Rechtssichere Datenschutzerklärung erstellen

Mit einer Datenschutzerklärung legen Websitebetreiber und Unternehmen offen, was mit personenbezogenen Daten ihrer Besucher und Kunden geschieht. Personenbezogene Daten sind alle Informationen, die sich einer Person zuordnen lassen, etwa Name, E-Mail-Adresse oder IP-Adresse. Die rechtliche Grundlage ist die Datenschutz-Grundverordnung (DSGVO); ihre Artikel 12 bis 14 legen fest, welche Informationen Sie wann bereitstellen müssen.

Eine Vorlage aus dem Internet zu übernehmen und nur die Firmennamen auszutauschen, reicht nicht aus. Sie müssen nachvollziehen, welche Daten bei jedem Kontaktpunkt anfallen, wohin sie gehen und wie lange sie gespeichert werden. Erst dann beschreiben Sie diese Abläufe verständlich und korrekt.

Datenflüsse zuerst erfassen

Bevor Sie einen Satz formulieren, verschaffen Sie sich einen Überblick über alle Stellen, an denen personenbezogene Daten anfallen. Dazu gehören Kontaktformulare, Kundenkonten, Bestellungen, Newsletter-Anmeldungen, Bewerbungen, Analyse-Tools und eingebundene Dienste von Drittanbietern wie Karten oder Videos. Notieren Sie zu jedem Kontaktpunkt, welche Daten konkret verarbeitet werden, zu welchem Zweck, an welche Empfänger sie weitergegeben werden und wie lange Sie sie speichern.

Diese Übersicht ist Ihre Arbeitsgrundlage. Die DSGVO schreibt keine bestimmte Form der Dokumentation vor, verlangt aber, dass die Datenschutzerklärung die tatsächliche Verarbeitung beschreibt. Wenn Sie nicht wissen, welche Daten bei einem Kontaktformular anfallen und wohin sie fließen, können Sie das auch nicht korrekt erklären. Der Europäische Datenschutzausschuss empfiehlt, die Datenflüsse so genau zu kennen, dass Sie Auskunftsanfragen beantworten und die Erklärung korrekt halten können.

Direkte und indirekte Erhebung unterscheiden

Die DSGVO unterscheidet zwei Situationen mit unterschiedlichen Fristen. Bei der direkten Erhebung geben Sie die Daten selbst an, etwa wenn Sie ein Kontaktformular ausfüllen oder eine Bestellung aufgeben. In diesem Fall muss die Datenschutzerklärung zum Zeitpunkt der Erhebung verfügbar sein, also direkt am Formular oder auf der Bestellseite.

Bei der indirekten Erhebung stammen die Daten aus einer anderen Quelle, etwa von einem Dienstleister oder aus öffentlichen Verzeichnissen. Hier müssen Sie die Informationen innerhalb eines Monats bereitstellen, nachdem Sie die Daten erhalten haben. Die Frist verkürzt sich, wenn Sie die betroffene Person zuerst kontaktieren oder die Daten vor Ablauf an einen anderen Empfänger weitergeben. In beiden Fällen müssen Sie die Informationen bereitstellen, bevor die Weitergabe erfolgt.

Rechtsgrundlagen je Zweck prüfen

Für jeden Verarbeitungszweck müssen Sie eine eigene Rechtsgrundlage benennen. Die DSGVO kennt mehrere: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, öffentliches Interesse, lebenswichtige Interessen und berechtigte Interessen. Eine pauschale Rechtsgrundlage für die gesamte Erklärung reicht nicht, weil die Verarbeitung je nach Zweck unterschiedlich zu bewerten ist.

Ein Beispiel: Die Verarbeitung von Bestelldaten zur Vertragserfüllung ist durch den Vertrag gedeckt. Derselbe Vertrag rechtfertigt aber keine Werbe-E-Mails. Dafür brauchen Sie eine eigene Grundlage, in der Regel die Einwilligung. Wenn Sie sich auf berechtigte Interessen stützen möchten, müssen Sie konkret abwägen, ob Ihr Interesse an der Verarbeitung die Rechte und Interessen der betroffenen Person überwiegt. Eine bloße Behauptung, dass ein berechtigtes Interesse vorliegt, genügt nicht. Die Datenschutzerklärung selbst macht die Verarbeitung nicht rechtmäßig, sie beschreibt nur, was geschieht.

