Was muss in eine Datenschutzerklärung hinein: Webseite

Warum die Datenschutzerklärung für Ihre Website existenziell ist

Sie betreiben eine Website und fragen sich, welche Inhalte zwingend in die Datenschutzerklärung gehören? Die Antwort ist komplex, denn eine Datenschutzerklärung ist weit mehr als eine rechtliche Pflichtübung.

Die Datenschutzerklärung bildet das Fundament der datenschutzrechtlichen Transparenz Ihrer Website. Sie informiert Besucher darüber, welche personenbezogenen Daten erhoben werden, zu welchem Zweck dies geschieht und welche Rechte sie haben. 

Fehlerhafte oder unvollständige Datenschutzerklärungen gehören zu den häufigsten Abmahngründen im Internet. Unternehmen zahlen schnell hohe Beträge für außergerichtliche Einigungen, wenn ihre Datenschutzerklärung nicht den gesetzlichen Anforderungen entspricht.

Dabei geht es nicht nur um die Vermeidung von Abmahnungen. Eine transparente Datenschutzerklärung schafft Vertrauen bei Ihren Website-Besuchern und demonstriert, dass Sie Datenschutz ernst nehmen. In Zeiten zunehmender Sensibilisierung für Datenschutzfragen kann dies zu einem echten Wettbewerbsvorteil werden.

Rechtliche Grundlagen der Website-Datenschutzerklärung

Art. 13 Abs. 1 DSGVO verpflichtet zur Bereitstellung folgender Informationen zum Zeitpunkt der Datenerhebung: Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Datenschutzbeauftragten, die Zwecke und Rechtsgrundlagen der Verarbeitung, berechtigte Interessen des Verantwortlichen oder Dritter sowie die Empfänger oder Kategorien von Empfängern der Daten.

Art. 13 Abs. 2 DSGVO ergänzt weitere Pflichtangaben: Informationen über die Speicherdauer, die Betroffenenrechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Zudem muss auf das Beschwerderecht bei einer Aufsichtsbehörde hingewiesen werden.

Art. 6 DSGVO definiert die möglichen Rechtsgrundlagen für die Datenverarbeitung. Für Websites sind besonders relevant: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung  und berechtigtes Interesse. Jede Datenverarbeitung auf Ihrer Website benötigt eine dieser Rechtsgrundlagen, die in der Datenschutzerklärung genannt werden muss.

Pflichtinhalte einer Website-Datenschutzerklärung im Detail

Name und Kontaktdaten des Verantwortlichen

Die Datenschutzerklärung beginnt mit der Identifikation des datenschutzrechtlich Verantwortlichen. Dies ist typischerweise der Websitebetreiber. Geben Sie den vollständigen Namen (bei Unternehmen die Firma), die postalische Adresse, Telefonnummer und E-Mail-Adresse an. Bei juristischen Personen nennen Sie zusätzlich den Vertretungsberechtigten.

Kontaktdaten des Datenschutzbeauftragten

Wenn Sie gesetzlich verpflichtet sind, einen Datenschutzbeauftragten zu bestellen, müssen dessen Kontaktdaten in der Datenschutzerklärung erscheinen. Die Bestellpflicht besteht insbesondere, wenn Sie mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.

Zwecke und Rechtsgrundlagen der Datenverarbeitung

Für jede Datenverarbeitung auf Ihrer Website müssen Sie den konkreten Zweck benennen. Allgemeine Formulierungen wie „zur Verbesserung unseres Angebots“ reichen nicht aus. Stattdessen erklären Sie präzise, warum welche Daten erhoben werden.

Empfänger oder Kategorien von Empfängern

Transparenz bedeutet auch, offenzulegen, wer Zugriff auf die erhobenen Daten erhält. Listen Sie alle Empfänger auf, denen Sie Daten übermitteln. Dies können sein: Hosting-Anbieter, Newsletter-Dienstleister, Analyse-Tools, Payment-Provider oder externe IT-Dienstleister.

