Wozu die Erklärung da ist
Die DSGVO verlangt Transparenz: Wer Daten über eine Person erhebt, muss ihr sagen, was damit geschieht — zum Zeitpunkt der Erhebung (Art. 13 Abs. 1). Auf einer Website beginnt die Erhebung mit dem ersten Aufruf, weil der Server die IP-Adresse des Besuchers verarbeitet. Die Datenschutzerklärung ist das Dokument, mit dem Sie dieser Pflicht nachkommen. Sie ist damit keine Einwilligung, die der Besucher „akzeptieren“ müsste, und keine Absicherung gegen Verstöße — sie ist eine Beschreibung. Genau deshalb ist ihr häufigster Mangel nicht, dass sie fehlt, sondern dass sie etwas anderes beschreibt als das, was die Seite tut: Sie erwähnt Google Analytics, das längst abgeschaltet ist, und verschweigt das Kontaktformular, das seit Jahren läuft.
Die Aufsichtsbehörden nehmen die Erklärung als Ausgangspunkt jeder Prüfung. Sie vergleichen, was die Seite verspricht, mit dem, was sie tut. Für Sie als Betreiber hat die Erklärung deshalb einen zweiten Nutzen: Wer sie schreibt, muss die Seite inventarisieren — und findet dabei die Dienste, von denen niemand mehr wusste.
Die Pflichtangaben nach Art. 13 DSGVO
Art. 13 nennt zwei Gruppen von Angaben. Absatz 1 gilt immer, Absatz 2 „zusätzlich“, damit die Verarbeitung fair und transparent ist — in der Praxis der Aufsichtsbehörden sind beide Pflicht. Auf eine kleine Website übertragen:
| Fundstelle | Angabe | Für Ihre Website heißt das |
|---|---|---|
| Abs. 1 lit. a | Name und Kontaktdaten des Verantwortlichen | Wer die Seite betreibt: Name, Anschrift, E-Mail — bei Vereinen der Verein mit Vertretung, nicht der Webmaster |
| Abs. 1 lit. b | Kontaktdaten des Datenschutzbeauftragten, falls es einen gibt | Für die meisten kleinen Betriebe entfällt das (§ 38 BDSG: Pflicht ab in der Regel 20 ständig damit beschäftigten Personen) |
| Abs. 1 lit. c | Zwecke und Rechtsgrundlage jeder Verarbeitung | Je Baustein ein Zweck („Beantwortung Ihrer Anfrage“) und die Norm (Art. 6 Abs. 1 lit. a, b oder f) |
| Abs. 1 lit. d | Das berechtigte Interesse, wenn lit. f die Grundlage ist | Etwa: sicherer Betrieb des Servers (Logfiles), Beantwortung allgemeiner Anfragen |
| Abs. 1 lit. e | Empfänger oder Kategorien von Empfängern | Hoster, Newsletter-Dienst, Formular-Anbieter, Video-Plattform — jeder, der Daten bekommt |
| Abs. 1 lit. f | Übermittlung in Drittländer und die Garantie dafür | Sitzt ein Dienst außerhalb der EU (typisch: USA), muss das dort stehen — samt Grundlage (Angemessenheitsbeschluss, Standardvertragsklauseln) |
| Abs. 2 lit. a | Speicherdauer oder Kriterien dafür | Logfiles: konkrete Frist; Anfragen: „bis zur Erledigung“; Newsletter: „bis zum Widerruf“ |
| Abs. 2 lit. b | Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit | Ein Absatz, der die Rechte aufzählt und sagt, an wen man sich wendet |
| Abs. 2 lit. c | Widerrufsrecht bei Einwilligungen | Wo es Einwilligungen gibt (Newsletter, Banner): Hinweis, dass der Widerruf jederzeit möglich ist und wie |
| Abs. 2 lit. d | Beschwerderecht bei einer Aufsichtsbehörde | Der Hinweis auf das Recht; die zuständige Behörde zu nennen, ist üblich und hilfreich |
| Abs. 2 lit. e | Ob die Bereitstellung gesetzlich oder vertraglich vorgeschrieben ist und was passiert, wenn nicht | Bei Formularen: welche Felder Pflicht sind und warum |
| Abs. 2 lit. f | Automatisierte Entscheidungen einschließlich Profiling | Auf kleinen Websites in der Regel: „findet nicht statt“ |
Der Aufbau: Kopf, Bausteine, Fuß
Die Pflichtangaben lassen sich in eine Struktur bringen, die sich für jede Seite wiederverwenden lässt. Oben stehen die Angaben, die für alles gelten; in der Mitte ein Baustein je Verarbeitung; unten der Stand. Wer so gliedert, kann beim nächsten Plugin einen Baustein ergänzen, statt die ganze Erklärung neu zu schreiben.
