Die Datenschutz-Grundverordnung (DSGVO) ist das seit dem 25. Mai 2018 geltende Datenschutzrecht der Europäischen Union. Sie regelt, unter welchen Bedingungen Personendaten bearbeitet werden dürfen, und gilt unmittelbar in allen Mitgliedstaaten.
Die DSGVO endet nicht an der EU-Grenze. Sie erfasst auch Unternehmen ausserhalb der EU, sobald diese Personen in der EU gezielt ansprechen oder deren Verhalten beobachten — ein Schweizer Onlineshop mit Lieferung nach Deutschland fällt darunter.
Was ist der Unterschied zum revDSG?
Der wichtigste praktische Unterschied liegt in der Sanktion: Die DSGVO verhängt Bussen gegen das Unternehmen und bemisst sie am weltweiten Umsatz. Das revDSG sanktioniert die verantwortliche natürliche Person. Wer beide Rechtsräume bedient, richtet sich sinnvollerweise nach der jeweils strengeren Anforderung.
Ein zweiter Unterschied betrifft die Einwilligung. Die DSGVO verlangt für nicht notwendige Cookies eine vorgängige, aktive Einwilligung. Das revDSG stellt Transparenz und Widerspruch in den Vordergrund. In der Praxis führt das zu einer Einwilligungslösung, die beides abdeckt.
Was verlangt die DSGVO von einer Website?
- Eine Rechtsgrundlage für jede Bearbeitung — Einwilligung, Vertrag oder berechtigtes Interesse.
- Eine verständliche Datenschutzerklärung mit Zwecken, Empfängern und Speicherdauer.
- Eine Einwilligungslösung, die Ablehnen so einfach macht wie Zustimmen.
- Auskunft, Berichtigung und Löschung auf Anfrage innerhalb eines Monats.
Woran scheitern Websites in der Praxis?
Meist nicht am Text, sondern an der Technik: Das Einwilligungsbanner erscheint, während Analyse- und Werbeskripte bereits geladen haben. Rechtlich ist die Einwilligung dann wertlos. Die Prüfung gehört deshalb in den Netzwerk-Mitschnitt des Browsers, nicht in die Datenschutzerklärung.
PIXELS prüft in Luzern genau diesen Punkt beim Aufsetzen von Tracking-Strecken — ob vor der Einwilligung tatsächlich nichts auslöst.
Dieser Eintrag ist eine Einordnung und keine Rechtsberatung.
Welche Rechte haben betroffene Personen?
Betroffene Personen haben nach der DSGVO unter anderem das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung, Datenübertragbarkeit und Widerspruch. Anfragen sind grundsätzlich innerhalb eines Monats zu beantworten — auch dann, wenn keine Daten vorhanden sind.
Für Unternehmen bedeutet das weniger ein juristisches als ein organisatorisches Problem: Es muss jemanden geben, der solche Anfragen entgegennimmt, und es muss bekannt sein, in welchen Systemen Personendaten überhaupt liegen.
Für Schweizer Unternehmen mit EU-Bezug ist die Auftragsverarbeitung der zweite Prüfpunkt. Wer Dienstleister einsetzt, die Personendaten bearbeiten — Hosting, Newsletter, CRM, Analyse — braucht dafür einen Vertrag zur Auftragsverarbeitung und Klarheit darüber, in welchem Land die Daten liegen.
Praktisch beginnt das mit einer Liste: Welche Werkzeuge sind im Einsatz, wer betreibt sie, wo stehen die Server, und liegt eine Vereinbarung vor? Diese Liste ist gleichzeitig die Grundlage für das Verzeichnis der Bearbeitungstätigkeiten.
Verwandt: Webanalyse & Tracking · revDSG · Conversion Rate