Eine Da­ten­schutz­er­klä­rung für die eigene Website

Bei einer Da­ten­schutz­er­klä­rung (engl. Privacy Policy) handelt es sich um eine schrift­li­che Darlegung aller Maßnahmen, die ein Un­ter­neh­men oder eine Or­ga­ni­sa­ti­on ergreift, um die Si­cher­heit und ord­nungs­ge­mä­ße Ver­wen­dung der Daten von Sei­ten­be­su­chen­den zu ge­währ­leis­ten, die im Rahmen des Ge­schäfts­kon­takts erhoben wurden. Erfahren Sie, was eine Da­ten­schutz­er­klä­rung ist und welche Angaben in der Da­ten­schutz­er­klä­rung Ihrer Website notwendig sind.

Was sind die recht­li­chen Grund­la­gen der Da­ten­schutz­er­klä­rung?

Das deutsche Da­ten­schutz­recht ist überaus komplex und setzt sich sowohl aus länder- als auch aus bun­des­spe­zi­fi­schen Re­ge­lun­gen zusammen. Be­trei­ben­de von Websites und On­line­shops kommen mit der Be­reit­stel­lung einer Da­ten­schutz­er­klä­rung vor allem ihrer In­for­ma­ti­ons­pflicht nach, die sich aus Art. 12–14 der DSGVO und § 25 des Te­le­kom­mu­ni­ka­ti­on-Digitale-Dienste-Da­ten­schutz­ge­set­zes (TDDDG) ergeben.

Die DSGVO

Am 25. Mai 2018 ist die Da­ten­schutz-Grund­ver­ord­nung der EU in Kraft getreten, die den Umgang mit per­so­nen­be­zo­ge­nen Daten innerhalb der EU ein­heit­lich regelt. Die DSGVO gilt für alle Mit­glieds­staa­ten und steht vor den jeweils na­tio­na­len Ge­setz­ge­bun­gen. Mit so­ge­nann­ten Öff­nungs­klau­seln können die einzelnen EU-Staaten die DSGVO jedoch ergänzen.

Nach den Artikeln 13 und 14 der DSGVO ist jeder Anbieter, der per­so­nen­be­zo­ge­ne Daten erhebt, verwendet oder wei­ter­gibt, dazu ver­pflich­tet, Nutzenden zu Beginn des Nut­zungs­vor­gangs über die Art und Weise, den Umfang und den Zweck der Da­ten­er­he­bung zu in­for­mie­ren. Das bedeutet im Klartext, dass Dienst­leis­ten­de ihre Userinnen und User sogar dann über die Da­ten­er­he­bung in­for­mie­ren müssen, wenn z. B. nur Be­nut­zer­na­me und E-Mail-Adresse ge­spei­chert werden. Auch bei privaten Websites kann eine In­for­ma­ti­ons­pflicht bestehen, sofern die Ver­ar­bei­tung nicht aus­schließ­lich per­sön­lich oder familiär erfolgt.

Das TDDDG

Das TTDSG (Te­le­kom­mu­ni­ka­ti­ons-Te­le­me­di­en­da­ten­schutz-Gesetz) trat am 1. Dezember 2021 als Ergänzung zur DSGVO in Kraft und wurde am 14. Mai 2024 umbenannt in das TDDDG (Te­le­kom­mu­ni­ka­ti­on-Digitale-Dienste-Da­ten­schutz­ge­setz). Das TDDDG und sein Vorgänger TTDSG sind in­halt­lich identisch. Die Um­be­nen­nung erfolgte lediglich, um die Nähe der na­tio­na­len Gesetze zum passenden EU-Recht (DSA) zu ver­deut­li­chen, welches die Be­zeich­nung „digitale Dienste“ statt „Te­le­me­di­en“ verwendet.

Wann ist eine Da­ten­schutz­er­klä­rung ver­pflich­tend?

Grund­sätz­lich ist eine Da­ten­schutz­er­klä­rung immer dann ver­pflich­tend, wenn per­so­nen­be­zo­ge­ne Daten ver­ar­bei­tet werden. Da das Betreiben einer Website ohne Da­ten­er­he­bung und -ver­ar­bei­tung heut­zu­ta­ge praktisch nicht mehr möglich ist, sollte prin­zi­pi­ell jede Website mit einer Da­ten­schutz­er­klä­rung aus­ge­stat­tet sein. So re­du­zie­ren Sie recht­li­che Risiken und auf­sichts­be­hörd­li­che Maßnahmen und bieten einen wichtigen Service für Ihre Userinnen und User.

