Datenschutzerklärung für Websites: Was nach DSGVO enthalten sein muss
Eine Datenschutzerklärung darf nicht nur allgemein klingen. Sie muss verständlich erklären, welche personenbezogenen Daten auf der Website verarbeitet werden, zu welchen Zwecken dies geschieht, auf welcher Rechtsgrundlage die Verarbeitung beruht und welche Rechte betroffene Personen haben.
Kurzantwort
Eine Website braucht regelmäßig eine Datenschutzerklärung, weil beim Besuch einer Website in der Praxis personenbezogene Daten verarbeitet werden. Das gilt bereits bei Server-Logfiles und erst recht bei Kontaktformularen, Cookies, Analysewerkzeugen, Karten, Videos, Schriftarten oder sonstigen externen Diensten.
Die Datenschutzerklärung muss konkret zur tatsächlichen Website passen. Ein allgemeines Muster reicht nicht, wenn dort Dienste genannt werden, die gar nicht eingesetzt werden, oder wenn tatsächlich eingesetzte Dienste fehlen.
Entscheidend sind Verständlichkeit, Vollständigkeit und Aktualität. Wer seine Website technisch ändert, muss auch die Datenschutzerklärung prüfen.
Einordnung
Worum geht es bei einer Website-Datenschutzerklärung?
Die Datenschutzerklärung informiert Besucherinnen und Besucher darüber, wie personenbezogene Daten beim Besuch einer Website verarbeitet werden. Dazu gehören nicht nur offensichtliche Eingaben in ein Kontaktformular, sondern auch technische Vorgänge wie der Abruf der Website, Server-Logfiles, Sicherheitsprotokolle oder eingebundene externe Dienste.
Die Datenschutzerklärung ist keine bloße Formalie. Sie ist der zentrale Ort, an dem transparent gemacht wird, wer für die Verarbeitung verantwortlich ist, welche Daten verarbeitet werden, warum die Verarbeitung erfolgt, wie lange Daten gespeichert werden, an wen Daten weitergegeben werden und welche Rechte betroffene Personen haben.
Eine gute Datenschutzerklärung beschreibt deshalb nicht irgendeinen theoretischen Standardfall, sondern die tatsächliche Website. Genau hier liegen in der Praxis viele Fehler: Generator-Texte werden ungeprüft übernommen, alte Dienste bleiben im Text stehen oder neue Dienste werden technisch eingebunden, ohne die Datenschutzerklärung anzupassen.
Rechtsgrundlagen
Gesetzliche Grundlage
Die Informationspflichten ergeben sich insbesondere aus Art. 12 und Art. 13 DSGVO. Art. 12 DSGVO verlangt, dass Informationen präzise, transparent, verständlich und leicht zugänglich in klarer und einfacher Sprache bereitgestellt werden.
Art. 13 DSGVO regelt, welche Informationen mitzuteilen sind, wenn personenbezogene Daten bei der betroffenen Person erhoben werden. Bei Websites ist das regelmäßig relevant, weil Daten unmittelbar beim Aufruf der Website, bei Eingaben in Formulare oder bei der Nutzung bestimmter Dienste erhoben werden können.
Zur Website-Datenschutzerklärung gehören deshalb insbesondere Angaben zum Verantwortlichen, gegebenenfalls zum Datenschutzbeauftragten, zu Zwecken und Rechtsgrundlagen, zu Empfängern oder Kategorien von Empfängern, zu Speicherdauern, zu Betroffenenrechten, zum Beschwerderecht bei einer Aufsichtsbehörde und gegebenenfalls zu Drittlandübermittlungen.
Bayerische öffentliche Stellen
Was sagt der BayLfD?
Der BayLfD stellt für den eigenen Internetauftritt eine Datenschutzerklärung bereit und bezeichnet diese ausdrücklich als Informationen entsprechend Art. 13 und 14 DSGVO für Verarbeitungen im Rahmen des Internetauftritts und dortiger Formulare.
Für bayerische öffentliche Stellen ist außerdem wichtig, dass der BayLfD den Einsatz von Cookies und Telemedien gesondert behandelt. In seiner Anleitung zum Cookie-Einsatz weist der BayLfD darauf hin, dass überlange Datenschutzhinweise vermieden werden sollen und dass der Cookie-Einsatz nicht allein durch formale Hinweise datenschutzkonform wird.
