Gesetzliche Pflicht zur Datenschutzerklärung
Als Betreiber einer Website sind Sie gesetzlich verpflichtet, einen leicht zugänglichen Datenschutzhinweis bereitzustellen. Spätestens seit Inkrafttreten der DSGVO im Jahr 2018 gelten strenge Informationspflichten: Sie müssen Besucher Ihrer Website transparent darüber aufklären, welche personenbezogenen Daten Sie erheben und wofür diese genutzt werden. Diese Pflicht betrifft nahezu alle Internetauftritte – auch kleinere Firmenwebsites oder Blogs – denn schon beim bloßen Aufruf einer Seite werden beispielsweise IP-Adressen und andere Nutzungsdaten erfasst. Reine Privatseiten, die ausschließlich persönlichen oder familiären Zwecken dienen (sogenanntes Haushaltsprivileg), bilden die seltene Ausnahme.
In Deutschland werden die Datenschutz-Vorgaben der DSGVO durch nationale Regelungen ergänzt. So trat Ende 2021 das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) in Kraft, das insbesondere den Einsatz von Cookies und Tracking regelt. Seit Mai 2024 gilt eine angepasste Fassung dieses Gesetzes unter dem neuen Namen Telekommunikation-Dienste-Datenschutz-Gesetz (TDDDG). Wichtig ist: Die DSGVO bleibt vorrangig – Website-Betreiber müssen also weiterhin sämtliche erweiterten Informationspflichten der DSGVO erfüllen.
Inhalte einer DSGVO-konformen Datenschutzerklärung
Der Inhalt Ihrer Datenschutzerklärung muss genau auf die Datenverarbeitung in Ihrem Unternehmen zugeschnitten sein. Welche Informationen Sie angeben müssen, ergibt sich insbesondere aus Art. 13 DSGVO: Demnach sind betroffene Personen umfassend zu informieren. Eine vollständige Datenschutzerklärung sollte mindestens folgende Angaben enthalten:
- Verantwortliche Stelle: Name und Kontaktdaten Ihres Unternehmens als Verantwortlicher (Website-Betreiber) sowie – falls gesetzlich erforderlich – die Kontaktdaten Ihres Datenschutzbeauftragten.
- Verarbeitungszwecke und Rechtsgrundlagen: Die Zwecke, zu denen Sie personenbezogene Daten auf der Website erheben und verarbeiten, und die jeweilige Rechtsgrundlage dafür (z. B. eine Einwilligung der Nutzer oder ein berechtigtes Interesse Ihres Unternehmens gemäß Art. 6 DSGVO).
- Empfänger der Daten: Informationen darüber, welche Empfänger oder Kategorien von Empfängern die erhobenen Daten erhalten (z. B. externe Dienstleister wie Ihr Hosting-Provider, Analytik-Anbieter oder Marketing-Plattformen).
- Speicherdauer: Wie lange die Daten gespeichert werden beziehungsweise nach welchen Kriterien sich die Speicherdauer bestimmt.
- Rechte der Betroffenen: Ein Hinweis auf die Rechte der Nutzer in Bezug auf ihre Daten, insbesondere auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.
- Widerruf von Einwilligungen: Falls Sie Daten aufgrund einer Einwilligung verarbeiten, muss darauf hingewiesen werden, dass Nutzer eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen können.
- Beschwerderecht: Der Hinweis auf das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn ein Nutzer der Ansicht ist, dass die Datenverarbeitung gegen geltendes Recht verstößt.
- Automatisierte Entscheidungen: Falls Ihr Unternehmen automatisierte Entscheidungsverfahren oder Profiling einsetzt (z. B. personalisierte Scoring- oder Empfehlungssysteme), müssen Sie die Beteiligung solcher Prozesse erläutern und deren Tragweite für die betroffene Person darstellen.
- Datenherkunft: Falls Sie personenbezogene Daten nicht direkt bei der betroffenen Person erheben (sondern z. B. aus öffentlich zugänglichen Quellen oder von Drittanbietern erhalten), sind die Quellen dieser Daten offenzulegen.
Neben diesen Pflichtangaben sollte Ihre Datenschutzerklärung auch alle konkreten Dienste und Funktionen Ihrer Website individuell abdecken. Wenn Sie zum Beispiel ein Webanalyse-Tool wie Google Analytics einsetzen, einen Marketing-Pixel (etwa den Facebook-Pixel) verwenden, Social-Media-Plugins einbinden oder ein Kontaktformular bzw. Newsletter anbieten, dann müssen Sie für jeden dieser Dienste transparent darlegen, welche Daten dabei erhoben werden, zu welchem Zweck dies geschieht und auf welcher Grundlage die Verarbeitung erfolgt (Einwilligung, berechtigtes Interesse o. Ä.).
