Datenschutzerklärung für die Website: alle Pflichtangaben

Wer eine Datenschutzerklärung braucht

„Datenschutzerklärung website“ wird in Deutschland 720-mal im Monat gesucht. Die kurze Antwort: jeder, der eine Website betreibt, auf der personenbezogene Daten anfallen. Schon der Webserver verarbeitet beim Aufruf die IP-Adresse, ein Kontaktformular erhebt Name und E-Mail-Adresse, eingebundene Karten, Videos oder Schriftarten von fremden Servern geben Daten an deren Betreiber weiter.

Die Datenschutzerklärung ist nicht das Impressum. Das Impressum sagt, wer die Website anbietet (§ 5 DDG). Die Datenschutzerklärung sagt, was mit den Daten der Besucher geschieht, warum, auf welcher Rechtsgrundlage und wie lange. Beide Seiten werden oft im selben Footer verlinkt, beantworten aber verschiedene Fragen und stehen auf getrennten Seiten.

Art. 12 DSGVO legt fest, wie die Informationen aussehen müssen: „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“. Eine Datenschutzerklärung, die nur aus kopierten Paragraphen besteht und Dienste aufzählt, die gar nicht eingesetzt werden, erfüllt diesen Anspruch nicht.

Die Pflichtangaben nach Art. 13 DSGVO, Punkt für Punkt

Art. 13 Abs. 1 DSGVO verlangt, dass der Verantwortliche bei der Erhebung mitteilt:

• Wer verantwortlich ist: „den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters“. Für eine GmbH also Firma, Anschrift und Kontaktweg, die Angaben dürfen sich mit dem Impressum decken.
• Datenschutzbeauftragter: „gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten“. Ein Betrieb muss nach § 38 BDSG einen benennen, wenn er in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, unabhängig davon in einigen Sonderfällen wie Markt- oder Meinungsforschung. Der kleine Handwerksbetrieb ohne Beauftragten lässt den Punkt weg.
• Zwecke und Rechtsgrundlage: „die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung“. Für jede Verarbeitung einzeln: Kontaktanfrage, Server-Logfiles, Newsletter, Analyse.
• Berechtigte Interessen: Stützen Sie eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO, nennen Sie „die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden“.
• Empfänger: „gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten“. Gemeint sind etwa Hoster, E-Mail-Anbieter, Newsletter-Dienst oder der Anbieter eines Analyse-Tools.
• Drittland: „gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission“. Das betrifft vor allem Dienste großer Anbieter mit Sitz außerhalb der EU.

Art. 13 Abs. 2 DSGVO ergänzt die Angaben, die eine faire und transparente Verarbeitung sicherstellen sollen:

Speicherdauer: „die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer“. Außerdem informieren Sie über die Rechte der Besucher (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch, Datenübertragbarkeit), bei Einwilligungen über „das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen“, über „das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde“, darüber, „ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist“, und gegebenenfalls über „das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling“.

Typische Dienste: Kontaktformular, Analytics, Karten, Schriftarten

Der allgemeine Teil ist schnell geschrieben. Der Aufwand steckt in den Diensten, die Ihre Website tatsächlich nutzt: Für jeden braucht die Datenschutzerklärung einen eigenen Absatz mit Zweck, Rechtsgrundlage, Empfänger, Drittland und Speicherdauer. Vier Fälle, die auf Websites kleiner Unternehmen oft vorkommen:

