revDSG-Hinweise

Dieses Dokument fasst zusammen, wie die Funktionen des ADP Car Market Hub-Plugins mit dem revidierten Schweizer Bundesgesetz über den Datenschutz (revDSG / nFADP) zusammenhängen, das für viele Fahrzeug-Garagen-Websites gilt, die in der Schweiz betrieben werden oder sich an diese richten. Es ergänzt die GDPR / DSGVO-Hinweise, welche den EU/EWR-Rahmen abdecken.

Dieses Dokument ist keine Rechtsberatung und garantiert keine Konformität. Die endgültige rechtliche Beurteilung hängt von der Einrichtung der Website, den konfigurierten Funktionen, der Umsetzung von Einwilligung oder Transparenz und Ihren spezifischen Verpflichtungen nach Schweizer Recht ab. Website-Betreiber sollten ihre Position mit ihrem eigenen Rechtsberater überprüfen.

Wann Sie dieses Dokument verwenden sollten

Verwenden Sie dieses Dokument, wenn Sie:

• Eine Fahrzeug-Garagen-Website in der Schweiz betreiben (typisches Setup mit einer .ch-Domain und CHF als Standardwährung).
• Eine auf die Schweiz ausgerichtete Datenschutzerklärung für Anfragen, Suchabos und integrierte Analytics vorbereiten.
• Datenverarbeitungsaktivitäten für ein Schweizer Publikum dokumentieren.
• Bestätigen möchten, dass die Datenschutzkontrollen des Plugins mit Ihren internen Schweizer Datenschutzrichtlinien übereinstimmen.

Übersicht

Die datenschutzrelevanten Funktionen des Plugins sind unabhängig von der Gerichtsbarkeit dieselben (siehe Datenhaltungs-Übersicht und GDPR / DSGVO-Hinweise). Die Unterschiede für eine Schweizer Website betreffen hauptsächlich:

• Benennung und Kennzeichnung — der Analytics-Admin-Hinweis des Plugins kann ein Schweizer revDSG-Label anzeigen.
• Die Rechtsgrundlage für die Verarbeitung — unter dem revDSG ist eine transparente Offenlegung zusammen mit einem berechtigten Zweck oft ausreichend, aber spezifische Fälle können dennoch eine ausdrückliche Einwilligung erfordern.
• Die Art und Weise, wie die Datenschutzerklärung formuliert ist (Verantwortlicher, Zwecke, Empfänger, Übermittlung ins Ausland).

Das Plugin kann ein Schweizer Setup automatisch erkennen und das revDSG-Label entsprechend einblenden.

Wie das Plugin ein Schweizer / revDSG-Setup erkennt

Das Analytics-Modul des Plugins enthält einen Standorterkennungs-Mechanismus mit folgender Auflösungsreihenfolge:

1. Der manuelle Override, der in der Option as24ci_analytics_privacy_jurisdiction gespeichert ist, sofern dieser nicht auto ist.
2. Die TLD der konfigurierten AutoScout24-API-Basis-URL. Hosts, die auf .ch (oder .autoscout24.ch) enden, werden als revdsg aufgelöst.
3. Die Standardwährung. CHF wird als revdsg aufgelöst.
4. Andernfalls fällt der Wert auf andere Gerichtsbarkeiten zurück (gdpr, dsgvo, uk_gdpr) oder auf generic.

Betreiber können den Wert in den Analytics-Einstellungen jederzeit erzwingen, indem sie die Option Privacy jurisdiction auf revdsg setzen. Die Einstellung dient nur zur Information; sie steuert das im Admin-Hinweis angezeigte Framework-Label und ändert nicht, welche Daten erfasst werden.

Wie revDSG-Themen auf Plugin-Funktionen abgebildet werden

Die folgende Zuordnung beschreibt, wie sich das Plugin-Verhalten zu gängigen revDSG-Themen verhält. Sie dient der Information und ersetzt keine projektspezifische Beurteilung.

Informationspflicht (Transparenz)

• Das Lead-Formular unterstützt ein konfigurierbares Einwilligungs-Label und eine Privacy page URL, die auf die Schweizer Datenschutzerklärung der Website verlinken kann.
• Sowohl die Bestätigungs-E-Mail für das Suchabo als auch die Benachrichtigungs-E-Mail enthalten Links, die der Abonnent nutzen kann (Bestätigen, Abbestellen).
• Der Analytics-Admin-Hinweis des Plugins zeigt ein revDSG-Label an, wenn ein Schweizer Setup erkannt wird.

