Eine digitale Visitenkarte speichert Kontaktdaten auf dem Server eines Anbieters. Seit dem revidierten Datenschutzgesetz von 2023 lohnt sich die Frage, wo dieser Server steht und was der Anbieter mit den Daten macht. Dieser Beitrag ist keine Rechtsberatung. Er hilft Ihnen, die richtigen Fragen zu stellen.
Was das revidierte Gesetz für Sie bedeutet
Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG). Für Firmen, die einen Dienst wie eine digitale Visitenkarte einsetzen, sind drei Punkte wichtig:
- Transparenz: Betroffene sollen wissen, welche Daten über sie bearbeitet werden und wozu.
- Auftragsbearbeitung: Setzen Sie einen Dienstleister ein, der Daten für Sie speichert, braucht es eine saubere Vereinbarung.
- Datenübermittlung ins Ausland: Daten dürfen nur dorthin, wo ein angemessener Schutz besteht oder dieser vertraglich abgesichert ist.
Wo liegen die Daten?
Viele grosse Anbieter hosten in den USA. Das ist nicht automatisch verboten, bringt aber zusätzliche Voraussetzungen mit sich, zum Beispiel eine Zertifizierung des Anbieters unter dem Swiss-US Data Privacy Framework oder vertragliche Garantien. Anbieter mit Servern in der Schweiz oder der EU machen die Sache einfacher. Fragen Sie nach dem konkreten Standort der Datenbank, nicht nur nach dem Firmensitz.
Welche Daten fallen an?
Zwei Ebenen. Erstens die Angaben auf Ihrer Karte: Sie kontrollieren sie, und sie sind öffentlich für alle, die den Code oder Link kennen. Zweitens die Daten der Menschen, die scannen. Bei Diviq sind das Zeitpunkt, Gerätetyp, Betriebssystem, ungefährer Standort (Land und Stadt) und die Herkunft des Aufrufs, dazu eine zufällige Besucherkennung im Browser, damit wiederkehrende Besuche gezählt werden können. Namen oder Kontaktdaten sind nicht dabei, und IP-Adressen werden nicht dauerhaft gespeichert.
Die Checkliste für einen Anbieter
- Serverstandort Schweiz oder EU, klar angegeben.
- Eine Datenschutzerklärung, die Schweizer Recht berücksichtigt und die eingesetzten Dienstleister nennt.
- Ein Auftragsbearbeitungsvertrag (AVV) für Geschäftskunden.
- Sie können Ihre Daten einsehen und Ihr Konto samt Inhalten selbst löschen, ohne Support-Anfrage.
- Anonyme Scan-Statistik, ohne versteckte Weitergabe an Dritte.
- Eine erkennbare Firma mit Adresse im Impressum.
Fragen, die Sie jedem Anbieter stellen sollten
- Wo genau liegt die Datenbank?
- Gibt es einen Auftragsbearbeitungsvertrag, und wer sind Ihre Unterauftragnehmer?
- Was passiert mit meinen Daten, wenn ich kündige?
- Wie lösche ich Konto und Daten, und wie schnell?
- Werden Scan-Daten an Dritte weitergegeben oder für Werbung genutzt?
Wer ist wofür verantwortlich?
Sie entscheiden, was auf der Karte steht und wofür Sie Kontaktanfragen verwenden. Der Anbieter stellt die Technik bereit und bearbeitet die Daten in Ihrem Auftrag. Genau dafür ist der Auftragsbearbeitungsvertrag da.
Wenn Sie ein Lead-Formular nutzen
Sobald Ihre Karte Interessenten nach Namen und E-Mail fragt, sind Sie für diese Daten verantwortlich. Sagen Sie kurz, wofür Sie sie verwenden, bewahren Sie nicht mehr auf als nötig und löschen Sie sie, wenn der Zweck erledigt ist. Das Formular bei Diviq enthält ein Einwilligungsfeld, den Hinweistext sollten Sie auf Ihr Vorhaben abstimmen.
Bei Diviq
Diviq wird von der Enli GmbH in Frauenfeld betrieben. Die Datenbank liegt in der EU (Irland), die Webseite selbst wird über Vercel ausgeliefert. Beides steht offen in der Datenschutzerklärung, zusammen mit allen weiteren Dienstleistern. Für Geschäftskunden gibt es einen Auftragsbearbeitungsvertrag (AVV), und Ihr Konto samt Inhalten löschen Sie jederzeit selbst (so geht's). Was eine digitale Visitenkarte bei Diviq kann, steht auf einer eigenen Seite.