Sie planen eine Werbekampagne über eine Schweizer Werbe-Plattform — oder betreiben selbst eine. Welche Pflichten gelten, was muss vertraglich geregelt sein, und wo liegen die Stolpersteine im revDSG? Diese Checkliste führt Sie Schritt für Schritt durch die wichtigsten Anforderungen.
Kurz gesagt
- Verantwortliche Person ist, wer über Zweck und Mittel der Datenbearbeitung entscheidet.
- Wenn Sie Personendaten an eine Auftragsbearbeiterin übergeben (oder von ihr beziehen), ist ein schriftlicher Vertrag erforderlich (Art. 9 revDSG).
- Pflicht für Unternehmen ab 250 Mitarbeitenden oder bei Bearbeitung von besonders schützenswerten Daten in grossem Umfang oder bei Profiling mit hohem Risiko (Art. 12 revDSG i.V.m.
- Bevor Personendaten beschafft werden, müssen die betroffenen Personen informiert werden (Art. 19 revDSG) — klar, leicht zugänglich, in der Regel über eine Datenschutzerklärung.
Inhalt
1. Wer ist Verantwortlicher, wer ist Auftragsbearbeiter?
Direkte Antwort
Verantwortliche Person ist, wer über Zweck und Mittel der Datenbearbeitung entscheidet. Auftragsbearbeiter ist, wer Daten im Auftrag der verantwortlichen Person bearbeitet.
Bei einer typischen Werbekampagne über eine Schweizer Plattform sind die Rollen wie folgt:
Sie als Werbetreibender
Sind Verantwortlicher für:
- Ihre eigenen Kunden- und Interessenten-Daten
- Die Werbeziele und Targeting-Kriterien
- Die Conversion-Daten (Klicks, Käufe, Anmeldungen) auf Ihrer eigenen Website
Die Werbe-Plattform
Ist verantwortlich für:
- Die User-Daten ihrer eigenen registrierten Nutzer
- Das Targeting-Profil der User (Demografie, Interessen)
- Die Auslieferung der Werbung
Für Sie ist die Plattform Auftragsbearbeiterin, sofern Sie eigene Daten an sie übergeben (z. B. Custom Audiences, Conversion-Tracking-IDs).
2. Auftragsbearbeitungsvertrag — Pflichtbestandteile
Direkte Antwort
Wenn Sie Personendaten an eine Auftragsbearbeiterin übergeben (oder von ihr beziehen), ist ein schriftlicher Vertrag erforderlich (Art. 9 revDSG).
Pflichtbestandteile des Auftragsbearbeitungsvertrags:
- Gegenstand und Dauer der Bearbeitung
- Art und Zweck der Datenbearbeitung
- Art der Personendaten und Kategorien betroffener Personen
- Pflichten und Rechte beider Parteien
- Sicherheitsmassnahmen, die der Auftragsbearbeiter trifft
- Bestimmungen zu Subbearbeitern (Genehmigung, Information)
- Unterstützungspflichten bei Auskunftsbegehren, Datenpannen, Folgenabschätzung
- Rückgabe oder Löschung der Daten nach Vertragsende
- Audit-Rechte der verantwortlichen Person
Praxistipp: Die Werbe-Plattform stellt Ihnen typischerweise einen Standardvertrag zur Verfügung. Prüfen Sie ihn, bevor Sie Daten übergeben — insbesondere die Subbearbeiter-Liste und die Datenstandorte. Bei US-Subbearbeitern brauchen Sie zusätzliche Garantien (Standardvertragsklauseln oder vergleichbar).
Quelle: DSG Art. 9 (Auftragsbearbeitung).
3. Verzeichnis der Bearbeitungstätigkeiten
Direkte Antwort
Pflicht für Unternehmen ab 250 Mitarbeitenden oder bei Bearbeitung von besonders schützenswerten Daten in grossem Umfang oder bei Profiling mit hohem Risiko (Art. 12 revDSG i.V.m. DSV).
Inhalt des Verzeichnisses (Art. 12 Abs. 2 revDSG):
- Identität und Kontakt der verantwortlichen Person
- Bearbeitungszwecke
- Beschreibung der Kategorien betroffener Personen und der Datenkategorien
- Empfänger oder Empfängerkategorien
- Möglichst präzise Aufbewahrungsdauer (oder Kriterien dafür)
- Allgemeine Beschreibung der Sicherheitsmassnahmen
- Bei Auslandsbezug: Empfängerstaaten und Garantien
Empfehlung: Auch wenn Sie unter den Schwellen bleiben — ein Verzeichnis ist gute Praxis. Es erleichtert Ihnen die Beantwortung von Auskunftsbegehren und ist bei einer EDÖB-Prüfung Gold wert.
4. Information der Konsumenten
Direkte Antwort
Bevor Personendaten beschafft werden, müssen die betroffenen Personen informiert werden (Art. 19 revDSG) — klar, leicht zugänglich, in der Regel über eine Datenschutzerklärung.
