Datenschutzerklärung: Pflicht für jede Website?

Die Faustregel ist einfach: Sobald deine Website personenbezogene Daten verarbeitet, brauchst du eine Datenschutzerklärung. Personenbezogen ist jede Information, die sich auf eine identifizierbare Person bezieht, und dazu zählen nach der Rechtsprechung auch IP-Adressen. Weil praktisch jeder Webserver die IP-Adressen der Besucher in Logdateien speichert, entsteht die Pflicht faktisch schon bei einer rein statischen Seite, die bei einem Hoster liegt. Kommen Kontaktformulare, Newsletter, ein Kundenkonto, Reichweitenmessung, eingebettete Karten, Schriftarten oder Social-Media-Plugins hinzu, verarbeitest du noch deutlich mehr Daten.

Rechtsgrundlage der Informationspflicht sind Artikel 13 und 14 DSGVO. Artikel 13 greift, wenn du Daten direkt bei der betroffenen Person erhebst, also im Normalfall der Website: beim Ausfüllen eines Formulars ebenso wie beim bloßen Aufruf einer Seite. Artikel 14 betrifft den selteneren Fall, dass du Daten aus einer anderen Quelle als von der Person selbst erhältst, etwa aus einem zugekauften Adressbestand. In beiden Fällen musst du die Betroffenen zum Zeitpunkt der Erhebung klar, verständlich und leicht zugänglich informieren, und genau diese Information leistet die Datenschutzerklärung. Ein nicht öffentlich abrufbares Angebot ganz ohne Datenverarbeitung wäre theoretisch ausgenommen, in der Praxis trifft das aber kaum eine erreichbare Website.

Artikel 13 DSGVO gibt einen festen Katalog vor. An den Anfang gehört der Verantwortliche, also die Person oder das Unternehmen, das über Zwecke und Mittel der Verarbeitung entscheidet, mit Name und Kontaktdaten. Wer einen Datenschutzbeauftragten benannt hat, muss auch dessen Kontaktdaten angeben; verpflichtend ist ein solcher Beauftragter aber nur in bestimmten Fällen, etwa wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Datenverarbeitung beschäftigt sind.

Für jede Verarbeitung nennst du den Zweck und die passende Rechtsgrundlage nach Artikel 6 DSGVO, also zum Beispiel Einwilligung, Vertragserfüllung oder berechtigtes Interesse. Stützt du dich auf ein berechtigtes Interesse, musst du dieses konkret benennen. Dazu kommen die Empfänger der Daten, worunter typischerweise dein Hosting-Anbieter sowie Newsletter- oder Analyse-Dienstleister fallen, sowie ein Hinweis, falls Daten in ein Land außerhalb der EU übermittelt werden. Ebenfalls anzugeben sind die Speicherdauer oder die Kriterien für ihre Festlegung.

Ein eigener Block gehört den Betroffenenrechten: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, das Recht, eine erteilte Einwilligung jederzeit zu widerrufen, sowie das Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde. In der Praxis beschreibst du zusätzlich die konkreten Verarbeitungen deiner Seite: das Hosting samt Server-Logdateien, Kontaktformulare, Newsletter, ein etwaiges Kundenkonto und eingesetzte Cookies oder Tracking-Tools. Für nicht notwendige Cookies und ähnliche Technologien verlangt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, bis Mai 2024 TTDSG) eine vorherige Einwilligung, die du üblicherweise über ein Consent-Banner einholst und in der Datenschutzerklärung erläuterst.

Die Datenschutzerklärung muss leicht auffindbar, klar als solche bezeichnet und von jeder Seite aus mit einem Klick erreichbar sein, üblicherweise über einen eigenen Link im Footer. Sie ist getrennt vom Impressum zu führen: Beides sind unterschiedliche Pflichten mit unterschiedlichem Inhalt, und ein Sammellink erschwert das Auffinden. Wichtig ist außerdem, dass die Erklärung zu deiner tatsächlichen Datenverarbeitung passt. Eine aus dem Netz kopierte Mustererklärung, die Dienste beschreibt, die du gar nicht nutzt, oder umgekehrt eingesetzte Tools verschweigt, erfüllt die Informationspflicht nicht.

Deshalb solltest du die Erklärung immer dann prüfen, wenn sich an deiner Seite etwas ändert, etwa nach dem Einbau eines neuen Analyse-Tools, eines Chat-Widgets oder eines Zahlungsdienstes. Fehlt eine Datenschutzerklärung oder ist sie unvollständig, drohen zwei Konsequenzen. Zum einen können die Aufsichtsbehörden Bußgelder verhängen; der Rahmen der DSGVO reicht bei Verstößen gegen die Informationspflichten bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, wobei solche Höchstwerte kleine Websites praktisch nie treffen. Zum anderen sind fehlende oder fehlerhafte Datenschutzerklärungen ein häufiger Anlass für Abmahnungen durch Mitbewerber und Verbraucherschutzverbände. Beides lässt sich mit einer vollständigen, ehrlich auf die eigene Seite zugeschnittenen Erklärung von vornherein vermeiden.