Neue Datenschutzgesetze in der DACH-Region. Was Ihr Unternehmen jetzt wissen sollte.
Niemand setzt sich am Montagmorgen mit dem Kaffee hin und liest das TDDDG. Ich auch nicht. Trotzdem kenne ich es, weil man in drei Ländern keine Geschäfte macht, ohne die Spielregeln zu kennen. Wer sie nicht kennt, zahlt zweimal: einmal an die Behörde, einmal beim Kunden, der abspringt.
Ich mache es kurz. Für Ihre Firma zählt, was sich in den drei Ländern geändert hat und welche Schritte sich jetzt lohnen.
Deutschland hat mit dem TDDDG aufgeräumt
Seit Dezember 2021 gilt das Telekommunikation-Telemedien-Datenschutz-Gesetz, kurz TTDSG. Im Mai 2024 hat es einen neuen Namen erhalten und heisst seither Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG. Es hat die Datenschutzbestimmungen aus dem alten Telemediengesetz und dem Telekommunikationsgesetz abgelöst und für die digitale Kommunikation klare Verhältnisse geschaffen.
Der Kern ist die Einwilligung. Bevor ein Cookie gesetzt wird, muss der Besucher aktiv zustimmen. Vorausgekreuzte Kästchen zählen nicht, und ein müdes «Weitersurfen heisst Zustimmung» auch nicht. Ausgenommen bleibt, was technisch notwendig ist, der Warenkorb zum Beispiel. Dazu ist elektronische Kommunikation geschützt: Inhalte und Metadaten von E-Mails oder Anrufen darf niemand einfach abgreifen.
Für ein KMU heisst das in der Praxis: Wer Google Analytics oder ähnliche Messwerkzeuge einsetzt, kommt um ein Cookiebanner nicht herum. Oder er nimmt eine Lösung, die ganz ohne Cookies auskommt. Genau die haben wir gebaut.
Das neue Schweizer Gesetz gibt Ihren Kunden mehr Rechte
Am 1. September 2023 hat das neue Datenschutzgesetz, kurz nDSG, das alte von 1992 abgelöst. Wenn Sie davon noch nie gehört haben, ist jetzt der richtige Moment.
Ihre Kunden haben mehr Rechte als vorher. Sie können verlangen, dass Sie ihnen sagen, welche Daten Sie über sie gespeichert haben, und sie können verlangen, dass diese Daten korrigiert oder gelöscht werden. Ebenso können sie verlangen, dass Sie ihre Daten an einen anderen Anbieter übertragen. Geraten bei Ihnen Daten in die falschen Hände und führt das voraussichtlich zu einem hohen Risiko für die betroffenen Personen, melden Sie das «so rasch als möglich» dem EDÖB. Nicht am Montag nach dem Wochenende. Und bei risikoreichen Datenverarbeitungen prüfen Sie vorher, was schiefgehen kann, und halten es fest. Das nennt sich Datenschutz-Folgenabschätzung.
Das ist Aufwand, und ich rede ihn nicht klein. Aber das nDSG liegt näher an der DSGVO als sein Vorgänger. Wer in der EU schon saubere Verhältnisse hat, hat die halbe Miete drin.
Österreich setzt die DSGVO scharf durch
In Österreich gilt die DSGVO direkt, ergänzt um eigene Vorschriften, die in einzelnen Bereichen weitergehen. Die Datenschutzbehörde nimmt ihre Aufgabe ernst. Bussen werden verhängt, nicht bloss angedroht. Und bei Videoüberwachung und Arbeitnehmerdaten gelten Sonderregeln. Wer Mitarbeiter überwacht oder Kameras einsetzt, schaut dort besser zweimal hin.
Was Sie das kostet, wenn Sie es liegen lassen
In allen drei Ländern kommt das Gleiche auf Sie zu. Da ist zuerst die Regelkonformität, und die ist keine Kür mehr. Sie müssen sauber festhalten, wie Sie Einwilligungen einholen und wie Sie Ihre Kunden informieren. Eine Datenschutzerklärung im Juristendeutsch, die niemand versteht, ist heute kein Schutzschild, sondern ein Risiko.
Genauso wenig optional sind technische und organisatorische Massnahmen, kurz TOM. Wer personenbezogene Daten verarbeitet, muss sie ordentlich schützen, etwa mit Verschlüsselung und geregelten Zugriffsrechten, und er muss die Sicherheit regelmässig prüfen. Einmal eingerichtet und dann vergessen funktioniert nicht.
Und dann die Bussen.
- Deutschland und Österreich: bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist.
- Schweiz: bis zu CHF 250'000 bei vorsätzlichen Verstössen, und die Strafe trifft die verantwortliche Person, nicht die Firma.
Das ist nicht der Zettel an der Windschutzscheibe. Das tut weh.
So kommen Sie sauber durch
Sie müssen nicht alles auf einmal stemmen. Fangen Sie mit einer Bestandsaufnahme an. Halten Sie fest, welche Daten Sie überhaupt sammeln und wo sie liegen, und notieren Sie zu jedem Ort, wer darauf Zugriff hat. Gut möglich, dass die ehrlichste Erkenntnis dann lautet: «Wir haben gar nicht gewusst, dass wir das alles speichern.» Genau dort beginnt sauberer Datenschutz.
Dann Ihre Leute. Der grösste Risikofaktor sitzt in Ihrem Büro, nicht weil dort jemand böse wäre, sondern weil es niemand besser weiss. Ein halber Tag Schulung pro Jahr gehört dazu, und klare Regeln ebenso, etwa dazu, was in welche Nachricht darf und wer welche Kundendaten sehen darf.
Dann die Werkzeuge. Je weniger Sie sich um Cookiebanner und Übermittlungen in Drittländer kümmern müssen, desto besser. Trustlytics wertet Ihre Seite komplett ohne Cookies aus und ist von Haus aus konform mit der DSGVO und dem nDSG. Die Daten bleiben in Europa und gehen nicht an Dritte. Ein Cookiebanner brauchen Sie dafür nicht.
Und für den Rest holen Sie sich einen Anwalt. Standardfälle bekommen Sie mit gesundem Menschenverstand in den Griff. Bei internationalen Datenflüssen oder heiklen Branchendaten gehört ein Fachmann an den Tisch, und wer Mitarbeiter überwacht, braucht ihn ohnehin. Eine Stunde Beratung ist günstiger als eine Busse.
Lesen Sie diese Woche Ihre eigene Datenschutzerklärung, und wenn Sie selbst nicht verstehen, was dort steht, wissen Sie, wo Sie anfangen.
Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung. Für konkrete Fragen wenden Sie sich an einen Anwalt oder einen Datenschutzbeauftragten.
Mehr davon? Gibt's monatlich ins Postfach.
Ein Tipp, eine Erkenntnis, ein Update. Kompakt, ehrlich, direkt aus der Praxis.