Worum es geht: Sobald eine Website personenbezogene Daten verarbeitet – und das tut praktisch jede, schon wegen der IP-Adresse –, müssen Besucher darüber informiert werden. Die Datenschutzerklärung ist diese Information.
Diese Lektion behandelt ausschließlich die Datenschutzerklärung der Website. Wie Datenschutz im Arbeitsalltag funktioniert – Auskunftsersuchen, Bewerberdaten, Datenpannen –, lernen Sie im Kurs DSGVO im Alltag.
1. Was hineingehört
Grundlage sind die Informationspflichten aus Art. 13 DSGVO. Eine vollständige Datenschutzerklärung beantwortet diese Fragen:
| Frage | Beispiel |
|---|---|
| Wer ist verantwortlich? | Name und Kontaktdaten des Unternehmens |
| Gibt es einen Datenschutzbeauftragten? | Kontaktdaten, falls einer benannt ist |
| Welche Daten, wofür, auf welcher Grundlage? | Kontaktformular: Name und E-Mail zur Beantwortung der Anfrage |
| Wer erhält die Daten? | Hosting-Anbieter, Newsletter-Dienst, Analysedienst |
| Gehen Daten in Drittländer? | USA – mit Angabe der Grundlage, z. B. EU-US Data Privacy Framework |
| Wie lange wird gespeichert? | Anfragen: bis zur Erledigung, danach gesetzliche Fristen |
| Welche Rechte haben Betroffene? | Auskunft, Berichtigung, Löschung, Widerspruch, Beschwerde bei der Aufsichtsbehörde |
2. Der häufigste Fehler: die Erklärung passt nicht zur Website
Generatoren sind ein guter Startpunkt. Das Problem entsteht später: Ein neues Plugin, ein eingebundenes Video oder ein anderer Newsletter-Dienst kommt hinzu – und niemand passt die Datenschutzerklärung an. Umgekehrt stehen oft Dienste darin, die längst nicht mehr genutzt werden.
3. Verständlich und auffindbar
- Erreichbar wie das Impressum: ein eigener Link im Footer jeder Seite.
- Klare Sprache: Art. 12 DSGVO verlangt eine präzise, verständliche und leicht zugängliche Form. Zwischenüberschriften je Dienst helfen enorm.
- Beim Formular erneut hinweisen: Ein kurzer Satz mit Link direkt am Kontaktformular.
4. Braucht das Unternehmen einen Datenschutzbeauftragten?
In Deutschland ist ein Datenschutzbeauftragter nach § 38 BDSG unter anderem dann Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl kann eine Pflicht bestehen, etwa bei besonders sensiblen Daten.
Übung
- Eine Website hat seit drei Monaten ein eingebettetes Buchungstool eines Drittanbieters. Was muss in der Datenschutzerklärung ergänzt werden?
Lösungshinweise
- Der Anbieter als Empfänger, welche Daten verarbeitet werden, Zweck und Rechtsgrundlage, gegebenenfalls Drittlandübermittlung und Speicherdauer. Außerdem prüfen: Ist ein Auftragsverarbeitungsvertrag nötig, und lädt das Tool erst nach Einwilligung?
Stand: September 2026. Diese Lektion vermittelt Grundlagen und ersetzt keine Rechtsberatung im Einzelfall.