Während die Rolle der Da­ten­er­he­bung in On­line­shops leicht nach­voll­zieh­bar und die Not­wen­dig­keit der Da­ten­schutz­er­klä­rung selbst­er­klä­rend ist, un­ter­schät­zen viele Be­trei­be­rin­nen und Betreiber anderer Websites den Umfang der au­to­ma­ti­schen Da­ten­ver­ar­bei­tung. Viele Daten werden au­to­ma­tisch gesammelt und oft auch ohne, dass es den Be­trei­ben­den bewusst ist: Bereits beim Sei­ten­auf­ruf werden Daten ver­ar­bei­tet, oft ohne bewusstes Zutun: Webserver speichern IP-Adressen in Logfiles, Social-Media-Buttons über­mit­teln Nut­zungs­da­ten an Dritt­an­bie­ter, und Cookies erfassen In­for­ma­tio­nen über das Surf­ver­hal­ten.

Eine teilweise An­ony­mi­sie­rung der IP-Adresse, etwa durch das Kürzen des letzten Zah­len­blocks, kann den Per­so­nen­be­zug re­du­zie­ren. Sie ersetzt jedoch weder die In­for­ma­ti­ons­pflicht noch eine Da­ten­schutz­er­klä­rung, sondern stellt lediglich eine er­gän­zen­de Schutz­maß­nah­me dar.

Besonders relevant sind zudem Website-Ana­ly­se­tools wie Google Analytics, die Nut­zungs­da­ten von Websites sys­te­ma­tisch auswerten. Nach In­kraft­tre­ten des EU-US Data Privacy Framework (DPF) im Juli 2023 wurde der Transfer per­so­nen­be­zo­ge­ner Daten zwischen der EU und den USA neu geregelt und ist unter be­stimm­ten Vor­aus­set­zun­gen zulässig. Google gilt als DPF-zer­ti­fi­ziert, sodass Google Analytics bei korrekter Kon­fi­gu­ra­ti­on (Ein­wil­li­gung, Auf­trags­ver­ar­bei­tung, IP-An­ony­mi­sie­rung) da­ten­schutz­kon­form ein­ge­setzt werden kann.

Welche Kon­se­quen­zen drohen bei einer fehlenden Da­ten­schutz­er­klä­rung?

Ist eine Da­ten­schutz­er­klä­rung feh­ler­haft, gar nicht vorhanden oder wird sie den Nutzenden nicht recht­zei­tig prä­sen­tiert, besteht gemäß § 28 des Te­le­kom­mu­ni­ka­ti­on-Digitale-Dienste-Da­ten­schutz­ge­setz (TDDDG) eine Ord­nungs­wid­rig­keit, die mit einem Bußgeld in Höhe von bis zu 300.000 Euro geahndet werden kann. Zu­sätz­lich gelten DSGVO-Bußgelder, die einen deutlich größeren Rahmen möglicher Bußgelder von bis zu 20 Millionen Euro bzw. 4 Prozent des weltweit erzielten Jah­res­um­sat­zes vorsehen (Art. 83 Abs. 4 DSGVO).

Was ist bei der Ein­bin­dung der Da­ten­schutz­er­klä­rung zu beachten?

Theo­re­tisch sind Website-Be­trei­ben­de dazu ver­pflich­tet, ihre Userinnen und User zu Beginn des Nut­zungs­vor­gangs über die Erhebung und den Schutz per­sön­li­cher Daten zu in­for­mie­ren. Praktisch gestaltet sich das bei einer Web­prä­senz oft schwierig, sodass es aus­rei­chend ist, diese In­for­ma­tio­nen zeit­gleich mit der Erhebung zu prä­sen­tie­ren. Ähnlich wie das Impressum muss die Da­ten­schutz­er­klä­rung un­kom­pli­ziert und von jeder Seite aus abrufbar sein. Für die Erklärung sollte zu diesem Zweck eine eigene Un­ter­sei­te angelegt werden, die jederzeit per Ver­lin­kung er­reich­bar ist. Außerdem ist darauf zu achten, dass die hierfür gesetzten Links nicht durch andere Elemente wie Banner verdeckt werden und dass die Da­ten­schutz­er­klä­rung in ver­schie­de­nen Browsern und auf allen End­ge­rä­ten (PC, Tablet, Smart­phone etc.) sichtbar ist.