Typische Bausteine einer kleinen Website
Welche Bausteine Sie brauchen, ergibt die Inventur: Netzwerkanalyse im Browser (F12 → Netzwerk), Liste der Formulare und Plugins, Liste der Dienstleister. Für die meisten kleinen Seiten läuft es auf vier bis sechs Bausteine hinaus.
Hosting und Logfiles
Der unvermeidliche Baustein. Ihr Hoster verarbeitet in Ihrem Auftrag die IP-Adresse, Zeitpunkt, aufgerufene Seite und Browser-Kennung jedes Besuchers. Zweck ist der sichere und stabile Betrieb, Rechtsgrundlage Art. 6 Abs. 1 lit. f, Empfänger der Hoster als Auftragsverarbeiter (Art. 28 DSGVO — der Vertrag dazu liegt im Kundenkonto). Die Speicherdauer der Logfiles müssen Sie konkret nennen; eine gesetzliche Frist gibt es nicht, in der Praxis sind sieben bis vierzehn Tage üblich. Das Muster der LDI NRW arbeitet für die eigene Behörde mit 24 Stunden direktem Zugriff und vier Wochen bis zur endgültigen Löschung — Ihre Zahl muss zu dem passen, was Ihr Hoster tatsächlich einstellt.
Kontaktformular und E-Mail-Kontakt
Zweck: Bearbeitung der Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b, wenn es um einen Vertrag geht, sonst lit. f. Empfänger: Sie selbst; nutzt das Formular einen Drittanbieter, ist der zu nennen. Speicherdauer: bis die Anfrage erledigt ist, bei geschäftlichen Vorgängen nach den handels- und steuerrechtlichen Aufbewahrungsfristen. Welche Felder Pflicht sind, gehört ebenfalls hinein (Art. 13 Abs. 2 lit. e). Ausführlich: Kontaktformular DSGVO-konform gestalten.
Newsletter
Rechtsgrundlage ist die Einwilligung (lit. a), eingeholt im Double-Opt-in; der Baustein beschreibt das Verfahren, den Dienstleister, was protokolliert wird (Zeitpunkt der Anmeldung und Bestätigung) und dass der Widerruf jederzeit über den Link in jeder Mail möglich ist. Misst der Dienst Öffnungen und Klicks, muss das dort stehen — oder Sie schalten es ab.
Eingebettete Inhalte: Videos, Karten, Social Media
Je Anbieter ein Absatz: was beim Klick geladen wird, dass dabei die IP-Adresse an den Anbieter geht, wo der Anbieter sitzt und ob Daten in ein Drittland gehen. Mit einer Zwei-Klick-Lösung wird die Einwilligung zur Rechtsgrundlage (lit. a); ohne sie gibt es meist keine. Der EuGH sieht den Seitenbetreiber für die Datenerhebung beim Laden gemeinsam mit dem Anbieter verantwortlich (Fashion ID, C-40/17).
Statistik
Läuft eine Reichweitenmessung, gehört sie hinein — auch eine cookielose. Bei cookielosen, selbst gehosteten Werkzeugen mit gekürzter IP-Adresse reicht lit. f mit der Angabe, dass keine Cookies gesetzt und keine Profile gebildet werden. Bei Google Analytics und ähnlichen Diensten ist die Einwilligung (lit. a) zu nennen, dazu Google Ireland als Empfänger und die Drittlandübermittlung. Wann ein Banner überhaupt nötig ist, erklärt der Artikel Cookie-Banner: Pflicht oder nicht?.
Was nicht hineingehört
Alles, was die Seite nicht tut. Ein Absatz zu Google Fonts, obwohl die Schriften lokal liegen; ein Absatz zu Facebook-Pixeln, die es nie gab; ein Absatz zu Cookies auf einer Seite ohne Cookies. Jeder dieser Absätze ist eine falsche Angabe gegenüber dem Besucher — und für die Aufsicht ein Hinweis, dass die Erklärung nicht zur Seite gehört.
