Fast jede Website hat eine Datenschutzerklärung – doch viele sind veraltet, unvollständig oder wurden einmalig erstellt und seitdem nie an neue Tools oder Dienste angepasst. Dieser Artikel zeigt, welche Inhalte gesetzlich vorgeschrieben sind.

Datenschutzerklärung als lebendes Dokument

Anders als etwa ein Impressum, das sich meist nur bei formalen Änderungen anpassen muss, sollte eine Datenschutzerklärung als kontinuierlich zu pflegendes, „lebendes" Dokument verstanden werden. Jede neue Funktion, jedes neue Tool und jeder neue Drittanbieter kann eine Anpassung erforderlich machen – ein grundlegend anderer Pflegeaufwand als bei statischeren rechtlichen Pflichttexten.

Wer diesen Pflegeaufwand unterschätzt, läuft Gefahr, dass die Erklärung schleichend veraltet – nicht durch eine einzelne, große Nachlässigkeit, sondern durch viele kleine, über die Zeit angesammelte Lücken.

Eine feste Verantwortlichkeit im Team – etwa eine Person, die bei jeder neuen Tool-Einführung explizit auch die Datenschutzerklärung im Blick behält – beugt diesem schleichenden Auseinanderdriften zuverlässig vor.

Art. 13 vs. Art. 14 DSGVO: Ein wichtiger Unterschied

Art. 13 DSGVO gilt für Daten, die direkt bei der betroffenen Person erhoben werden – etwa über ein Kontaktformular oder durch Website-Besuche selbst. Werden Daten hingegen von Dritten bezogen (z. B. bei zugekauften Adresslisten für Marketingzwecke), greift stattdessen Art. 14 DSGVO mit teils abweichenden Fristen und Ausnahmen. Für die überwiegende Mehrheit der Website-Datenverarbeitungen ist Art. 13 die einschlägige Norm, da die Daten unmittelbar durch den Website-Besuch selbst anfallen.

Rechtliche Grundlage: Art. 13 DSGVO

Art. 13 DSGVO verpflichtet Verantwortliche, betroffene Personen bei der Erhebung personenbezogener Daten aktiv und transparent zu informieren. Für Websites bedeutet das: Jede Datenverarbeitung – vom reinen Server-Logging über Kontaktformulare bis zu eingebundenen Analyse- und Marketing-Diensten – muss in der Datenschutzerklärung konkret benannt und erläutert werden.

Wann muss informiert werden?

Die Information muss grundsätzlich zum Zeitpunkt der Erhebung der Daten bereitgestellt werden – bei einer Website also spätestens beim ersten Seitenaufruf, nicht erst nach einer Anmeldung oder einem Kauf. Das ist der Grund, warum die Datenschutzerklärung von jeder Unterseite aus leicht erreichbar sein muss, ähnlich wie beim Impressum, auch wenn dafür keine identische „Zwei-Klick-Regel" gesetzlich fixiert ist.

Die Pflichtangaben nach Art. 13 DSGVO

  • Name und Kontaktdaten des Verantwortlichen sowie ggf. des Datenschutzbeauftragten.
  • Zwecke der Verarbeitung und die jeweilige Rechtsgrundlage (z. B. Einwilligung, berechtigtes Interesse, Vertragserfüllung).
  • Empfänger oder Kategorien von Empfängern der Daten, insbesondere bei Weitergabe an Drittanbieter oder Drittländer.
  • Speicherdauer oder zumindest die Kriterien für deren Festlegung.
  • Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit.
  • Widerrufsrecht bei auf Einwilligung gestützter Verarbeitung.
  • Beschwerderecht bei einer Aufsichtsbehörde.

🍪 Ist Ihre Datenschutzerklärung vollständig?

Der Scanner erkennt, welche Dienste tatsächlich auf Ihrer Website eingebunden sind – als Grundlage für eine vollständige Erklärung. Jetzt kostenlos prüfen ↑

Unterschied zu Einwilligung und Cookie-Banner

Die Datenschutzerklärung ist eine reine Informationspflicht – sie ersetzt keine Einwilligung. Auch wenn ein Dienst korrekt in der Datenschutzerklärung beschrieben ist, darf er weiterhin nicht ohne vorherige Zustimmung laden, sofern er einwilligungspflichtig ist. Beide Elemente erfüllen unterschiedliche gesetzliche Anforderungen und müssen daher getrennt betrachtet werden: der Cookie-Banner für die aktive Zustimmung, die Datenschutzerklärung für die umfassende, passiv abrufbare Information.

