Die Datenschutzerklärung ist eines der wenigen Dokumente, die auf einer Website unstrittig gesetzlich vorgeschrieben sind. Wer personenbezogene Daten verarbeitet — und das tut jede Website, die ein Kontaktformular betreibt, Zugriffe protokolliert oder Cookies setzt — muss darüber informieren.
Weniger klar ist meistens, wer das in Deutschland kontrolliert und was bei einem Verstoß tatsächlich passiert. Genau darum geht es hier.
Wer in Deutschland zuständig ist
Für die Aufsicht sind die Landesdatenschutzbehörden zuständig, jeweils für die in ihrem Bundesland ansässigen Unternehmen — der LfDI Baden-Württemberg, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, das Bayerische Landesamt für Datenschutzaufsicht und die übrigen. Der Bundesbeauftragte für den Datenschutz ist demgegenüber für Bundesbehörden und für Telekommunikations- und Postunternehmen zuständig, nicht für den durchschnittlichen Onlineshop.
Das ist ein wichtiger Unterschied zu Frankreich, wo mit der CNIL eine einzige nationale Behörde zuständig ist. Wer sich an französischen Meldungen orientiert, zieht die falschen Schlüsse über das eigene Risiko.
Was das Gesetz verlangt
Die Informationspflicht steht in Artikel 13 und 14 der DSGVO. Verlangt werden unter anderem:
(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:
— DSGVO, Artikel 13
- Identität und Kontaktdaten des Verantwortlichen, gegebenenfalls des Datenschutzbeauftragten;
- Zwecke und Rechtsgrundlage jeder Verarbeitung — Einwilligung, Vertrag, berechtigtes Interesse, rechtliche Verpflichtung;
- Empfänger oder Kategorien von Empfängern: Hosting, Zahlungsdienstleister, Newsletter-Tool, Analyse-Dienst;
- Übermittlungen in Drittländer und die Garantie, auf die sie gestützt werden;
- Speicherdauer oder die Kriterien, nach denen sie festgelegt wird;
- Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit, Widerruf der Einwilligung;
- Beschwerderecht bei einer Aufsichtsbehörde.
Artikel 12 fordert zusätzlich eine „präzise, transparente, verständliche und leicht zugängliche Form, in einer klaren und einfachen Sprache”. Eine Erklärung, die formal alles enthält, aber unlesbar ist, erfüllt die Pflicht nicht.
Welche Angaben im Einzelnen hineingehören, behandelt unser Artikel zu den Pflichtangaben der Datenschutzerklärung.
Nicht verwechseln: Impressum und Datenschutzerklärung
Beide sind Pflicht, beide stehen im Footer, und sie werden regelmäßig vermischt — was in einer Prüfung sofort auffällt.
Das Impressum beruht auf § 5 DDG und beantwortet die Frage, wer die Website betreibt: Name, Anschrift, Vertretungsberechtigte, Register und Registernummer, Umsatzsteuer-Identifikationsnummer, Kontakt. Die Datenschutzerklärung beruht auf der DSGVO und beantwortet, was mit den Daten geschieht.
Zwei Dokumente, zwei Rechtsgrundlagen, zwei Sanktionswege. Unser Leitfaden zu den Impressum-Pflichtangaben behandelt die erste Seite dieser Medaille.
Was bei einem Verstoß tatsächlich passiert
Hier weicht die Praxis von dem ab, was in Ratgebern steht. Es gibt zwei Wege, und der zweite trifft kleine Unternehmen deutlich häufiger.
Der aufsichtsrechtliche Weg
Die Landesbehörde wird tätig, meist nach einer Beschwerde. Artikel 83 DSGVO sieht Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor — der obere Rahmen, der in der Praxis für große Verfahren reserviert ist. Bei einer fehlenden oder unvollständigen Datenschutzerklärung eines kleinen Betriebs beginnt die Behörde in aller Regel mit einer Beanstandung und einer Frist zur Nachbesserung. Wer nachbessert, zahlt meistens nichts.
Der wettbewerbsrechtliche Weg
Dieser Weg ist für kleine Unternehmen der wahrscheinlichere. Ein Mitbewerber oder ein Verband mahnt ab, verlangt eine strafbewehrte Unterlassungserklärung und die Erstattung der Anwaltskosten. Es braucht keine Behörde, keine Beschwerde und keine Betroffenen — nur einen Fehler, der von außen sichtbar ist.
Genau deshalb sind die Punkte, die man ohne Zugang zum Backend erkennen kann, die riskantesten: eine fehlende Erklärung, ein nicht genannter Analyse-Dienst, der nachweislich lädt, eine fehlende Rechtsgrundlage. Wie sich das vermeiden lässt, zeigt unser Artikel zur abmahnsicheren Datenschutzerklärung.
