Datenschutzerklärung: обязательные пункты понятным языком

Почему Datenschutzerklärung нужна каждому бизнес-сайту

Как только сайт обрабатывает персональные данные, статья 13 GDPR (в Германии — DSGVO) обязывает информировать посетителей — понятно, полно и в момент сбора данных. А персональные данные обрабатывает практически любой сайт: уже при открытии страницы IP-адрес посетителя передаётся на сервер, плюс контактные формы, cookie и встроенные сервисы вроде Google Maps.

Правило простое: нет бизнес-сайта без Datenschutzerklärung — неважно, ИП вы (Einzelunternehmer), ремесленная фирма или GmbH. Она должна быть легко доступна с каждой страницы; стандартное решение — отдельная ссылка в футере рядом с Impressum. Важно: Datenschutzerklärung и Impressum — это две разные юридические обязанности и две отдельные страницы.

Обязательные пункты по статье 13 DSGVO

Ядро любой Datenschutzerklärung одинаково для всех компаний. В неё входят:

• Название и контакты ответственного (Verantwortlicher) — вашей фирмы, с адресом и e-mail
• Контакты Datenschutzbeauftragter (уполномоченного по защите данных), если он вам нужен — как правило, только от 20 сотрудников, постоянно работающих с персональными данными
• Цели обработки и правовое основание для каждой — например, согласие (ст. 6 п. 1a) или законный интерес (п. 1f)
• Получатели данных: хостинг, сервис рассылок, аналитика — все подрядчики, которым уходят данные
• Передача данных за пределы ЕС (например, американским сервисам) и её правовое основание
• Срок хранения данных или критерии его определения
• Права посетителей: доступ, исправление, удаление, ограничение обработки, переносимость данных, возражение
• Право отозвать согласие и право пожаловаться в надзорный орган по защите данных

Что нужно описать на типичном сайте фирмы

Обязательные пункты остаются абстракцией, пока не разберёшься, какая обработка реально происходит на сайте. У большинства малых фирм это такие блоки: серверные логи хостинга (IP-адрес, время, открытая страница), контактная форма и переписка по e-mail, возможно система записи или бронирования, веб-аналитика — Google Analytics или более приватные альтернативы, а также встроенные сторонние сервисы: Google Maps, видео с YouTube, кнопки соцсетей.

Каждому блоку нужен свой раздел с целью, правовым основанием и получателем. Отдельная история — шрифты: Google Fonts больше нельзя загружать с серверов Google без согласия посетителя — после решения суда Мюнхена в 2022 году это популярный повод для Abmahnung. Чистое решение — хостить шрифты локально на своём сервере: тогда этот пункт вообще исчезает из Datenschutzerklärung.

Для cookie и похожих технологий дополнительно действует § 25 TDDDG: всё, что не является технически необходимым — маркетинговые cookie, трекинг-пиксели, — требует активного согласия через cookie-баннер. Datenschutzerklärung баннер не заменяет, а документирует.

Типичные ошибки — и во что они обходятся

Классика — скопированная Datenschutzerklärung: текст с чужого сайта описывает сервисы, которых у вас нет, и молчит о ваших. Это рискованно вдвойне: недостоверная декларация юридически почти не лучше её отсутствия, а копия вдобавок часто нарушает авторские права исходного автора.

Не менее часто: сайт развивался, а Datenschutzerklärung — нет. Новый инструмент записи, форма рассылки, другая аналитика — каждое изменение сайта может означать новую обработку данных, которую нужно описать. И наконец, игра в прятки: декларация лежит только в PDF, доступна окольными путями или вовсе отсутствует на лендингах.

Цена вопроса: Abmahnung от конкурентов или специализированных канцелярий обычно стоит 500–2 000 евро, плюс Unterlassungserklärung (обязательство о прекращении) со штрафом за повтор. Теоретически ст. 83 DSGVO допускает штрафы до 20 млн евро или 4% годового оборота — с малого бизнеса надзорные органы столько не взыскивают, но даже одна Abmahnung дороже, чем годы аккуратного ведения текста.

Генератор, юрист или подрядчик по сайту: кто пишет текст?

Для стандартного сайта малого бизнеса надёжные генераторы Datenschutzerklärung справляются хорошо — например, eRecht24 или сервисы юридических канцелярий. Они спрашивают, какие сервисы вы используете, и собирают подходящий текст. Главное — честность при заполнении: каждый реально используемый сервис нужно указать, а готовый результат нельзя «подрезать» на глаз.

Юрист нужен, если вы обрабатываете особые категории данных — например, медицинские данные в практике, — держите онлайн-магазин с личными кабинетами или анализируете данные в заметных объёмах. Разовая проверка обычно стоит 150–400 евро — дешевле одной Abmahnung.

Если сайт ведёт подрядчик, выясните, кто отвечает за юридические тексты. В нашей абонентской модели (Website-Abo) внесение и обновление Datenschutzerklärung входит в текущее обслуживание — включая правки при добавлении новых функций вроде записи или рассылки. Юридическая ответственность за достоверность остаётся на фирме, но продираться через параграфы самому не придётся.

Поддержание в актуальном виде: когда обновлять

Datenschutzerklärung — не разовый документ, а зеркало вашего сайта. Простейшее правило: при каждом функциональном изменении сайта коротко проверять, не добавилась ли новая обработка данных.

• Подключили новый инструмент (запись, рассылка, чат, аналитика)? Добавьте раздел до запуска
• Сменили подрядчика (хостинг, почта)? Обновите получателей и пункты о передаче в третьи страны
• Поменяли cookie-баннер? Проверьте, что баннер и декларация говорят одно и то же
• Раз в год перечитывать целиком: текст всё ещё описывает реальный сайт? 15 минут, которые предотвращают Abmahnung