Warum generische Vorlagen oft nicht ausreichen

Ein häufiges Problem: Eine einmal von einem Generator erstellte Datenschutzerklärung wird nicht aktualisiert, wenn später neue Dienste hinzukommen – ein neues Analyse-Tool, ein zusätzliches Marketing-Pixel oder ein neu eingebundenes Video-Widget. Die Datenschutzerklärung muss aber die tatsächlich eingesetzten Dienste widerspiegeln, nicht nur eine allgemeine Auswahl möglicher Kategorien. Eine veraltete Erklärung, die einen längst entfernten Dienst noch aufführt, ist zwar meist unproblematisch, das Fehlen eines neu hinzugekommenen Dienstes ist es hingegen sehr wohl.

Was für jeden eingebundenen Drittdienst gehört

Für jeden eingesetzten Drittanbieter-Dienst (Google Analytics, Google Maps, YouTube, Facebook Pixel etc.) sollte die Datenschutzerklärung konkret enthalten: Name und Sitz des Anbieters, Zweck der Einbindung, Art der übertragenen Daten, Rechtsgrundlage sowie – bei Übermittlung in Drittländer wie die USA – Angaben zum Transfermechanismus (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln).

Verständlichkeit als eigenständige Anforderung

Neben der Vollständigkeit verlangt Art. 12 DSGVO zusätzlich, dass Informationen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache" formuliert werden. Eine Datenschutzerklärung, die zwar formal vollständig, aber nur in schwer verständlichem Juristendeutsch verfasst ist, kann daher trotz vollständiger Inhalte angreifbar sein. Eine klare Gliederung mit Zwischenüberschriften pro Dienst erleichtert sowohl Nutzern als auch Aufsichtsbehörden die Nachvollziehbarkeit erheblich.

Praxisbeispiel: Yoga-Studio „Atemraum"

Ein fiktives Yoga-Studio hatte seine Datenschutzerklärung bei der Website-Erstellung vor drei Jahren einmalig über einen kostenlosen Generator erstellt. Seitdem war ein Buchungssystem eines Drittanbieters sowie ein Newsletter-Tool hinzugekommen – beides fehlte in der Erklärung komplett. Nach einer vollständigen Bestandsaufnahme aller eingebundenen Dienste wurde die Erklärung um die entsprechenden Abschnitte ergänzt, inklusive der jeweiligen Rechtsgrundlagen und Speicherfristen. Aufwand: etwa zwei Stunden für die Bestandsaufnahme und Textergänzung.

Datenschutzerklärung und Kontaktformulare

Ein besonders häufig unvollständig behandelter Bereich betrifft Kontaktformulare: Neben der reinen Nennung des Zwecks („Bearbeitung Ihrer Anfrage") sollte die Datenschutzerklärung auch angeben, wie lange die übermittelten Daten gespeichert werden, ob sie an einen externen E-Mail- oder CRM-Anbieter weitergegeben werden, und auf welcher Rechtsgrundlage (meist Art. 6 Abs. 1 lit. f oder lit. b DSGVO) die Verarbeitung erfolgt. Gerade bei Einsatz externer Formular-Plugins oder Spam-Schutz-Dienste wird dieser zusätzliche Baustein leicht übersehen.

Checkliste: Eigene Datenschutzerklärung prüfen

  • ☐ Alle tatsächlich eingebundenen Dienste sind aufgeführt (nicht nur eine generische Auswahl)
  • ☐ Für jeden Dienst: Zweck, Rechtsgrundlage, übertragene Daten, Anbieter-Sitz
  • ☐ Betroffenenrechte vollständig aufgeführt (Auskunft, Löschung, Widerspruch usw.)
  • ☐ Beschwerderecht bei einer Aufsichtsbehörde erwähnt
  • ☐ Speicherdauer oder Kriterien dafür angegeben
  • ☐ Nach jeder Änderung an eingebundenen Diensten aktualisiert

