Fachartikel Swiss Infosec AG Archive - Seite 32 von 40

07/2020 – Fachartikel Swiss Infosec AG

Cookie-Banner kennt mittlerweile jeder. Sie erscheinen beim ersten Aufruf der Webseite und informieren den Webseitenbesucher über die Nutzung von Cookies und/oder Tracking, holen dessen Zustimmung für die Verwendung von Cookies und/oder Tracking ein oder stellen ihm Wahlmöglichkeiten für die Verwaltung bereit. Brauchen Webseitenbetreiber einen solchen Cookie-Banner überhaupt? Wissen Sie als Webseitenbetreiber, wie Sie Ihr Cookie-Banner rechts- bzw. vor allem DSGVO-konform gestalten? Kennen Sie die (aktuellen) rechtlichen Grundlagen für die Erstellung eines Cookie-Banners?

Situation in der Europäischen Union

Die rechtliche Situation zu den Cookies wird in der EU bereits seit 2009 durch die so genannte «Cookie-Richtlinie» (Richtlinie 2009/136/EG) geregelt. Sie kommt nur für Nutzer in jenen EU-Ländern zur Anwendung, in welchen die Cookie-Richtlinie umgesetzt wurde.

Die Cookie-Richtlinie sieht bei entsprechender Umsetzung im EU-Mitgliedstaat vor, dass Cookies, welche nicht unbedingt erforderlich sind, nur noch verwendet werden dürfen, wenn der Nutzer der Webseite nach vorgängiger Aufklärung seine Einwilligung erteilt hat (sog. Opt-In-Prinzip). Dies erfolgt mittels Cookie-Banner, mit welchem auf die Verwendung von Cookies hingewiesen wird.

Wurde die Cookie-Richtlinie nicht umgesetzt, gelten entsprechend nationale Regelungen bzw. die Datenschutz-Grundverordnung (DSGVO). Die DSGVO enthält keine explizite «Cookie-Regelung» – es gelten die allgemeinen Grundsätze. Werden personenbezogene Daten durch Cookies verarbeitet, kommen in der Regel das berechtigte Interesse oder die Einwilligung der betroffenen Person (Opt-in) als Rechtsgrundlagen in Betracht.

Spätestens seit dem «Planet49»-Urteil des Europäischen Gerichtshofs (EuGH) vom 1. Oktober 2019 (Rs. C‑673/17) besteht nun auch etwas Klarheit darüber, wie eine Einwilligung für das Setzen von «nicht unbedingt erforderlichen» Cookies einzuholen ist.

Der EuGH kam in seinem Urteil zum Schluss, dass ein voreingestelltes Ankreuzkästchen keine wirksame Einwilligung im Sinne der Cookie-Richtlinie als auch der DSGVO darstellt. Daraus folgt, dass die Einwilligung durch eine aktive, gesonderte und ausdrückliche Erklärung der Nutzer erfolgen muss. Cookies, die unbedingt erforderlich sind, bedürfen keiner Einwilligung. Es sind aber ggf. die Anforderungen der DSGVO zu beachten.

Situation in der Schweiz

In der Schweiz besteht seit 2007 in Art. 45c lit. b des Fernmeldegesetzes (FMG) eine eigene Cookie-Regelung für Webseitenbetreiber. Sie ist im Vergleich zur Cookie-Richtlinie und der DSGVO deutlich weniger restriktiv.

Eine explizite Einwilligung ist in der Regel nicht erforderlich. Eine solche ist nach neuem schweizerischem Datenschutzgesetz (nDSG) allerdings dann notwendig, wenn über Cookies besonders schützenswerte Personendaten oder Persönlichkeitsprofile bearbeitet werden oder Profiling mit hohem Risiko durchgeführt wird (Art. 6 Abs. 7 nDSG).

Rein auf die Schweiz bezogen genügt also in der Regel ein entsprechender Hinweis in der Datenschutzerklärung und die Möglichkeit eines «Opt-Out».

Muss ich als Schweizer Unternehmen nun ebenfalls einen «Cookie (Consent)-Banner» implementieren?

Mit grosser Wahrscheinlichkeit, ja. Denn obwohl die DSGVO ein Regelwerk der EU ist und sie somit primär für alle EWR-Länder gilt (EU-Länder plus Liechtenstein, Norwegen und Island) gilt, ist sie aufgrund bestimmter Kriterien auch ausserhalb des EU-Territoriums für viele Schweizer Unternehmen anwendbar (sog. Verhaltensbeobachtung).