Für Kommunen bedeutet das: Die Datenschutzerklärung muss zur konkreten kommunalen Website passen. Rechtsgrundlagen, Kontaktformulare, Statistikdienste, eingebundene Karten, Ratsinformationssysteme, Bewerbungsportale oder andere Fachangebote dürfen nicht pauschal aus Unternehmensmustern übernommen werden.
Bayerische Unternehmen
Was sagt der BayLDA?
Das Bayerische Landesamt für Datenschutzaufsicht behandelt in seinen FAQ die Frage, ob auch eine Website ohne Drittinhalte und ohne Kontaktformular eine Datenschutzerklärung benötigt. Die praktische Kernaussage ist: Auch einfache Websites können personenbezogene Daten verarbeiten, etwa beim technischen Seitenaufruf.
Für Unternehmen, Vereine, Praxen, Handwerksbetriebe und Dienstleister in Bayern ist deshalb regelmäßig nicht entscheidend, ob die Website „einfach“ wirkt. Entscheidend ist, welche personenbezogenen Daten technisch und organisatorisch tatsächlich verarbeitet werden.
Eine Website-Datenschutzerklärung sollte daher nicht nur aus einem Standardtext bestehen, sondern auf Hosting, Server-Logs, Kontaktmöglichkeiten, eingesetzte Tools, Cookies, externe Inhalte und sonstige tatsächliche Verarbeitungen abgestimmt sein.
Inhalte
Was muss in eine Datenschutzerklärung für Websites?
Eine Website-Datenschutzerklärung sollte mindestens die Verarbeitungen abdecken, die beim Besuch und bei der Nutzung der Website tatsächlich stattfinden. Die folgenden Punkte sind in der Praxis besonders wichtig:
- Name und Kontaktdaten des Verantwortlichen,
- gegebenenfalls Kontaktdaten des Datenschutzbeauftragten,
- Zwecke der Verarbeitung,
- Rechtsgrundlagen der Verarbeitung,
- Kategorien verarbeiteter personenbezogener Daten,
- Empfänger oder Kategorien von Empfängern,
- Speicherdauer oder Kriterien für die Festlegung der Speicherdauer,
- Hinweise auf Betroffenenrechte,
- Beschwerderecht bei der zuständigen Aufsichtsbehörde,
- gegebenenfalls Drittlandübermittlungen,
- gegebenenfalls Pflicht zur Bereitstellung bestimmter Daten,
- gegebenenfalls automatisierte Entscheidungen oder Profiling.
Die Angaben müssen so konkret sein, dass Besucherinnen und Besucher verstehen können, was mit ihren Daten geschieht. Eine reine Aneinanderreihung juristischer Floskeln genügt diesem Zweck nicht.
Praxis
Typische Website-Bausteine
Fast jede Website verarbeitet beim Abruf technische Daten. Dazu können IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Browserinformationen, Betriebssystem, Referrer-URL und Statuscodes gehören. Diese Verarbeitung sollte in der Datenschutzerklärung nachvollziehbar erklärt werden.
Bei Kontaktformularen muss zusätzlich beschrieben werden, welche Angaben erhoben werden, zu welchem Zweck die Anfrage bearbeitet wird, auf welcher Rechtsgrundlage dies geschieht und wie lange die Daten gespeichert werden.
Bei Cookies, Consent-Bannern, Analysewerkzeugen, Karten, Videos, Bewertungswidgets, Social-Media-Plugins, extern geladenen Schriftarten oder Terminbuchungstools muss besonders genau geprüft werden, ob personenbezogene Daten an Dritte übermittelt werden und ob eine Einwilligung erforderlich ist.
Wichtig ist: Die Datenschutzerklärung ersetzt keine technische Einwilligung. Wenn ein Dienst erst nach Einwilligung geladen werden darf, reicht ein bloßer Hinweis in der Datenschutzerklärung nicht aus.
