Datenschutzerklärung: Pflichtangaben verständlich erklärt

Warum jede geschäftliche Website eine Datenschutzerklärung braucht

Sobald Ihre Website personenbezogene Daten verarbeitet, verlangt Art. 13 der Datenschutz-Grundverordnung (DSGVO), dass Sie die Besucher darüber informieren — verständlich, vollständig und zum Zeitpunkt der Erhebung. Und personenbezogene Daten verarbeitet praktisch jede Website: Schon der Aufruf einer Seite überträgt die IP-Adresse des Besuchers an den Server, dazu kommen Kontaktformulare, Cookies oder eingebundene Dienste wie Google Maps.

Deshalb gilt: keine Business-Website ohne Datenschutzerklärung — unabhängig davon, ob Sie Einzelunternehmer, Handwerksbetrieb oder GmbH sind. Sie muss von jeder Unterseite aus leicht erreichbar sein; der übliche Weg ist ein eigener Link im Footer neben dem Impressum. Wichtig: Datenschutzerklärung und Impressum sind zwei verschiedene Pflichten und gehören auf zwei getrennte Seiten.

Diese Pflichtangaben verlangt Art. 13 DSGVO

Der Kern jeder Datenschutzerklärung ist bei allen Unternehmen gleich. Hinein gehören:

• Name und Kontaktdaten des Verantwortlichen — also Ihres Unternehmens, mit Anschrift und E-Mail-Adresse
• Kontaktdaten des Datenschutzbeauftragten, falls Sie einen benötigen (in der Regel erst ab 20 Personen, die ständig personenbezogene Daten verarbeiten)
• Zwecke der Verarbeitung und die jeweilige Rechtsgrundlage — z. B. Einwilligung (Art. 6 Abs. 1 lit. a) oder berechtigtes Interesse (lit. f)
• Empfänger der Daten: Hosting-Anbieter, Newsletter-Dienst, Analyse-Tools — alle Dienstleister, die Daten erhalten
• Übermittlung in Drittländer außerhalb der EU, etwa bei US-Diensten, samt Grundlage dafür
• Speicherdauer oder die Kriterien, nach denen sie sich bemisst
• Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch
• Widerrufsrecht bei Einwilligungen und das Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde

Was auf einer typischen Firmen-Website erklärt werden muss

Die Pflichtangaben bleiben abstrakt, solange man nicht weiß, welche Verarbeitungen auf der eigenen Website überhaupt stattfinden. Bei den meisten kleinen Unternehmen sind es diese Bausteine: Server-Logfiles beim Hosting (IP-Adresse, Zeitpunkt, aufgerufene Seite), das Kontaktformular samt E-Mail-Verkehr, eventuell ein Buchungs- oder Terminsystem, Webanalyse wie Google Analytics oder datenschutzfreundliche Alternativen, sowie eingebundene Drittdienste — Google Maps, YouTube-Videos, Social-Media-Plugins.

Jeder dieser Bausteine braucht einen eigenen Abschnitt mit Zweck, Rechtsgrundlage und Empfänger. Ein Sonderfall sind Schriftarten: Google Fonts dürfen nicht mehr vom Google-Server geladen werden, ohne dass Besucher einwilligen — seit einem Urteil des LG München 2022 ist das eine beliebte Abmahnfalle. Die saubere Lösung ist, Schriften lokal auf dem eigenen Server zu hosten; dann taucht der Punkt in der Datenschutzerklärung gar nicht erst auf.

Für Cookies und ähnliche Technologien gilt zusätzlich § 25 TDDDG: Alles, was nicht technisch notwendig ist — Marketing-Cookies, Tracking-Pixel — braucht eine aktive Einwilligung über einen Cookie-Banner. Die Datenschutzerklärung ersetzt den Banner nicht, sie dokumentiert ihn.

Die häufigsten Fehler — und was sie kosten

Der Klassiker ist die kopierte Datenschutzerklärung: Ein Text von einer fremden Website übernommen, der Dienste beschreibt, die man gar nicht nutzt — und die eigenen verschweigt. Das ist doppelt riskant, denn eine unzutreffende Erklärung ist rechtlich kaum besser als gar keine, und obendrein verletzt die Kopie oft das Urheberrecht des ursprünglichen Verfassers.

Ebenfalls häufig: Die Website wurde weiterentwickelt, die Datenschutzerklärung nicht. Ein neues Buchungstool, ein Newsletter-Formular, ein anderes Analyse-Tool — jede Änderung an der Website kann neue Verarbeitungen bedeuten, die erklärt werden müssen. Und schließlich das Versteckspiel: Die Erklärung liegt als PDF vor, ist nur über Umwege erreichbar oder fehlt auf Landingpages komplett.

Die Kosten: Abmahnungen durch Mitbewerber oder spezialisierte Kanzleien liegen typischerweise im Bereich von 500 bis 2.000 Euro, dazu kommt eine Unterlassungserklärung mit Vertragsstrafe. Theoretisch erlaubt Art. 83 DSGVO Bußgelder bis 20 Millionen Euro oder 4 Prozent des Jahresumsatzes — für kleine Unternehmen bleiben Bußgelder der Aufsichtsbehörden zwar meist deutlich darunter, doch schon eine einzige Abmahnung kostet mehr als Jahre sauberer Pflege.

Generator, Anwalt oder Website-Anbieter: Wer erstellt den Text?

Für Standard-Websites kleiner Unternehmen leisten seriöse Datenschutz-Generatoren gute Arbeit — etwa von eRecht24 oder von spezialisierten Kanzleien. Sie fragen ab, welche Dienste Sie nutzen, und bauen daraus den passenden Text. Entscheidend ist Ehrlichkeit beim Ausfüllen: Jeder tatsächlich genutzte Dienst muss angegeben werden, und das Ergebnis darf hinterher nicht nach Gefühl gekürzt werden.

Ein Anwalt lohnt sich, wenn Sie besondere Datenkategorien verarbeiten — etwa Gesundheitsdaten in einer Praxis —, einen Online-Shop mit Kundenkonten betreiben oder Daten in größerem Stil auswerten. Die einmalige Prüfung kostet meist 150 bis 400 Euro und ist günstiger als eine Abmahnung.

Wird Ihre Website von einem Anbieter betreut, klären Sie, wer die Rechtstexte pflegt. Bei einem Website-Abo wie unserem gehört das Einpflegen und Aktualisieren der Datenschutzerklärung zur laufenden Betreuung — inklusive Anpassung, wenn neue Funktionen wie Buchung oder Newsletter dazukommen. Die Verantwortung für die Richtigkeit bleibt rechtlich beim Unternehmen, aber Sie müssen sich nicht selbst durch Paragraphen arbeiten.

Aktuell halten: Wann die Datenschutzerklärung angepasst werden muss

Eine Datenschutzerklärung ist kein einmaliges Dokument, sondern ein Spiegel Ihrer Website. Die einfachste Regel: Bei jeder funktionalen Änderung der Website kurz prüfen, ob eine neue Verarbeitung dazugekommen ist.

• Neues Tool eingebunden (Buchung, Newsletter, Chat, Analyse)? Abschnitt ergänzen, bevor es live geht
• Dienstleister gewechselt (Hosting, E-Mail)? Empfänger und ggf. Drittlandhinweise aktualisieren
• Cookie-Banner geändert? Prüfen, ob Banner und Erklärung noch dasselbe sagen
• Einmal im Jahr komplett gegenlesen: Beschreibt der Text noch die echte Website? 15 Minuten, die Abmahnungen verhindern