Pflichtinhalte der Information:
- Identität und Kontakt der verantwortlichen Person
- Bearbeitungszweck
- Empfänger oder Empfängerkategorien
- Bei Datenübermittlung ins Ausland: Land und Garantie
- Soweit erforderlich: zusätzliche Information, um eine faire Bearbeitung zu gewährleisten
Praxis-Hinweise
- Zwei-Ebenen-Modell: Kurze Information beim ersten Kontakt (z. B. Cookie-Banner), volle Datenschutzerklärung verlinkt
- Sprache: bei Schweizer Zielgruppe in der jeweiligen Landessprache (DE/FR/IT)
- Lesbarkeit: klare Sätze, kurze Abschnitte, keine reine Anwaltssprache
- Aktualität: bei wesentlichen Änderungen aktiv informieren, nicht nur veröffentlichen
5. Datenschutz-Folgenabschätzung
Direkte Antwort
Pflicht bei Bearbeitungen mit hohem Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen (Art. 22 revDSG).
Klassische Ausprägungen, die eine Folgenabschätzung nötig machen können:
- Profiling mit hohem Risiko
- Bearbeitung besonders schützenswerter Daten in grossem Umfang
- Systematische Überwachung öffentlicher Bereiche
- Granulares Verhaltens-Tracking über mehrere Plattformen hinweg
- Neuartige Technologien (KI-basierte Auswertung, biometrische Verfahren)
Inhalt der Folgenabschätzung:
- Beschreibung der vorgesehenen Bearbeitung
- Bewertung der Risiken für die Persönlichkeit der betroffenen Personen
- Vorgesehene Massnahmen zur Eindämmung der Risiken
Bei nicht ausreichend mitigierten Risiken: Konsultation des EDÖB (Art. 23 revDSG).
6. Datenpannen-Management
Direkte Antwort
Datenpannen, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte führen, sind dem EDÖB so rasch als möglich zu melden (Art. 24 revDSG).
Implementieren Sie einen Datenpannen-Prozess mit:
- Klarer Zuständigkeit (interner DPO oder vergleichbare Funktion)
- 24/7 erreichbarem Eskalations-Kanal
- Dokumentations-Vorlage (Was, Wann, Wer, Wieviele Betroffene, Welche Daten)
- Entscheidungs-Matrix: Meldung an EDÖB nötig? Information der Betroffenen nötig?
- Regelmässigem Übungs-Drill (mindestens jährlich)
Wichtig: «So rasch als möglich» ist im DSG nicht zahlenmässig konkretisiert — in der Praxis ist 72 Stunden eine sinnvolle Selbstverpflichtung, in Anlehnung an die DSGVO. Verzögerungen sind zu begründen.
7. Compliance-Checkliste auf einen Blick
- Rollen geklärt: Verantwortlicher / Auftragsbearbeiter dokumentiert
- Auftragsbearbeitungsvertrag mit allen Pflichtbestandteilen unterzeichnet
- Verzeichnis der Bearbeitungstätigkeiten geführt und aktuell
- Datenschutzerklärung verständlich, vollständig, in den Sprachen der Zielgruppe
- Cookie-Banner mit Consent-Mechanik (DSG- und EU-konform, falls EU-User möglich)
- Folgenabschätzung bei hohem Risiko durchgeführt und dokumentiert
- Datenpannen-Prozess inkl. Eskalation und Meldewegen etabliert
- Subbearbeiter-Liste gepflegt, Datenstandorte und Garantien dokumentiert
- Auskunftsbegehren-Prozess: 30-Tage-Frist intern abbildbar
- Mitarbeitende geschult, Verschwiegenheitspflichten unterzeichnet
- Sicherheitsmassnahmen (TOM) dokumentiert: Verschlüsselung, Zugriffskontrolle, Backup, Monitoring
- Aufbewahrungsfristen pro Datenkategorie definiert und technisch durchgesetzt
- Lösch- und Berichtigungs-Anfragen zu Schritt-für-Schritt-Prozess umgesetzt
- Datenschutzberatung intern oder extern definiert
- Marketing-Texte und Targeting-Logik auf Profiling-Risiko geprüft
Was bedeutet das für Sie als Werbetreibender konkret?
DSG-Compliance ist keine einmalige Übung, sondern ein laufender Prozess. Mit der oben skizzierten Struktur haben Sie 90 % der Anforderungen abgedeckt — die letzten 10 % sind individuelle Kalibrierung anhand Ihrer Branche und Datenintensität.
Für die Wahl der Werbeplattform empfehlen wir Schweizer Anbieter, weil:
- Datenstandort Schweiz oder EU — keine zusätzlichen Standardvertragsklauseln
- EDÖB als gemeinsame Aufsicht — einheitlicher Compliance-Rahmen
- Kurze Wege bei Datenpannen oder Auskunftsbegehren
- Klares Vertragsrecht und Schweizer Gerichtsstand
Wir bei Videte arbeiten mit unseren Werbekunden auf der Basis eines schlanken Auftragsbearbeitungsvertrags und liefern aggregierte, k-anonyme Reichweiten- und Performance-Daten — nie Einzelprofile, nie identifizierende Daten. Das spart Ihnen Compliance-Aufwand und macht Ihre Kampagnen DSG-tauglich.