Datenschutzerklärung prüfen

Eine Datenschutzerklärung beschreibt, welche personenbezogenen Daten Sie als Betreiber einer Website, eines Shops oder eines Online-Dienstes erheben, warum Sie das tun, an wen Sie die Daten weitergeben und welche Rechte betroffene Personen haben. Rechtsgrundlage ist die Datenschutz-Grundverordnung (DSGVO), in Deutschland ergänzt durch das Bundesdatenschutzgesetz und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) für Cookies. Prüfen Sie Ihre Erklärung Schritt für Schritt am Datenfluss: Sie muss mit dem übereinstimmen, was auf Ihrer Website, in Formularen und bei Dienstleistern tatsächlich passiert.

Kontaktpunkte erfassen

Bevor Sie den Text überarbeiten, sammeln Sie alle Kontaktpunkte, an denen Sie Daten von Personen erhalten. Dazu gehören das Kontaktformular, der Newsletter, der Onlineshop mit Bestell- und Zahlungsdaten, ein Kundenkonto, Bewerbungsformulare, eine App oder ein Gästebuch. Für jeden dieser Kontaktpunkte muss die Datenschutzerklärung die passenden Angaben enthalten. Ein häufiger Fehler ist, nur die Website zu prüfen und das Bewerbungsverfahren oder den Newsletter zu vergessen. Notieren Sie sich alle Kontaktpunkte und gehen Sie sie einzeln durch.

Zwecke und Rechtsgrundlagen klären

Für jeden Vorgang, bei dem Sie Daten verarbeiten, müssen Sie benennen, welche Daten Sie verarbeiten und wofür. Die Rechtsgrundlage ist nicht für alle Vorgänge dieselbe: Ein Newsletter beruht auf Ihrer Einwilligung, eine Bestellung auf der Vertragserfüllung, und manche Verarbeitungen stützen sich auf ein berechtigtes Interesse. Wenn Sie sich auf das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f der DSGVO berufen, müssen Sie dieses Interesse in der Erklärung konkret angeben. Eine pauschale Formulierung wie "zur Verbesserung unserer Dienste" reicht nicht aus. Prüfen Sie für jeden Zweck, ob die genannte Rechtsgrundlage tatsächlich trägt.

Empfänger und Datenflüsse prüfen

In der Erklärung müssen Sie angeben, wer Ihre Daten erhält. Das betrifft Dienstleister wie Hosting-Anbieter, Zahlungsdienstleister, Versandunternehmen oder Newsletter-Tools. Sie dürfen Empfängerkategorien nennen, also etwa "Zahlungsdienstleister" statt einzelner Firmen. Wichtig wird es bei Übermittlungen in Länder außerhalb der EU: Wenn ein Dienstleister Daten in die USA oder andere Drittländer überträgt, müssen Sie darauf hinweisen und die Grundlage nennen, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Prüfen Sie, welche Tools Sie tatsächlich eingebunden haben, und gleichen Sie die Liste mit Ihrer Erklärung ab.

Fristen und Rechte ergänzen

Die DSGVO verlangt Angaben zur Speicherdauer. Sie können eine konkrete Frist nennen, etwa "zwei Jahre nach der letzten Bestellung", oder die Kriterien, nach denen Sie die Dauer bestimmen, etwa gesetzliche Aufbewahrungspflichten. Außerdem müssen Sie die Rechte der betroffenen Personen aufführen: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit. Beruht die Verarbeitung auf einer Einwilligung, gehört der Hinweis auf das Widerrufsrecht dazu. Und Sie müssen auf das Beschwerderecht bei einer Datenschutzaufsichtsbehörde hinweisen. Diese Punkte fehlen in vielen Erklärungen, weil sie als selbstverständlich gelten, aber sie sind Pflicht.

Sonderfälle prüfen

Wenn Sie Daten nicht direkt bei der Person erheben, sondern aus anderen Quellen beziehen, etwa aus einem CRM-System oder von einem Dienstleister, gelten zusätzliche Pflichten nach Artikel 14 der DSGVO. Sie müssen dann die Kategorien der Daten und ihre Quelle mitteilen, und zwar innerhalb eines Monats, spätestens bei der ersten Kontaktaufnahme. Ein weiterer Sonderfall ist der Datenschutzbeauftragte. In Deutschland müssen private Stellen ihn benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese Schwelle ist aber nicht abschließend, denn auch bestimmte Verarbeitungen mit Datenschutz-Folgenabschätzung können die Benennung erforderlich machen. Wenn Sie einen Datenschutzbeauftragten haben, müssen seine Kontaktdaten in der Erklärung stehen. Auch Profiling und automatisierte Entscheidungen im Sinne von Artikel 22 der DSGVO müssen Sie gesondert erläutern, sofern sie vorkommen.

Cookies prüfen

Das Setzen von Cookies und ähnlichen Technologien ist nicht einfach ein Absatz in der Datenschutzerklärung. In Deutschland regelt § 25 TDDDG das Speichern von Informationen auf Endgeräten und den Zugriff darauf. Grundsätzlich brauchen Sie dafür eine Einwilligung, die auf klaren und umfassenden Informationen beruht. Ausnahmen gelten nur für die reine Nachrichtenübertragung und für Zugriffe, die unbedingt erforderlich sind, um einen ausdrücklich gewünschten Dienst bereitzustellen, etwa ein Warenkorbsystem. Die Datenschutzkonferenz, das Gremium der deutschen Aufsichtsbehörden, empfiehlt in ihrer Orientierungshilfe zu digitalen Diensten, dass zustimmungspflichtige Cookies nicht erst gesetzt und dann abgefragt werden. Die Nutzerinnen und Nutzer sollen im Einwilligungsprozess erkennen können, wer zugreift, zu welchem Zweck, für welche Dauer und ob Dritte beteiligt sind. Diese Informationen gehören an den Punkt, an dem die Einwilligung eingeholt wird, also in den Cookie-Banner, nicht nur in die Datenschutzerklärung.

Verständlichkeit testen

Die DSGVO verlangt, dass Informationen knapp, transparent, verständlich und leicht zugänglich sind und in klarer und einfacher Sprache stehen. Eine lange Erklärung ist erlaubt, aber sie muss gegliedert sein, und die Pflichtangaben dürfen nicht zwischen den Abschnitten untergehen oder sich widersprechen. Die Transparenz-Leitlinien der früheren Artikel-29-Datenschutzgruppe empfehlen für digitale Hinweise einen gestuften Aufbau: Die erste Ebene soll einen Überblick bieten und insbesondere Verantwortliche, Zwecke und Rechte sichtbar machen. Prüfen Sie also, ob die wichtigsten Angaben auf den ersten Blick auffindbar sind und ob die Formulierungen auch für Menschen ohne juristische Vorkenntnisse verständlich sind. Lassen Sie im Zweifel eine Person aus Ihrer Zielgruppe die Erklärung lesen und sagen, was sie verstanden hat.

Bei Änderungen prüfen

Eine Datenschutzerklärung ist kein Dokument, das Sie einmal erstellen und dann liegen lassen. Wenn Sie ein neues Tool einbinden, eine neue Funktion einführen oder Daten für einen anderen Zweck nutzen wollen, müssen Sie die betroffenen Personen vor dieser Weiterverarbeitung informieren. Das gilt auch, wenn Sie bereits erhobene Daten für einen neuen Zweck verwenden möchten. Planen Sie also feste Prüfzeitpunkte ein, etwa bei jedem Relaunch, bei jeder neuen Kampagne und bei jedem neuen Dienstleister. Die Erklärung muss immer den aktuellen Stand Ihrer Verarbeitung abbilden.