revDSG-Hinweise

Dieses Dokument fasst zusammen, wie die Funktionen des ADP Car Market Hub-Plugins mit dem revidierten Schweizer Bundesgesetz über den Datenschutz (revDSG / nFADP) zusammenhängen, das für viele in der Schweiz betriebene oder auf die Schweiz ausgerichtete Fahrzeug-Händler-Websites gilt. Es ergänzt die GDPR / DSGVO-Hinweise, die den EU/EWR-Rahmen abdecken.

Dieses Dokument ist keine Rechtsberatung und garantiert keine Compliance. Die endgültige rechtliche Beurteilung hängt von der Einrichtung der Website, den konfigurierten Funktionen, der Implementierung von Einwilligung oder Transparenz und Ihren spezifischen Verpflichtungen nach Schweizer Recht ab. Website-Betreiber sollten ihre Position mit ihrem eigenen Rechtsberater überprüfen.

Wann dieses Dokument zu verwenden ist

Verwenden Sie dieses Dokument, wenn Sie:

• Eine Autohaus-Website in der Schweiz betreiben (typisches Setup mit einer .ch-Domain und CHF als Standardwährung).
• Eine auf die Schweiz ausgerichtete Datenschutzerklärung für Anfragen, Suchaufträge und integrierte Analytics vorbereiten.
• Datenverarbeitungsaktivitäten für ein Schweizer Publikum dokumentieren.
• Bestätigen möchten, dass die Datenschutz-Kontrollen des Plugins mit Ihren internen Schweizer Datenschutzrichtlinien übereinstimmen.

Übersicht

Die datenschutzrelevanten Funktionen des Plugins sind unabhängig von der Gerichtsbarkeit dieselben (siehe Übersicht über die Datenspeicherung und GDPR / DSGVO-Hinweise). Die Unterschiede für eine Schweizer Website betreffen hauptsächlich:

• Benennung und Kennzeichnung — der Analytics-Admin-Hinweis des Plugins kann ein Schweizer revDSG-Label anzeigen.
• Die Rechtsgrundlage für die Verarbeitung — unter dem revDSG ist eine transparente Offenlegung zusammen mit einem berechtigten Zweck oft ausreichend, aber spezifische Fälle können dennoch eine ausdrückliche Einwilligung erfordern.
• Die Art und Weise, wie die Datenschutzerklärung formuliert ist (Verantwortlicher, Zwecke, Empfänger, Übermittlung ins Ausland).

Das Plugin kann ein Schweizer Setup automatisch erkennen und das revDSG-Label entsprechend einblenden.

Wie das Plugin ein Schweizer / revDSG-Setup erkennt

Das Analytics-Modul des Plugins enthält einen Erkennungsmechanismus für die Gerichtsbarkeit mit folgender Reihenfolge:

1. Der manuelle Override, der in der Option as24ci_analytics_privacy_jurisdiction gespeichert ist, sofern er nicht auto ist.
2. Die TLD der konfigurierten AutoScout24-API-Basis-URL. Hosts, die auf .ch (oder .autoscout24.ch) enden, werden als revdsg aufgelöst.
3. Die Standardwährung. CHF wird als revdsg aufgelöst.
4. Andernfalls fällt der Wert auf andere Gerichtsbarkeiten (gdpr, dsgvo, uk_gdpr) oder auf generic zurück.

Betreiber können den Wert jederzeit erzwingen, indem sie die Option Datenschutz-Gerichtsbarkeit in den Analytics-Einstellungen auf revdsg setzen. Die Einstellung dient nur zur Information; sie steuert das im Admin-Hinweis angezeigte Framework-Label und ändert nicht, welche Daten erfasst werden.

Wie revDSG-Themen den Plugin-Funktionen zugeordnet werden

Die folgende Zuordnung beschreibt, wie das Plugin-Verhalten mit gängigen revDSG-Themen zusammenhängt. Sie dient der Information und ersetzt keine projektspezifische Prüfung.

Informationspflicht (Transparenz)

• Das Lead-Formular unterstützt ein konfigurierbares Einwilligungs-Label und eine Datenschutzseiten-URL, die auf die Schweizer Datenschutzerklärung der Website verweisen kann.
• Die Bestätigungs-E-Mail für das Suchauftrags-Abonnement und die Benachrichtigungs-E-Mail enthalten beide Links, die der Abonnent nutzen kann (Bestätigen, Abbestellen).
• Der Analytics-Admin-Hinweis des Plugins zeigt ein revDSG-Label an, wenn ein Schweizer Setup erkannt wird.

