Warum praktisch jede Website eine Datenschutzerklärung braucht
Personenbezogene Daten sind alle Angaben, die sich einer Person zuordnen lassen. Dazu zählen nicht nur Name und E-Mail-Adresse, sondern auch IP-Adressen. Schon beim Aufruf Ihrer Seite speichert der Server in der Regel solche Daten in Protokolldateien. Spätestens mit einem Kontaktformular, einer eingebetteten Karte oder einem Video verarbeiten Sie Daten, über die Sie informieren müssen.
Die DSGVO verlangt, dass diese Information bereits im Moment der Erhebung verfügbar ist. Deshalb gehört die Datenschutzerklärung als eigene Seite auf jede Website, verlinkt im Fußbereich neben dem Impressum.
Was in eine Datenschutzerklärung gehört
Art. 13 DSGVO gibt die Pflichtinhalte recht genau vor. Für eine typische Betriebswebsite sind das vor allem:
- Name und Kontaktdaten des Verantwortlichen, also Ihres Betriebs
- Kontaktdaten eines Datenschutzbeauftragten, falls Sie einen bestellt haben
- Zwecke der Verarbeitung und die jeweilige Rechtsgrundlage, etwa Vertrag, Einwilligung oder berechtigtes Interesse
- Empfänger der Daten, zum Beispiel Hosting-Anbieter, E-Mail-Dienst oder Newsletter-Tool
- Übermittlungen in Länder außerhalb der EU und auf welcher Grundlage sie erfolgen
- Speicherdauer oder die Kriterien dafür
- Rechte der Betroffenen: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf einer Einwilligung
- Das Recht auf Beschwerde bei der Aufsichtsbehörde, in Österreich die Datenschutzbehörde
Formulieren Sie verständlich. Eine Erklärung, die niemand versteht, erfüllt den Zweck der Transparenz nur auf dem Papier.
Adresse Ihrer Website eingeben und in wenigen Minuten einen neuen Entwurf Ihrer Startseite sehen.
Bestandsaufnahme: Welche Dienste laufen wirklich auf Ihrer Seite?
Der wichtigste Schritt passiert vor dem Schreiben. Eine Datenschutzerklärung ist nur so gut wie die Liste der Dienste, die sie beschreibt. Gehen Sie so vor:
- Notieren Sie alle Funktionen der Website: Formulare, Terminbuchung, Newsletter, Chat, Shop, Karten, Videos, Social-Media-Feeds.
- Fragen Sie Ihren Webdienstleister nach allen Plugins, Schriften und externen Skripten.
- Prüfen Sie, wo die Website gehostet wird und welcher Anbieter Ihre E-Mails verarbeitet.
- Halten Sie fest, ob mit diesen Anbietern ein Auftragsverarbeitungsvertrag besteht.
- Klären Sie, ob Daten in die USA oder andere Drittländer gehen.
Oft zeigt sich dabei, dass Dienste eingebunden sind, die niemand mehr braucht, etwa ein altes Statistik-Skript. Entfernen ist dann die einfachste Lösung.
Generator, Vorlage oder Anwalt: was sich wofür eignet
Für einfache Websites greifen viele Betriebe zu Generatoren oder Mustertexten. Das funktioniert, wenn Sie die Bestandsaufnahme sorgfältig gemacht haben und nur auswählen, was tatsächlich zutrifft. Der Nachteil: Generatoren kennen Ihre Website nicht, und allgemeine Textbausteine passen selten genau.
Sobald Sie sensible Daten verarbeiten, etwa Gesundheitsdaten in einer Praxis, Bewerbungen oder Daten von Kindern, oder wenn ein Shop mit Zahlungsanbietern, Versanddienstleistern und Marketing-Tools arbeitet, ist eine individuelle Prüfung durch eine Anwältin oder einen Anwalt mit Datenschutz-Schwerpunkt sinnvoll. Einen guten Einstieg in die Grundlagen bietet die Datenschutzbehörde, Informationen für Betriebe stellt auch die WKO bereit.
Typische Fehler in Datenschutzerklärungen
- Kopiert von einer anderen Seite: Dort laufen andere Dienste, die Erklärung passt nicht zu Ihrer Website.
- Dienste fehlen: Das eingebettete YouTube-Video oder die Google-Karte ist nicht erwähnt.
- Dienste stehen drin, die es nicht mehr gibt: Das verwirrt und wirkt ungepflegt.
- Keine Rechtsgrundlagen: Es wird beschrieben, was passiert, aber nicht, warum das erlaubt ist.
