Datenschutzerklärung: Pflicht für Websites

Fast jede Website braucht eine Datenschutzerklärung. Die Datenschutz-Grundverordnung (DSGVO) verlangt: Wer personenbezogene Daten verarbeitet, muss die betroffenen Personen darüber informieren. Weil bereits die IP-Adresse als personenbezogenes Datum gilt, betrifft das praktisch jede im Internet erreichbare Website, auch Blogs und Vereinsseiten.

Brauche ich überhaupt eine Datenschutzerklärung?

Ja, sofern Ihre Website nicht unter eine enge Ausnahme fällt. Die DSGVO greift immer dann, wenn personenbezogene Daten verarbeitet werden. Dazu zählen nicht nur Name und E-Mail-Adresse aus einem Kontaktformular, sondern auch die IP-Adresse, die Ihr Webserver bei jedem Besuch automatisch in einer Logdatei speichert. Schon diese technisch notwendige Verarbeitung führt dazu, dass Ihre Website unter die DSGVO fällt. Es gibt also keine Website, die gar keine Daten verarbeitet, solange sie im Internet erreichbar ist.

Gibt es Ausnahmen für private Websites?

Es gibt eine Ausnahme, aber sie ist enger, als viele annehmen. Die DSGVO gilt nicht für Privatpersonen, die Daten ausschließlich für persönliche oder familiäre Tätigkeiten verarbeiten. Das klingt nach einer Entlastung für private Blogs, doch die Bedingungen sind streng. Die Website muss einem begrenzten, rein privaten oder familiären Kreis zugänglich sein, etwa durch ein Passwort. Zudem darf sie nichts mit einer beruflichen oder wirtschaftlichen Tätigkeit zu tun haben. Eine öffentlich erreichbare Website, auf der Sie über Ihr Hobby schreiben, erfüllt diese Bedingungen in der Regel nicht, selbst wenn Sie damit kein Geld verdienen. Wer unsicher ist, ob die eigene Seite unter die Ausnahme fällt, sollte im Zweifel eine Datenschutzerklärung einbinden.

Muss ich eine Vorlage anpassen?

Ja, eine generische Vorlage aus dem Internet reicht nicht aus. Die Datenschutzerklärung muss beschreiben, welche Datenverarbeitungen auf Ihrer Website tatsächlich stattfinden. Wenn Sie Cookies einsetzen, etwa für Analysezwecke oder um Einstellungen zu speichern, müssen Sie das aufführen. Das gilt auch für aktive Inhalte wie eingebettete Videos von YouTube oder dynamische Werbeanzeigen, Kontaktformulare, Kommentarfunktionen und Social-Media-Plugins. Jede dieser Funktionen übermittelt Daten an Dritte und muss in der Erklärung genannt werden. Umgekehrt dürfen Sie Abschnitte weglassen, die bei Ihnen nicht zutreffen, etwa den Hinweis auf einen Datenschutzbeauftragten, wenn Sie keinen bestellt haben. Eine unangepasste Vorlage führt zu unvollständigen oder falschen Angaben. Im Streitfall kann das ein Bußgeld nach sich ziehen.

Wo muss der Link zur Datenschutzerklärung stehen?

Der Link muss von jeder Seite Ihrer Website mit einem Klick erreichbar sein. Die DSGVO verlangt, dass Sie die Informationen dann bereitstellen, wenn Sie die Daten erheben. Weil die Daten bereits beim Aufruf einer Seite verarbeitet werden, muss der Link im Fußbereich oder in der Navigation jeder Unterseite stehen. Ein Link, der nur auf der Startseite oder erst nach mehreren Klicks erreichbar ist, reicht nicht. Achten Sie darauf, dass der Link dauerhaft sichtbar ist und nicht erst nach dem Öffnen eines Menüs erscheint.