Speicherdauer der Daten

Informieren Sie darüber, wie lange Sie die verschiedenen Datenkategorien speichern. Auch hier gilt: Konkrete Angaben sind besser als vage Formulierungen. Statt „solange erforderlich“ sollten Sie beispielsweise schreiben: „Server-Logfiles werden nach 7 Tagen automatisch gelöscht“ oder „Bewerbungsunterlagen werden 6 Monate nach Abschluss des Bewerbungsverfahrens vernichtet“.

Betroffenenrechte umfassend darstellen

• Auskunftsrecht: Betroffene können jederzeit Auskunft über die zu ihrer Person gespeicherten Daten verlangen. Erklären Sie, wie diese Auskunft angefordert werden kann.
• Berichtigungsrecht: Unrichtige Daten müssen auf Verlangen korrigiert werden. Machen Sie deutlich, dass Betroffene dies verlangen können.
• Löschungsrecht : Unter bestimmten Voraussetzungen besteht ein Recht auf Löschung der Daten. Nennen Sie die Ausnahmen, etwa gesetzliche Aufbewahrungspflichten.
• Recht auf Einschränkung der Verarbeitung: Betroffene können verlangen, dass ihre Daten zunächst nur gespeichert, aber nicht weiterverarbeitet werden.
• Datenübertragbarkeit: Bei Datenverarbeitung aufgrund Einwilligung oder Vertrag können Betroffene die Herausgabe ihrer Daten in einem strukturierten, maschinenlesbaren Format verlangen.
• Widerspruchsrecht: Gegen Datenverarbeitung aufgrund berechtigten Interesses kann jederzeit Widerspruch eingelegt werden. Heben Sie dieses Recht optisch hervor.
• Widerrufsrecht bei Einwilligungen: Wurde eine Einwilligung erteilt, muss diese jederzeit widerrufbar sein. Erklären Sie, wie der Widerruf erfolgen kann, und dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung unberührt bleibt.
• Beschwerderecht bei der Aufsichtsbehörde: Betroffene haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Nennen Sie die für Sie zuständige Aufsichtsbehörde mit Kontaktdaten.

Spezifische Datenverarbeitungen auf Websites detailliert beschreiben

Kontaktformulare und E-Mail-Kommunikation

Wenn Sie Kontaktformulare anbieten, beschreiben Sie, welche Daten beim Absenden des Formulars erfasst werden. Neben den eingegebenen Daten (Name, E-Mail-Adresse, Nachricht) werden oft auch IP-Adresse und Zeitstempel gespeichert.

Erläutern Sie den Zweck: Bearbeitung der Anfrage und Kontaktaufnahme mit dem Absender. Bei E-Mail-Kontakt weisen Sie darauf hin, dass E-Mails unverschlüsselt übertragen werden und auf dem Transportweg von Dritten gelesen werden könnten, sofern Sie keine Ende-zu-Ende-Verschlüsselung anbieten.

Cookies und ähnliche Technologien

Technisch notwendige Cookies sind für den Betrieb der Website essentiell, etwa Session-Cookies für den Warenkorb oder Login. Diese benötigen keine Einwilligung, müssen aber in der Datenschutzerklärung beschrieben werden.

Analyse- und Marketing-Cookies erfordern eine vorherige Einwilligung. Beschreiben Sie jeden Cookie-Typ einzeln: Name, Zweck, Speicherdauer, Anbieter. Erklären Sie, dass Nutzer der Verwendung widersprechen können und wie dies technisch umzusetzen ist.

Website-Analyse-Tools

Setzen Sie Tools wie Google Analytics, Matomo oder andere Analyse-Dienste ein, benötigen diese einen eigenen Abschnitt. Erklären Sie detailliert:

• Welches Tool Sie einsetzen und wer der Anbieter ist
• Welche Daten erfasst werden (Seitenaufrufe, Verweildauer, Klickpfade, technische Informationen)
• Ob IP-Adressen anonymisiert werden (IP-Masking)
• Ob Daten in Drittländer übertragen werden und auf welcher Rechtsgrundlage
• Wie die Speicherdauer bemessen ist
• Wie Nutzer der Analyse widersprechen können (Opt-Out)