Kommunale Websites
Besonderheiten bei Kommunen
Kommunale Websites unterscheiden sich häufig von Unternehmenswebsites. Verantwortlich ist nicht ein Unternehmen, sondern eine öffentliche Stelle. Auch die Rechtsgrundlagen sind deshalb sorgfältig zu prüfen. Gerade bei öffentlichen Aufgaben passt eine aus Unternehmensmustern übernommene Rechtsgrundlage oft nicht.
Typische kommunale Themen sind Kontaktformulare, Online-Terminvereinbarung, Ratsinformationssysteme, Mängelmelder, Kita-Anmeldung, Bewerbungsportale, Karten, Bürgerdienste, Newsletter, Veranstaltungskalender und eingebundene Inhalte Dritter.
Für kommunale Websites gibt es auf dieser Website einen eigenen Spezialbeitrag. Der vorliegende Artikel behandelt die allgemeine Website-Datenschutzerklärung.
Unternehmen und Vereine
Besonderheiten bei Unternehmen, Vereinen und Praxen
Bei Unternehmen, Vereinen, Praxen, Handwerk und Dienstleistern entstehen typische Datenschutzthemen vor allem durch Kontaktformulare, Angebotsanfragen, Bewerbungsformulare, Newsletter, Terminbuchung, Tracking, Marketing-Tools, Bewertungsplattformen, Zahlungsdienste oder eingebundene externe Inhalte.
Die Datenschutzerklärung sollte klar zwischen rein technischer Bereitstellung der Website, Kommunikation mit Interessenten, Marketing, Analyse und besonderen Funktionen unterscheiden. Wer alles in einen langen Einheitsblock schreibt, erschwert die Verständlichkeit und riskiert zugleich, dass einzelne Verarbeitungen nicht sauber beschrieben sind.
Bei Gesundheitsdaten, Bewerberdaten, Beschäftigtendaten oder vertraulichen Mandats- und Kundendaten ist besondere Sorgfalt erforderlich. Hier reicht ein allgemeiner Website-Text regelmäßig nicht aus, wenn über die Website sensible Informationen übermittelt werden können.
Praxisfehler
Typische Fehler
Ein häufiger Fehler ist eine Datenschutzerklärung, die technisch nicht zur Website passt. Dann stehen etwa Google Fonts, Analysewerkzeuge oder Social-Media-Plugins im Text, obwohl diese gar nicht eingesetzt werden. Umgekehrt fehlen tatsächlich eingebundene Dienste.
Ebenso problematisch sind pauschale Rechtsgrundlagen. Nicht jede Verarbeitung kann mit Einwilligung begründet werden. Nicht jede Verarbeitung stützt sich auf berechtigte Interessen. Bei öffentlichen Stellen sind zusätzlich die besonderen Anforderungen an öffentliche Aufgaben zu beachten.
Ein weiterer Fehler ist die Vermischung von Cookie-Banner und Datenschutzerklärung. Das Banner holt, soweit erforderlich, eine Einwilligung ein oder steuert technische Dienste. Die Datenschutzerklärung informiert über die Verarbeitung. Beides muss zusammenpassen, ersetzt sich aber nicht gegenseitig.
Auch veraltete Datenschutzerklärungen sind ein Risiko. Wird ein neues Plugin installiert, ein Formular ergänzt, ein externer Dienst eingebunden oder das Hosting geändert, muss die Datenschutzerklärung erneut geprüft werden.
Vorgehen
Praxistipps
Ausgangspunkt sollte immer die tatsächliche Website sein. Zuerst wird geprüft, welche Daten bei Aufruf, Nutzung von Formularen, Einbindung externer Dienste, Cookies, Analyse, Karten, Videos oder sonstigen Funktionen verarbeitet werden.
Danach werden Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauern und Betroffenenrechte sauber zugeordnet. Erst auf dieser Grundlage sollte die Datenschutzerklärung formuliert werden.
Besonders sinnvoll ist eine technische Gegenprüfung: Stimmen Quelltext, Cookie-Banner, eingebundene Skripte, externe Verbindungen und Datenschutzerklärung überein? Wenn die Technik etwas anderes macht als der Text beschreibt, ist die Datenschutzerklärung nicht belastbar.
Prüfpunkte
Checkliste
Ist der Verantwortliche vollständig und korrekt benannt?
Sind die Kontaktdaten des Datenschutzbeauftragten angegeben, soweit erforderlich?