Eine Übersicht über tatsächlich verhängte Sanktionen in Deutschland bietet unsere Zusammenstellung der 15 höchsten DSGVO-Bußgelder.
Die vier häufigsten Fehler
- Die Erklärung nennt Dienste nicht, die tatsächlich laden. Ein Analyse-Skript, ein Chat-Widget, eine eingebettete Karte. Der Widerspruch zwischen Dokument und Quelltext ist der Befund.
- Es fehlt die Rechtsgrundlage je Verarbeitung. „Wir verarbeiten Ihre Daten sorgfältig” ist keine Rechtsgrundlage. Artikel 6 verlangt eine benannte.
- Keine Speicherdauer. Weder eine Frist noch die Kriterien, nach denen sie bestimmt wird.
- Drittlandübermittlungen ohne Garantie. Wer ein US-Tool einsetzt, muss den Übermittlungsmechanismus benennen.
Vergessen Sie daneben nicht Ihre Cookie-Richtlinie, die eigenen Regeln folgt: Für nicht notwendige Cookies braucht es eine vorherige Einwilligung, unabhängig davon, was in der Datenschutzerklärung steht.
Wie oft muss aktualisiert werden?
Immer dann, wenn sich die Verarbeitung ändert. In der Praxis heißt das: bei jedem neuen Tool, jedem neuen Dienstleister, jeder neuen Funktion. Ein Newsletter-Anbieterwechsel, ein neu eingebundenes Buchungssystem, ein zusätzliches Zahlungsverfahren — jedes Mal betrifft es die Erklärung.
Wer sonst nichts ändert, sollte trotzdem einmal jährlich prüfen, ob das Dokument die Realität der Website noch beschreibt. Meistens tut es das nicht mehr.
Eine konforme Datenschutzerklärung erstellen
Eine kostenlose Vorlage zeigt Ihnen die erwartete Struktur, kennt aber weder Ihre Tools noch Ihre Aufbewahrungsfristen noch Ihre Dienstleister — und das sind genau die Angaben, auf die es ankommt.
Der Rechtsdokumente-Generator von WebLegal erstellt eine Datenschutzerklärung, die auf Ihre tatsächlich eingesetzten Dienste abgestimmt und mit Ihrem Impressum, Ihrer Cookie-Richtlinie und Ihren AGB konsistent ist — ab 19,90 €. Prüfen Sie zuerst mit dem kostenlosen Scanner, was auf Ihrer Website fehlt: Er liest, welche Skripte tatsächlich laden, und vergleicht das mit dem, was Ihre Erklärung angibt.
Welche Dokumente eine Website insgesamt braucht, fasst unser Leitfaden zu den 4 Pflichtdokumenten für jede E-Commerce-Website zusammen.
Häufige Fragen
Braucht auch eine reine Visitenkarten-Website eine Datenschutzerklärung?
Ja. Sobald Server-Logs geführt werden — und das ist praktisch immer der Fall — werden personenbezogene Daten verarbeitet. Ein Kontaktformular oder eine eingebettete Schriftart vom Server eines Dritten verstärkt das nur.
Reicht eine Datenschutzerklärung auf Englisch?
Nicht, wenn sich die Website an deutschsprachige Nutzer richtet. Artikel 12 verlangt eine verständliche Sprache, und das ist die Sprache der Adressaten.
Wer kontrolliert mich als Kleinunternehmer?
Die Datenschutzbehörde Ihres Bundeslandes — nicht der Bund, und nicht die französische CNIL. In der Praxis ist eine wettbewerbsrechtliche Abmahnung durch einen Mitbewerber allerdings wahrscheinlicher als eine behördliche Prüfung.
Drohen sofort 20 Millionen Euro Bußgeld?
Nein. Das ist der gesetzliche Höchstrahmen aus Artikel 83, bemessen an Schwere, Dauer, Vorsatz und Umsatz. Bei einer unvollständigen Erklärung eines kleinen Betriebs steht am Anfang fast immer eine Beanstandung mit Nachbesserungsfrist.
Genügt ein Cookie-Banner als Datenschutzerklärung?
Nein, das sind zwei verschiedene Dinge. Der Banner holt die Einwilligung für nicht notwendige Cookies ein, die Erklärung informiert über sämtliche Verarbeitungen. Beide werden gebraucht.
Fazit
Die Datenschutzerklärung ist Pflicht, aber das Risiko sieht anders aus, als es meistens dargestellt wird: Der Höchstrahmen von 20 Millionen Euro betrifft die großen Verfahren, während das reale Risiko für kleine Unternehmen die Abmahnung durch einen Mitbewerber ist — ausgelöst durch einen Fehler, den man von außen sehen kann.
Das ist zugleich die gute Nachricht, denn was von außen sichtbar ist, lässt sich auch von außen prüfen. Scannen Sie Ihre Website und vergleichen Sie, was lädt, mit dem, was Sie angeben.