Zweckbindung und Verhältnismäßigkeit

• Anfragedaten werden zum Zweck der Beantwortung einer Fahrzeuganfrage oder einer Probefahrtanfrage erhoben.
• Suchauftragsdaten werden zum Zweck des Versands von Benachrichtigungs-E-Mails über neu importierte, passende Fahrzeuge erhoben.
• Analytics-Ereignisse sind, sofern aktiviert, aggregierte Ereignisdatensätze, die für interne Website-Analysen verwendet werden.

Datenminimierung

• Optionale Lead-Felder (Telefon, Nachricht) können ausgeblendet werden, sodass nur Name und E-Mail erforderlich sind.
• Die IP-Adresse des Absenders wird nicht mit den Leads gespeichert. Ein gesalzener SHA-256-Hash der IP wird nur für eine kurzzeitige Ratenbegrenzung über einen WordPress-Transient verwendet (5 Einsendungen pro IP und 5 Minuten).
• Die Analytics-Tabelle speichert nur den Ereignistyp, optionale minimierte Nutzdaten, die Fahrzeug-ID und den Zeitstempel. Es werden serverseitig keine IP-Adressen, Benutzerkennungen oder Cookies gespeichert.
• Die Option Datenminimierung filtern entfernt Freitext-Suchschlüssel (s, search, q) aus den Analytics-Filter-Suchnutzdaten.
• Die Kriterien für Suchaufträge sind auf eine feste Whitelist von Schlüsseln beschränkt.

Sicherheit der Verarbeitung

• Admin-Aktionen sind durch die Berechtigung manage_as24_imports des Plugins und WordPress-Nonces geschützt.
• Das Kontaktformular erfordert ein Nonce und enthält ein verstecktes Honeypot-Feld.
• Der Logger maskiert die Fragmente token=…, client_secret=… und Authorization: Bearer … vor dem Schreiben.
• Siehe Sicherheitsempfehlungen für die empfohlenen Härtungsschritte.

Grenzüberschreitende Datenübermittlung

• Das Plugin verbindet sich mit der AutoScout24 Hub-API, um Fahrzeugdaten zu importieren. Die an diese API fließenden Daten sind betriebliche Autohaus-Daten (Zugangsdaten, Listing-Referenzen), keine personenbezogenen Daten von Website-Besuchern.
• E-Mails werden über wp_mail versendet. Der tatsächliche Zustellungspfad hängt vom E-Mail-Transport der Website ab (beispielsweise ein SMTP-Dienst oder Hosting-Anbieter). Wenn sich dieser Transport außerhalb der Schweiz befindet, muss die damit verbundene Übermittlung in Ihrer Datenschutzerklärung bewertet werden.
• Die optionale KI-Assistent-Funktion sendet, wenn sie aktiviert ist, Prompts an den in ADP Car Market Hub konfigurierten verwalteten Google Gemini-Endpunkt. Im WordPress-Backend ist keine Provider-Auswahl, Modell-Auswahl oder API-Schlüsseleingabe erforderlich; die kundenspezifische KI-Bereitstellung wird nach der Installation von AD Promotion abgeschlossen. Der Gemini-Endpunkt wird in der Regel außerhalb der Schweiz gehostet, daher muss die damit verbundene Übermittlung in Ihrer Datenschutzerklärung bewertet werden. Deaktivieren Sie die Funktion, wenn solche Übermittlungen nicht erwünscht sind. Überprüfen Sie die geltenden Datenverarbeitungs- und Vertragsbedingungen für das verwaltete KI-Setup, bevor Sie KI-Funktionen in der Produktivumgebung aktivieren.

Betroffenenrechte

• Der Admin-Tab Leads des Plugins unterstützt die Suche, Statusfilterung, den CSV-Export und das Löschen einzelner Leads.
• Der Admin-Tab Suchaufträge des Plugins unterstützt das Bearbeiten, die Statusänderung (active, inactive, paused) und das Löschen von Abonnements.
• Das Plugin registriert keinen WordPress-Exporteur oder -Löscher-Hook für personenbezogene Daten; Rechteanfragen werden manuell mit den oben genannten Tools bearbeitet. Überprüfen Sie dieses Verhalten in der aktuellen Plugin-Version, bevor Sie eine darauf basierende Prozessdokumentation veröffentlichen.

