Eine Datenschutzerklärung für die eigene Website verfassen
Die Datenschutzerklärung ist das Dokument, das den Besuchern einer Website erklärt, welche personenbezogenen Daten erhoben werden, warum, wie lange und wie sie ihre Rechte ausüben können. Sie ergibt sich unmittelbar aus den Informationspflichten der DSGVO und muss die tatsächlich von der Website durchgeführten Verarbeitungen präzise widerspiegeln, statt eines generischen, realitätsfernen Textes.
Das eigentliche Problem: ein kopiertes statt ein selbst verfasstes Dokument
Die verbreitetste Praxis besteht darin, die Datenschutzerklärung einer anderen Website zu kopieren, mitunter sogar ohne den Firmennamen zu ändern. Dieses Dokument begründet jedoch die Verantwortlichkeit des Betreibers: Es muss exakt widerspiegeln, was die Website in Bezug auf die Datenerhebung tatsächlich tut. Eine Erklärung, die nicht existierende Verarbeitungen erwähnt oder eine tatsächliche Verarbeitung auslässt (ein Analyse-Tool, ein Werbepixel, eine Drittanbieter-Integration), stellt eine irreführende Information und einen Verstoß gegen die Transparenzpflicht der DSGVO dar.
Was das Dokument enthalten muss
Eine vollständige Datenschutzerklärung beantwortet für jede Kategorie erhobener Daten eine Reihe präziser Fragen:
| Element | Was anzugeben ist |
|---|---|
| Identität des Verantwortlichen | Wer die Daten erhebt, mit Kontaktangaben |
| Erhobene Daten | Genaue Art der Daten (Name, E-Mail, Navigationsdaten usw.) |
| Zweck | Warum diese Daten erhoben werden, für welchen genauen Verwendungszweck |
| Rechtsgrundlage | Einwilligung, berechtigtes Interesse, Vertragserfüllung, gesetzliche Verpflichtung |
| Aufbewahrungsfrist | Wie lange die Daten aufbewahrt werden, mit einer präzisen Frist oder einem entscheidenden Kriterium |
| Empfänger | Wer diese Daten erhält oder verarbeitet (Hosting-Anbieter, Auftragsverarbeiter, Partner) |
| Übermittlungen außerhalb der EU | Falls zutreffend, in welches Land und auf welcher Rechtsgrundlage |
| Rechte der betroffenen Personen | Wie Auskunft, Berichtigung, Löschung und Widerspruch ausgeübt werden können |
| Kontakt | Wie der Verantwortliche oder gegebenenfalls der Datenschutzbeauftragte erreicht werden kann |
| Beschwerde | Hinweis auf die Möglichkeit, sich bei Uneinigkeit an die zuständige Aufsichtsbehörde zu wenden |
Das Dokument an die tatsächlichen Verarbeitungen der Website anpassen
Bevor die Datenschutzerklärung verfasst wird, muss genau erfasst werden, was die Website tatsächlich erhebt. Dies erfordert, jeden Erhebungspunkt zu prüfen: Kontaktformular, Newsletter-Anmeldung, Kontoerstellung, Tools zur Zielgruppenanalyse, Live-Chat, Social-Media-Integrationen, Zahlungsdienstleister. Jeder dieser Punkte muss im Dokument mit seinem eigenen Zweck und seiner eigenen Frist erscheinen, statt einer vagen Formulierung, die "sämtliche Daten der Website" abdeckt.
Der Zusammenhang mit der Rechtsgrundlage jeder Verarbeitung
Die Datenschutzerklärung muss für jede Art von Daten die herangezogene Rechtsgrundlage angeben. Diese Wahl ist nicht willkürlich: Sie ergibt sich aus der Art der Verarbeitung. Ein Kontaktformular stützt sich in der Regel auf berechtigtes Interesse oder vorvertragliche Maßnahmen, ein Newsletter auf die Einwilligung, eine Rechnungsstellung auf die Vertragserfüllung oder eine gesetzliche Buchführungspflicht. Diese Übereinstimmung zwischen der tatsächlichen Verarbeitung und der angegebenen Rechtsgrundlage wird im Falle einer Prüfung vorrangig kontrolliert.
Die Aufbewahrungsfrist, ein oft vernachlässigter Punkt
Entgegen einer verbreiteten Annahme gibt es keine universelle Frist, die für alle Daten gilt. Jede Kategorie folgt ihrer eigenen Logik: Die Daten eines nicht konvertierten Interessenten werden in der Regel drei Jahre ab dem letzten Kontakt aufbewahrt, die Daten eines aktiven Kunden für die Dauer der Geschäftsbeziehung zuzüglich der gesetzlichen Aufbewahrungspflichten (insbesondere buchhalterischer Art), und Cookies zur Reichweitenmessung höchstens dreizehn Monate gemäß den Empfehlungen der Aufsichtsbehörde. Die Datenschutzerklärung muss diese Fristen präzisieren oder zumindest die Kriterien, anhand derer sie bestimmt werden.