Gerne beantworten wir all Ihre spezifischen Fragen zum Cookie-Banner und zu allen weiteren datenschutzrechtlichen Fragen in Ihrem Unternehmen. Wir unterstützen Sie bei der Einhaltung des DSG und der DSGVO nach Best Practice: «Genau so viel, wie Sie brauchen und angemessen ist!»

Swiss Infosec AG; 01.07.2020, überarbeitet: 05.07.2023

Kompetenzzentrum Datenschutz, +41 41 984 12 12, infosec@infosec.ch

Ausgangslage

Am 2. Juni 2020 hat der Ständerat über die verbleibenden Differenzen zur Vorlage des revidierten Datenschutzgesetzes (DSG) debattiert und abgestimmt. Im Juli wird wiederum die staatspolitische Kommission des Nationalrats ihre Bereinigungsvorschläge abgeben, womit der Nationalrat in der Herbstsession das Gesetz definitiv verabschieden könnte.

Das schweizerische Datenschutzrecht soll demjenigen der Europäischen Union (EU), der Europäischen Datenschutz-Grundverordnung (DSGVO), angeglichen werden. Diese gilt seit dem 25. Mai 2018. Die EU entscheidet im Juni, ob der Datenschutz in der Schweiz noch der DSGVO angemessen ist.

Offene Punkte nach der Differenzberatung im Ständerat

Offen sind noch folgende Punkte:

Genetische Daten: Der Ständerat lehnt den Zusatz in der Definition ab, dass es sich nur dann um genetische Daten handeln soll, wenn sie eine eindeutige Identifizierung einer natürlichen Person erlauben

Profiling mit hohem Risiko: Der Ständerat versteht darunter ein Profiling, das ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlauben («Persönlichkeitsprofil reloaded»). Demgegenüber spricht der Nationalrat von «Profiling, welches zu besonders schützenswerten Personendaten führt».

Daten zur Prüfung der Kreditwürdigkeit: Diese dürfen nicht älter als 5 Jahre alt sein, damit die Bearbeitung von einem überwiegenden Interesse zu deren Bearbeitung abgedeckt ist. Der Nationalrat will 10 Jahre genügen lassen.

Eckpunkte zu den bisherigen Abstimmungsergebnissen

Folgende Eckpunkte sind im neuen DSG vorgesehen:

Das DSG wird auf juristische Personen nicht mehr anwendbar sein und beschränkt sich somit auf den Schutz der Daten natürlicher Personen.

Daten über Massnahmen der sozialen Hilfe und gewerkschaftliche Ansichten oder Tätigkeiten bleiben nach wie vor besonders schützenswert.

Die Führung eines Verzeichnisses der Datenbearbeitungen wird für Unternehmen obligatorisch sein, die mindestens 250 Mitarbeitende beschäftigen. Für Unternehmen mit weniger Angestellten und geringen Risiken wird der Bundesrat ermächtigt, Ausnahmeregelungen zu erlassen.

Privacy by Design und Privacy by Default werden gesetzlich verankert.

Eine weitreichende Informationspflicht; der Ausnahmetatbestand eines unverhältnismässigen Aufwands wurde verworfen.

Eine Datenschutzfolgenabschätzung wird nur bei einer Bearbeitung mit hohem Risiko für die betroffenen Personen verlangt (auch wenn es sich um ein Profiling handelt).

Verletzungen des Datensicherheit sind zukünftig dem EDÖB zu melden.

Es wird ein Recht auf Datenportabilität eingeführt, wenn Daten mit der Einwilligung der betroffenen Person oder in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrages automatisiert bearbeitet werden.

Ausländische Unternehmen mit relevanten Bezügen zur Schweiz sollen sich an das DSG halten und unter gewissen Umständen einen Vertreter in der Schweiz bezeichnen.

Neu strafrechtlich sanktioniert mit Busse bis maximal CHF 250’000 können zukünftig Einzelpersonen werden, wenn Mindestanforderungen an die Datensicherheit nicht eingehalten werden, die Informationspflichten verletzt, Personendaten unzulässigerweise ins Ausland bekanntgegeben werden oder eine externe Bearbeitung veranlasst wird, ohne dass die Voraussetzungen der Auftragsbearbeitung erfüllt sind.

Nützliche Hinweise und Links

Gerne beantworten wir Ihre Fragen und unterstützen Sie bei der Einhaltung von Schweizer Datenschutz und DSGVO.

Swiss Infosec AG; 30.04.2020