Datenschutzerklärung für die Website: Was rein muss und wann ein Generator reicht
Von Leon Düring, Gründer von LokalwendeVeröffentlicht am 7 Min. Lesezeit
Die kurze Antwort
Fast jede Website braucht eine Datenschutzerklärung, weil schon beim Aufruf IP-Adressen verarbeitet werden. Hinein gehören nach Art. 13 DSGVO: wer verantwortlich ist, welche Daten wofür und auf welcher Rechtsgrundlage verarbeitet werden, wer sie bekommt, wie lange sie gespeichert werden und welche Rechte Besucher haben. Ein Generator reicht oft, wenn du vorher prüfst, was deine Seite wirklich einbindet, und die Erklärung bei jeder Änderung anpasst.
Die Datenschutzerklärung ist der Teil der Website, den kaum jemand liest. Geprüft wird sie trotzdem, von Mitbewerbern, Abmahnkanzleien und manchmal von der Aufsichtsbehörde. Das häufigste Problem ist dabei kein fehlender Absatz, sondern eine Erklärung, die nicht zur Website passt. Hier steht, was hinein muss, wie du herausfindest, was deine Seite wirklich tut, und wann ein Generator reicht.
Braucht deine Website eine Datenschutzerklärung?
Praktisch immer. Die Pflicht hängt nicht an der Größe deines Betriebs, sondern daran, ob die Website personenbezogene Daten verarbeitet. Das tut sie fast immer: Schon beim Aufruf einer Seite erhält der Server die IP-Adresse des Besuchers. Die Datenschutz-Grundverordnung zählt IP-Adressen ausdrücklich zu den Online-Kennungen, über die Menschen identifiziert werden können (Erwägungsgrund 30 DSGVO, nachzulesen in der Textausgabe der Bundesdatenschutzbeauftragten).
Wer Daten erhebt, muss die Betroffenen nach Art. 13 DSGVO informieren, und zwar zum Zeitpunkt der Erhebung. Auf einer Website erfüllst du diese Pflicht mit der Datenschutzerklärung.
Was muss in die Datenschutzerklärung?
Art. 13 DSGVO zählt auf, was Besucher erfahren müssen. In Alltagssprache:
| Pflichtangabe | Was das für deine Website heißt |
|---|---|
| Wer verantwortlich ist | Name, Anschrift und Kontakt deines Betriebs, wie im Impressum |
| Datenschutzbeauftragter, falls vorhanden | Kontaktdaten. Pflicht erst ab 20 Personen, die ständig mit Daten arbeiten (siehe unten) |
| Zweck und Rechtsgrundlage | Wofür jede Datenart genutzt wird (Website ausliefern, Anfrage beantworten, Termin buchen) und auf welcher Grundlage (Einwilligung, Vertrag, berechtigtes Interesse) |
| Berechtigtes Interesse | Bei dieser Grundlage: welches, zum Beispiel ein sicherer Betrieb der Website |
| Empfänger | Wer die Daten bekommt: Hoster, Buchungstool, Mail-Anbieter |
| Übermittlung in Drittländer | Ob Daten zum Beispiel in die USA gehen und auf welcher Grundlage |
| Speicherdauer | Wie lange du die Daten aufhebst, oder nach welchen Kriterien |
| Rechte der Besucher | Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit |
| Widerruf | Dass eine Einwilligung jederzeit widerrufen werden kann |
| Beschwerderecht | Dass man sich bei einer Datenschutz-Aufsichtsbehörde beschweren kann |
Dazu kommt die Form: Art. 12 DSGVO verlangt eine präzise, verständliche und leicht zugängliche Information in klarer und einfacher Sprache. Ein Text voller Absätze über Dienste, die du gar nicht nutzt, ist das Gegenteil davon.
Wie findest du heraus, was deine Website wirklich tut?
Geh deine Seite Baustein für Baustein durch. Jeder Baustein, der hier zutrifft, braucht einen eigenen Abschnitt in der Erklärung:
- Hosting. Der Anbieter, bei dem die Seite liegt, verarbeitet bei jedem Aufruf die IP-Adresse und speichert oft Protokolle. Er gehört als Empfänger hinein.
- Kontaktformular, E-Mail-Link, WhatsApp-Knopf. Was ein Besucher dir schickt, verarbeitest du, um die Anfrage zu beantworten. Bei WhatsApp ist zusätzlich der Messenger-Anbieter beteiligt.
- Cookies und Statistik. Speichert die Seite etwas auf dem Gerät des Besuchers oder liest etwas aus, braucht sie dafür eine Einwilligung. Ausgenommen ist nur, was für den gewünschten Dienst unbedingt nötig ist (§ 25 TDDDG). Ein Statistik-Tool mit Cookies ohne Einwilligung ist also ein Problem, egal was in der Erklärung steht.