Verzeichnis der Verarbeitungstätigkeiten

• Siehe Übersicht über die Datenspeicherung für ein Inventar der gespeicherten Datenkategorien, das in die internen Verzeichnisse des Autohauses einfließen kann.

Konfigurationsreferenz

Die für ein Schweizer Setup relevantesten Einstellungen sind:

Betriebliche Hinweise

• Das revDSG-Framework unterstützt eine andere Kombination von Rechtsgrundlagen als die DSGVO. Ob Ihr spezifischer Tracking- oder Marketing-Anwendungsfall eine ausdrückliche Einwilligung, ein Opt-out oder einen reinen Transparenzansatz erfordert, sollten Sie mit Ihrem Rechtsberater klären.
• Wenn Sie die Website Besuchern sowohl in der Schweiz als auch in der EU anbieten, kann auch die DSGVO anwendbar sein. In der Praxis richten Betreiber ihre Datenschutzerklärung und Einwilligungs-UI häufig am strengeren Framework aus.
• Der Selektor für die Datenschutz-Gerichtsbarkeit ist nur ein Label. Das Umschalten auf revdsg ändert nicht, welche Daten erfasst werden. Die betrieblichen Kontrollen (Analytics ein/aus, Aufbewahrung, Einwilligung) bleiben die relevanten Hebel.

Schritt für Schritt: Das Plugin an ein Schweizer / revDSG-Setup anpassen

1. Identifizieren Sie, ob die Website für die Schweiz bestimmt ist (typisch: .ch-Domain, CHF-Währung).
2. Belassen Sie in den Analytics-Einstellungen die Datenschutz-Gerichtsbarkeit auf auto (sie wird als revdsg aufgelöst) oder setzen Sie sie explizit auf revdsg.
3. Aktualisieren Sie die Datenschutzerklärung der Website, um die Bearbeitung von Anfragen, Suchaufträge und (falls aktiviert) Analytics in für die Schweiz angemessener Terminologie zu beschreiben.
4. Setzen Sie in den Lead-Formular-Einstellungen die Datenschutzseiten-URL auf die Schweizer Datenschutzerklärung und konfigurieren Sie das Einwilligungs-Label entsprechend.
5. Entscheiden Sie, ob Sie Analytics aktivieren möchten. Falls aktiviert, wählen Sie zwischen: - Rein transparentem Betrieb (Analytics ein, Einwilligungspflicht aus, in der Datenschutzerklärung dokumentiert) oder - Durch Einwilligung gesteuertem Betrieb (Analytics ein, Einwilligung erforderlich ein, über den Filter as24ci_analytics_consent_check mit einem Consent-Management-Plugin verknüpft).
6. Legen Sie den Aufbewahrungszeitraum für Analytics gemäß Ihrer Datenschutzprüfung fest.
7. Dokumentieren Sie einen manuellen Arbeitsablauf für die Bearbeitung von Auskunfts- und Löschanfragen über die Admin-Tabs „Leads“ und „Suchaufträge“.

Fehlerbehebung

• Erkannte Gerichtsbarkeit ist falsch — ändern Sie die Datenschutz-Gerichtsbarkeit in den Analytics-Einstellungen von auto auf revdsg.
• Besucher in der Schweiz bittet um Löschung — suchen Sie den Lead im Admin-Tab „Leads“ und löschen Sie ihn; weisen Sie den Besucher an, den Abbestell-Link für Suchauftrags-Benachrichtigungen zu verwenden, oder entfernen Sie sein Abonnement im Admin-Tab „Suchaufträge“.
• E-Mail-Transport befindet sich außerhalb der Schweiz — aktualisieren Sie die Datenschutzerklärung, um den Übermittlungspfad offenzulegen; ziehen Sie lokale SMTP-Alternativen in Betracht, falls Ihre Datenschutzprüfung dies erfordert.

Verwandte Dokumente

• Übersicht über die Datenspeicherung
• Lead-Daten und Einwilligung
• Analytics-Aufbewahrung
• Suchaufträge Double Opt-In
• GDPR / DSGVO-Hinweise
• Sicherheitsempfehlungen
• Zugriffskontrolle und Berechtigungen