Datenschutzerklärung

Hinweis: Dieser Glossareintrag erklärt den technischen und organisatorischen Rahmen und ersetzt keine Rechtsberatung. Für die verbindliche Beurteilung deines Einzelfalls ist eine Anwältin oder ein Anwalt zuständig.

Passt deine Datenschutzerklärung noch zur Website?

Wir gleichen ab, was technisch tatsächlich eingebunden ist — Plugins, externe Skripte, Formulare — und zeigen dir, wo der Text und die Realität auseinanderlaufen.

Die Datenschutzerklärung ist der Text, mit dem eine Website ihre Besucher darüber informiert, welche personenbezogenen Daten sie verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange. Sie erfüllt die Informationspflichten aus Artikel 13 und 14 der DSGVO und muss in präziser, transparenter und leicht zugänglicher Form vorliegen. Sie ist damit kein Haftungsausschluss, sondern eine Auskunft.

Kurz zusammengefasst:

• Pflicht aus Art. 13/14 DSGVO, Form geregelt in Art. 12 DSGVO.
• Sie muss zur konkreten Website passen — eine kopierte Vorlage ist regelmäßig falsch.
• Ohne Einwilligung erreichbar, also nicht hinter dem Cookie-Banner.
• Muss mitwachsen: Jedes neue Werkzeug ändert die Verarbeitung.
• Aus dem TTDSG ist am 14. Mai 2024 das TDDDG geworden — alte Verweise sind veraltet.

Was drinstehen muss

Die DSGVO gibt den Inhalt recht genau vor. Im Kern sind es acht Blöcke:

Der Punkt, an dem die meisten Erklärungen scheitern, ist der dritte: Zweck und Rechtsgrundlage je Verarbeitung. Eine pauschale Aufzählung genügt nicht. Für jede Verarbeitung — Serverprotokolle, Kontaktformular, Newsletter, Analysewerkzeug, Schriftarten, Kartendienst — braucht es die eigene Begründung.

Warum Vorlagen so oft falsch sind

Eine Datenschutzerklärung beschreibt einen tatsächlichen Zustand. Sie ist damit näher an einer Inventarliste als an einem Rechtstext. Wer eine Vorlage übernimmt, beschreibt die Website von jemand anderem.

In der Praxis sehen wir zwei Fehlerrichtungen, und beide sind problematisch:

• Zu viel: Die Erklärung nennt Google Analytics, Facebook-Pixel und einen Kartendienst, obwohl nichts davon eingebunden ist. Das ist keine Sicherheitsreserve, sondern eine Falschauskunft.
• Zu wenig: Ein Formular-Plugin, ein Schriftarten-Dienst oder ein Caching-Dienst verarbeitet Daten, kommt aber nicht vor. Das ist die häufigere und die riskantere Variante.

Sinnvoll ist deshalb der umgekehrte Weg: erst erheben, was die Website tatsächlich tut — Plugin-Liste, eingebundene Skripte, Formulare, externe Ressourcen — und dann den Text darauf aufbauen. Generatoren spezialisierter Kanzleien sind dafür eine gute Grundlage, ersetzen aber nicht die Bestandsaufnahme.

Erreichbarkeit: der technische Teil

Die Erklärung muss leicht zugänglich sein. Daraus folgen drei konkrete Anforderungen an die Technik:

• Ein Link im Footer, auf jeder Seite.
• Erreichbar, bevor eine Einwilligung erteilt wurde. Ein Banner, das die ganze Seite sperrt, verhindert genau die Information, über die entschieden werden soll.
• Auch aus dem Banner heraus verlinkt — dort wird die Entscheidung getroffen.

Das ist kein Randthema: Wer sein Cookie-Banner so konfiguriert, dass es Impressum und Datenschutzerklärung verdeckt, verletzt gleich zwei Pflichten auf einmal. Siehe auch Impressumspflicht.

Abgrenzung: Datenschutzerklärung, Cookie-Banner, Einwilligung

Die drei Dinge werden oft vermengt, gehören aber getrennt gedacht:

• Die Datenschutzerklärung informiert — sie fragt nichts.
• Das Cookie-Banner holt eine Einwilligung ein, wo eine nötig ist.
• Die Rechtsgrundlage für das Speichern und Auslesen von Informationen auf dem Endgerät steht im TDDDG; ob die anschließende Verarbeitung zulässig ist, richtet sich nach der DSGVO.

Eine Datenschutzerklärung ersetzt also keine Einwilligung — und ein Banner ersetzt keine Information.

Wann sie aktualisiert werden muss

Immer dann, wenn sich die Verarbeitung ändert. Typische Auslöser aus dem Alltag:

• ein neues Plugin, das Daten an einen externen Dienst schickt
• ein Wechsel des Hosters oder des Newsletter-Anbieters
• ein neu eingebundenes Video, eine Karte, eine Schriftart
• ein neues Formular oder ein Terminbuchungswerkzeug
• Änderungen bei den eingesetzten Tracking-Werkzeugen

Praktisch bewährt hat sich, die Erklärung an die regelmäßige Wartung zu koppeln: Wer ohnehin monatlich die Plugin-Liste durchgeht, sieht Änderungen sofort. Ein Text, der zwei Jahre unverändert steht, während die Website weiterentwickelt wurde, stimmt fast sicher nicht mehr.

Häufige Fragen

Reicht eine Vorlage aus dem Internet?

Als Gerüst ja, als fertiger Text nein. Die Erklärung muss beschreiben, was deine Website tatsächlich tut. Eine übernommene Vorlage nennt regelmäßig Dienste, die du nicht einsetzt, und übergeht solche, die du einsetzt — beides ist eine Falschauskunft.

Muss die Datenschutzerklärung ohne Cookie-Zustimmung erreichbar sein?

Ja. Sie ist die Grundlage für die Entscheidung über die Einwilligung. Ein Banner, das die Seite vollständig sperrt und den Zugriff auf die Erklärung verhindert, ist deshalb fehlerhaft konfiguriert.

Was ist der Unterschied zwischen Datenschutzerklärung und Impressum?

Das Impressum sagt, wer hinter der Website steht, und beruht auf § 5 DDG. Die Datenschutzerklärung sagt, was mit Daten geschieht, und beruht auf der DSGVO. Beides sind eigenständige Pflichten und gehören in getrennte Dokumente.

Muss ich die Speicherdauer genau angeben?

Entweder eine konkrete Dauer oder nachvollziehbare Kriterien, nach denen sie sich bestimmt — etwa gesetzliche Aufbewahrungsfristen oder „bis zum Widerruf“. „So lange wie nötig“ allein genügt nicht.

Was hat sich durch das TDDDG geändert?

Das Telekommunikation-Telemedien-Datenschutzgesetz wurde am 14. Mai 2024 zum Telekommunikation-Digitale-Dienste-Datenschutzgesetz. Inhaltlich blieb die maßgebliche Vorschrift zur Einwilligung für Zugriffe auf das Endgerät bestehen; geändert hat sich der Name. Verweise auf das TTDSG sollten angepasst werden.

Brauche ich einen Datenschutzbeauftragten?

Nicht automatisch. Die Benennungspflicht knüpft unter anderem an die Zahl der ständig mit Datenverarbeitung beschäftigten Personen und an die Art der Verarbeitung an. Wenn ein Beauftragter benannt ist, gehören seine Kontaktdaten in die Erklärung.