Zudem muss die Da­ten­schutz­er­klä­rung wie die gesamte Website bar­rie­re­frei sein. Öf­fent­li­che Stellen sind bereits durch das BGG/BITV 2.0 dazu ver­pflich­tet, ihre Web­auf­trit­te und ihre Da­ten­schutz­er­klä­rung bar­rie­re­frei zu gestalten. Seit dem In­kraft­tre­ten des Bar­rie­re­frei­heits­stär­kungs­ge­set­zes (BFSG) im Juni 2025 sind nun die meisten digitalen Dienst­leis­ter dazu ver­pflich­tet. Website-Be­trei­ben­de müssen ihre Da­ten­schutz­er­klä­rung leicht auf­find­bar plat­zie­ren und in klarer und einfacher Sprache for­mu­lie­ren.

Ein weiterer wichtiger Aspekt ist, dass die Da­ten­schutz­er­klä­rung präzise, trans­pa­rent und ver­ständ­lich for­mu­liert sein soll. Ju­ris­ti­sche und tech­ni­sche Fach­be­grif­fe gilt es, insofern möglich, zu vermeiden oder im Zwei­fels­fall zu erklären. Wenn sich Ihre Website gezielt an mehrere Sprach­grup­pen richtet, müssen Sie die Erklärung außerdem auch in den ent­spre­chen­den Sprachen verfassen. Sorgen Sie zudem für einen über­sicht­li­chen Aufbau Ihrer Da­ten­schutz­er­klä­rung und greifen Sie zu Ge­stal­tungs­ele­men­ten wie Listen oder Tabellen, damit Nutzende die Inhalte schnell erfassen können.

Da­ten­schutz­er­klä­rung: Muster für den Inhalt

In­halt­lich gilt es besonders auf die Rich­tig­keit und Voll­stän­dig­keit der Angaben zu achten. War es bis dato in einigen Punkten strittig, welche In­for­ma­tio­nen dabei auf keinen Fall fehlen dürfen, liefert Artikel 13 der DSGVO einen all­ge­mein­gül­ti­gen Katalog an Pflicht- und Zu­satz­in­for­ma­tio­nen, die in der Da­ten­schutz­er­klä­rung Ihrer Website auf keinen Fall fehlen sollten. Im Folgenden geben wir Ihnen einige Muster für die Da­ten­schutz­er­klä­rung Ihrer Website, an denen Sie sich ori­en­tie­ren können.

Kon­takt­da­ten der Ver­ant­wort­li­chen bzw. der Ver­tre­tung

Es ist notwendig, die Kon­takt­da­ten des Un­ter­neh­mens bzw. der Ver­ant­wort­li­chen auf­zu­füh­ren, die über die Ver­ar­bei­tung von per­so­nen­be­zo­ge­nen Daten ent­schei­den. Zu­sätz­lich zum Namen sind hierbei eine gültige Post­an­schrift und eine E-Mail-Adresse sowie ggf. eine Te­le­fon­num­mer gefragt. Ist der Sitz des Un­ter­neh­mens bzw. der Haupt­ver­ant­wort­li­chen außerhalb der EU, müssen außerdem die Kon­takt­da­ten der of­fi­zi­el­len Ver­tre­tung angegeben werden. Der ent­spre­chen­de Absatz in Ihrer Da­ten­schutz­er­klä­rung könnte in etwa fol­gen­der­ma­ßen aussehen:

Muster für die Angabe der Kon­takt­da­ten:

Der Verantwortliche / Die Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist:
Name des Unternehmens / des Vertreters / der Vertreterin
Musterstraße 1 12345 Musterstadt
Deutschland Tel.: Telefonnummer
E-Mail: muster@e-mail.de

Kon­takt­da­ten des / der Da­ten­schutz­be­auf­trag­ten

Wenn min­des­tens 20 Mit­ar­bei­ten­de re­gel­mä­ßig mit au­to­ma­ti­sier­ter Da­ten­ver­ar­bei­tung be­schäf­tigt sind oder die Kern­tä­tig­keit Ihres Un­ter­neh­mens in der ge­schäfts­mä­ßi­gen Über­mitt­lung von per­so­nen­be­zo­ge­nen Daten besteht, sind Sie dazu ver­pflich­tet, eine oder einen Da­ten­schutz­be­auf­trag­ten zu ernennen. Gleiches gilt, wenn Sie besondere Ka­te­go­rien von per­so­nen­be­zo­ge­nen Daten ver­ar­bei­ten, die etwa über po­li­ti­sche Meinungen, religiöse Über­zeu­gun­gen oder ethnische Herkunft in­for­mie­ren. Haben Sie eine oder einen Da­ten­schutz­be­auf­trag­ten ernannt, ist es notwendig, auch die Kon­takt­da­ten dieser Person in der Da­ten­schutz­er­klä­rung anzugeben.

