktive Zustimmung. Üblich ist das Double-Opt-in mit Bestätigungsmail. Jede Mail braucht zudem eine funktionierende Abmeldemöglichkeit und den Absender mit Adresse.
Was muss ich bei Fotos von Mitarbeitenden im Blog beachten?
Ein erkennbares Foto ist ein Personendatum. Holen Sie eine Einwilligung ein, am besten schriftlich, und halten Sie fest, wofür das Bild verwendet wird. Verlässt eine Person das Unternehmen, sollten Sie klären, ob das Bild online bleiben darf. Bei Kunden und Passanten gilt dasselbe mit noch mehr Zurückhaltung.
Muss ich eine Datenschutzberaterin ernennen?
Für die meisten KMU nicht. Das revidierte DSG sieht die Benennung einer Datenschutzberatung als freiwillig vor, verpflichtend ist sie nur in besonderen Fällen. Klären Sie Ihre konkrete Situation mit einer Fachperson, wenn Sie grosse Mengen sensibler Daten verarbeiten.