- Keine Speicherdauer: „So lange wie nötig“ ohne jede Konkretisierung hilft niemandem.
- Versteckt: Die Erklärung ist nur über Umwege oder gar nicht auf dem Handy erreichbar.
Ein Teil dieser Fehler entsteht, weil sich die Website verändert und die Erklärung nicht mitwächst. Das ist eine Frage der Pflege, nicht des einmaligen Schreibens.
Zwei Beispiele: Onepager und Praxis-Website
Tischlerei mit Onepager: Die Seite zeigt Leistungen, Fotos und ein Kontaktformular, die Schriften sind lokal eingebunden, eine Statistik gibt es nicht. Die Datenschutzerklärung beschreibt Hosting und Server-Protokolle, das Kontaktformular mit Speicherdauer der Anfragen und die Rechte der Besucher. Das passt auf eine überschaubare Seite.
Physiotherapie mit Online-Terminbuchung: Hier kommen ein externes Buchungssystem, eventuell Erinnerungen per SMS und möglicherweise Angaben zu Beschwerden dazu. Gesundheitsdaten gehören zu den besonders geschützten Datenkategorien. Die Erklärung muss den Buchungsanbieter, die Rechtsgrundlagen und die Speicherdauer genau beschreiben. In so einem Fall lohnt sich rechtliche Beratung besonders.
Datenschutzerklärung aktuell halten
Planen Sie die Erklärung als lebendes Dokument. Jedes Mal, wenn Sie etwas Neues einbauen, etwa einen Chatbot, einen Newsletter oder eine Terminbuchung, prüfen Sie, ob die Erklärung ergänzt werden muss. Wie das bei einem Chatbot aussieht, lesen Sie unter Chatbot und Datenschutz. Ob Sie einen Cookie-Hinweis brauchen, klärt der Ratgeber zum Cookie-Banner.
Bei einer neuen Website gehören Datenschutzerklärung und Impressum zur Grundausstattung, auch bei der Starter-Website ab 2.500 € einmalig. Mehr dazu unter Website erstellen lassen. Den Text stimmen wir mit Ihnen ab, die rechtliche Prüfung im Einzelfall bleibt bei Ihrer Rechtsberatung, der WKO oder der Datenschutzbehörde.
Häufige Fragen
Brauche ich eine Datenschutzerklärung, wenn meine Website kein Kontaktformular hat?
In aller Regel ja. Auch ohne Formular verarbeitet der Webserver beim Seitenaufruf IP-Adressen und weitere technische Daten, häufig kommen eingebundene Schriften, Karten oder Videos dazu. Darüber müssen Sie informieren. Eine Website ganz ohne Verarbeitung personenbezogener Daten ist in der Praxis kaum zu betreiben. Die Erklärung kann bei einer schlichten Seite aber entsprechend kurz und übersichtlich ausfallen.
Darf ich die Datenschutzerklärung einer anderen Firma übernehmen?
Davon ist abzuraten. Abgesehen davon, dass fremde Texte urheberrechtlich geschützt sein können, beschreibt die Erklärung eines anderen Betriebs dessen Dienste, Anbieter und Abläufe. Ihre Website nutzt mit hoher Wahrscheinlichkeit andere Werkzeuge. Eine unpassende Erklärung informiert Besucher falsch und erfüllt damit die Transparenzpflicht nicht. Besser ist eine eigene Bestandsaufnahme und darauf aufbauend ein eigener Text.
Muss die Datenschutzerklärung auf Deutsch sein?
Die Erklärung muss für Ihre Besucher verständlich sein. Richtet sich Ihre Website an Kundschaft in Österreich, ist Deutsch die naheliegende Sprache. Bieten Sie die Seite auch auf Englisch oder in weiteren Sprachen an, etwa für Gäste im Tourismus, sollte die Datenschutzerklärung in diesen Sprachen ebenfalls verfügbar sein. Eine Erklärung nur auf Englisch bei einer deutschsprachigen Seite ist nicht empfehlenswert.
Wie oft sollte ich die Datenschutzerklärung überarbeiten?
Immer dann, wenn sich auf der Website etwas ändert, das Daten betrifft: neues Plugin, neuer Hosting-Anbieter, Newsletter, Chatbot, Terminbuchung oder Statistik. Zusätzlich ist ein jährlicher Kontrolltermin sinnvoll, bei dem Sie die Liste der eingesetzten Dienste mit dem Text abgleichen. Notieren Sie das Datum der letzten Aktualisierung, das hilft bei späteren Fragen und zeigt Sorgfalt.