Muster für die Angabe der Kon­takt­da­ten des Da­ten­schutz­be­auf­trag­ten:

Der Datenschutzbeauftragte / Die Datenschutzbeauftragte des Unternehmens ist:
Vorname Nachname
Musterunternehmen (bei externer Lösung)
Musterstraße 2
12345 Musterstadt Deutschland
Tel.: Telefonnummer
E-Mail: vorname.nachname@e-mail.de

Rechts­grund­la­ge für die Da­ten­ver­ar­bei­tung

Es ist Ihre Pflicht, die Nut­ze­rin­nen und Nutzer über die Rechts­grund­la­ge für die Erhebung und Ver­ar­bei­tung der per­so­nen­be­zo­ge­nen Daten zu un­ter­rich­ten. Damit diese gegeben ist, muss gemäß Artikel 6 der DSGVO min­des­tens eine der folgenden Be­din­gun­gen erfüllt sein:

• Die be­trof­fe­ne Person hat ihre Ein­wil­li­gung gegeben.
• Die Ver­ar­bei­tung ist für die Erfüllung eines Vertrags mit der be­trof­fe­nen Person oder zur Durch­füh­rung vor­ver­trag­li­cher Aktionen er­for­der­lich.
• Die oder der Ver­ant­wort­li­che kommt einer recht­li­chen Ver­pflich­tung nach, der sie oder er un­ter­liegt.
• Die Ver­ar­bei­tung dient dem Schutz le­bens­wich­ti­ger In­ter­es­sen der be­trof­fe­nen oder einer anderen Person.
• Die Ver­ar­bei­tung liegt im öf­fent­li­chen Interesse.
• Sie ist er­for­der­lich, um be­rech­tig­te In­ter­es­sen der oder des Ver­ant­wort­li­chen oder eines Dritten zu wahren (unter der Vor­aus­set­zung, dass Grund­rech­te und Grund­frei­hei­ten der be­trof­fe­nen Person nicht verletzt werden).

Muster für die Angabe der Rechts­grund­la­gen:

Insofern wir für die Verarbeitung der personenbezogenen Daten eine Einwilligung der betroffenen Person eingeholt haben, gilt Artikel 6 Absatz 1 Unterabsatz 1a der DSGVO als rechtliche Grundlage.
Ist die Verarbeitung personenbezogener Daten für die Erfüllung eines Vertrags mit der betroffenen Person oder für vorvertragliche Maßnahmen erforderlich, die durch die betroffene Person veranlasst wurden, dient Artikel 6 Absatz 1 Unterabsatz 1b (DSGVO) als Rechtsgrundlage.
Ist die Datenverarbeitung das Resultat einer rechtlichen Verpflichtung, der wir unterliegen, berufen wir uns auf Artikel 6 Absatz 1 Unterabsatz 1c der DSGVO als rechtliche Basis.
Erfolgt die Verarbeitung personenbezogener Daten, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen, dient Artikel 6 Absatz 1 Unterabsatz 1d (DSGVO) als Rechtsgrundlage.
Dient die Datenverarbeitung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, berufen wir uns auf Artikel 6 Absatz 1 Unterabsatz 1e der DSGVO.
Insofern die Verarbeitung personenbezogener Daten erforderlich ist, um berechtigte Interessen des Verantwortlichen oder eines Dritten zu wahren – ohne dabei die Interessen, Grundrechte oder Grundfreiheiten der betroffenen Person zu gefährden –, gilt Artikel 6 Absatz 1 Unterabsatz 1f (DSGVO) als Rechtsgrundlage.

