Datenschutzerklärung

Definition: Die Datenschutzerklärung (auch: Datenschutzhinweise, Privacy Policy, Privacy Notice) ist ein rechtlich vorgeschriebenes Transparenzdokument, das Betreiber von Websites, Apps und anderen digitalen Diensten auf Grundlage der Artikel 13 und 14 DSGVO erstellen und bereitstellen müssen. Sie informiert Nutzer und betroffene Personen darüber, welche personenbezogenen Daten erhoben werden, zu welchem Zweck und auf welcher Rechtsgrundlage die Verarbeitung erfolgt, wer die Daten empfängt, wie lange sie gespeichert werden, ob Daten in Drittländer außerhalb der EU übermittelt werden und welche Betroffenenrechte (Auskunft, Berichtigung, Löschung, Widerspruch, Datenportabilität) die Person hat. Art. 13 DSGVO regelt die Informationspflichten, wenn Daten direkt bei der betroffenen Person erhoben werden (z. B. über ein Website-Formular); Art. 14 gilt für die Erhebung aus anderen Quellen. Die Datenschutzerklärung muss leicht zugänglich, vollständig, verständlich und stets aktuell sein. Eine unvollständige, veraltete oder nicht erreichbare Datenschutzerklärung stellt einen eigenständigen DSGVO-Verstoß dar und ist einer der häufigsten Abmahngründe im deutschen Online-Marketing.

Erläuterung

Nahezu jede Website, die auch nur minimale Funktionen anbietet, verarbeitet personenbezogene Daten. Bereits der bloße Aufruf einer Webseite generiert Server-Log-Dateien mit IP-Adressen der Besucher, die als personenbezogene Daten einzustufen sind. Kommen Kontaktformulare, Newsletter-Anmeldungen, Online-Shops, Kommentarfunktionen oder Web-Analytics hinzu, vervielfacht sich der Verarbeitungsumfang erheblich. Jede dieser Verarbeitungen muss in der Datenschutzerklärung transparent dargestellt werden.

Im Online-Marketing ist die Herausforderung besonders groß, weil sich die eingesetzten Tools häufig ändern. Jedes neue Analytics-System, jeder neue Marketing-Anbieter, jedes neue Tracking-Pixel und jede neue Schnittstelle zu Werbeplattformen erfordert eine Aktualisierung der Datenschutzerklärung. Wer beispielsweise Google Analytics, Meta Pixel, LinkedIn Insight Tag, Hotjar, Mailchimp und ein CRM-System einsetzt, muss für alle diese Tools eine vollständige datenschutzrechtliche Darstellung liefern: Anbieter, Zweck, Rechtsgrundlage, ggf. Auftragsverarbeitungsvertrag, Drittlandübermittlung und Speicherdauer.

Besondere Aufmerksamkeit verdient die Frage der Drittlandübermittlung. Viele populäre Marketing-Tools stammen von US-amerikanischen Anbietern. Bei der Nutzung solcher Dienste werden Nutzerdaten in die USA übermittelt. Dies ist unter dem EU-US Data Privacy Framework grundsätzlich möglich, sofern der jeweilige Anbieter zertifiziert ist. Alternativ müssen Standardvertragsklauseln (SCC) herangezogen werden. In der Datenschutzerklärung muss der Transfermechanismus konkret benannt werden. Entscheidungen wie die Schrems-II-Rechtsprechung des EuGH und die nachfolgenden Behördenentscheidungen zu Google Analytics haben gezeigt, dass fehlerhafte oder unvollständige Angaben zu Drittlandtransfers erhebliche Bußgeldrisiken mit sich bringen.

Formal muss die Datenschutzerklärung von jeder Seite der Website erreichbar sein, üblicherweise über einen gut sichtbaren Link im Footer. Sie darf nicht hinter einem Login versteckt sein. Sprachlich muss sie für ein durchschnittliches Publikum verständlich formuliert sein – juristische Fachsprache ohne Erläuterung genügt nicht. Der EDPB empfiehlt in seinen Transparenz-Leitlinien eine klare, einfache und präzise Sprache sowie ggf. den Einsatz von Icons, Layers und Zusammenfassungen, um die Verständlichkeit zu verbessern.

Pflichtinhalt nach Art. 13 DSGVO

Identität und Kontaktdaten des Verantwortlichen: Name, Adresse und ggf. gesetzlicher Vertreter des datenverarbeitenden Unternehmens; Kontaktdaten des Datenschutzbeauftragten, sofern vorhanden.
Zwecke und Rechtsgrundlagen: Für jeden Verarbeitungszweck muss die entsprechende Rechtsgrundlage (Einwilligung, Vertragserfüllung, berechtigtes Interesse usw.) benannt werden.
Berechtigte Interessen: Wird Art. 6 Abs. 1 lit. f als Rechtsgrundlage herangezogen, müssen die berechtigten Interessen konkret dargelegt werden.
Empfänger und Kategorien von Empfängern: Alle Drittanbieter und Dienstleister, an die Daten weitergegeben werden, sind zu benennen.
Drittlandübermittlungen: Land, Empfänger und Transfermechanismus (Angemessenheitsbeschluss, SCC, Binding Corporate Rules) müssen genannt werden.
Speicherfristen: Für jede Datenkategorie ist anzugeben, wie lange sie gespeichert wird oder nach welchen Kriterien die Speicherdauer bestimmt wird.
Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenportabilität und das Recht auf Widerruf einer Einwilligung müssen erläutert werden.
Beschwerderecht: Hinweis auf das Recht, Beschwerde bei einer Datenschutzaufsichtsbehörde einzulegen.

Häufige Fehler in der Praxis

Veraltete Inhalte: Tool-Wechsel oder neue Dienste werden nicht in der Datenschutzerklärung nachgepflegt; besonders riskant bei Cookie-Banner-Tools.
Fehlende Drittlandangaben: US-Dienste werden genannt, aber Transfermechanismus und Empfängerland fehlen – ein häufiger Abmahngrund.
Unklare Rechtsgrundlagen: Pauschalangaben ohne konkrete Zuordnung zu Verarbeitungszwecken genügen nicht den Transparenzanforderungen.
Fehlende Speicherfristen: „Solange gesetzlich erforderlich" ohne Konkretisierung ist zu unspezifisch.
Nicht erreichbar: Datenschutzerklärung nicht im Footer, nur in AGB eingebettet oder hinter Login verborgen.

Praxistipp: Führen Sie ein internes Register aller eingesetzten Tools und Datenverarbeitungen und gleichen Sie dieses regelmäßig mit Ihrer Datenschutzerklärung ab. Richten Sie einen Prozess ein, der bei jeder Neueinführung oder Abschaltung eines Marketing-Tools automatisch eine Aktualisierung der Datenschutzerklärung anstößt. Nutzen Sie professionelle Datenschutz-Generatoren als Ausgangsbasis, lassen Sie das Ergebnis aber stets von einem Datenschutzexperten prüfen – Generatoren decken oft nicht alle individuellen Besonderheiten Ihres Unternehmens ab.