Eine Datenschutzerklärung ist ein Pflichtdokument auf Websites, das Besucher darüber informiert, welche personenbezogenen Daten erhoben, zu welchen Zwecken sie verarbeitet und an wen sie weitergegeben werden. Die Informationspflichten ergeben sich vor allem aus Art. 13 und 14 DSGVO. Die Erklärung muss vollständig, verständlich und von jeder Seite der Website leicht erreichbar sein.
Was ist eine Datenschutzerklärung?
Eine Datenschutzerklärung ist ein Pflichtdokument auf Websites, das Besucher darüber informiert, welche personenbezogenen Daten erhoben, zu welchen Zwecken sie verarbeitet und an wen sie weitergegeben werden. Die Informationspflichten ergeben sich vor allem aus Art. 13 DSGVO und Art. 14 DSGVO. Die Erklärung muss vollständig, verständlich und von jeder Seite der Website leicht erreichbar sein.
Anders als das Impressum, das den Anbieter benennt, beschreibt die Datenschutzerklärung die Datenflüsse. Sie ist damit das zentrale Transparenzinstrument der DSGVO und muss den tatsächlichen Zustand der Website widerspiegeln – nicht einen Wunschzustand.
Die Erklärung richtet sich an alle, deren Daten verarbeitet werden: Website-Besucher, Newsletter-Abonnenten, Bewerber und Kunden. Sie soll in klarer, einfacher Sprache erklären, was mit den Daten geschieht, damit Betroffene ihre Rechte kennen und wahrnehmen können. Juristisches Fachchinesisch widerspricht diesem Ziel; verlangt ist Verständlichkeit, nicht Vollständigkeit um jeden Preis der Lesbarkeit.
Wie ist eine Datenschutzerklärung aufgebaut?
Die Erklärung beschreibt alle Verarbeitungen: vom Server-Logfile über Kontaktformulare und Newsletter bis zu Analyse- und Marketing-Tools wie der Web-Analyse oder dem Meta-Pixel. Für jede Verarbeitung nennt sie Zweck, Rechtsgrundlage, Speicherdauer und gegebenenfalls Empfänger der Daten – einschließlich Übermittlungen in Drittländer, dem sogenannten Drittlandtransfer.
Daneben informiert sie über die Rechte der Betroffenen, etwa das Auskunftsrecht, das Recht auf Löschung und das Widerspruchsrecht, sowie über die Kontaktdaten des Verantwortlichen und – falls benannt – des Datenschutzbeauftragten. Orientierung zu Inhalt und Form geben die Landesdatenschutzbehörden.
Wo Einwilligungen erforderlich sind – etwa für Tracking –, verweist die Datenschutzerklärung auf den Cookie-Banner und die dahinterliegende Consent Management Platform, über die die Einwilligung eingeholt und dokumentiert wird.
Sinnvoll ist ein modularer Aufbau: ein allgemeiner Teil zu Verantwortlichem und Betroffenenrechten, gefolgt von einzelnen Abschnitten je Dienst. So lässt sich die Erklärung leicht pflegen – kommt ein Tool hinzu, wird ein Abschnitt ergänzt; fällt eines weg, wird der zugehörige Abschnitt entfernt. Diese Struktur beugt dem verbreiteten Problem vor, dass die Erklärung mit der Zeit unübersichtlich und widersprüchlich wird.
Warum ist die Datenschutzerklärung wichtig?
Die DSGVO verpflichtet Website-Betreiber, transparent über Datenverarbeitungen zu informieren. Fehlt die Datenschutzerklärung oder ist sie unvollständig, drohen Beschwerden bei der Aufsichtsbehörde, Bußgelder und Abmahnungen. Gerade Marketing-Tools werden häufig eingebunden, ohne die Erklärung anzupassen – eine der häufigsten Lücken auf Unternehmenswebsites.
Für Kanzleien und Steuerberater ist eine saubere Datenschutzerklärung zusätzlich ein Vertrauenssignal: Wer mit sensiblen Mandantendaten arbeitet, sollte schon auf der Website zeigen, dass Datenschutz ernst genommen wird. Das wirkt auch auf die Wahrnehmung im Kanzleimarketing.
Über die rechtliche Pflicht hinaus ist die Erklärung ein Stück gelebter Datenschutzkultur. Sie zwingt den Betreiber, sich einen vollständigen Überblick über die eigenen Datenflüsse zu verschaffen – eine Übung, die oft überraschende Lücken und überflüssige Datensammlungen zutage fördert und damit auch die Datensicherheit verbessert.
Datenschutzerklärung in der Praxis
In der Praxis muss die Datenschutzerklärung mit dem tatsächlichen Zustand der Website übereinstimmen. Jedes neue Tool – ein Chat-Widget, ein eingebettetes Video, ein neues Conversion-Tracking – verändert die Datenverarbeitung und sollte einen entsprechenden Abschnitt erhalten. Sinnvoll ist ein fester Prozess: Vor dem Livegang neuer Funktionen wird geprüft, ob Datenschutzerklärung und Cookie-Banner angepasst werden müssen.
Generatoren und Vorlagen können eine Grundlage liefern, ersetzen aber keine Prüfung im Einzelfall. Bei komplexen Setups – etwa Server-Side-Tracking, Drittlandtransfers oder besonderen Berufspflichten – sollte die Erklärung anwaltlich oder durch einen Datenschutzbeauftragten geprüft werden. Bei besonders risikoreichen Verarbeitungen kann zudem eine Datenschutz-Folgenabschätzung erforderlich sein.
Bewährt hat sich, die Verantwortung für die Erklärung klar zuzuweisen. Wenn Marketing, IT und Rechtsabteilung nicht abgestimmt sind, werden Tools eingebunden, ohne dass die Erklärung nachgezogen wird. Ein einfacher Freigabeschritt vor jedem Livegang verhindert genau diese Lücke.
Häufige Fehler und Aktualisierung
Der klassische Fehler ist die veraltete Erklärung: Neue Tools werden eingebunden, die Datenschutzerklärung bleibt aber auf altem Stand. Ebenso problematisch sind Textbausteine, die Dienste beschreiben, die gar nicht genutzt werden – oder umgekehrt genutzte Dienste, die fehlen. Auch veraltete Normzitate wie ein Verweis auf das alte Telemediengesetz statt auf das DDG wirken unprofessionell. Der Wikipedia-Artikel zur Datenschutzerklärung fasst die Grundstruktur zusammen.
Empfehlenswert ist eine regelmäßige Bestandsaufnahme aller Datenflüsse und ein Abgleich mit der Erklärung. So bleibt das Dokument nicht nur formal vorhanden, sondern inhaltlich korrekt – die eigentliche Anforderung der DSGVO. Ein jährlicher Review, ergänzt um anlassbezogene Aktualisierungen bei jeder Website-Änderung, hat sich als praktikabler Rhythmus erwiesen.