Die Datenschutzerklärung ist die zweite Pflichtseite neben dem Impressum, und anders als dieses lässt sie sich nicht in zwanzig Minuten abhaken. Sie muss beschreiben, was auf Ihrer Seite tatsächlich passiert, und genau daran scheitern die meisten.
Der häufigste Fehler ist eine Erklärung, die Dienste aufführt, die gar nicht eingesetzt werden, und andere verschweigt, die eingesetzt werden. Auch dieser Beitrag ersetzt keine Rechtsberatung.
Das Wichtigste in Kürze
Die Pflicht gilt, sobald personenbezogene Daten verarbeitet werden, und das beginnt bei der IP-Adresse.
Sie muss zutreffen, nicht vollständig klingen. Ein Generator allein reicht nicht.
Für jeden Zweck braucht es eine Rechtsgrundlage.
Betroffenenrechte und Beschwerderecht müssen genannt sein.
Bei Diensten außerhalb der EU kommt der Drittlandtransfer hinzu.
Warum jede Seite betroffen ist
Sobald jemand Ihre Seite aufruft, wird seine IP-Adresse verarbeitet, allein damit die Seite ausgeliefert werden kann. Die IP-Adresse gilt als personenbezogenes Datum. Damit greift die Informationspflicht auch bei einer reinen Visitenkartenseite ohne Formular.
Der Umfang unterscheidet sich allerdings erheblich: Eine schlichte Seite kommt mit wenigen Abschnitten aus, eine Seite mit Analyse, Werbepixeln und Buchungssystem braucht deutlich mehr.
Was hineingehört
Die Struktur ist in der Datenschutz-Grundverordnung vorgegeben. In der Praxis sind das:
Verantwortlicher mit Kontaktdaten, gegebenenfalls Datenschutzbeauftragter
Welche Daten beim bloßen Aufruf anfallen, also Server-Protokolle
Kontaktformular und E-Mail: welche Felder, wie lange gespeichert
Cookies und Einwilligung, mit Widerrufsmöglichkeit
Jeder eingesetzte Dienst einzeln, mit Zweck und Rechtsgrundlage
Empfänger der Daten und Übermittlung in Drittländer
Speicherdauer je Zweck
Rechte der Betroffenen und Beschwerderecht bei der Aufsichtsbehörde
Rechtsgrundlagen zuordnen
Für jeden Zweck muss eine Rechtsgrundlage benannt werden. Für die meisten Unternehmensseiten sind drei relevant:
Die häufigste Fehlzuordnung ist Analyse auf berechtigtes Interesse zu stützen. Das trägt nach heutiger Auslegung nicht.
Zweck | Typische Grundlage |
Auslieferung der Seite, Sicherheit | Berechtigtes Interesse |
Kontaktaufnahme und Angebot | Vertragsanbahnung |
Analyse, Werbung, eingebettete Dienste | Einwilligung |
Was Generatoren leisten und was nicht
Generatoren sind ein sinnvoller Ausgangspunkt. Sie liefern die Struktur und juristisch geprüfte Textbausteine. Was sie nicht können, ist wissen, was auf Ihrer Seite tatsächlich läuft.
Deshalb gilt: Erst eine Liste der eingesetzten Dienste erstellen, dann den Generator ausfüllen, dann die erzeugten Bausteine gegen die Liste prüfen. Alles, was übrig bleibt, gehört gestrichen.
Praxistipp: Erstellen Sie die Dienstliste über die Entwicklerwerkzeuge des Browsers: Seite aufrufen, im Netzwerk-Reiter alle fremden Domains notieren. Das ist die ehrlichste Bestandsaufnahme.
Der Sonderfall Auftragsverarbeitung
Wer Dienstleister einsetzt, die in Ihrem Auftrag Daten verarbeiten, also Hoster, Newsletter-Anbieter, Terminbuchung, braucht mit ihnen einen Vertrag zur Auftragsverarbeitung. Das ist unabhängig von der Datenschutzerklärung, wird aber oft zusammen vergessen.
Seriöse Anbieter stellen diesen Vertrag im Kundenkonto zum Abschluss bereit. Ein Nachmittag genügt, um die vorhandenen einzusammeln.
Was bei Verstößen passiert
Anders als beim Impressum stehen hier nicht in erster Linie Abmahnungen im Vordergrund, sondern Beschwerden von Betroffenen bei der Aufsichtsbehörde. Die fragt dann beim Unternehmen nach, und aus einer Nachfrage wird schnell eine Prüfung des Gesamtzustands.
Bußgelder treffen kleine Betriebe selten, unangenehm ist eher der Aufwand. Wer eine zutreffende Erklärung hat, ist in wenigen Sätzen aus der Sache heraus.
Wichtige Erkenntnisse
Punkt | Was zu tun ist |
Umfang | Jede Seite, weil schon die IP-Adresse ein Datum ist |
Zutreffend | Nur Dienste beschreiben, die tatsächlich laufen |
Grundlage | Analyse und Werbung brauchen Einwilligung |
Verträge | Auftragsverarbeitung mit allen Dienstleistern |
Pflege | Bei jedem neuen Werkzeug nachziehen |
Was das in der Praxis heißt
Der praktikable Weg besteht aus drei Schritten: Dienstliste erstellen, Generator ausfüllen, erzeugte Bausteine gegen die Liste prüfen. Danach einmal fachkundig durchsehen lassen, wenn Sie viele Dienste einsetzen.
Wichtiger als Vollständigkeit im Wortlaut ist, dass die Erklärung stimmt. Eine kurze zutreffende Erklärung ist besser als eine lange, die Dienste beschreibt, die es nicht gibt.
Wie wir das machen
Wir richten die Rechtstexte mit ein und halten sie aktuell, wenn sich auf der Seite etwas ändert. Die inhaltliche Verantwortung bleibt bei Ihnen, den technischen Abgleich übernehmen wir.
Was dazugehört, steht auf der Paketseite.
Nützliche Quellen
Häufige Fragen
Reicht eine kurze Erklärung?
Wenn die Seite wenig macht, ja. Der Umfang richtet sich nach dem, was tatsächlich verarbeitet wird.
Brauche ich einen Datenschutzbeauftragten?
Erst ab bestimmten Schwellen oder bei bestimmten Verarbeitungen. Für die meisten Kleinbetriebe entfällt die Pflicht.
Muss die Erklärung in einfacher Sprache sein?
Sie muss verständlich sein. Juristendeutsch, das niemand versteht, erfüllt die Anforderung streng genommen nicht.
Wie oft muss ich sie aktualisieren?
Immer wenn sich etwas ändert, und ohne Anlass einmal im Jahr zur Kontrolle.
Passend dazu
Passend dazu: Impressumspflicht und Kontaktformular und DSGVO.