Generatoren: Hilfe mit Fallen
Generatoren erzeugen aus angekreuzten Optionen einen Text. Das ist als Gerüst nützlich — die Formulierungen für die Betroffenenrechte oder die Beschreibung eines bekannten Dienstes müssen Sie nicht selbst erfinden. Die Fallen liegen am Anfang und am Ende des Vorgangs. Am Anfang: Der Generator weiß nicht, was Ihre Seite tut; er fragt, und Sie antworten. Wer aus Vorsicht „alles“ ankreuzt, bekommt eine Erklärung, die Dienste beschreibt, die nicht existieren. Wer aus Unkenntnis zu wenig ankreuzt, bekommt eine Erklärung mit Lücken. Ohne vorherige Inventur ist das Ergebnis Zufall.
Am Ende: Der generierte Text ist ein Stand — der Stand des Tages, an dem Sie ihn erzeugt haben. Wechseln Sie später den Newsletter-Dienst oder installieren Sie ein Plugin, das Schriften von Google lädt, stimmt der Text nicht mehr, und kein Generator erfährt davon. Manche Anbieter aktualisieren ihre Bausteine bei Rechtsänderungen; das hilft bei der Rechtslage, nicht bei Ihrer Seite. Die Regel lautet deshalb: Inventur → Generator → Abgleich mit der Inventur → eigene Bausteine für alles, was der Generator nicht kennt. Und: Der Generator übernimmt keine Verantwortung. Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO sind Sie.
Sprache und Platzierung
Art. 12 Abs. 1 DSGVO verlangt, dass die Informationen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ übermittelt werden. Das ist eine Absage an Juristendeutsch und an Erklärungen, die aus zwanzig Bildschirmseiten Boilerplate bestehen. Kurze Absätze, eine Überschrift je Baustein, eine Tabelle, wo es um Fristen geht, und Verzicht auf alles, was nicht Ihre Seite betrifft. Eine Erklärung, die ein Besucher in fünf Minuten überfliegen kann, ist besser als eine vollständige, die niemand liest.
Zur Platzierung: Die Information muss zum Zeitpunkt der Erhebung verfügbar sein, also bei jedem Seitenaufruf. Die LDI NRW formuliert es in ihrem Muster so: Der Link „muss von jeder einzelnen Seite des Webangebotes aus unmittelbar mit einem Klick erreichbar sein“. Ein Link im Footer jeder Seite erfüllt das; auf Formularen ergänzt ein kurzer Hinweis mit Link direkt am Absendeknopf. Die Erklärung ist eine eigene Seite, getrennt vom Impressum, das aus § 5 DDG folgt. Beide dürfen nicht hinter einem Cookie-Banner verschwinden — die Rechtsseiten müssen auch erreichbar sein, wenn das Banner noch offen ist.
Pflege bei Änderungen
Die Erklärung veraltet nicht durch Zeit, sondern durch Änderungen an der Seite. Legen Sie sich eine einfache Routine zu: Jede Änderung, die ein Plugin, einen Dienst, ein Formular oder den Hoster betrifft, löst einen Blick in die Erklärung aus. Ein Theme-Update, das plötzlich Google Fonts lädt, sehen Sie nur in der Netzwerkanalyse — deshalb gehört ein jährlicher Durchlauf dazu, bei dem Sie die Liste der fremden Domains mit den Bausteinen der Erklärung vergleichen. Notieren Sie den Stand als Datum am Ende der Erklärung und heben Sie alte Fassungen auf; bei einer Beschwerde müssen Sie belegen können, was zum fraglichen Zeitpunkt zu lesen war. Auch Art. 13 Abs. 3 verlangt, dass Sie vor einer Weiterverarbeitung zu einem anderen Zweck erneut informieren — praktisch: neuer Zweck, neuer Baustein, bevor er live geht.
Checkliste
- Inventur gemacht: Netzwerkanalyse auf mehreren Unterseiten, Liste aller Formulare, Plugins, Dienstleister.
- Kopf vollständig: Verantwortlicher mit Anschrift und E-Mail; Datenschutzbeauftragter, falls nach § 38 BDSG nötig.
- Je Verarbeitung ein Baustein mit Zweck, Rechtsgrundlage (Artikel und Buchstabe), Empfängern, Speicherdauer.
- Drittlandübermittlung genannt, wo ein Dienst außerhalb der EU sitzt — samt Garantie.
- Betroffenenrechte, Widerrufsrecht und Beschwerderecht bei der Aufsichtsbehörde aufgeführt.
- Pflichtfelder der Formulare erklärt (Art. 13 Abs. 2 lit. e).
- Kein Absatz zu Diensten, die nicht laufen.
- Verständlich geschrieben, gegliedert, mit Stand-Datum.
