Datenschutzerklärung erstellen für Einsteiger
Eine Datenschutzerklärung beschreibt, was eine Website oder App mit personenbezogenen Daten macht. Personenbezogene Daten sind alle Informationen, die sich einer Person zuordnen lassen, etwa Name, E-Mail-Adresse oder IP-Adresse. Betreiber einer Website oder eines Onlineshops müssen Besucher darüber informieren, welche Daten sie erheben, wofür sie sie nutzen und an wen sie sie weitergeben. Rechtsgrundlage ist die Datenschutz-Grundverordnung (DSGVO), die in der gesamten Europäischen Union gilt.
Machen Sie zuerst eine Bestandsaufnahme, statt nach einem Mustertext zu suchen: Welche Daten fließen wohin, wozu und auf welcher Rechtsgrundlage? Wer diese Fragen beantwortet, kann eine Erklärung schreiben, die zu den tatsächlichen Abläufen passt.
Was eine Datenschutzerklärung leistet
Die Datenschutzerklärung informiert Besucher darüber, wer für die Verarbeitung ihrer Daten verantwortlich ist und was mit den Daten geschieht. Die DSGVO verlangt, dass diese Information zum Zeitpunkt der Erhebung bereitgestellt wird, wenn Daten direkt bei der Person erhoben werden. Wer ein Kontaktformular ausfüllt, einen Newsletter bestellt oder ein Konto anlegt, soll verständlich erfahren können, wer die Daten verarbeitet und wofür.
Eine gute Erklärung beschreibt die tatsächlichen Abläufe. Sie benennt konkret, welche Daten für welchen Zweck verarbeitet werden, und vermeidet vage Formulierungen wie „Nutzung der Website" oder „Verbesserung des Angebots". Die deutschen Datenschutzaufsichtsbehörden (DSK) betonen in ihrer Orientierungshilfe, dass Verarbeitungszwecke hinreichend konkret beschrieben werden müssen.
Information ist keine Einwilligung
Eine Datenschutzerklärung informiert über die Verarbeitung, begründet aber selbst keine Rechtsgrundlage. Die DSGVO kennt mehrere mögliche Rechtsgrundlagen, darunter Einwilligung, Vertragserfüllung, rechtliche Verpflichtung und berechtigte Interessen. Welche davon für eine konkrete Verarbeitung passt, muss für diesen Zweck geprüft werden.
Auch ein Kästchen mit „Ich stimme der Datenschutzerklärung zu" ist nicht automatisch eine wirksame Einwilligung. Eine Einwilligung setzt eine aktive, eindeutige Handlung voraus. Wer die Datenschutzerklärung liest oder deren Erhalt bestätigt, hat damit nicht automatisch in jede darin beschriebene Verarbeitung eingewilligt.
Datenwege vor dem Schreiben erfassen
Bevor Sie einen Text formulieren, legen Sie sich eine einfache Tabelle an. Klären Sie für jede Funktion Ihrer Website oder App, welche Daten erhoben werden, wofür sie dienen, wer sie erhält und wie lange sie gespeichert werden. Die DSK nennt unter anderem Kontaktformulare, Chats, Karten, Videos, Werbung und Statistikfunktionen als mögliche Bestandteile digitaler Angebote.
Prüfen Sie zuerst, was tatsächlich eingebunden ist, und informieren Sie anschließend dazu passend. Ein Mustertext, der alle denkbaren Dienste auflistet, passt nicht zu jeder Website. Die konkrete Erklärung muss zu den tatsächlichen Datenflüssen, Zwecken und Diensten passen.
Die Pflichtangaben nach Artikel 13
Für Daten, die direkt bei der betroffenen Person erhoben werden, nennt Artikel 13 DSGVO die wichtigsten Informationen, die in der Erklärung stehen müssen:
- Identität und Kontaktdaten des Verantwortlichen
- Kontaktdaten des Datenschutzbeauftragten, falls ein solcher benannt werden muss
- Zwecke der Verarbeitung und jeweilige Rechtsgrundlage
- bei berechtigtem Interesse: welches Interesse verfolgt wird
- Empfänger oder Empfängerkategorien
- gegebenenfalls Übermittlungen in Drittländer und Informationen zu den dafür verwendeten Garantien
- Speicherfrist oder Kriterien, nach denen sie festgelegt wird
- einschlägige Rechte, etwa auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit
- Beschwerdemöglichkeit bei einer Aufsichtsbehörde
- gegebenenfalls, ob die Datenbereitstellung vorgeschrieben oder für einen Vertrag erforderlich ist
- gegebenenfalls Informationen über automatisierte Entscheidungen oder Profiling
Für Daten aus anderen Quellen gilt Artikel 14 DSGVO. Dann gehören grundsätzlich auch die Kategorien der verarbeiteten Daten und deren Herkunft zu den Informationen. Die Information ist innerhalb einer angemessenen Frist, spätestens innerhalb eines Monats, zu geben.
Sie müssen nicht jede denkbare Rechtsinformation in einen unübersichtlichen Textblock packen. Die Informationen müssen präzise, transparent, verständlich, leicht zugänglich und in klarer, einfacher Sprache vermittelt werden.
Cookies, Banner und Erklärung trennen
Bei Websites können zwei Regelungsbereiche zusammentreffen. Die DSGVO betrifft die Verarbeitung personenbezogener Daten. § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) betrifft bestimmte Speicherungen von Informationen auf dem Endgerät oder Zugriffe auf dort gespeicherte Informationen. Dafür ist grundsätzlich eine Einwilligung erforderlich; das Gesetz enthält Ausnahmen, etwa wenn der Vorgang ausschließlich der Nachrichtenübertragung dient oder unbedingt erforderlich ist, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen.
Ein Cookie-Banner ersetzt die Datenschutzerklärung nicht; die Datenschutzerklärung ersetzt umgekehrt keine erforderliche Einwilligung. Beide erfüllen unterschiedliche Funktionen: Das Banner holt die Einwilligung für bestimmte Speicherungen auf dem Endgerät ein, die Erklärung informiert über die Verarbeitung personenbezogener Daten.
Verständlich und auffindbar gestalten
Die DSGVO gibt kein starres Layout oder eine universelle Musterseite vor. Sie verlangt aber eine verständliche und leicht zugängliche Information. Ein mehrstufiger Ansatz kann helfen: eine knappe, passende Information an der Stelle, an der Daten erhoben oder Einwilligungen abgefragt werden, mit einem gut auffindbaren Link zu ausführlicheren Details. Die DSK hält einen solchen Ansatz für möglich, betont aber: Bei Einwilligungen müssen die wesentlichen Informationen bereits auf der Ebene verfügbar sein, auf der die Einwilligung eingeholt wird.
Bei mehreren Stellen im Angebot, etwa Banner, Formular und Datenschutzerklärung, sollten die Angaben zusammenpassen. Die DSK nennt es ein Transparenzproblem, wenn Banner und Datenschutzerklärung bei Zwecken, Rechtsgrundlagen oder Drittanbietern voneinander abweichen.