Warum eine Datenschutzerklärung unverzichtbar ist
Die Datenschutzerklärung ist der Ort, an dem du offen machst, wie du mit den Daten deiner Nutzer umgehst. Sie ist keine Formsache, sondern eine wichtige Pflicht aus der DSGVO (Datenschutz-Grundverordnung), im Grunde genommen dem Datenschutzgesetz der EU. Beispiel: Du darfst die E-Mail eines Kunden nicht einfach für Werbung weitergeben. Wer sie ignoriert oder schludert, riskiert nicht nur Abmahnungen, sondern auch spürbare Bußgelder. Eine Abmahnung ist im Grunde genommen eine kostenpflichtige Aufforderung, einen Rechtsverstoß abzustellen. Ein Bußgeld ist eine Geldstrafe von einer Behörde. Verstöße gegen die DSGVO können bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes kosten.
Rechtliche Grundlagen: DSGVO und BDSG
Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 in der ganzen EU. In Deutschland wird sie durch das Bundesdatenschutzgesetz (BDSG) ergänzt, im Grunde genommen das deutsche Zusatzgesetz zur DSGVO. Diese beiden Regelwerke bilden die Grundlage für deine Datenschutzerklärung.
Zwei Begriffe solltest du kennen:
- Personenbezogene Daten sind alle Infos zu einer bestimmten Person oder zu einer Person, die man erkennen kann. Dazu zählen Name, Adresse, E-Mail, aber auch die IP-Adresse deines Geräts (Art. 4 Nr. 1 DSGVO).
- Rechtmäßigkeit der Verarbeitung: Jede Datenverarbeitung braucht einen erlaubten Grund (eine Rechtsgrundlage), etwa eine Einwilligung, die Erfüllung eines Vertrags oder ein berechtigtes Interesse (Art. 6 Abs. 1 DSGVO). Beispiel: Du speicherst eine Lieferadresse, weil du sonst das Paket nicht schicken kannst.
Wer ist zur Datenschutzerklärung verpflichtet?
Kurz: fast alle. Nahezu jeder Websitebetreiber, Unternehmer und Onlineshop benötigt eine Datenschutzerklärung, weil er personenbezogene Daten verarbeitet. Schon ein einfaches Kontaktformular reicht aus. Und auch bei rein analoger (also papierbasierter) Datenverarbeitung, etwa in der Kundenkartei, gelten die Regeln der DSGVO.
Diese Inhalte gehören hinein
Eine rechtssichere Datenschutzerklärung besteht aus einem allgemeinen und einem besonderen Teil.
Allgemeiner Teil
- Verantwortlicher: Name, Anschrift und E-Mail-Adresse der verantwortlichen Person oder des Unternehmens.
- Datenschutzbeauftragter: Name und Kontaktdaten, falls du einen benennen musst. Ein Datenschutzbeauftragter ist im Grunde genommen die Person, die im Betrieb auf die Einhaltung des Datenschutzes achtet.
Besonderer Teil
- Zweck und Rechtsgrundlage für jede einzelne Datenverarbeitung (Kontaktformular, Analysetools, eingebettete Dienste, Onlineshop).
- Speicherdauer beziehungsweise die Kriterien, nach denen du sie festlegst.
- Betroffenenrechte: die Rechte der Menschen, deren Daten du nutzt, also Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit (Art. 15 bis 21 DSGVO).
So bindest du sie korrekt ein
Der beste Text nützt nichts, wenn ihn niemand findet. Deine Datenschutzerklärung muss von jeder Unterseite mit höchstens einem Klick erreichbar sein, üblicherweise über einen deutlichen Link im Footer (dem Fußbereich ganz unten auf der Seite). Sie darf nicht im Kleingedruckten verschwinden und muss die gleiche Schriftgröße und -art wie der übrige Website-Inhalt haben.
Ein enger Nachbar ist das Impressum (die Pflichtangabe, wer die Website betreibt). Beide sind Pflichtangaben und stehen meist direkt nebeneinander. Was ins Impressum gehört, liest du im Beitrag Impressumspflicht: Was muss rein?.
Häufige Fehler und Ausblick
Die typischen Fehler wiederholen sich:
- Es ist gar keine Datenschutzerklärung vorhanden oder sie ist schwer auffindbar.
- Sie ist veraltet, unvollständig oder nicht auf die eigenen Datenverarbeitungen zugeschnitten.
- Angaben zu Betroffenenrechten oder Rechtsgrundlagen fehlen.
- Einwilligungen werden mit schon gesetzten Häkchen eingeholt, statt mit einem sauberen Double-Opt-in. Double-Opt-in heißt im Grunde genommen: Der Nutzer stimmt zweimal zu, zum Beispiel Haken setzen und danach einen Bestätigungslink in einer E-Mail anklicken.
Für die kommenden Jahre lohnt ein Blick nach vorn: Neue EU-Regelwerke wie DORA (Regeln zur IT-Sicherheit im Finanzbereich), die EU-KI-Verordnung (Regeln für künstliche Intelligenz) und NIS2 (Regeln zur Cybersicherheit) bringen ab 2025 zusätzliche Anforderungen mit sich, die je nach Tätigkeit auch kleine Unternehmen betreffen können. Umso wichtiger ist es, die Datenschutzerklärung nicht einmal zu schreiben und dann zu vergessen, sondern sie regelmäßig zu überprüfen.