Wenn unser Website-Check unter «Schweizer Pflichten» das Impressum oder die Datenschutzerklärung bemängelt hat, dann ist das einer der wenigen Punkte im ganzen Bericht, bei dem es nicht nur um Auffindbarkeit oder Tempo geht. Hier hängt Recht dran.
Kurz vorweg: Ich bin kein Anwalt, und das hier ist keine Rechtsberatung. Es ist das, was sich aus den Gesetzestexten und der gängigen Praxis ergibt, in verständlicher Sprache. Bei heiklen Fällen, etwa im Gesundheitsbereich oder bei einem Shop mit Kundenkonten, lohnt sich eine Fachperson.
Gibt es in der Schweiz überhaupt eine Impressumspflicht?
Nicht als eigenes Gesetz, wie es Deutschland kennt. Aber Art. 3 Abs. 1 lit. s UWG sagt: Unlauter handelt, wer im elektronischen Geschäftsverkehr Waren oder Leistungen anbietet und dabei keine klaren und vollständigen Angaben über seine Identität und seine Kontaktadresse macht.
Im Ergebnis läuft das aufs Gleiche hinaus. Sobald du auf deiner Website etwas anbietest, und das tut praktisch jede Firmenwebsite, brauchst du diese Angaben. Ein Verstoss ist kein Kavaliersdelikt: Er kann von Mitbewerbern abgemahnt werden.
Was ins Impressum gehört
- Vollständiger Firmenname, genau so wie im Handelsregister, inklusive Rechtsform («Muster GmbH», nicht «Muster»).
- Postadresse mit Strasse, Nummer, PLZ und Ort. Ein Postfach allein genügt nicht.
- Ein Weg, dich elektronisch zu erreichen, also eine E-Mail-Adresse oder ein Kontaktformular.
- CHE-Nummer, wenn du im Handelsregister eingetragen bist.
- MWST-Nummer, wenn du mehrwertsteuerpflichtig bist.
- Bei bewilligungspflichtigen Berufen zusätzlich die Aufsichtsbehörde und den Berufstitel.
Eine Telefonnummer ist nicht zwingend, wirkt aber. Und ein Detail, das oft schiefgeht: Die E-Mail-Adresse im Impressum gehört im Klartext auf die Seite. Wer sie dort per Skript versteckt, damit keine Spam-Programme sie einsammeln, erfüllt die Pflicht für Besucher ohne JavaScript nicht mehr. Verschleiern kannst du sie überall sonst, im Impressum nicht.
Die Datenschutzerklärung nach revDSG
Seit dem revidierten Datenschutzgesetz (revDSG) gilt: Wer Personendaten bearbeitet, muss darüber informieren. Art. 19 revDSG verlangt, dass die betroffene Person angemessen informiert wird, bevor Daten beschafft werden.
Und «Personendaten bearbeiten» beginnt früher, als die meisten denken. Schon ein Kontaktformular, ein Newsletter, Google Analytics oder eine eingebettete Karte reichen. Selbst die Server-Protokolle deines Hosters enthalten IP-Adressen.
Hineingehört:
- Wer für die Bearbeitung verantwortlich ist, mit Kontaktadresse.
- Welche Daten du bearbeitest und zu welchem Zweck.
- An wen du sie weitergibst, konkret benannt. Also nicht «an Dienstleister», sondern «Google Analytics», «Mailchimp», «Stripe».
- Ob Daten ins Ausland gehen und in welche Länder.
- Die Rechte der betroffenen Person: Auskunft, Berichtigung, Löschung.
- Wie lange du die Daten aufbewahrst.
Der Fehler, den wir am häufigsten sehen
Unser Check vergleicht die Dienste, die beim Aufruf deiner Seite wirklich mitlaufen, mit dem, was in deiner Datenschutzerklärung steht. Der häufigste Befund: Es laufen Dienste mit, die dort nicht erwähnt sind.
Meistens ist das keine Absicht. Jemand hat eine Vorlage übernommen, später ein Buchungswerkzeug eingebaut und die Erklärung nicht nachgeführt. Oder das Theme lädt Schriften von Google nach, ohne dass es jemand gemerkt hat.
Wir schreiben das bewusst als Frage und nicht als Urteil, denn wir sehen nur den ersten Aufruf, und eine Erklärung kann einen Dienst anders benennen. Aber es lohnt sich, der Sache nachzugehen.
Cookies: die Schweiz ist nicht die EU
Hier wird am meisten falsch gemacht, meist zum eigenen Nachteil. Die Schweiz kennt über Art. 45c lit. b FMG ein Opt-out-Regime: Du musst über die Bearbeitung informieren und einen Widerspruch ermöglichen. Du musst aber nicht vorab um Erlaubnis fragen.
Ein Banner, der die Seite blockiert, bis jemand «Alle akzeptieren» drückt, ist in der Schweiz also nicht vorgeschrieben. Er kostet dich Besucher und verschlechtert deine Ladezeit.
Aber: Sobald du Kundschaft in der EU hast, gilt für diese die DSGVO mit ihrer Einwilligung vorab. Wer also in die EU verkauft oder gezielt dort wirbt, braucht die strengere Lösung. Wer rein schweizerisch arbeitet, kommt mit einem schlanken Hinweis aus.
Reicht eine Vorlage?
Als Gerüst ja. Es gibt gute, kostenlose Generatoren für die Schweiz. Zwei Dinge musst du aber selbst tun:
- Jeden Dienst eintragen, der auf deiner Seite läuft. Geh die Liste aus unserem Check durch, dort stehen alle fremden Server, die beim Laden kontaktiert werden.
- Deutsche Vorlagen aussortieren. Sehr viele Texte im Netz beziehen sich auf die DSGVO und auf deutsche Paragrafen. Das ist für eine Schweizer Firma schlicht falsch und wirkt unseriös, wenn es jemandem auffällt.
Wo die beiden Seiten hingehören
In den Fussbereich, auf jeder Seite, als normaler Link. Zwei Dinge, die unser Check regelmässig findet und die du vermeiden solltest:
- Kein Aufklapp-Fenster. Manche Baukästen öffnen Impressum und Datenschutz per JavaScript in einem Fenster. Dann gibt es keine eigene Adresse, die man verlinken oder aufrufen kann. Beides braucht eine richtige Seite.
- Nicht hinter «Kontakt» verstecken. Die beiden Seiten müssen ohne Suchen erreichbar sein.
So prüfst du, ob es geklappt hat
Lass deine Seite durch den Website-Check laufen. Unter «Schweizer Pflichten» siehst du, ob wir beide Seiten finden, ob sie eine eigene Adresse haben, ob im Impressum eine vollständige Postadresse steht und ob alle mitlaufenden Dienste in der Datenschutzerklärung vorkommen.
Quellen
- UWG Art. 3, Angaben im elektronischen Geschäftsverkehr.
- revDSG Art. 19, Informationspflicht bei der Beschaffung von Personendaten.
- FMG Art. 45c, Bearbeiten von Daten auf fremden Geräten.
- EDÖB, der eidgenössische Datenschutzbeauftragte.