Zweckbindung und Verhältnismässigkeit

• Anfragedaten werden zum Zweck der Beantwortung einer Fahrzeuganfrage oder einer Probefahrtanfrage erhoben.
• Suchabo-Daten werden zum Zweck des Versands von Benachrichtigungs-E-Mails über neu importierte, passende Fahrzeuge erhoben.
• Analytics-Ereignisse sind, sofern aktiviert, aggregierte Ereignisdatensätze, die für die interne Website-Analyse verwendet werden.

Datenminimierung

• Optionale Lead-Felder (Telefon, Nachricht) können ausgeblendet werden, sodass nur Name und E-Mail erforderlich sind.
• Die IP-Adresse des Absenders wird nicht mit den Leads gespeichert. Ein gesalzener SHA-256-Hash der IP wird nur für ein kurzzeitiges Rate-Limiting über einen WordPress-Transient verwendet (5 Einsendungen pro IP und 5 Minuten).
• Die Analytics-Tabelle speichert nur den Ereignistyp, optionale minimierte Nutzdaten, die Fahrzeug-ID und den Zeitstempel. Es werden keine IP-Adressen, Benutzerkennungen oder Cookies auf der Serverseite gespeichert.
• Die Option Filter data minimization entfernt Freitext-Suchbegriffe (s, search, q) aus den Analytics-Filter-Suchdaten.
• Suchabo-Kriterien sind auf eine feste Whitelist von Schlüsseln beschränkt.

Sicherheit der Verarbeitung

• Admin-Aktionen sind durch die Plugin-Berechtigung manage_as24_imports und WordPress-Nonces geschützt.
• Das Kontaktformular erfordert eine Nonce und enthält ein verstecktes Honeypot-Feld.
• Der Logger maskiert die Fragmente token=…, client_secret=… und Authorization: Bearer … vor dem Schreiben.
• Siehe Sicherheitsempfehlungen für die empfohlenen Härtungsschritte.

Grenzüberschreitende Datenübermittlung

• Das Plugin verbindet sich mit der AutoScout24 Hub-API, um Fahrzeugdaten zu importieren. Die an diese API fliessenden Daten sind betriebliche Garagendaten (Zugangsdaten, Listing-Referenzen), keine personenbezogenen Daten von Website-Besuchern.
• E-Mails werden über wp_mail versendet. Der tatsächliche Zustellweg hängt vom Mail-Transport der Website ab (beispielsweise ein SMTP-Dienst oder Hosting-Provider). Befindet sich dieser Transport ausserhalb der Schweiz, muss die damit verbundene Übermittlung in Ihrer Datenschutzerklärung beurteilt werden.
• Die optionale AI Assistant-Funktion sendet, wenn sie aktiviert ist, Prompts an den in ADP Car Market Hub konfigurierten, verwalteten Google Gemini-Endpunkt. Im WordPress-Backend ist keine Providerauswahl, Modellauswahl oder Eingabe eines API-Schlüssels erforderlich; die kundenspezifische KI-Bereitstellung wird nach der Installation durch AD Promotion abgeschlossen. Der Gemini-Endpunkt wird in der Regel ausserhalb der Schweiz gehostet, sodass die damit verbundene Übermittlung in Ihrer Datenschutzerklärung beurteilt werden muss. Deaktivieren Sie die Funktion, wenn solche Übermittlungen nicht erwünscht sind. Überprüfen Sie die geltenden Datenverarbeitungs- und Vertragsbedingungen für das verwaltete KI-Setup, bevor Sie KI-Funktionen in der Produktivumgebung aktivieren.

Betroffenenrechte

• Der Admin-Tab Leads des Plugins unterstützt die Suche, Statusfilterung, den CSV-Export und das Löschen einzelner Leads.
• Der Admin-Tab Search Alerts des Plugins unterstützt das Bearbeiten, Statusänderungen (active, inactive, paused) und das Löschen von Abonnements.
• Das Plugin registriert keinen WordPress-Exporteur oder -Löscher-Hook für personenbezogene Daten; Rechteanfragen werden manuell mit den oben genannten Werkzeugen bearbeitet. Überprüfen Sie dieses Verhalten in der aktuellen Plugin-Version, bevor Sie eine darauf basierende Prozessdokumentation veröffentlichen.