- Eingebettete Inhalte. Karten, Videos, Instagram-Beiträge oder Schriften, die von fremden Servern geladen werden, übertragen beim Öffnen der Seite oft schon Daten an den Anbieter. Wie du in zehn Minuten testest, ob deine Seite noch Schriften von Google lädt, steht in Abmahnung wegen der Website.
- Buchungs-, Reservierungs- oder Bestellsysteme. Sie verarbeiten Namen, Telefonnummern und Termine. Dienstleister, die Daten in deinem Auftrag verarbeiten, brauchen mit dir einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Die meisten Anbieter stellen ihn im Kundenkonto bereit.
- Links zu Social Media. Ein einfacher Link überträgt nichts, bevor jemand klickt. Eingebettete Feeds oder „Gefällt mir“-Knöpfe sind dagegen eingebettete Inhalte (siehe oben).
So klappt es in deiner Branche
- GesundheitGesundheitsdaten gehören zu den besonders geschützten Daten (Art. 9 DSGVO). Bitte im Kontaktformular nicht um Beschwerden oder Befunde, sondern nur um Name, Telefon und Terminwunsch. Für Online-Terminbuchung sollte die Erklärung den Anbieter nennen.
- Gastronomie & BäckereiReservierungs- und Bestellsysteme verarbeiten Namen und Telefonnummern deiner Gäste. Nenn den Anbieter in der Erklärung und schließ mit ihm den Vertrag zur Auftragsverarbeitung. Eine Speisekarte als Text oder PDF auf deiner eigenen Seite braucht keinen eigenen Abschnitt.
- HandwerkKönnen Kunden über das Formular Fotos vom Schaden hochladen, gehört das in die Erklärung, mit Speicherdauer. Ein WhatsApp-Knopf ist bequem, bringt aber den Messenger-Anbieter ins Spiel und braucht einen eigenen Abschnitt.
- Beauty & FitnessOnline-Buchungstools und eingebettete Instagram-Beiträge sind die typischen Fälle. Ein Link zu deinem Instagram-Profil ist unproblematischer als ein eingebetteter Feed.
Reicht ein Datenschutz-Generator?
Für eine einfache Website oft ja, unter zwei Bedingungen:
- Du weißt, was deine Seite tut. Ein Generator kennt nur das, was du ankreuzt. Bindet deine Seite eine Karte ein, die du vergessen hast, fehlt sie in der Erklärung. Mach deshalb vorher die Bestandsaufnahme von oben.
- Du hältst sie aktuell. Kommt ein Buchungstool dazu oder fällt ein Dienst weg, muss die Erklärung mit. Eine Erklärung, die einen längst entfernten Dienst nennt, ist ärgerlich. Eine, der ein neuer Dienst fehlt, ist ein echter Fehler.
Nicht kopieren. Die Datenschutzerklärung einer anderen Website beschreibt deren Technik, nicht deine. Sie passt fast nie.
Wo muss die Datenschutzerklärung stehen?
So, dass man sie leicht findet: In der Praxis ist das ein Link „Datenschutz“ im Fußbereich jeder Seite, direkt neben dem Impressum. Weil die Information zum Zeitpunkt der Erhebung gegeben werden muss, gehört an jedes Formular zusätzlich ein Hinweis mit Link, etwa „Wie wir mit deinen Angaben umgehen, steht in der Datenschutzerklärung“.
Was ins Impressum gehört und was nicht, steht in Impressum für kleine Betriebe.
Braucht dein Betrieb einen Datenschutzbeauftragten?
In der Regel nicht. Nach § 38 BDSG brauchen Betriebe einen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder bei besonders heiklen Verarbeitungen unabhängig von der Zahl. Für den Friseursalon mit vier Leuten oder den Handwerksbetrieb mit sechs Gesellen trifft das meist nicht zu. Die Pflichten der DSGVO gelten aber auch ohne Beauftragten.
Was passiert, wenn die Datenschutzerklärung fehlt oder falsch ist?
Drei Wege, auf denen ein Fehler Ärger macht:
- Abmahnung von Mitbewerbern. Kosten dürfen sie bei Datenschutzverstößen nicht verlangen, wenn dein Betrieb in der Regel weniger als 250 Beschäftigte hat. Wie du ein Schreiben prüfst: Abmahnung wegen der Website.
- Forderungen von Besuchern. Wer durch einen Verstoß einen Schaden hat, kann Schadensersatz verlangen. Bekannt wurde das Urteil des Landgerichts München I, das einem Besucher 100 € zusprach, weil eine Website ohne Einwilligung Schriften von Google geladen hatte.
- Die Aufsichtsbehörde. Sie wird meist nach einer Beschwerde aktiv und verlangt zuerst, dass der Fehler behoben wird.
Die gute Nachricht: Eine Erklärung, die zur Seite passt, und eine Seite, die ohne Einwilligung keine Daten an Dritte schickt, räumen die meisten dieser Risiken ab.
