Typische Fehler bei der Datenschutzerklärung vermeiden
Wer eine Website oder einen kleinen Online-Shop betreibt, braucht eine Datenschutzerklärung. Die Datenschutz-Grundverordnung (DSGVO) verlangt, Besucher zu informieren, welche Daten Sie zu welchem Zweck verarbeiten, an wen Sie sie weitergeben und wie lange Sie sie speichern.
Viele Erklärungen scheitern daran, dass sie nicht zur Praxis passen: Eine ungeprüft übernommene Vorlage nennt Dienste, die gar nicht verwendet werden, oder lässt echte Verarbeitungen aus. Vergleichen Sie den Text deshalb mit dem, was auf Ihrer Website und in Ihren Prozessen tatsächlich passiert.
Erst die Datenflüsse erfassen
Bevor Sie einen Text schreiben oder eine Vorlage anpassen, sollten Sie wissen, welche Daten Sie überhaupt verarbeiten. Gehen Sie Ihre Website durch: Welche Formulare gibt es, etwa Kontaktformular oder Newsletter-Anmeldung? Welche Analyse- oder Marketingwerkzeuge sind eingebunden, welche eingebetteten Inhalte wie Karten oder Videos laden Daten nach? Auch interne Abläufe zählen, etwa die Verarbeitung von Bestellungen oder Bewerbungen. Eine Vorlage kann die Struktur liefern, aber sie ersetzt diese Bestandsaufnahme nicht. Ein Muster, das Dienste nennt, die Sie nicht nutzen, ist genauso problematisch wie eines, das tatsächlich eingesetzte Tools auslässt. Beides entspricht nicht der Realität. Der Europäische Datenschutzausschuss empfiehlt, die eigenen Datenflüsse zu kennen und das Verzeichnis der Verarbeitungstätigkeiten aktuell zu halten.
Zwecke, Rechtsgrundlagen und Empfänger nennen
Die DSGVO verlangt, dass Sie für jede Verarbeitung den Zweck und die Rechtsgrundlage angeben. Pauschale Formulierungen wie „Marketingzwecke" oder „Verbesserung des Angebots" reichen meist nicht aus. Ordnen Sie die Angaben je Verarbeitungsvorgang zu: Kontaktanfragen, Newsletter-Versand, Bestellabwicklung, Reichweitenmessung. Die Rechtsgrundlage muss zur tatsächlichen Verarbeitung passen. Nicht alles beruht auf Einwilligung; Vertragserfüllung, gesetzliche Pflichten oder berechtigte Interessen können je nach Fall die richtige Grundlage sein. Es reicht nicht, einfach einen Artikel der DSGVO zu nennen, wenn die tatsächliche Verarbeitung nicht zu dieser Grundlage passt.
Ebenso müssen Sie angeben, wer Ihre Daten erhält. Wenn Sie Dienstleister einsetzen, etwa einen Versanddienstleister oder einen Zahlungsanbieter, gehört das in die Erklärung. Die DSGVO erlaubt, Empfängerkategorien zu nennen, aber je konkreter Sie werden, desto transparenter ist das. Prüfen Sie außerdem, ob Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, etwa durch einen US-amerikanischen Analyseanbieter. Für solche Übermittlungen sind besondere Schutzmaßnahmen nötig, und Sie müssen darüber informieren. Vergleichen Sie Ihre interne Dienstleisterliste mit dem Text, damit nichts fehlt. Ein Fall aus Schweden zeigt, dass Transparenzmängel Konsequenzen haben können: Die dortige Aufsichtsbehörde verhängte gegen Klarna eine Geldbuße, weil die Informationen unter anderem unvollständige Angaben zu Zweck, Rechtsgrundlage und Empfängern enthielten. Jeder Fall wird einzeln geprüft, aber das Beispiel zeigt, worauf Behörden achten.
Speicherdauer und Betroffenenrechte angeben
Zur Speicherdauer sagt die DSGVO: Sie müssen angeben, wie lange Sie Daten aufbewahren, oder, wenn das nicht möglich ist, die Kriterien nennen, nach denen Sie die Dauer festlegen. Eine Formel wie „so lange wie nötig" ist zu vage. Nennen Sie konkrete Fristen, etwa gesetzliche Aufbewahrungspflichten für Rechnungen, oder beschreiben Sie nachvollziehbare Kriterien, etwa die Löschung nach Beendigung des Vertragsverhältnisses. Auch bei den Betroffenenrechten gilt: Zählen Sie nicht einfach alle denkbaren Rechte auf, sondern erklären Sie, wie jemand sie geltend macht und dass manche Rechte an Bedingungen geknüpft sind. Das Recht auf Datenübertragbarkeit gilt zum Beispiel nur unter bestimmten Voraussetzungen. Nennen Sie einen praktikablen Kontaktweg und die zuständige Aufsichtsbehörde für Beschwerden, damit Betroffene wissen, an wen sie sich wenden können.
Zeitpunkt und Darstellung beachten
Der Zeitpunkt der Information ist genauso wichtig wie der Inhalt. Wenn Sie Daten direkt bei einer Person erheben, etwa über ein Formular, müssen Sie die Informationen zum Zeitpunkt der Erhebung bereitstellen. Kommen Daten aus anderen Quellen, gilt grundsätzlich eine Frist von höchstens einem Monat, kürzer, wenn Sie die Person früher kontaktieren oder die Daten vorher weitergeben. Die Erklärung am Seitenende allein reicht also nicht, wenn Sie etwa ein Kontaktformular betreiben. Achten Sie außerdem auf die Darstellung: Die DSGVO verlangt eine prägnante, verständliche und leicht zugängliche Information. Ein reiner Gesetzestext, den niemand findet, erfüllt das nicht. Eine kurze Übersicht mit den wichtigsten Punkten und eine ausführlichere zweite Ebene sind ein guter Weg, solange die Details nicht widersprüchlich sind oder hinter mehreren Klicks verschwinden.
Text aktuell halten und abgrenzen
Eine Datenschutzerklärung ist kein einmaliges Dokument. Sobald Sie ein neues Tool einbinden, einen neuen Dienstleister beauftragen oder einen Zweck ändern, müssen Sie den Text anpassen. Informieren Sie über wesentliche Änderungen, bevor sie wirksam werden. Legen Sie fest, dass Sie den Text regelmäßig prüfen, etwa einmal im Jahr oder bei jeder Änderung an der Website. Und ein häufiger Irrtum: Die Datenschutzerklärung ersetzt keine Cookie-Einwilligung. Das Speichern und Auslesen von Informationen auf dem Endgerät, etwa durch Tracking-Cookies, verlangt in Deutschland nach § 25 TDDDG grundsätzlich eine eigene Einwilligung. Der Datenschutzhinweis informiert über die Verarbeitung, das Einwilligungsbanner holt die Erlaubnis ein. Beides gehört zusammen, ist aber nicht austauschbar.