Die DSGVO verlangt von jedem, der personenbezogene Daten verarbeitet, eine transparente Information darüber. Bei Websites ist das praktisch immer der Fall – allein Server-Logs mit IP-Adressen sind personenbezogene Daten. Eine Datenschutzerklärung ist also Pflicht, kein "Nice-to-have".
Pflichtangaben nach Art. 13 DSGVO
- Name und Kontaktdaten des Verantwortlichen.
- Bei Pflicht: Kontaktdaten des Datenschutzbeauftragten (in der Regel ab 20 Personen, die ständig mit personenbezogenen Daten arbeiten).
- Zwecke und Rechtsgrundlagen der Verarbeitung (z. B. Art. 6 Abs. 1 lit. b für Vertragsanbahnung, lit. f für berechtigtes Interesse, lit. a für Einwilligung).
- Empfänger der Daten oder Kategorien von Empfängern (z. B. Hoster, Versanddienstleister).
- Übermittlung in Drittländer und entsprechende Garantien (besonders relevant bei US-Diensten).
- Speicherdauer oder Kriterien für die Festlegung.
- Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Beschwerde.
- Bestehende automatisierte Entscheidungsfindung inklusive Profiling.
Typische Abschnitte einer KMU-Datenschutzerklärung
- Verantwortliche Stelle: Vollständige Kontaktdaten.
- Server-Logfiles: Welche Verbindungsdaten werden erhoben, wie lange gespeichert.
- Kontaktformular und E-Mail: Welche Daten, welcher Zweck, welche Rechtsgrundlage.
- Newsletter: nur, wenn vorhanden – mit Hinweis auf Double-Opt-In und Abmeldung.
- Cookies: Welche werden gesetzt, welche sind technisch notwendig (TTDSG §25 Abs. 2), welche brauchen Einwilligung.
- Drittanbieter: Google Fonts (lokal eingebunden!), Maps, Analytics, Schriftarten, Plug-ins.
- Hosting-Anbieter mit Hinweis auf Auftragsverarbeitungsvertrag (AVV).
- Betroffenenrechte und Beschwerderecht bei Aufsichtsbehörde.
Häufige Fehler, die abgemahnt werden
- Google Fonts wird remote eingebunden statt lokal gehostet – häufiger Abmahngrund.
- Externe Tracker (Analytics, Facebook Pixel, Hotjar) ohne explizite Einwilligung.
- Pauschal "wir verwenden Cookies" ohne konkrete Auflistung.
- Fehlende Rechtsgrundlage pro Verarbeitung (nicht nur "DSGVO" allgemein).
- YouTube-Videos im Standard-Modus statt im erweiterten Datenschutzmodus.
- Reine Übernahme englischer Vorlagen ohne deutsche Anpassung.
Generator oder Anwalt?
Für Standard-Websites ohne komplexe Tracking-Setups reichen seriöse Generatoren (eRecht24, Anwalt.de, activeMind, datenschutz.org). Sobald jedoch Marketing-Tools, externe Buchungssysteme, Newsletter oder Lead-Generierung im Spiel sind, lohnt eine Prüfung durch einen auf Datenschutz spezialisierten Anwalt – einmal investiert, langfristig sicher.