Die Datenschutzerklärung ist das Herzstück jeder DSGVO-konformen Website – und gleichzeitig eine der häufigsten Fehlerquellen bei Abmahnungen. Viele Website-Betreiber verwenden veraltete Textbausteine, übersehen wichtige Dienste oder formulieren zu ungenau. In diesem Artikel erfahren Sie, worauf Sie beim Prüfen Ihrer Datenschutzerklärung konkret achten müssen und welche Fallstricke besonders teuer werden können.
Die Datenschutz-Grundverordnung verlangt nicht nur das Vorhandensein einer Datenschutzerklärung, sondern auch deren Vollständigkeit und Aktualität. Jede Änderung an Ihrer Website – sei es die Einbindung eines neuen Analyse-Tools, ein zusätzliches Kontaktformular oder die Nutzung weiterer Cookies – erfordert eine Anpassung der Datenschutzerklärung.
Die Konsequenzen mangelhafter Datenschutzerklärungen sind erheblich: Abmahnungen durch Wettbewerber können schnell mehrere Tausend Euro kosten, Bußgelder durch Aufsichtsbehörden erreichen je nach Unternehmensgröße sechsstellige Beträge. Zudem verlieren Besucher das Vertrauen in Ihre Website, wenn offensichtlich wird, dass der Datenschutz nicht ernst genommen wird.
Beim Prüfen Ihrer Datenschutzerklärung sollten Sie zunächst sicherstellen, dass alle gesetzlich vorgeschriebenen Informationen enthalten sind. Die DSGVO nennt in Art. 13 und 14 konkrete Mindestanforderungen:
Die Datenschutzerklärung muss eindeutig benennen, wer für die Datenverarbeitung verantwortlich ist. Bei Einzelunternehmen ist das die natürliche Person, bei Gesellschaften die Firma mit vertretungsberechtigter Person. Eine vollständige Postadresse und eine E-Mail-Adresse sind Pflicht – ein Kontaktformular allein reicht nicht aus.
Sobald Sie gesetzlich zur Benennung eines Datenschutzbeauftragten verpflichtet sind, müssen dessen Kontaktdaten in der Datenschutzerklärung erscheinen. Dies betrifft Unternehmen, die in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.
Für jede einzelne Datenverarbeitung müssen Sie den konkreten Zweck benennen und die Rechtsgrundlage angeben. Pauschale Formulierungen wie "zur Verbesserung unserer Dienste" sind unzureichend. Die Rechtsgrundlage muss eine der in Art. 6 DSGVO genannten sein: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigtes Interesse.
Ein kritischer Prüfpunkt ist die vollständige Auflistung aller Dienste und Tools, die auf Ihrer Website personenbezogene Daten verarbeiten. Häufig übersehen werden:
Wenn Sie einen umfassenden DSGVO Check Ihrer Website durchführen, werden solche versteckten Datenflüsse systematisch aufgedeckt.
Die Datenschutzerklärung muss von jeder Unterseite Ihrer Website aus mit maximal zwei Klicks erreichbar sein. Üblich ist eine Verlinkung im Footer. Der Link sollte eindeutig als "Datenschutzerklärung" oder "Datenschutz" bezeichnet werden – kreative Umschreibungen sind problematisch.
Die DSGVO verlangt eine "präzise, transparente, verständliche und leicht zugängliche Form in einer klaren und einfachen Sprache". Juristische Fachbegriffe sollten Sie erklären, verschachtelte Sätze vermeiden. Ein Websitebesucher ohne juristische Vorbildung muss verstehen können, was mit seinen Daten geschieht.
Prüfen Sie, ob Ihre Datenschutzerklärung auf Mobilgeräten gut lesbar ist. Zu kleine Schriftgrößen oder nicht responsive Darstellungen können als Verstoß gegen das Transparenzgebot gewertet werden.
Bei E-Commerce-Websites müssen Sie besonders auf die Verarbeitung von Zahlungsdaten, Bestellhistorien und eventuelle Bonitätsprüfungen eingehen. Die Weitergabe von Daten an Versanddienstleister und Fulfillment-Partner erfordert detaillierte Angaben einschließlich der Empfängerkategorien.
