Eine Datenschutzerklärung ist keine Formalie, sondern eine Beschreibung dessen, was auf der eigenen Website tatsächlich passiert. Genau daran scheitern die meisten: Sie werden aus einer Vorlage übernommen und beschreiben eine andere Website.
Diese Seite ordnet die Anforderungen ein. Sie ist keine Rechtsberatung; bei Shops, Newslettern oder besonderen Datenkategorien gehört die Erklärung geprüft.
Der Ansatz: erst die Liste, dann der Text
Der einzige verlässliche Weg führt über eine Liste der eingesetzten Dienste. Diese Liste wird beim Bau geführt, nicht danach rekonstruiert.
Je Eintrag gehören dazu: Name des Dienstes, Anbieter mit Sitz, welche Daten verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange gespeichert wird, ob ein Vertrag zur Auftragsverarbeitung besteht, und ob eine Übermittlung außerhalb der EU stattfindet.
Aus dieser Liste entsteht die Erklärung. Umgekehrt funktioniert es nicht.
Was hineingehört
1. Verantwortlicher. Name, Anschrift, Kontakt. Bei Pflicht zur Benennung zusätzlich der Datenschutzbeauftragte.
2. Server-Logdateien. Welche Daten der Browser übermittelt, zu welchem Zweck sie verarbeitet werden, auf welcher Rechtsgrundlage und wie lange sie gespeichert werden. Eine konkrete Frist nennen, üblich sind bis zu 30 Tage.
3. Hosting. Anbieter als Auftragsverarbeiter, Serverstandort, Verweis auf den bestehenden Vertrag. Bei Standort außerhalb der EU die Grundlage der Übermittlung. Siehe Serverstandort und DSGVO.
4. Verschlüsselung. Kurzer Hinweis, dass die Übertragung verschlüsselt erfolgt.
5. Cookies und ähnliche Techniken. Welche gesetzt werden, welche technisch notwendig sind, welche einwilligungspflichtig, und wie die Einwilligung widerrufen werden kann. Wenn nichts einwilligungspflichtig ist, gehört auch das hin. Siehe Cookie-Banner.
6. Kontaktaufnahme und Formulare. Welche Felder, Empfänger, Rechtsgrundlage, Löschfrist, und der eingesetzte Formulardienst als Auftragsverarbeiter.
7. Eingebundene Fremdinhalte. Schriften, Karten, Videos, Bewertungs-Widgets, Chat. Jeder Dienst, der beim Aufruf oder nach Einwilligung Daten überträgt, wird einzeln benannt.
8. Analyse und Reichweitenmessung. Werkzeug, Umfang der Erfassung, Rechtsgrundlage, Widerspruchsmöglichkeit.
9. Newsletter. Anmeldeverfahren, Bestätigungsverfahren, Protokollierung der Einwilligung, Abmeldemöglichkeit, eingesetzter Dienst.
10. Empfehlungslinks und Partnerprogramme. Der Punkt, der am häufigsten fehlt. Bei einem Klick auf einen solchen Link werden Daten an den Anbieter und gegebenenfalls an ein Partnernetzwerk übermittelt. Das gehört benannt, mit Rechtsgrundlage.
11. Betroffenenrechte. Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch, Widerruf einer Einwilligung, jeweils mit Verweis auf die Norm.
12. Beschwerderecht. Hinweis auf das Recht, sich bei einer Aufsichtsbehörde zu beschweren.
13. Stand. Datum der letzten Aktualisierung.
Die Punkte, die am häufigsten fehlen
Empfehlungslinks. Siehe oben. Bei jedem monetarisierten Portal relevant.
Der Formulardienst. Ein externer Dienst, der Formularmails versendet, ist Auftragsverarbeiter und gehört benannt.
Backups bei einem anderen Anbieter. Eine zusätzliche Verarbeitung an einem zusätzlichen Ort.
Ein CDN. Wird häufig als technisches Detail behandelt und ist eine Auftragsverarbeitung mit Übertragung von IP-Adressen.
Schriften von einem fremden Server. Der häufigste einzelne Fall. Am besten dadurch lösen, dass man Schriften lokal ausliefert, dann entfällt der Punkt. Siehe Google Fonts lokal.
Konkrete Speicherfristen. “So lange wie nötig” ist keine Frist. Für Logdaten, Formularanfragen und Newsletter-Daten gehören Angaben hinein.
Anforderungen an die Form
- Eigene Seite, getrennt vom Impressum
- Von jeder Seite erreichbar, üblicherweise im Fußbereich
- Ohne Einwilligung zugänglich. Nicht hinter einem Banner
- Als Text, nicht als PDF oder Bild
- Verständlich formuliert. Die Verordnung verlangt klare und einfache Sprache
- Gegliedert, mit Überschriften, damit einzelne Punkte auffindbar sind
Ablauf für ein neues Projekt
- Verantwortlichen und Kontaktangaben festlegen
- Während des Baus eine Liste jedes eingesetzten Dienstes führen
- Verträge zur Auftragsverarbeitung einsammeln, sobald ein Dienst dazukommt
- Prüfen, welche Dienste einwilligungspflichtig sind, und wo möglich ersetzen
- Erklärung aus der Liste erstellen, nicht aus einer Vorlage
- Bei Shop, Newsletter oder besonderen Datenkategorien prüfen lassen
- Vor dem Livegang gegen die tatsächliche Seite abgleichen
- Bei jeder Änderung an den Diensten aktualisieren, vor der Aktivierung
Schritt 4 ist der wirksamste: Jeder ersetzte einwilligungspflichtige Dienst verkürzt die Erklärung, erspart gegebenenfalls den Banner und verbessert gleichzeitig die Ladezeit.