Verhältnis zur Cookie-Richtlinie einzelner Anbieter

Manche Drittanbieter stellen eigene, ausführliche Datenschutzhinweise zu ihren Diensten bereit (z. B. Google, Meta). Diese ersetzen nicht die eigene Datenschutzerklärung der Website, sondern ergänzen sie – ein Verweis darauf ist sinnvoll und üblich, entbindet den Website-Betreiber aber nicht von der Pflicht, in der eigenen Erklärung zumindest die wesentlichen Eckpunkte des jeweiligen Dienstes selbst zu benennen, statt Nutzer ausschließlich auf externe Dokumente zu verweisen.

Wie oft sollte die Datenschutzerklärung aktualisiert werden?

Am sinnvollsten ist eine Aktualisierung immer dann, wenn sich an den eingebundenen Diensten oder Verarbeitungszwecken etwas ändert – nicht nur nach einem starren Kalenderintervall. Ergänzend empfiehlt sich dennoch eine jährliche Routineprüfung, um schleichende, unbemerkt gebliebene Änderungen (etwa durch ein CMS-Update, das automatisch ein neues Tracking-Skript aktiviert) aufzudecken.

Zusammenarbeit mit dem Datenschutzbeauftragten

Unternehmen, die einen betrieblichen oder externen Datenschutzbeauftragten bestellt haben, sollten Änderungen an eingebundenen Diensten routinemäßig auch diesem melden, damit die Datenschutzerklärung zeitnah entsprechend angepasst werden kann. In der Praxis bewährt sich ein fester Prozess: Jede Einführung eines neuen Tools oder Dienstes löst automatisch eine kurze Prüfung aus, ob die Datenschutzerklärung ergänzt werden muss – statt diese Prüfung dem Zufall zu überlassen.

Häufig gestellte Fragen

Reicht eine gekaufte Vorlage ohne individuelle Anpassung?

Nein, eine Vorlage muss immer an die konkret eingesetzten Dienste und Verarbeitungen der eigenen Website angepasst werden, um die Informationspflichten tatsächlich zu erfüllen.

Müssen auch kostenlose oder unauffällige Tools genannt werden?

Ja, die Informationspflicht gilt unabhängig davon, ob ein Dienst kostenpflichtig oder besonders auffällig ist – entscheidend ist, ob personenbezogene Daten verarbeitet werden.

Was passiert bei einer unvollständigen Datenschutzerklärung?

Neben aufsichtsbehördlichen Maßnahmen drohen wettbewerbsrechtliche Abmahnungen durch Mitbewerber oder Verbraucherschutzverbände, da fehlende Pflichtangaben als Wettbewerbsverstoß gewertet werden können.

Verantwortlichkeit bei eingebetteten Drittinhalten

Bindet eine Website Inhalte Dritter ein (z. B. Google Maps oder YouTube), stellt sich zusätzlich die Frage der Verantwortlichkeit: In bestimmten Konstellationen kann eine sogenannte gemeinsame Verantwortlichkeit nach Art. 26 DSGVO zwischen Website-Betreiber und Drittanbieter bestehen. Die Datenschutzerklärung sollte in solchen Fällen nicht nur den Drittanbieter benennen, sondern nach Möglichkeit auch klarstellen, in welchem Umfang eine gemeinsame Verantwortlichkeit besteht und wo weitere Informationen (z. B. die Datenschutzerklärung des Drittanbieters selbst) zu finden sind.

Datenschutzerklärung als Teil einer größeren Compliance-Routine

Am wirkungsvollsten lässt sich die Datenschutzerklärung pflegen, wenn ihre Aktualisierung fest in den Prozess für neue Tools und Funktionen eingebettet ist – nicht als separates, leicht zu vergessendes Nachgelagertes-Projekt, sondern als selbstverständlicher letzter Schritt jeder technischen Neuerung auf der Website.

Fazit

Eine vollständige Datenschutzerklärung ist kein einmaliges Textbaustein-Projekt, sondern muss die tatsächlich eingesetzten Dienste laufend widerspiegeln. Eine automatisierte Bestandsaufnahme der eingebundenen Dienste ist ein guter erster Schritt, um Lücken zu identifizieren, bevor sie rechtlich relevant werden.