Pflichtangaben verständlich formulieren

Aus der Datenübersicht leiten Sie die Pflichtangaben ab. Für direkt erhobene Daten verlangt Artikel 13 der DSGVO unter anderem: Name und Kontaktdaten des Verantwortlichen, also der Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet, Kontaktdaten des Datenschutzbeauftragten, falls einer bestellt ist, Zwecke und Rechtsgrundlagen der Verarbeitung, Empfänger oder Kategorien von Empfängern, Informationen zu Übermittlungen in Drittländer, Speicherdauer oder Kriterien für die Festlegung der Speicherdauer sowie die Rechte der betroffenen Personen. Bei indirekt erhobenen Daten kommen die Kategorien der personenbezogenen Daten und die Quelle hinzu.

Formulieren Sie die Rechte nicht so, als würden sie in jeder Situation gelten. Das Recht auf Datenübertragbarkeit etwa greift nur unter bestimmten Voraussetzungen. Beschreiben Sie die Rechte deshalb so, wie sie tatsächlich anwendbar sind. Bei der Speicherdauer müssen Sie keine einzelne Frist erfinden, wenn es keine gibt. Die DSGVO erlaubt, die Kriterien zu nennen, nach denen die Dauer bestimmt wird, etwa gesetzliche Aufbewahrungspflichten oder die Dauer der Geschäftsbeziehung.

Die Erklärung muss klar, verständlich und leicht zugänglich sein. Eine gestufte Darstellung hilft: Die wichtigsten Informationen stehen direkt am Ort der Erhebung, etwa neben dem Kontaktformular, und verlinken auf die ausführliche Fassung. Die Kurzfassung dient als Einstieg, die Details stehen in der ausführlichen Fassung. Prüfen Sie die Erklärung als Ganzes und stellen Sie sicher, dass die Nutzer die konkreten Informationen zu ihrer Verarbeitung tatsächlich finden.

Cookies getrennt prüfen

Die Datenschutzerklärung allein deckt die Pflichten für Cookies und ähnliche Technologien nicht ab. In Deutschland regelt das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), wann Sie Informationen auf dem Gerät der Nutzer speichern oder von dort abrufen dürfen. Grundsätzlich ist dafür eine Einwilligung nötig, die auf klaren und umfassenden Informationen beruht. Ausnahmen gelten nur für die Übertragung einer Nachricht und für Techniken, die unbedingt erforderlich sind, um einen ausdrücklich gewünschten Dienst bereitzustellen.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder hat in ihrer Orientierungshilfe von November 2022 klargestellt: Der Zugriff auf das Endgerät und die spätere Verarbeitung personenbezogener Daten sind getrennt zu beurteilen. Der Zugriff auf das Gerät fällt unter das TDDDG, die anschließende Verarbeitung der Daten unter die DSGVO. Ob eine Einwilligung nötig ist, hängt von der konkreten Funktion ab und davon, welche Informationen gespeichert oder abgerufen werden. Es kommt nicht darauf an, ob eine Technik als Cookie bezeichnet wird.

Erklärung testen und pflegen

Vor der Veröffentlichung gleichen Sie den Text mit der tatsächlichen Website ab. Prüfen Sie, ob jedes Formular, jedes Analyse-Tool und jeder eingebundene Dienst in der Erklärung auftaucht, ob die Empfänger korrekt benannt sind und ob die Speicherfristen zu den Einstellungen passen. Ein häufiger Fehler ist, dass die Erklärung Dienste nennt, die gar nicht eingesetzt werden, oder umgekehrt neue Tools fehlen.

Danach legen Sie fest, wann Sie die Erklärung überarbeiten. Einen gesetzlich vorgeschriebenen Prüfrhythmus gibt es nicht. Sie müssen die Erklärung aber anpassen, sobald sich die Verarbeitung ändert. Der Europäische Datenschutzausschuss stellt klar, dass betroffene Personen vor der Änderung informiert werden müssen. Wenn Sie ein neues Analyse-Tool einbinden oder einen Dienstleister wechseln, aktualisieren Sie die Erklärung, bevor die Änderung wirksam wird. Für besondere Bereiche wie Beschäftigtendaten, Gesundheitsdaten oder komplexe internationale Übermittlungen kann zusätzliche fachliche Prüfung nötig sein.