Zwecke der Da­ten­ver­ar­bei­tung

Zu­sätz­lich zur recht­li­chen Grundlage müssen Sie die Zwecke für die Ver­ar­bei­tung der je­wei­li­gen da­ten­be­zo­ge­nen In­for­ma­tio­nen in Ihrer Da­ten­schutz­er­klä­rung aufführen. Dafür ist es im Zuge der Forderung nach Trans­pa­renz emp­feh­lens­wert, auch sämtliche Kom­po­nen­ten Ihres Web­pro­jekts of­fen­zu­le­gen, die ent­spre­chen­de Daten sammeln, z. B. folgende:

• Kon­takt­for­mu­la­re
• News­let­ter-Anmeldung
• Ein­ga­be­fel­der (z. B. zur Angabe von Bankdaten im Warenkorb)
• Tracking-Codes (z. B. Tracking Pixel)
• Dritt­an­bie­ter-Plugins (z. B. Social-Plugins)
• Dritt­an­bie­ter-Inhalte (z. B. YouTube-Videos)
• Ge­winn­spie­le
• Cookies

Ist die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten aus be­rech­tig­ten In­ter­es­sen für Ihr Projekt von Relevanz (DSGVO Art. 6 Abs. 1 lit. f), sollten Sie an dieser Stelle auch Ihre be­rech­tig­ten In­ter­es­sen zu Papier bringen. Typische Zwecke sind bei­spiels­wei­se die Analyse zur Op­ti­mie­rung der Website, zur Aus­lie­fe­rung per­so­na­li­sier­ter Inhalte oder für Mar­ke­ting­ab­sich­ten. Gleich­zei­tig sollten Sie aber in jedem Fall über­prü­fen, ob Sie die In­ter­es­sen und Rechte der Nutzenden best­mög­lich wahren.

Muster für die Angabe des Da­ten­ver­ar­bei­tungs­zwecks:

Um Ihren Besuch so benutzerfreundlich wie möglich zu gestalten und sämtliche verfügbaren Funktionen anbieten zu können, erheben wir eine Reihe von Daten und Informationen des Geräts, mit dem Sie unsere Website aufgerufen haben. Dabei handelt es sich um folgende Daten:
- IP-Adresse
- Betriebssystem
- Browsertyp und -version
- Datum und Uhrzeit des Zugriffs
- …
Eine Auswertung dieser Daten zu Marketingzwecken findet in diesem Zusammenhang nicht statt.

Na­ment­li­che Benennung von Emp­fän­ge­rin­nen und Emp­fän­gern per­so­nen­be­zo­ge­ner Daten

Wenn Sie per­so­nen­be­zo­ge­ne Daten an Dritte wei­ter­ge­ben, müssen Sie Ihre Nut­ze­rin­nen und Nutzer innerhalb der Da­ten­schutz­er­klä­rung darüber in­for­mie­ren. So beziehen Sie bei­spiels­wei­se mit hoher Wahr­schein­lich­keit Dienst­leis­ter in Ihren Ge­schäfts­pro­zess mit ein, wie z. B. Zu­lie­fe­rer oder Be­zahl­diens­te, wenn Sie einen On­line­shop betreiben. An­zei­gen­diens­te wie Google AdSense oder Google Ads sowie Im­ple­men­tie­run­gen von Dritt­an­bie­ter-Cookies und -Er­wei­te­run­gen, deren Nutzung immer an eine Wei­ter­ga­be per­so­nen­be­zo­ge­ner In­for­ma­tio­nen gebunden ist, zählen dazu. In diesen Fällen können Sie auf ein be­rech­tig­tes Interesse hinweisen, um die Nutzung zu recht­fer­ti­gen. Dennoch ist es ratsam, auch die Ein­wil­li­gung der Be­su­chen­den ein­zu­ho­len.

Muster für die Angabe ein­ge­bun­de­ner Dritt­an­bie­ter (Beispiel „Facebook-Plugin“):

Diese Website verwendet ein Facebook-Social-Plugin, das von Meta Platforms, Inc. (1 Hacker Way, Menlo Park, CA, USA) entwickelt und betrieben wird und an dem Facebook-Logo erkennbar ist. Das Plug-in stellt eine direkte Verbindung zwischen Ihrem Browser und den Facebook-Servern her, sobald es aktiviert wurde. Hierfür ist ein Klick auf die entsprechende Schaltfläche erforderlich. Auf die Art und den Umfang der Daten, die in diesem Rahmen an Meta Platforms Inc. übermittelt werden, haben wir keinerlei Einfluss. Eine Äußerung des Social-Media-Unternehmens zu diesem Thema finden Sie unter folgendem Link: https://www.facebook.com/help/186325668085084.