- Von jeder Seite mit einem Klick erreichbar, auch bei offenem Banner; Hinweis an jedem Formular.
- AVV mit Hoster und jedem Dienstleister abgeschlossen (Art. 28) — die Empfängerliste ist zugleich Ihre AVV-Liste.
Dieser Artikel beschreibt Struktur und Pflichtinhalte mit Fundstellen, liefert aber bewusst keine Musterformulierungen: Eine Datenschutzerklärung muss zu Ihrer Seite passen, und ob sie das tut, kann nur jemand beurteilen, der Ihre Seite kennt. Bei besonderen Kategorien von Daten (Gesundheit, Kinder, Beschäftigte), bei Shops und bei Drittlandübermittlungen gehört die Erklärung in anwaltliche Prüfung.
Häufige Fragen
Braucht auch ein Verein oder eine private Hobby-Seite eine Datenschutzerklärung?
Ja, sobald die Seite öffentlich erreichbar ist und personenbezogene Daten verarbeitet — und das tut schon der Webserver mit der IP-Adresse in seinen Logfiles. Die Ausnahme für rein persönliche Tätigkeiten (Art. 2 Abs. 2 lit. c DSGVO) greift bei einer öffentlichen Website nicht. Der Umfang bleibt überschaubar, wenn die Seite wenig Fremdes lädt.
Reicht der Text aus einem Generator?
Als Gerüst ja, ungeprüft nein. Art. 13 DSGVO verlangt, dass die Erklärung die tatsächliche Verarbeitung beschreibt. Ein Generator kann nur ausgeben, was Sie ankreuzen — kreuzen Sie zu viel an, behauptet die Erklärung Dinge, die nicht stimmen; kreuzen Sie zu wenig an, fehlt etwas. Erst die Inventur der Seite, dann der Generator, dann der Abgleich.
Muss die Datenschutzerklärung auf jeder Seite verlinkt sein?
Sie muss zum Zeitpunkt der Datenerhebung leicht zugänglich sein (Art. 12 Abs. 1, Art. 13 Abs. 1 DSGVO). Die LDI NRW formuliert das für Websites so: von jeder einzelnen Seite aus unmittelbar mit einem Klick erreichbar. Praktisch heißt das: ein Link im Footer jeder Seite, zusätzlich ein Hinweis an Formularen.
Gehört das Impressum in die Datenschutzerklärung?
Nein, das sind zwei verschiedene Pflichten: Das Impressum folgt aus § 5 DDG, die Datenschutzerklärung aus Art. 13 DSGVO. Beide brauchen eine eigene, von jeder Seite erreichbare Seite. Die Angaben zum Verantwortlichen dürfen sich überschneiden, ersetzen einander aber nicht.
Wie oft muss ich die Erklärung aktualisieren?
Bei jeder Änderung an der Seite, die die Verarbeitung berührt: neues Plugin, neuer Newsletter-Dienst, entferntes Analysewerkzeug, Wechsel des Hosters. Ein fester Rhythmus ist nicht vorgeschrieben, aber eine jährliche Prüfung mit der Netzwerkanalyse fängt die Änderungen ein, die Themes und Plugins unbemerkt mitbringen.
- Art. 13 DSGVO — Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person · Art. 12 — Transparente Information (Abs. 1: präzise, transparent, verständlich, leicht zugänglich, klare und einfache Sprache) — dejure.org
- Art. 6 DSGVO — Rechtmäßigkeit der Verarbeitung · Art. 28 — Auftragsverarbeiter · Art. 83 — Geldbußen (Abs. 5 lit. b: Rechte der betroffenen Personen nach Art. 12 bis 22) · Art. 2 — Sachlicher Anwendungsbereich — dejure.org
- § 38 BDSG — Datenschutzbeauftragte nichtöffentlicher Stellen — gesetze-im-internet.de
- § 5 DDG — Allgemeine Informationspflichten (Impressum) — gesetze-im-internet.de
- LDI NRW: Websites — Muster für Datenschutzhinweise („einfache“ Websites nicht-öffentlicher Betreiber) — Erreichbarkeit mit einem Klick von jeder Seite, Information zum Zeitpunkt der Erhebung, Ergänzung bei Kontaktformular, Logfile-Fristen des Musters
- EuGH, Urteil vom 29.07.2019, C-40/17 (Fashion ID: gemeinsame Verantwortlichkeit bei eingebetteten Inhalten) — dejure.org
- LG München I, Urteil vom 20.01.2022, Az. 3 O 17493/20 (Google Fonts) — dejure.org