Wenn Sie Newsletter versenden, müssen die Datenschutzerklärung und das Anmeldeformular präzise beschreiben, welche Daten erhoben werden, ob Sie das Double-Opt-in-Verfahren nutzen und wie Empfänger der Nutzung widersprechen können. Die Protokollierung der Anmeldung zu Nachweiszwecken gehört ebenfalls in die Datenschutzerklärung.
Bei Mitgliederbereichen oder Community-Plattformen müssen Sie ausführlich auf die Verarbeitung von Stammdaten, Profilinformationen und Nutzungsverhalten eingehen. Die Möglichkeiten zur Profilbearbeitung und -löschung sind klar zu kommunizieren.
Ein häufig unvollständiger Bereich beim Prüfen von Datenschutzerklärungen sind die Betroffenenrechte. Vollständig müssen Sie über folgende Rechte informieren:
Sie sollten auch konkret angeben, wie Betroffene diese Rechte ausüben können – idealerweise mit einer spezifischen Kontaktmöglichkeit für Datenschutzanfragen.
Besondere Sorgfalt erfordert die Darstellung von Datenübermittlungen in Drittländer außerhalb der EU/EWR. Seit dem "Schrems II"-Urteil des EuGH sind die Anforderungen deutlich gestiegen. Sie müssen angeben:
Besonders bei US-amerikanischen Diensten wie Google Analytics oder Facebook-Pixel ist höchste Vorsicht geboten. Viele Aufsichtsbehörden sehen deren Nutzung ohne zusätzliche Schutzmaßnahmen kritisch.
Falls Sie automatisierte Entscheidungen treffen oder Profiling betreiben – etwa durch personalisierte Produktempfehlungen, dynamische Preisgestaltung oder Algorithmen zur Bonitätsbewertung – müssen Sie dies transparent machen. Die Datenschutzerklärung muss aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und angestrebten Auswirkungen enthalten.
Allgemeine Formulierungen wie "solange erforderlich" reichen nicht aus. Sie müssen konkrete Speicherfristen oder zumindest die Kriterien zu deren Festlegung nennen. Typische Fristen sind:
Neben der manuellen Prüfung können Sie verschiedene Tools nutzen, um Schwachstellen zu identifizieren. Automatisierte Scanner analysieren Ihre Website auf eingesetzte Dienste und gleichen diese mit Ihrer Datenschutzerklärung ab. Ein umfassender Website DSGVO Check deckt systematisch Lücken auf.
Allerdings ersetzen solche Tools nicht die rechtliche Bewertung durch einen Fachmann. Sie liefern wichtige Hinweise, die abschließende Beurteilung sollte aber ein Datenschutzbeauftragter oder spezialisierter Rechtsanwalt vornehmen.
Aus der Praxis lassen sich typische Fehlerquellen identifizieren, die Sie beim Prüfen Ihrer Datenschutzerklärung besonders beachten sollten:
Die Prüfung der Datenschutzerklärung ist ein wichtiger Baustein, sollte aber nicht isoliert erfolgen. Nur im Zusammenspiel mit anderen Elementen erreichen Sie echte DSGVO-Konformität. Wenn Sie die Datenschutz-Konformität Ihrer gesamten Website prüfen, sollten Sie auch Cookie-Banner, Verarbeitungsverzeichnisse, Auftragsverarbeitungsverträge und technische Sicherheitsmaßnahmen einbeziehen.
Die DSGVO verlangt nicht nur die Einhaltung der Vorgaben, sondern auch deren Nachweis (Rechenschaftspflicht). Dokumentieren Sie daher Ihre regelmäßigen Prüfungen:
Diese Dokumentation zeigt im Streitfall, dass Sie den Datenschutz ernst nehmen und proaktiv überwachen.
Das Prüfen Ihrer Datenschutzerklärung ist keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess. Mindestens alle sechs Monate sowie nach jeder wesentlichen Änderung an Ihrer Website sollten Sie eine vollständige Überprüfung durchführen. Nur so stellen Sie sicher, dass Ihre Datenschutzerklärung aktuell, vollständig und rechtssicher bleibt. Die Investition in eine professionelle Prüfung ist minimal verglichen mit den Kosten einer Abmahnung oder eines Bußgeldes – ganz zu schweigen vom Reputationsschaden bei Ihren Kunden.