Dauer der Da­ten­spei­che­rung

Um die Da­ten­ver­ar­bei­tung möglichst fair und trans­pa­rent zu gestalten, sollten Sie außerdem die Dauer, für die per­so­nen­be­zo­ge­ne Daten ge­spei­chert werden, of­fen­le­gen. Ist hierfür kein ein­deu­ti­ger Wert for­mu­lier­bar, können Sie statt­des­sen auch die Kriterien prä­sen­tie­ren, die den Zeitraum der Da­ten­spei­che­rung be­ein­flus­sen. So können Sie in der Regel konkrete Angaben für die Spei­che­rung von (an­ony­mi­sier­ten) IP-Adressen in den Logfiles machen, wenn Sie dort bei­spiels­wei­se eine au­to­ma­ti­sche Löschung nach einer be­stimm­ten Zeit kon­fi­gu­riert haben. Arbeiten Sie hingegen mit Cookies, die Be­su­chen­de für den Zeitraum einer Sitzung iden­ti­fi­zier­bar machen, ist die Dauer der Da­ten­spei­che­rung an die in­di­vi­du­ell aus­fal­len­de Sit­zungs­dau­er gebunden.

Muster für die Angabe der Da­ten­spei­che­rungs­dau­er:

Alle personenbezogenen Daten, die wir während Ihres Besuchs durch den Einsatz von Sitzungs-Cookies gesammelt haben, werden automatisch gelöscht, sobald der Zweck für ihre Erhebung erfüllt ist. Die Sitzungsdaten werden demnach so lange gespeichert, bis Sie Ihre Sitzung beenden (durch das Verlassen bzw. Schließen der Website).

Hinweis auf Be­trof­fe­nen­rech­te

Alle Nut­ze­rin­nen und Nutzer, von denen Sie per­so­nen­be­zo­ge­ne Daten sammeln, haben eine Reihe von Rechten, die auch als Be­trof­fe­nen­rech­te be­zeich­net werden. So gewährt das Aus­kunfts­recht (Artikel 15 DSGVO) bei­spiels­wei­se, aus­führ­li­che In­for­ma­tio­nen über Ver­ar­bei­tungs­zwe­cke, mögliche Emp­fän­ge­rin­nen und Empfänger, Spei­cher­dau­er und Herkunft ein­zu­ho­len. Überdies haben Nut­ze­rin­nen und Nutzer u. a. das Recht auf Be­rich­ti­gung (Artikel 16 DSGVO) und unter be­stimm­ten Be­din­gun­gen auch das Recht auf Löschung (Artikel 17 DSGVO) per­so­nen­be­zo­ge­ner Daten.

Muster für den Hinweis auf Be­trof­fe­nen­rech­te:

Im Sinne der DSGVO zählen Sie als Betroffene oder Betroffener, wenn personenbezogene Daten, die Sie betreffen, von uns verarbeitet werden. Aus diesem Grund können Sie von verschiedenen Betroffenenrechten Gebrauch machen, die in der Datenschutz-Grundverordnung verankert sind. Hierbei handelt es sich um das Auskunftsrecht (Artikel 15 DSGVO), das Recht auf Berichtigung (Artikel 16 DSGVO), das Recht auf Löschung (Artikel 17 DSGVO), das Recht auf Einschränkung der Verarbeitung (Artikel 18 DSGVO), das Widerspruchsrecht (Artikel 21 DSGVO), das Recht auf Beschwerde bei einer Aufsichtsbehörde (Artikel 77 DSGVO) sowie das Recht auf Datenübertragbarkeit (Artikel 20 DSGVO).

Auf­klä­rung über die Pflicht zur Da­ten­er­he­bung

Insofern die Be­reit­stel­lung der per­so­nen­be­zo­ge­nen Daten ge­setz­lich oder ver­trag­lich vor­ge­schrie­ben oder für den Abschluss eines Vertrags un­ab­ding­bar ist, müssen Sie Ihre Nut­ze­rin­nen und Nutzer darüber in Kenntnis setzen. Ferner ist es notwendig, dass Sie Angaben darüber machen, welche Folgen aus einer Nicht­be­reit­stel­lung re­sul­tie­ren.

Muster für die Auf­klä­rung über die Da­ten­er­he­bungs­pflicht:

Die Erhebung Ihrer personenbezogenen Daten ist für den Abschluss eines Vertrags sowie zur Erfüllung vertraglicher Verpflichtungen und Serviceleistungen unabdingbar. Stellen Sie uns die angeforderten Informationen also nicht zur Verfügung, sind weder ein erfolgreicher Vertragsabschluss noch weiterführende Vertragsleistungen möglich.