Newsletter und E-Mail-Marketing

Für Newsletter-Versand müssen Sie das Double-Opt-In-Verfahren beschreiben. Erklären Sie:

• Welche Daten bei der Anmeldung erhoben werden (E-Mail-Adresse, ggf. Name)
• Dass eine Bestätigungs-E-Mail versendet wird
• Dass erst nach Bestätigung Newsletter versendet werden
• Welchen Versanddienstleister Sie nutzen (z.B. Mailchimp, CleverReach)
• Welche Statistiken erfasst werden (Öffnungsraten, Klicks)
• Wie sich Empfänger abmelden können
• Die Speicherdauer nach Abmeldung

Checkliste für Ihre Website-Datenschutzerklärung

Nutzen Sie diese Checkliste, um Ihre Datenschutzerklärung zu überprüfen:

Grundlegende Angaben

• Name und vollständige Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten (falls vorhanden)
• Aktualisierungsdatum der Datenschutzerklärung

Informationspflichten nach Art. 13 DSGVO

• Zwecke aller Datenverarbeitungen konkret benannt
• Rechtsgrundlagen für jede Verarbeitung angegeben
• Empfänger oder Kategorien von Empfängern genannt
• Informationen zu Drittlandübermittlungen
• Speicherdauer oder Kriterien zur Festlegung angegeben

Betroffenenrechte

• Auskunftsrecht 
• Berichtigungsrecht 
• Löschungsrecht
• Recht auf Einschränkung
• Datenübertragbarkeit 
• Widerspruchsrecht 
• Widerrufsrecht bei Einwilligungen
• Beschwerderecht bei Aufsichtsbehörde mit Kontaktdaten

Spezifische Verarbeitungen

• Kontaktformulare und E-Mail-Kommunikation
• Cookie-Verwendung detailliert dargestellt
• Analyse-Tools vollständig beschrieben
• Social-Media-Plugins erläutert
• Newsletter und E-Mail-Marketing
• Bewerbungsverfahren (falls vorhanden)
• Zahlungsdienstleister genannt
• Alle weiteren eingesetzten Tools und Dienste

Formale Anforderungen

• Von jeder Seite leicht erreichbar 
• Verständliche Sprache ohne übermäßiges Juristendeutsch
• Klare Struktur und Gliederung
• Keine veralteten oder irrelevanten Informationen
• Konsistent mit Cookie-Banner und Einwilligungen

Auftragsverarbeitung

• Alle Auftragsverarbeiter identifiziert
• Auftragsverarbeitungsverträge geschlossen
• In Datenschutzerklärung auf Auftragsverarbeiter hingewiesen

Datenschutzerklärung als Investition in Rechtssicherheit

Eine sorgfältig erstellte Datenschutzerklärung schützt Sie vor kostspieligen Abmahnungen und Bußgeldern. Sie ist zugleich Ausdruck Ihrer Wertschätzung für die Privatsphäre Ihrer Website-Besucher.

Die DSGVO-Anforderungen mögen auf den ersten Blick überwältigend erscheinen. Mit strukturiertem Vorgehen und genauer Dokumentation Ihrer Datenverarbeitungen schaffen Sie jedoch eine solide Grundlage. Verstehen Sie die Datenschutzerklärung nicht als lästige Pflicht, sondern als Chance, Vertrauen aufzubauen.

Die Investition in eine professionelle Datenschutzerklärung zahlt sich mehrfach aus: durch Rechtssicherheit, Vertrauensgewinn bei Kunden und die Vermeidung teurer Rechtsstreitigkeiten. In einer Zeit, in der Datenschutzverstöße regelmäßig öffentlich diskutiert werden, demonstrieren Sie mit einer transparenten Datenschutzerklärung Ihre Verantwortung.

Bei Unsicherheiten oder komplexen Fragestellungen stehe ich Ihnen gerne mit meiner Erfahrung im IT-Recht und Datenschutzrecht zur Seite. Eine frühzeitige rechtliche Prüfung erspart oft langwierige und kostspielige Korrekturen im Nachhinein.

Häufig gestellte Fragen