Werden Server-Logfiles und technische Bereitstellung der Website beschrieben?
Sind Kontaktformular, E-Mail-Kontakt oder Terminbuchung korrekt dargestellt?
Sind alle tatsächlich eingesetzten Cookies und Dienste berücksichtigt?
Stimmen Datenschutzerklärung und Cookie-Banner überein?
Sind Zwecke und Rechtsgrundlagen konkret benannt?
Sind Empfänger oder Kategorien von Empfängern genannt?
Sind Speicherdauern oder nachvollziehbare Kriterien angegeben?
Sind Betroffenenrechte und Beschwerderecht enthalten?
Werden Drittlandübermittlungen geprüft und beschrieben, falls sie stattfinden?
Wurden alte Dienste entfernt, die technisch nicht mehr eingesetzt werden?
Wurden neue Plugins, Formulare und externe Dienste nachgetragen?
Ist die Erklärung verständlich, aktuell und leicht auffindbar?
Häufige Fragen
FAQ
Braucht jede Website eine Datenschutzerklärung?
Regelmäßig ja. Schon beim technischen Abruf einer Website können personenbezogene Daten verarbeitet werden, etwa IP-Adressen in Server-Logfiles. Bei Kontaktformularen, Cookies, Analysewerkzeugen oder externen Diensten ist eine Datenschutzerklärung erst recht erforderlich.
Reicht ein kostenloser Generator für die Datenschutzerklärung?
Ein Generator kann ein Ausgangspunkt sein. Er ersetzt aber keine Prüfung der tatsächlichen Website. Entscheidend ist, ob alle eingesetzten Dienste, Zwecke, Rechtsgrundlagen, Empfänger und Speicherdauern korrekt beschrieben sind.
Muss die Datenschutzerklärung mit dem Cookie-Banner übereinstimmen?
Ja. Wenn das Cookie-Banner bestimmte Dienste oder Kategorien nennt, muss die Datenschutzerklärung diese Verarbeitungen ebenfalls zutreffend erklären. Umgekehrt sollten keine Dienste beschrieben werden, die technisch nicht eingesetzt werden.
Darf eine Kommune eine Unternehmens-Datenschutzerklärung übernehmen?
Nein, jedenfalls nicht ungeprüft. Bei Kommunen und öffentlichen Stellen können andere Verantwortlichkeiten, Rechtsgrundlagen und Zuständigkeiten gelten. Unternehmensmuster passen deshalb häufig nicht.
Wo sollte die Datenschutzerklärung auf der Website stehen?
Sie sollte leicht zugänglich und dauerhaft erreichbar sein, typischerweise über einen gut sichtbaren Link im Footer oder in der Navigation. Sie darf nicht versteckt oder nur über Umwege auffindbar sein.
Wann muss eine Datenschutzerklärung aktualisiert werden?
Immer dann, wenn sich die tatsächlichen Verarbeitungen ändern. Das betrifft etwa neue Formulare, neue Plugins, Analysewerkzeuge, externe Dienste, Hostingwechsel oder Änderungen beim Cookie-Banner.
Ergebnis
Fazit
Eine Website-Datenschutzerklärung ist nur dann brauchbar, wenn sie zur tatsächlichen Website passt. Sie muss verständlich, vollständig und aktuell erklären, welche personenbezogenen Daten verarbeitet werden und auf welcher Grundlage dies geschieht.
Besonders fehleranfällig sind Cookies, externe Dienste, Kontaktformulare, Analysewerkzeuge, Karten, Videos, Schriftarten und veraltete Generator-Texte. Wer seine Website ändert, sollte deshalb auch die Datenschutzerklärung prüfen.
Ob eine konkrete Datenschutzerklärung vollständig und zutreffend ist, hängt immer von der tatsächlichen technischen und organisatorischen Gestaltung der Website ab.
Weiterlesen
Passende Themen auf der Website
Nachweise
Quellen
Datenschutzerklärung der Website prüfen lassen?
Ob die Datenschutzerklärung wirklich zur Website passt, zeigt sich erst beim Abgleich mit der tatsächlichen Technik: Hosting, Cookies, Formulare, Plugins, externe Dienste und Cookie-Banner müssen zusammen geprüft werden.
Website-Beratung anfragen