Datenschutzerklärung erstellen: Leitfaden für kleine Unternehmen

Warum eine Datenschutzerklärung unverzichtbar ist

Die Datenschutzerklärung ist der Ort, an dem du transparent machst, wie du mit den Daten deiner Nutzer umgehst. Sie ist keine Formsache, sondern eine zentrale Pflicht aus der DSGVO. Wer sie ignoriert oder schludert, riskiert nicht nur Abmahnungen, sondern auch spürbare Bußgelder, denn Verstöße gegen die DSGVO können bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes kosten.

Rechtliche Grundlagen: DSGVO und BDSG

Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 EU-weit. In Deutschland wird sie durch das Bundesdatenschutzgesetz (BDSG-neu) ergänzt. Diese beiden Regelwerke bilden die Grundlage für deine Datenschutzerklärung.

Zwei Begriffe solltest du kennen:

• Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Dazu zählen Name, Adresse, E-Mail, aber auch die IP-Adresse.
• Rechtmäßigkeit der Verarbeitung: Jede Datenverarbeitung braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO, etwa eine Einwilligung, die Erfüllung eines Vertrags oder ein berechtigtes Interesse.

Wer ist zur Datenschutzerklärung verpflichtet?

Kurz: fast alle. Nahezu jeder Websitebetreiber, Unternehmer und Onlineshop benötigt eine Datenschutzerklärung, weil er personenbezogene Daten verarbeitet. Schon ein einfaches Kontaktformular reicht aus. Und auch bei rein analoger Datenverarbeitung, etwa in der Kundenkartei, gelten die Regeln der DSGVO.

Diese Inhalte gehören hinein

Eine rechtssichere Datenschutzerklärung besteht aus einem allgemeinen und einem besonderen Teil.

Allgemeiner Teil

• Verantwortlicher: Name, Anschrift und E-Mail-Adresse der verantwortlichen Person oder des Unternehmens.
• Datenschutzbeauftragter: Name und Kontaktdaten, sofern du einen benennen musst.

Besonderer Teil

• Zweck und Rechtsgrundlage für jede einzelne Datenverarbeitung (Kontaktformular, Analysetools, eingebettete Dienste, Onlineshop).
• Speicherdauer beziehungsweise die Kriterien, nach denen du sie festlegst.
• Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit (Art. 15 bis 21 DSGVO).

So bindest du sie korrekt ein

Der beste Text nützt nichts, wenn ihn niemand findet. Deine Datenschutzerklärung muss von jeder Unterseite mit maximal einem Klick erreichbar sein, üblicherweise über einen deutlichen Link im Footer. Sie darf nicht im Kleingedruckten verschwinden und muss die gleiche Schriftgröße und -art wie der übrige Website-Inhalt haben.

Ein enger Nachbar ist das Impressum: Beide sind Pflichtangaben und stehen meist direkt nebeneinander. Was ins Impressum gehört, liest du im Beitrag Impressumspflicht: Was muss rein?.

Häufige Fehler und Ausblick

Die typischen Fehler wiederholen sich:

• Es ist gar keine Datenschutzerklärung vorhanden oder sie ist schwer auffindbar.
• Sie ist veraltet, unvollständig oder nicht auf die eigenen Datenverarbeitungen zugeschnitten.
• Angaben zu Betroffenenrechten oder Rechtsgrundlagen fehlen.
• Einwilligungen werden mit voreingestellten Häkchen eingeholt, statt mit einem sauberen Double-Opt-in.

Für die kommenden Jahre lohnt ein Blick nach vorn: Neue EU-Regelwerke wie DORA, die EU-KI-Verordnung und NIS2 bringen ab 2025 zusätzliche Anforderungen mit sich, die je nach Tätigkeit auch kleine Unternehmen betreffen können. Umso wichtiger ist es, die Datenschutzerklärung nicht einmal zu schreiben und dann zu vergessen, sondern sie regelmäßig zu überprüfen.