Datenschutzerklärung für die Website: Diese Angaben sind Pflicht

Jede Website, die personenbezogene Daten verarbeitet, benötigt eine Datenschutzerklärung, und das betrifft praktisch jede Website. Sie ist das Aushängeschild der Datenschutz-Compliance eines Unternehmens und wird von Wettbewerbern, Verbänden und Aufsichtsbehörden als Erstes geprüft. Gleichzeitig sind viele Datenschutzerklärungen veraltet, unvollständig oder beschreiben Dienste, die längst nicht mehr eingesetzt werden.

Rechtsgrundlage: Art. 13 DSGVO

Werden personenbezogene Daten bei der betroffenen Person erhoben, ist sie zum Zeitpunkt der Erhebung zu informieren. Auf einer Website geschieht das typischerweise über eine Datenschutzerklärung, die von jeder Seite aus mit einem Klick erreichbar sein sollte, üblicherweise über einen Link im Footer, getrennt vom Impressum. Die Informationen müssen präzise, transparent, verständlich und leicht zugänglich in klarer und einfacher Sprache erfolgen (Art. 12 Abs. 1 DSGVO).

Die Pflichtangaben im Überblick

• Name und Kontaktdaten des Verantwortlichen,
• Kontaktdaten des Datenschutzbeauftragten, falls benannt,
• Zwecke und Rechtsgrundlagen jeder Verarbeitung,
• bei Art. 6 Abs. 1 lit. f DSGVO: die berechtigten Interessen,
• Empfänger oder Kategorien von Empfängern, etwa Hosting-Anbieter oder Newsletter-Dienste,
• Übermittlungen in Drittländer und die zugrunde liegenden Garantien,
• Speicherdauer oder Kriterien für ihre Festlegung,
• Hinweis auf die Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch),
• Hinweis auf das Recht, eine Einwilligung jederzeit zu widerrufen,
• Hinweis auf das Beschwerderecht bei einer Aufsichtsbehörde,
• ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist,
• gegebenenfalls das Bestehen automatisierter Entscheidungsfindung.

Typische Verarbeitungen auf Websites

Gegliedert wird die Erklärung am besten nach Verarbeitungsvorgängen: Server-Logfiles beim Aufruf der Seite, Kontaktformular und E-Mail, Newsletter, Cookies und Einwilligungsverwaltung, Analyse-Tools, eingebettete Inhalte wie Karten oder Videos, Online-Bewerbungen und gegebenenfalls ein Online-Shop. Für Cookies und ähnliche Technologien ist seit Dezember 2021 neben der DSGVO das TTDSG zu nennen; Einzelheiten dazu in unserem Beitrag „TTDSG ab 1. Dezember 2021“.

Die häufigsten Fehler

• Kopierte Muster ohne Bezug zur tatsächlichen Website.
• Veraltete Inhalte, etwa Verweise auf das Privacy Shield oder das TMG.
• Fehlende Dienste: Ein Plugin lädt Schriftarten oder Karten von Drittservern, die Erklärung schweigt dazu. Dass das teuer werden kann, zeigt das Google-Fonts-Urteil des LG München I.
• Die pauschale Berufung auf „berechtigte Interessen“ für alles.
• Juristische Bleiwüsten ohne Gliederung.

Generator oder individuell?

Datenschutz-Generatoren sind ein brauchbarer Ausgangspunkt, ersetzen aber nicht die Prüfung, welche Daten die Website tatsächlich verarbeitet. Lassen Sie im ersten Schritt technisch prüfen, welche Verbindungen beim Seitenaufruf aufgebaut und welche Cookies gesetzt werden, und gleichen Sie dies mit der Erklärung ab.

Nach jedem neuen Plugin, jedem neuen Tool und jedem Relaunch gehört die Datenschutzerklärung auf den Prüfstand. Wir überarbeiten sie mit Ihnen auf Grundlage der tatsächlichen Datenverarbeitung Ihrer Website. Kontakt aufnehmen oder online einen Termin buchen.