Datenschutzerklärung verständlich aufbauen

Sobald eine Website personenbezogene Daten verarbeitet – und das tut praktisch jede, allein wegen der IP-Adresse beim Seitenaufruf –, müssen die Besucher darüber informiert werden. Die Datenschutzerklärung ist diese Information. Sie ist kein Formular, das man einmal ausfüllt, sondern eine Beschreibung dessen, was auf der Website tatsächlich passiert. Und genau hier liegt ihr häufigster Fehler.

Diese Lektion behandelt ausschließlich die Datenschutzerklärung der Website. Wie Datenschutz im Arbeitsalltag funktioniert – Auskunftsersuchen, Bewerberdaten, Datenpannen –, lernen Sie im Kurs DSGVO im Alltag.

1. Was hineingehört

Grundlage sind die Informationspflichten aus Art. 13 DSGVO. Sie gelten, wenn Daten direkt bei der betroffenen Person erhoben werden, wie es auf einer Website der Fall ist. Eine vollständige Datenschutzerklärung beantwortet die folgenden Fragen – für die Website als Ganzes und für jeden eingesetzten Dienst.

Besonders wichtig ist die Rechtsgrundlage. Sie ergibt sich aus Art. 6 DSGVO und unterscheidet sich je nach Dienst: Das Kontaktformular lässt sich meist auf die Anbahnung eines Vertrags oder ein berechtigtes Interesse stützen, die Server-Logfiles auf das berechtigte Interesse an einem sicheren Betrieb, das Tracking dagegen auf eine Einwilligung. Wer überall pauschal „berechtigtes Interesse“ schreibt, macht es sich zu einfach.

2. Der häufigste Fehler: Die Erklärung passt nicht zur Website

Generatoren sind ein guter Ausgangspunkt – wir bieten mit dem Datenschutz-Generator selbst einen an. Das Problem entsteht meist später. Ein neues Plugin wird installiert, ein Video eingebettet, der Newsletter-Dienst gewechselt, und niemand denkt an die Datenschutzerklärung. Umgekehrt stehen oft Dienste darin, die längst nicht mehr genutzt werden. Beides ist ein Problem: Im ersten Fall fehlt eine Information, im zweiten wird etwas behauptet, das nicht stimmt.

Ein einfacher Test hilft beim Abgleich. Öffnen Sie Ihre Website in einem privaten Browserfenster, öffnen Sie die Entwicklerwerkzeuge und sehen Sie im Reiter „Netzwerk“ nach, zu welchen Servern die Seite Verbindungen aufbaut. Jede fremde Adresse sollte in der Datenschutzerklärung wiederzufinden sein – und bei nicht erforderlichen Diensten erst nach einer Einwilligung auftauchen.

3. Verständlich und auffindbar

Art. 12 DSGVO verlangt, dass die Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache bereitgestellt werden. Das ist ein hoher Anspruch, der von vielen Datenschutzerklärungen verfehlt wird. Bewährt haben sich drei Dinge. Erstens eine Gliederung mit einem eigenen Abschnitt pro Dienst, sodass Besucher gezielt nachlesen können, was etwa mit ihren Daten im Kontaktformular geschieht. Zweitens ein Link „Datenschutz“ im Footer jeder Seite, genau wie beim Impressum. Drittens ein kurzer Hinweis mit Link direkt an jedem Formular, wo Daten eingegeben werden.

Auch die Länge ist eine Frage der Verständlichkeit. Eine Datenschutzerklärung, die zwanzig Dienste beschreibt, von denen drei genutzt werden, ist nicht gründlicher, sondern schlechter. Je schlanker die Website technisch aufgebaut ist, desto kürzer und verständlicher kann auch die Erklärung sein – ein weiteres Argument für datensparsame Technik.

4. Braucht das Unternehmen einen Datenschutzbeauftragten?

In Deutschland ist ein Datenschutzbeauftragter nach § 38 BDSG unter anderem dann Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl kann eine Pflicht bestehen, etwa wenn besonders sensible Daten im großen Umfang verarbeitet werden oder eine Datenschutz-Folgenabschätzung erforderlich ist. Ist ein Datenschutzbeauftragter benannt, gehören seine Kontaktdaten in die Datenschutzerklärung. Ein Name ist dabei nicht zwingend nötig, eine erreichbare Kontaktadresse schon.

5. Ein Wort zu Musterformulierungen

Viele Unternehmen übernehmen Datenschutzerklärungen von anderen Websites oder aus alten Vorlagen. Das ist in doppelter Hinsicht riskant. Erstens passen die Texte selten zur eigenen Technik. Zweitens können auch Datenschutzerklärungen urheberrechtlich geschützt sein, wenn sie individuell formuliert sind. Ein Generator, dessen Nutzung ausdrücklich erlaubt ist, oder ein selbst erstellter Text ist die sichere Wahl.

6. Aktualität sichtbar machen

Eine Datenschutzerklärung sollte ein Datum tragen, an dem sie zuletzt überarbeitet wurde. Das ist keine gesetzliche Pflicht, aber ein wichtiges Signal nach innen wie nach außen. Nach innen, weil es daran erinnert, wann zuletzt jemand hingeschaut hat. Nach außen, weil ein Besucher sofort sieht, ob die Erklärung gepflegt wird. Eine Erklärung mit dem Stand von vor vier Jahren weckt zu Recht Zweifel, ob sie noch zur Website passt.

Bewährt hat sich, die Verantwortung für die Datenschutzerklärung ausdrücklich zu vergeben. In kleinen Unternehmen übernimmt das oft die Person, die auch die Website betreut. Wichtig ist, dass sie bei jeder technischen Änderung informiert wird – eine einfache Regel wie „Neue Plugins und eingebundene Dienste nur nach Rücksprache“ genügt häufig schon.

Schließlich lohnt ein Blick auf die Form. Viele Datenschutzerklärungen sind lange Textblöcke ohne Gliederung, die niemand liest. Das ist nicht nur unschön, sondern verfehlt die Anforderung der DSGVO an Verständlichkeit. Ein Inhaltsverzeichnis am Anfang, kurze Absätze und eine klare Sprache machen den Unterschied – und zeigen, dass das Unternehmen Transparenz ernst nimmt, statt sie als Pflichtübung zu behandeln.

Ein häufig vergessener Punkt ist die Mehrsprachigkeit. Richtet sich eine Website an Besucher in mehreren Sprachen, sollte auch die Datenschutzerklärung in diesen Sprachen verfügbar sein. Die DSGVO verlangt, dass die Information verständlich ist – und das setzt voraus, dass sie in einer Sprache vorliegt, die die Besucher verstehen.

Häufige Fragen aus der Praxis

Reicht eine Datenschutzerklärung für Website und Shop? Ja, wenn sie beide Angebote vollständig beschreibt. Oft ist das übersichtlicher als zwei getrennte Texte, die auseinanderlaufen.

Muss die Datenschutzerklärung bei jedem Formular verlinkt sein? Ein kurzer Hinweis mit Link direkt am Formular ist gute Praxis und erfüllt die Pflicht, zum Zeitpunkt der Erhebung zu informieren.

Und wer ein neues Werkzeug einführt, fragt am besten gleich beim Anbieter nach einem Textbaustein für die Datenschutzerklärung – viele stellen ihn bereit.

Stand: September 2026. Kursmaterial der Klarwerk Akademie – vermittelt Grundlagen und ersetzt keine Rechtsberatung im Einzelfall.