Un­ter­rich­tung über den Einsatz au­to­ma­ti­sier­ter Ent­schei­dungs­fin­dun­gen (inklusive Profiling)

Wenn Sie au­to­ma­ti­sier­te Ent­schei­dungs­fin­dun­gen ein­schließ­lich Profiling einsetzen, sind Sie ver­pflich­tet, Angaben über die Aus­wir­kun­gen und die Tragweite dar­zu­le­gen, die derartige Da­ten­ver­ar­bei­tungs­pro­zes­se auf die be­trof­fe­ne Person haben. Hin­ter­grund ist, dass Ihre Nut­ze­rin­nen und Nutzer grund­sätz­lich das Recht haben, „nicht einer aus­schließ­lich auf einer au­to­ma­ti­sier­ten Ver­ar­bei­tung – ein­schließ­lich Profiling – be­ru­hen­den Ent­schei­dung un­ter­wor­fen zu werden“ (Artikel 22 DSGVO). Dieses Recht gilt jedoch nicht, wenn das au­to­ma­ti­sier­te Verfahren für den Ver­trags­ab­schluss bzw. die Ver­trags­er­fül­lung er­for­der­lich ist, aufgrund von Rechts­vor­schrif­ten der EU und deren Mit­glied­staa­ten zulässig ist oder mit aus­drück­li­cher Ein­wil­li­gung der be­trof­fe­nen Person erfolgt.

Muster für den Hinweis auf ein­ge­setz­te(s) au­to­ma­ti­sier­te Ent­schei­dungs­fin­dung bzw. Profiling:

Vor Abschluss Ihres Vertrags führen wir eine vollautomatisierte Bonitätsprüfung zur Ermittlung Ihrer Kreditwürdigkeit durch …
Neben klassischen Anwendungsfällen wie automatisierten Bonitätsprüfungen kommen heute zunehmend KI-basierte Profiling- und Entscheidungssysteme wie beispielsweise Verfahren zur automatisierten Bewertung von Nutzungsverhalten, zur Personalisierung von Inhalten oder zur Risikobewertung zum Einsatz. Auch bei Nutzung dieser Systeme, die auf Grundlage personenbezogener Daten automatisierte Entscheidungen treffen oder Nutzerinnen und Nutzer bestimmten Profilen zuordnen, sind Website-Betreibende verpflichtet, transparent über die Funktionsweise, Logik sowie die möglichen Auswirkungen dieser Verarbeitung zu informieren.

Muster für den Hinweis auf ein­ge­setz­te(s) KI-basierte Profiling- und Ent­schei­dungs­sys­te­me:

Zur Optimierung unserer Services setzen wir in bestimmten Bereichen automatisierte Analyse- und Entscheidungsverfahren ein, die auf statistischen Modellen oder KI-basierten Systemen beruhen. Diese Verfahren dienen beispielsweise der Personalisierung von Inhalten oder der Priorisierung von Anfragen. Eine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher Wirkung findet dabei nicht statt.

DSGVO: Die wich­tigs­ten Punkte zur Da­ten­schutz-Grund­ver­ord­nung in der Zu­sam­men­fas­sung

Die Da­ten­schutz-Grund­ver­ord­nung macht den Da­ten­schutz in EU-Ländern trans­pa­ren­ter, ver­ständ­li­cher und sicherer. Die Not­wen­dig­keit einer voll­stän­di­gen, korrekt aus­ge­führ­ten Da­ten­schutz­er­klä­rung stellt dabei das Herzstück dar – ins­be­son­de­re für Website-Be­trei­ben­de, die es häufig mit einer riesigen Menge an ver­schie­dens­ten, per­so­nen­be­zo­ge­nen Daten zu tun haben. Wenn Sie eine Da­ten­schutz­er­klä­rung nach altem Muster verfasst haben, werden Ihnen bei den oben genannten Punkten ins­be­son­de­re die Of­fen­le­gung der Rechts­grund­la­ge sowie die Hinweise auf die Be­nut­zer­rech­te als größere Neue­run­gen ins Auge gefallen sein.

Natürlich sind diese beiden Aspekte bei Weitem nicht das Einzige, was die über­ar­bei­te­ten bzw. neu ge­ne­rier­ten Da­ten­schutz­er­klä­run­gen nach DSGVO-Standard gegenüber älteren Modellen aus­zeich­net: Mehr denn je haben Sie als Ver­ant­wort­li­cher die Aufgabe, Sinn und Zweck der Da­ten­ver­ar­bei­tung zu erklären – und zwar in einer aus­führ­li­chen, leicht ver­ständ­li­chen und auch bar­rie­re­frei­en Form, die bei Nut­ze­rin­nen und Nutzern keine offenen Fragen zu­rück­lässt. Für den Fall, dass dies doch vorkommt, müssen Sie bzw. die oder der Da­ten­schutz­be­auf­trag­te Rede und Antwort stehen können. Die Un­ter­rich­tung der Nutzenden muss so früh wie möglich und immer vor der Da­ten­er­he­bung geschehen.