Auch die Verwendung von Cookies ist offen zu legen. Für nicht technisch notwendige Cookies schreibt das nationale Recht (TTDSG/TDDDG) vor, dass vorab eine aktive Einwilligung der Nutzer eingeholt werden muss (durch ein Cookie-Banner). In Ihrer Datenschutzerklärung sollten Sie daher aufführen, welche Arten von Cookies oder Tracking-Technologien Ihre Seite nutzt und welche Optionen die Nutzer haben, diese zu akzeptieren oder abzulehnen.
Konsequenzen fehlender oder fehlerhafter Datenschutzerklärung
Eine unvollständige oder gar fehlende Datenschutzerklärung ist keineswegs ein Kavaliersdelikt. Gemäß deutscher Rechtsprechung stellt dies auf geschäftlichen Websites einen Wettbewerbsverstoß dar. Ihre Mitbewerber – oder auch Verbraucherschutzverbände – können in so einem Fall kostenpflichtige Abmahnungen aussprechen. Eine Abmahnung geht meist mit der Aufforderung einher, die Versäumnisse umgehend zu beheben (Unterlassungserklärung) und die Kosten der gegnerischen Rechtsverfolgung zu tragen. Für kleinere Verstöße liegen die Abmahnkosten typischerweise im niedrigen dreistelligen Euro-Bereich. Im Wiederholungsfall oder bei Weigerung, der Aufforderung nachzukommen, können jedoch deutlich höhere Beträge und sogar Vertragsstrafen fällig werden.
Auch die Datenschutz-Aufsichtsbehörden können einschreiten. Das Bußgeldrisiko nach DSGVO sollte nicht unterschätzt werden – es können bei Verstößen gegen die Transparenzpflichten durchaus fünfstellige Geldbußen verhängt werden. Schließlich darf der Vertrauensverlust bei Kunden nicht außer Acht gelassen werden. In Zeiten eines wachsenden Bewusstseins für Datenschutz erwarten Nutzer von Unternehmen Transparenz im Umgang mit ihren Daten. Fehlende oder schwer auffindbare Datenschutzhinweise werfen ein schlechtes Licht auf Ihr Unternehmen und können die Kundenbeziehung nachhaltig beschädigen.
Unterstützung durch einen Datenschutz-Dienstleister
Die Erstellung einer rechtssicheren, DSGVO-konformen Datenschutzerklärung erfordert Fachwissen und Sorgfalt. Viele Unternehmen haben jedoch keine internen Datenschutzexperten. Zudem fehlt im Tagesgeschäft oft die Zeit, stets alle aktuellen rechtlichen Vorgaben im Blick zu behalten. In solchen Fällen lohnt es sich, einen spezialisierten Datenschutz-Dienstleister oder einen externen Datenschutzbeauftragten hinzuzuziehen. Ein externer Datenschutzexperte analysiert gemeinsam mit Ihnen, welche Prozesse auf Ihrer Website datenschutzrelevant sind – von der Verwendung bestimmter Cookies und Plugins bis zur Abwicklung von Online-Anfragen oder Bestellungen – und erstellt auf dieser Basis eine maßgeschneiderte Datenschutzerklärung für Ihr Unternehmen. Sie erhalten somit einen Text, der alle notwendigen Informationen vollständig abdeckt und speziell auf Ihr Geschäftsmodell zugeschnitten ist, statt lediglich eine unpersönliche Muster-Vorlage zu verwenden.
Darüber hinaus unterstützt Sie ein professioneller Dienstleister dabei, dauerhaft compliant zu bleiben. Die Datenschutzanforderungen entwickeln sich ständig weiter. Man denke an neue Gerichtsurteile, aktualisierte Leitlinien der Behörden oder Gesetzesnovellen wie das oben erwähnte TDDDG. Ein guter Datenschutz-Dienstleister wird Sie proaktiv auf relevante Änderungen hinweisen und Ihre Datenschutzerklärung bei Bedarf anpassen. Ebenso begleitet er Sie bei weiteren Aufgaben: Er berät beispielsweise beim Einrichten eines rechtssicheren Cookie-Banners, beim Abschluss notwendiger Auftragsverarbeitungsverträge mit IT-Dienstleistern oder schult Ihre Mitarbeiter im korrekten Umgang mit personenbezogenen Daten. Auf diese Weise stellen Sie sicher, dass Ihre Website und Ihr Unternehmen jederzeit den aktuellen Datenschutzanforderungen entsprechen – und Sie können sich ganz auf Ihr Kerngeschäft konzentrieren.
