Datenschutzerklärung erstellen: Generatoren, Vorlagen und Prüfung
Betreiben Sie eine Website, einen Onlineshop oder ein Kontaktformular, verarbeiten Sie personenbezogene Daten. Das sind Daten, die sich einer Person zuordnen lassen, etwa Name, E-Mail-Adresse oder IP-Adresse. Die Datenschutzerklärung zeigt, welche Daten Sie sammeln, wofür Sie sie nutzen und welche Rechte die betroffenen Personen haben.
Generatoren und Vorlagen erstellen dieses Dokument schnell, wissen aber nicht, wie Ihre Website im Einzelnen funktioniert. Eine falsche oder unvollständige Erklärung kann Abmahnungen oder Bußgelder auslösen. Prüfen Sie daher vorab, welche Informationen Sie sammeln müssen, worauf Sie bei Generatoren achten und wie Sie das Ergebnis auf Vollständigkeit kontrollieren.
Intern oder extern: Zwei Dokumente, zwei Zwecke
Bevor Sie sich mit Generatoren beschäftigen, sollten Sie den Unterschied zwischen zwei ähnlich klingenden Dokumenten kennen. Die Datenschutzerklärung ist die externe Information für Besucher, Kunden oder Nutzer Ihrer Website. Sie muss leicht auffindbar sein, in der Regel über einen Link im Footer oder im Menü. Die Datenschutzpolitik dagegen ist ein internes Dokument. Es informiert Ihre Mitarbeiter darüber, wie sie mit personenbezogenen Daten umgehen sollen, und regelt Abläufe, Zuständigkeiten und Verhaltensregeln im Unternehmen.
Beide Dokumente sind wichtig, erfüllen aber unterschiedliche Aufgaben. Ein Generator für die Datenschutzerklärung liefert in der Regel nur das externe Dokument. Die interne Datenschutzpolitik müssen Sie selbst formulieren, oft mit Unterstützung eines Datenschutzbeauftragten oder einer Rechtsberatung. Wenn Sie beides verwechseln oder nur eines erstellen, erfüllen Sie die Anforderungen der Datenschutz-Grundverordnung (DSGVO), der EU-Datenschutzverordnung, nicht vollständig.
Was ein Generator abfragt und was Sie bereithalten sollten
Ein guter Generator führt Sie durch einen Fragenkatalog. Er fragt nach Ihrem Firmennamen, Ihrer Anschrift, Kontaktdaten und danach, welche Dienste Sie auf Ihrer Website einsetzen. Typische Beispiele sind Google Analytics, eingebettete YouTube-Videos, Newsletter-Dienste, Cookie-Banner oder Zahlungsanbieter. Für jeden Dienst müssen Sie angeben, welche Daten verarbeitet werden, zu welchem Zweck und auf welcher gesetzlichen Grundlage.
Damit Sie diese Fragen korrekt beantworten können, sollten Sie vorab eine Liste aller Dienste und Tools erstellen, die Sie tatsächlich nutzen. Gehen Sie Ihre Website Seite für Seite durch und notieren Sie, welche Skripte, Tracking-Pixel (kleine Bilddateien, die das Verhalten der Besucher messen) oder externen Inhalte geladen werden. Prüfen Sie auch, ob Sie Cookies setzen, die nicht unbedingt notwendig sind, etwa für Werbung oder um zu messen, wie viele Besucher Ihre Seite sehen. Diese Liste ist die Grundlage für jede Datenschutzerklärung, egal ob mit Generator oder Vorlage.
Grenzen von Vorlagen und Generatoren
Vorlagen und Generatoren arbeiten mit standardisierten Textbausteinen. Das hat Vorteile: Sie sind schnell, oft kostenlos oder günstig und decken die häufigsten Fälle ab. Die Grenze liegt dort, wo Ihre Website anders funktioniert als üblich. Wenn Sie ein eigenes Kundenkonto anbieten, eine App betreiben oder Daten in Länder außerhalb der EU übermitteln, reichen die Standardtexte meist nicht aus. Auch neue Dienste, die der Generator noch nicht kennt, fehlen in der Erklärung.
Ein weiteres Risiko ist die Aktualität. Die DSGVO gilt seit ihrer Einführung, aber Urteile und Auslegungen ändern sich. Ein Generator, der nicht regelmäßig aktualisiert wird, kann veraltete Formulierungen oder veraltete gesetzliche Grundlagen verwenden. Prüfen Sie daher, ob der Anbieter des Generators sein System an aktuelle Gerichtsurteile anpasst und ein Datum der letzten Aktualisierung angibt. Bei Unsicherheit sollten Sie eine Fachperson hinzuziehen, insbesondere wenn Sie besonders schützenswerte Daten verarbeiten, etwa Gesundheitsdaten oder Daten von Minderjährigen.
So prüfen Sie das Ergebnis
Nachdem der Generator die Datenschutzerklärung erstellt hat, beginnt die eigentliche Arbeit. Lesen Sie das Dokument vollständig durch und vergleichen Sie es mit Ihrer Liste. Prüfen Sie dabei, ob ein Dienst fehlt, den Sie nutzen, und ob dort Dienste stehen, die Sie gar nicht einsetzen. Beides ist problematisch: Fehlende Angaben verstoßen gegen die Pflicht, offenzulegen, welche Daten Sie verarbeiten. Überflüssige Angaben verwirren die Leser und können als falsche Information gewertet werden.
Kontrollieren Sie außerdem, ob die Erklärung verständlich ist. Die DSGVO verlangt, dass Informationen in klarer und einfacher Sprache formuliert sind. Juristische Bandwurmsätze helfen niemandem. Achten Sie darauf, dass die Erklärung die Kontaktdaten des Verantwortlichen enthält, also Ihren Namen und Ihre Anschrift, sowie die Rechte der betroffenen Personen: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Auch das Recht, eine Beschwerde bei der zuständigen Datenschutzbehörde einzureichen, muss genannt werden.