Was man sich merken sollte
- Die Datenschutzerklärung muss exakt die tatsächlich von der Website durchgeführten Datenverarbeitungen widerspiegeln, statt eines von anderswo kopierten generischen Textes.
- Jede Datenkategorie muss mit einem präzisen Zweck, einer Rechtsgrundlage und einer Aufbewahrungsfrist verknüpft sein.
- Die Empfänger der Daten (Hosting-Anbieter, Auftragsverarbeiter, Dienstleister) müssen genannt werden, insbesondere bei Übermittlungen außerhalb der Europäischen Union.
- Die Rechte der betroffenen Personen müssen klar erklärt werden, mit einer konkreten Möglichkeit, sie auszuüben.
- Das Dokument muss bei jeder Änderung der Datenverarbeitungen der Website aktualisiert werden.
- Dieses Dokument ist vom Impressum zu unterscheiden, das einer anderen Pflicht unterliegt (E-Commerce-Recht).
Häufig gestellte Fragen
Kann man eine generische Vorlage aus dem Internet verwenden? Eine Vorlage kann als Ausgangspunkt dienen, muss aber an die tatsächlichen Verarbeitungen Ihrer Website angepasst werden. Eine ohne Anpassung kopierte Erklärung riskiert, nicht existierende Verarbeitungen zu erwähnen oder reale wegzulassen.
Muss die Datenschutzerklärung eine vom Impressum getrennte Seite sein? Es besteht keine strikte formale Pflicht, dies wird jedoch aus Gründen der Klarheit dringend empfohlen, da beide Dokumente unterschiedliche gesetzliche Pflichten erfüllen.
Müssen alle Auftragsverarbeiter und verwendeten Tools aufgelistet werden? Es wird empfohlen, mindestens die Kategorien der Empfänger zu nennen, im Idealfall deren genaue Identität, insbesondere wenn Daten außerhalb der Europäischen Union übermittelt werden.
Wie oft muss diese Seite aktualisiert werden? Bei jeder neuen Verarbeitung oder Änderung, die den Zweck, die Frist oder die Empfänger der Daten betrifft. Eine jährliche Überprüfung, selbst ohne erkennbare Änderung, bleibt eine gute Praxis.
Zusammenfassung
Eine gut verfasste Datenschutzerklärung ist keine juristische Stilübung, sondern ein getreues Abbild dessen, was die Website tatsächlich mit den Daten ihrer Besucher macht. Dieser allgemeine Rahmen stellt die aus der DSGVO abgeleiteten Grundsätze dar; für eine präzise, auf Ihre Tätigkeit zugeschnittene Formulierung bleiben die Unterstützung durch einen Rechtsanwalt oder die von der Aufsichtsbehörde bereitgestellten Muster die zuverlässigsten Quellen. Websites, die von VeryAppi begleitet werden, starten mit einer konformen Grundstruktur für die Datenschutzerklärung, die an die jeweiligen Verarbeitungen jeder Tätigkeit angepasst wird.
Häufig gestellte Fragen
›Kann man eine generische Vorlage aus dem Internet verwenden?
Eine Vorlage kann als Ausgangspunkt für die Struktur dienen, muss aber zwingend an die tatsächlichen Verarbeitungen der eigenen Website angepasst werden. Eine ohne Anpassung kopierte Datenschutzerklärung riskiert, Verarbeitungen zu erwähnen, die gar nicht stattfinden, oder tatsächliche Verarbeitungen wegzulassen, was im Falle einer Prüfung einen Verstoß darstellt.
›Muss die Datenschutzerklärung eine vom Impressum getrennte Seite sein?
Es besteht keine formale Pflicht zur strikten Trennung, sie wird aber aus Gründen der Klarheit und Lesbarkeit dringend empfohlen. Impressum und Datenschutzerklärung erfüllen unterschiedliche gesetzliche Pflichten (E-Commerce-Recht für das eine, DSGVO für die andere) und sollten daher getrennt dargestellt werden.
›Müssen alle Auftragsverarbeiter und verwendeten Tools aufgelistet werden?
Es wird empfohlen, mindestens die Kategorien der Datenempfänger zu nennen (Hosting-Anbieter, E-Mail-Marketing-Tool, Zahlungsdienstleister) und im Idealfall deren genaue Identität, sofern dies übersichtlich bleibt. Diese Transparenz stärkt die Konformität und das Vertrauen, insbesondere wenn Daten außerhalb der Europäischen Union übermittelt werden.
›Wie oft muss diese Seite aktualisiert werden?
Jedes Mal, wenn eine neue Datenverarbeitung eingeführt wird (neues Tool, neue Funktion, die Daten erhebt) oder wenn sich der Zweck, die Aufbewahrungsfrist oder die Empfänger bereits erhobener Daten ändern. Eine systematische jährliche Überprüfung bleibt auch ohne erkennbare Änderung eine gute Praxis.