Verzeichnis der Verarbeitungstätigkeiten

• Siehe Datenhaltungs-Übersicht für ein Inventar der gespeicherten Datenkategorien, das in das interne Verzeichnis der Garage einfliessen kann.

Konfigurations-Referenz

Die für ein Schweizer Setup relevantesten Einstellungen sind:

Betriebliche Hinweise

• Das revDSG-Framework unterstützt eine andere Mischung von Rechtsgrundlagen als die DSGVO. Ob Ihr spezifischer Tracking- oder Marketing-Anwendungsfall eine ausdrückliche Einwilligung, ein Opt-out oder einen reinen Transparenzansatz erfordert, sollten Sie mit Ihrem Rechtsberater klären.
• Wenn Sie die Website Besuchern sowohl in der Schweiz als auch in der EU anbieten, kann auch die DSGVO anwendbar sein. In der Praxis richten Betreiber ihre Datenschutzerklärung und Einwilligungs-UI häufig am strengeren Framework aus.
• Der Selektor für die Datenschutz-Gerichtsbarkeit ist nur ein Label. Das Umschalten auf revdsg ändert nichts an den erfassten Daten. Die betrieblichen Kontrollen (Analytics ein/aus, Aufbewahrung, Einwilligung) bleiben die relevanten Hebel.

Schritt für Schritt: Das Plugin auf ein Schweizer / revDSG-Setup ausrichten

1. Identifizieren Sie, ob die Website für die Schweiz bestimmt ist (typisch: .ch-Domain, CHF-Währung).
2. Lassen Sie in den Analytics-Einstellungen die Privacy jurisdiction auf auto (sie wird als revdsg aufgelöst) oder stellen Sie sie explizit auf revdsg ein.
3. Aktualisieren Sie die Datenschutzerklärung der Website, um die Bearbeitung von Anfragen, Suchabos und (falls aktiviert) Analytics in einer für die Schweiz angemessenen Terminologie zu beschreiben.
4. Tragen Sie in den Lead-Formulareinstellungen die Privacy page URL zur Schweizer Datenschutzerklärung ein und konfigurieren Sie das Einwilligungs-Label entsprechend.
5. Entscheiden Sie, ob Sie Analytics aktivieren möchten. Falls aktiviert, wählen Sie zwischen: - Rein transparentem Betrieb (Analytics ein, Einwilligungspflicht aus, in der Datenschutzerklärung dokumentiert) oder - Durch Einwilligung gesteuertem Betrieb (Analytics ein, Require consent ein, über den Filter as24ci_analytics_consent_check mit einem Consent-Management-Plugin verknüpft).
6. Legen Sie den Aufbewahrungszeitraum für Analytics gemäss Ihrer Datenschutzprüfung fest.
7. Dokumentieren Sie einen manuellen Arbeitsablauf für die Bearbeitung von Auskunfts- und Löschungsbegehren über die Admin-Tabs für Leads und Suchabos.

Fehlerbehebung

• Erkannte Gerichtsbarkeit ist falsch — ändern Sie die Privacy jurisdiction in den Analytics-Einstellungen von auto auf revdsg.
• Besucher in der Schweiz verlangt Löschung — suchen Sie den Lead im Admin-Tab für Leads und löschen Sie ihn; weisen Sie den Besucher an, den Abbestell-Link in den Suchabo-Benachrichtigungen zu verwenden, oder entfernen Sie sein Abonnement im Admin-Tab für Suchabos.
• E-Mail-Transport befindet sich ausserhalb der Schweiz — aktualisieren Sie die Datenschutzerklärung, um den Übermittlungsweg offenzulegen; ziehen Sie lokale SMTP-Alternativen in Betracht, falls Ihre Datenschutzprüfung dies erfordert.

Verwandte Dokumente

• Datenhaltungs-Übersicht
• Lead-Daten und Einwilligung
• Analytics-Aufbewahrung
• Suchabos Double Opt-In
• GDPR / DSGVO-Hinweise
• Sicherheitsempfehlungen
• Zugriffskontrolle und Berechtigungen