Die ein­heit­li­che Ver­ord­nung macht es Gerichten zudem einfacher, Verstöße zu ahnden. An­ge­sichts der drohenden Bußgelder sollten Sie bei der Er­stel­lung der Da­ten­schutz­er­klä­rung also unbedingt Sorgfalt walten lassen.

Un­ter­stüt­zung beim Da­ten­schutz

Im Internet finden Sie zahl­rei­che kos­ten­lo­se Angebote, die Sie dabei un­ter­stüt­zen, den Da­ten­schutz für Ihre Website DSGVO- und TDDDG-konform zu gestalten. Einige davon stellen wir Ihnen hier vor.

Vorlagen und Ge­ne­ra­to­ren für die Da­ten­schutz­er­klä­rung

Es gibt vor­ge­fer­tig­te Muster für die all­ge­mei­ne Erklärung zur Erhebung und zum Schutz der Nut­zungs­da­ten sowie für spezielle Ka­te­go­rien wie bei­spiels­wei­se soziale Netzwerke, Cookies, Kon­takt­for­mu­la­re oder den News­let­ter-Versand. Sie erhalten auf diese Weise auch die Da­ten­schutz­er­klä­rung für Google Analytics oder andere Tools für die Web­ana­ly­se in aus­for­mu­lier­ter Form inklusive Links für alle Nutzenden, die nicht mit der Erfassung und Wei­ter­ga­be ihrer Daten ein­ver­stan­den sind. Zu­sätz­lich zu diversen Vorlagen bieten einige Websites kos­ten­freie Da­ten­schutz­er­klä­rung-Ge­ne­ra­to­ren an, die be­nö­tig­ten Mus­ter­tex­te zu­sam­men­fü­gen und in die end­gül­ti­ge Form bringen. Das Ergebnis liegt in der Regel als Text sowie als HTML-Code vor.

Vorlagen und Ge­ne­ra­to­ren bieten eine gute Mög­lich­keit, die Da­ten­schutz­er­klä­rung für die eigene Website zu verfassen. Dennoch sollten Sie nicht blind auf das Ergebnis vertrauen. Die Muster stellen zwar die Basis dar, müssen jedoch oftmals in­di­vi­du­ell verändert und ergänzt werden. Sollten Sie sich nicht sicher sein, ob Ihre Da­ten­schutz­er­klä­rung voll­stän­dig und korrekt ist, empfiehlt sich in jedem Fall eine zu­sätz­li­che Rechts­be­ra­tung.

Website-Scanner

Website-Scanner und au­to­ma­ti­sier­te Prüf-Tools un­ter­stüt­zen Website-Be­trei­ben­de dabei, da­ten­schutz­re­le­van­te Schwach­stel­len früh­zei­tig zu erkennen und ihre Website schritt­wei­se da­ten­schutz­kon­form aus­zu­rich­ten. Solche Tools ana­ly­sie­ren unter anderem:

• welche Cookies gesetzt werden
• welche Dritt­an­bie­ter ein­ge­bun­den sind
• ob Tracking- und Analyse-Skripte aktiv sind
• ob da­ten­schutz­re­le­van­te In­for­ma­tio­nen korrekt ein­ge­bun­den und er­reich­bar sind

Je nach Tool werden auch Hinweise zur Ein­bin­dung von Cookie-Consent-Bannern, zur Plat­zie­rung der Da­ten­schutz­er­klä­rung oder zu fehlenden Pflicht­an­ga­ben aus­ge­ge­ben. Für Website-Be­trei­ben­de liegt der große Vorteil solcher Tools in der Zeit­er­spar­nis und der sys­te­ma­ti­schen Her­an­ge­hens­wei­se. Statt einzelne Seiten manuell zu prüfen, erhalten sie eine struk­tu­rier­te Übersicht über po­ten­zi­el­le Da­ten­schutz-Risiken und konkrete Hand­lungs­emp­feh­lun­gen zur Op­ti­mie­rung.

Bitte beachten Sie den recht­li­chen Hinweis zu diesem Artikel.