• Kontaktformular: Name, E-Mail-Adresse, Telefonnummer und Nachricht werden erhoben, um die Anfrage zu beantworten. Die DSK schreibt: „Zusatzdienste und -funktionen, die unabhängig vom Basisdienst individuell in Anspruch genommen werden können, wie z. B. ein Kontaktformular, ein Chat oder ein Kartendienst, werden ebenfalls nicht automatisch mit dem ersten Aufruf der Webseite oder App von Nutzer:innen gewünscht“. Das Formular gehört trotzdem in die Datenschutzerklärung: Daten fließen, sobald der Besucher es abschickt. In unserer Studie französischer Unternehmenswebsites hatten 52 % der Startseiten ein Anfrageformular: Für all diese Betriebe ist dieser Absatz Pflicht.
• Analyse-Tools (Google Analytics, Matomo und andere): Die DSK trifft in ihrer Orientierungshilfe bewusst keine allgemeine Aussage, ob eine Reichweitenmessung ohne Einwilligung eingesetzt werden darf, weil die Zwecke zu verschieden sind. Für Sie heißt das: Zweck und Rechtsgrundlage des konkret eingesetzten Tools benennen, die Einstellungen (etwa IP-Kürzung, Speicherdauer) beschreiben und, wenn Daten an den Anbieter oder in ein Drittland gehen, diese Empfänger aufführen.
• Karten (Google Maps, OpenStreetMap) und Videos: Die DSK zählt zu den typischen Drittinhalten „Werbeanzeigen, Schriftarten, Skripte, Stadtpläne, Videos, Fotos oder Inhalte von Social-Media-Diensten“ und erinnert daran, dass bei ihrer Einbindung regelmäßig Daten an den Betreiber des Drittservers gehen. Ein Drittlandtransfer sei „insbesondere bei der Einbindung von Dritt-Inhalten, die durch große Anbieter bereitgestellt werden, oft der Fall“. Für die USA verweist die DSK auf das EU-US Data Privacy Framework: „Damit liegt jetzt ein Angemessenheitsbeschluss vor.“ Nennen Sie ihn, wenn Ihr Anbieter darunter fällt.
• Schriftarten: Werden Webfonts von einem fremden Server geladen, ist das ebenfalls ein Drittinhalt mit Datenübermittlung. Am einfachsten ist es, die Schriftarten auf dem eigenen Server abzulegen: Dann entfällt der Empfänger und der Absatz wird kürzer.

Schreiben Sie bei Art. 6 Abs. 1 lit. f DSGVO nicht nur „berechtigtes Interesse“. Die DSK stellt fest, dass „pauschale Feststellungen, dass eine Datenverarbeitung gemäß Art. 6 Abs. 1 lit. f) DS-GVO zulässig sei“, die Anforderungen nicht erfüllen, und dass solche Floskeln häufig in Datenschutzerklärungen stehen. Nennen Sie das konkrete Interesse, zum Beispiel die Sicherheit des Servers bei den Logfiles.

Für Cookies und ähnliche Zugriffe auf das Endgerät gilt zusätzlich § 25 TDDDG: Sie sind „nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat“, außer der Zugriff ist „unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann“. Die Einwilligung holt das Cookie-Banner ein; die Datenschutzerklärung erklärt, wofür.

Wo die Datenschutzerklärung stehen muss

Art. 13 DSGVO verlangt die Information zum Zeitpunkt der Erhebung dieser Daten, Art. 12 eine leicht zugängliche Form. Daraus folgen drei Orte:

1. 1
   Ein Link „Datenschutz“ oder „Datenschutzerklärung“ im Footer jeder Seite, neben dem Impressum, auch in der mobilen Ansicht sichtbar.
2. 2
   Ein Hinweis mit Link direkt am Kontaktformular und an jeder Newsletter-Anmeldung, also dort, wo die Daten erhoben werden.
3. 3
   Erreichbar trotz Cookie-Banner: „Der Zugriff auf Impressum und Datenschutzerklärung darf durch das Einwilligungsbanner nicht behindert werden“. Prüfen Sie, ob das Banner den Footer-Link verdeckt, besonders auf dem Handy.

Was bei Fehlern droht

Art. 83 Abs. 5 lit. b DSGVO erfasst Verstöße gegen „die Rechte der betroffenen Person gemäß den Artikeln 12 bis 22“, zu denen die Informationspflichten aus Art. 13 gehören. Der Rahmen: Geldbußen bis zu 20.000.000 € oder bei Unternehmen bis zu 4 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist. Das ist eine Obergrenze, kein Regelbetrag: Art. 83 Abs. 2 verlangt, unter anderem Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit und die Zusammenarbeit mit der Behörde im Einzelfall zu berücksichtigen.

Daneben können sich Besucher bei einer Aufsichtsbehörde beschweren, und eine fehlerhafte Datenschutzerklärung fällt bei jeder Prüfung als Erstes auf. Bei einem Schreiben der Aufsichtsbehörde lassen Sie den Einzelfall anwaltlich prüfen: Das kann dieser Ratgeber nicht ersetzen.

Unsere Einschätzung

Beginnen Sie nicht mit einem Generator, sondern mit einer Liste: Öffnen Sie Ihre Website, notieren Sie jedes Formular, jedes Tool und jeden eingebundenen Dienst, und prüfen Sie im Hosting-Vertrag, wer Ihre Server betreibt. Erst dann schreiben oder generieren Sie die Erklärung, und streichen alles, was Sie nicht einsetzen. Der häufigste Fehler ist nicht die fehlende Datenschutzerklärung, sondern die veraltete, die das neue Analyse-Tool oder die eingebundene Karte nicht kennt. Jeder Dienst, auf den Sie verzichten können, ist ein Absatz weniger und ein Empfänger weniger.

Die Redaktion von FindMyCompany