Mythos 1: Datenschutz ist nur was für die Grossen.
Diesen Satz höre ich ständig. Bei Kunden, an Branchenanlässen, manchmal sogar im eigenen Team: «Wir sind doch nur ein kleiner Laden. Das revDSG, die DSGVO, das betrifft die Konzerne, nicht uns.»
Falsch. Es betrifft Sie genauso. Und dieser Irrtum kostet Sie am Ende mehr, als eine saubere Lösung von Anfang an je gekostet hätte.
Woher der Mythos kommt
Ich verstehe, warum so viele daran glauben. In der Zeitung stehen die Bussen gegen Meta, Google, Amazon. Beträge mit sieben Nullen. Wer eine Bäckerei führt, ein kleines Treuhandbüro oder einen Onlineshop mit zwei Mitarbeitenden, denkt logischerweise: «Das ist eine andere Liga.»
Halb richtig. Die Höhe der Busse ist eine andere. Die Pflichten sind exakt dieselben.
Was wirklich gilt
Das revidierte Schweizer Datenschutzgesetz und die europäische DSGVO machen keinen Unterschied zwischen Konzern und Einzelfirma. Sobald Sie Personendaten bearbeiten, gelten die Regeln. Punkt. Eine KMU-Ausnahme, versteckt irgendwo im Kleingedruckten, gibt es nicht.
Und Sie sammeln längst Personendaten. Wahrscheinlich, ohne gross darüber nachzudenken:
- Ein Kontaktformular auf Ihrer Website
- Newsletter-Anmeldungen
- Cookies in Google Analytics
- Kundendaten in Ihrer Kundenverwaltung
- Bewerbungen, die in Ihrem Postfach landen
- Tracking-Pixel von Facebook oder LinkedIn
Schon der einfachste Webauftritt mit einem «Schreiben Sie uns»-Formular fällt darunter. Es gibt keine Version von «online sein», die ausserhalb dieser Regeln liegt.
Was passiert, wenn Sie nichts tun
Drei Dinge treffen KMU häufiger, als Sie denken.
Eine Beschwerde. Es braucht einen einzigen Kunden. Jemand fühlt sich schlecht behandelt, meldet sich beim Datenschutzbeauftragten, und schon liegt eine Abklärung auf Ihrem Tisch. Im besten Fall eine Verwarnung. Im schlechteren eine Untersuchung, die Wochen frisst.
Eine Abmahnung. Spezialisierte Kanzleien durchsuchen Webauftritte systematisch nach Verstössen. Fehlende Datenschutzerklärung, Google Fonts direkt von Google geladen, kein Hinweis auf Cookies. Eine Abmahnung ist schnell vierstellig, und kein Gericht war je beteiligt.
Vertrauensverlust. Das ist der Schaden, den Sie nicht in der Buchhaltung sehen. Wird ein Datenleck publik, oder merkt ein Kunde, dass seine Daten zu Drittanbietern fliessen, verlieren Sie nicht nur ihn. Sie verlieren auch jede Empfehlung, die er ausgesprochen hätte.
Was Sie konkret tun können
Sie müssen nicht alles auf einmal lösen. Aber diese vier Punkte prüfen Sie diese Woche.
Datenschutzerklärung. Vorhanden? Aktuell? Listet sie wirklich alle Werkzeuge auf, die Sie einsetzen, oder stammt sie noch aus dem Jahr 2018?
Webanalyse. Erfassen Sie Daten mit Google Analytics? Dann brauchen Sie einen Cookie-Hinweis, der echte Einwilligung einholt. Oder Sie wechseln auf eine cookielose Lösung wie Trustlytics und sparen sich den Hinweis komplett.
Formulare. Wo gehen die Daten hin? Wer hat Zugriff? Wie lange bewahren Sie sie auf?
Werkzeuge von Drittanbietern: Newsletter-Versand, Buchhaltung, Live-Chat. Jedes Werkzeug, das Personendaten bearbeitet, braucht einen Auftragsverarbeitungsvertrag.
Das Video dazu
Wir haben das Thema auch in einem Video festgehalten. Knapp zwei Minuten, gerade so lang, wie der Kaffee zum Durchlaufen braucht.
Was Sie mitnehmen sollten
Datenschutz ist nicht die Pflicht der Grossen. Er ist die Eintrittskarte, sobald Sie einen Webauftritt betreiben oder mit Kundendaten arbeiten. Ob Sie alleine tätig sind oder hundert Leute beschäftigen, spielt keine Rolle.
Mit Trustlytics bekommen Sie eine Webanalyse, die von Haus aus revDSG- und DSGVO-konform ist. Keine Cookies, kein Theater mit Einwilligungsfenstern, die Daten bleiben in Europa. Diesen einen Punkt haben Sie damit schon vom Tisch.
Im nächsten Teil der Mythen-Serie kommt dieser hier dran: «Wenn ich nichts Schlimmes mache, muss ich auch nichts dokumentieren.» Doch, müssen Sie.
Mehr davon? Gibt's monatlich ins Postfach.
Ein Tipp, eine Erkenntnis, ein Update. Kompakt, ehrlich, direkt aus der Praxis.