Pflegeleichte Datenschutz­erklärungen für Ihre Website

Pflichtangaben nach Art. 13 DSGVO

Werden Daten bei den Besuchern selbst erhoben, muss der Verantwortliche zum Zeitpunkt der Erhebung informieren (Art. 13 DSGVO). Auf einer Website heißt das: spätestens mit dem ersten Seitenaufruf. Die Datenschutzerklärung nennt insbesondere:

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Datenschutzbeauftragten und eines Vertreters in der EU
• Zwecke und Rechtsgrundlagen jeder Verarbeitung, bei berechtigten Interessen auch diese Interessen
• Empfänger oder Kategorien von Empfängern
• Übermittlungen in Drittländer und ihre Grundlage
• die Speicherdauer oder die Kriterien dafür
• die Rechte der Besucher, einschließlich Widerruf einer Einwilligung und Beschwerde bei der Aufsichtsbehörde

Empfänger: Kategorien oder Namen?

Art. 13 Abs. 1 lit. e DSGVO verlangt die Angabe der „Empfänger oder Kategorien von Empfängern“. Kategorien wie „Hosting-Dienstleister“ genügen also dem Wortlaut. Die Transparenz-Leitlinien der Aufsichtsbehörden (WP 260, vom EDSA übernommen) sehen die Nennung der konkreten Empfänger allerdings als Regelfall und verlangen, Kategorien möglichst genau zu fassen. Strenger ist das Auskunftsrecht: Auf Anfrage sind grundsätzlich die konkreten Empfänger zu nennen (EuGH, Urteil vom 12.01.2023, C-154/21).

Ein hybrider Aufbau verbindet beides: Im Text stehen die Kategorien, in einem Anhang die konkret eingesetzten Anbieter. Der Text bleibt stabil, die Anbieterliste vollständig.

Datenschutzerklärung und Cookie-Banner

Zwei Regelwerke greifen nebeneinander. Die DSGVO regelt die Verarbeitung personenbezogener Daten. § 25 TDDDG regelt den Zugriff auf das Endgerät, also das Setzen und Auslesen von Cookies und ähnlichen Techniken, unabhängig davon, ob dabei personenbezogene Daten gespeichert werden. Eine Einwilligung ist danach nötig, außer der Zugriff ist unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen.

Das Banner holt deshalb typischerweise beide Einwilligungen gemeinsam ein. Die Datenschutzerklärung beschreibt die Verarbeitungen und die Arten der Einwilligung. Die Cookie-Informationen mit Name, Zweck und Laufzeit einzelner Cookies gehören in das Consent-Tool. Entscheidend ist, dass Banner und Website zusammenpassen: Lädt ein Dienst schon vor der Einwilligung, hilft auch der beste Text nicht.

Wann muss die Erklärung angepasst werden?

Die Erklärung muss den tatsächlichen Stand der Website wiedergeben. Anlass für eine Anpassung sind insbesondere:

• neue Funktionen wie Newsletter, Shop, Kundenkonto oder Chat
• neue oder gewechselte Dienstleister, etwa für Hosting, Statistik oder Zahlungen
• neu eingebundene Inhalte wie Videos, Karten oder Schriftarten
• geänderte Speicherfristen oder ein neuer Datenschutzbeauftragter
• Änderungen der Rechtslage, etwa bei Drittlandsübermittlungen

Typische Fehler

Diese Schwächen finden sich in der Praxis besonders häufig:

• eine kopierte Erklärung, die nicht zur eigenen Technik passt
• vergessene Dienste, besonders eingebundene Schriftarten, Karten, Videos und Captchas
• Statistik- und Marketing-Tools, die schon vor der Einwilligung laden
• Anbieter, die längst ersetzt sind, während neue fehlen
• pauschale Rechtsgrundlagen ohne Zuordnung zu den einzelnen Zwecken
• eine vage Speicherdauer wie „solange erforderlich“ ohne Kriterien
• Auftragsverarbeiter in der Erklärung, mit denen kein Vertrag nach Art. 28 DSGVO besteht

US-Dienste und Data Privacy Framework

Viele Website-Dienste stammen von US-Anbietern, etwa für Analyse, Werbung oder Videos. Seit dem Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 dürfen Daten an US-Unternehmen übermittelt werden, die unter dem EU-US Data Privacy Framework (DPF) zertifiziert sind. Die Datenschutzerklärung muss die Übermittlung trotzdem nennen, samt ihrer Grundlage (Art. 13 Abs. 1 lit. f DSGVO).

Fehlt die Zertifizierung oder sitzt der Empfänger in einem anderen Drittland ohne Angemessenheitsbeschluss, sind in der Regel Standardvertragsklauseln nötig. Ob ein Anbieter zertifiziert ist, zeigt die öffentliche DPF-Liste. Der Status kann sich ändern und gehört deshalb regelmäßig geprüft.

Abmahnung und Bußgeld

Eine fehlende oder fehlerhafte Datenschutzerklärung verletzt die Informationspflichten. Die Aufsichtsbehörden können Bußgelder verhängen, der Rahmen reicht nach Art. 83 Abs. 5 lit. b DSGVO bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes. Betroffene können sich beschweren und unter den Voraussetzungen des Art. 82 DSGVO Schadensersatz verlangen.

Ob Mitbewerber Datenschutzverstöße abmahnen können, war lange umstritten. Der EuGH hat entschieden, dass die DSGVO einer Klage von Mitbewerbern nach nationalem Lauterkeitsrecht nicht entgegensteht (Urteil vom 04.10.2024, C-21/23). Angreifbar sind vor allem Fälle, in denen Text und Website erkennbar auseinanderfallen, etwa Tracking ohne Einwilligung.

Platzierung und Erreichbarkeit

Die Erklärung muss leicht zugänglich sein (Art. 12 Abs. 1 DSGVO). Bewährt hat sich:

• ein eindeutig benannter Link wie „Datenschutz“ auf jeder Seite, meist im Footer
• ein Hinweis dort, wo Daten erhoben werden: Kontaktformular, Newsletter-Anmeldung, Checkout und Cookie-Banner
• eine eigene Seite, nicht versteckt im Impressum oder in den AGB
• die Sprache der Website: Wer sich an englischsprachige Besucher richtet, bietet die Erklärung auch auf Englisch an