Die Datenschutzerklärung
Wer Personendaten beschafft, muss die betroffenen Personen informieren. Im Shop geschieht das mit einer Datenschutzerklärung, die mindestens enthält:
- Identität und Kontaktdaten des Verantwortlichen
- Zweck der Bearbeitung, etwa Bestellabwicklung, Versand, Newsletter
- Empfänger der Daten, zum Beispiel Zahlungsanbieter, Post, Hosting
- Länder ausserhalb der Schweiz, in die Daten gelangen
Datensicherheit und Dienstleister
Sie müssen angemessene technische und organisatorische Massnahmen treffen: verschlüsselte Verbindung, sichere Passwörter, Zugriff nur für Berechtigte. Wenn Dienstleister Daten für Sie bearbeiten, etwa Zahlungsanbieter oder Hosting, bleiben Sie verantwortlich und brauchen eine passende Vereinbarung.
Kleine Unternehmen mit weniger als 250 Mitarbeitenden müssen in der Regel kein Verzeichnis der Bearbeitungstätigkeiten führen, solange die Bearbeitung kein hohes Risiko birgt.
Cookies und Tracking
Das Schweizer Recht kennt keine allgemeine Einwilligungspflicht für Cookies wie die EU. Sie müssen aber transparent informieren und eine Möglichkeit zum Widerspruch bieten. Richtet sich Ihr Shop auch an Kundschaft in der EU, kann die DSGVO gelten, die für viele Cookies eine Einwilligung verlangt.
Was bei Verstössen droht
Das neue DSG sieht Bussen bis CHF 250'000 vor, und zwar gegen die verantwortlichen Personen, wenn sie vorsätzlich gegen bestimmte Pflichten verstossen, etwa die Informationspflicht. Eine vollständige Datenschutzerklärung ist deshalb Pflicht, nicht Kür.