Datenschutzerklärung: Diese Punkte müssen Sie nennen

Die Datenschutzerklärung muss nach Art. 13 und 14 DSGVO über Verantwortlichen, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer, Betroffenenrechte und die Beschwerdemöglichkeit informieren – in klarer, verständlicher Sprache. Entscheidend ist nicht die Vollständigkeit einer Vorlage, sondern die Übereinstimmung mit dem, was auf der Website tatsächlich passiert. Eine Erklärung, die keinen Analysedienst nennt, obwohl einer läuft, ist nicht unvollständig, sondern falsch.

##Welche Angaben sind zwingend?

• ›Name und Kontaktdaten des Verantwortlichen
• ›Kontaktdaten des Datenschutzbeauftragten, falls benannt
• ›Zwecke und Rechtsgrundlagen jeder Verarbeitung
• ›Empfänger oder Kategorien von Empfängern
• ›Speicherdauer oder deren Kriterien
• ›Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch
• ›Beschwerderecht bei einer Aufsichtsbehörde

##Warum ist eine Vorlage selten ausreichend?

Weil sie Dienste auflistet, die das Unternehmen möglicherweise nicht einsetzt, und diejenigen auslässt, die es tatsächlich nutzt. Eine übernommene Erklärung nennt häufig Analysewerkzeuge, Schriftdienste und Zahlungsanbieter, die seit Jahren nicht mehr im Einsatz sind – und übersieht das Buchungswerkzeug, das der Vertrieb eigenständig eingeführt hat. Diese Abweichung ist im Streitfall der ausschlaggebende Punkt.

##Wie kommt man zu einer passenden Erklärung?

Indem man von den tatsächlichen Datenflüssen ausgeht. Öffnen Sie die Website mit einem leeren Browserprofil und notieren Sie jede Verbindung, die aufgebaut wird – vor und nach einer Einwilligung. Ergänzen Sie alles, was nicht auf der Website sichtbar ist: Hosting, E-Mail-Versand, Rechnungsstellung, Buchhaltung, Bewerberverwaltung. Diese Liste ist die Grundlage der Erklärung, nicht umgekehrt.

##Wie lang sollte die Erklärung sein?

So lang wie nötig, um die Verarbeitungen vollständig zu beschreiben – in der Regel zwei bis fünf Abschnitte mehr, als eine Vorlage enthält. Kürze ist kein Qualitätsmerkmal, wenn dadurch Zwecke oder Empfänger fehlen. Entscheidend ist nicht die Länge, sondern die Auffindbarkeit: Jeder Abschnitt sollte eine Überschrift tragen, die den Inhalt benennt, damit Nutzer den relevanten Teil finden, ohne den gesamten Text zu lesen.

##Was gehört zu den Rechtsgrundlagen?

Zu jeder Verarbeitung die konkrete Grundlage nach Art. 6 Abs. 1 DSGVO – Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, berechtigtes Interesse. Der bloße Verweis auf die DSGVO genügt nicht, und ein pauschales berechtigtes Interesse für alles ist ebenfalls zu unbestimmt. Wo die Grundlage das berechtigte Interesse ist, gehört eine kurze Angabe dazu, worin es besteht – sonst lässt sich der anschließende Widerspruch nicht prüfen.

##Wie hält man die Erklärung aktuell?

Indem man jede Änderung an der Website zum Anlass nimmt, sie zu prüfen – ein neuer Analysedienst, ein neues Kontaktformular, ein neuer Zahlungsanbieter, ein neues Buchungswerkzeug. Legen Sie die Prüfung als Teil der Freigabe fest, nicht als jährliche Aufgabe: Was einmal im Jahr geprüft wird, ist nach dem nächsten Werkzeugwechsel veraltet. Ein Änderungsdatum am Ende der Erklärung hilft bei der Prüfung, ersetzt sie aber nicht.

##Welche Fehler kehren am häufigsten wieder?

Die Erklärung ist nicht von jeder Seite aus erreichbar, sondern nur von der Startseite. Es fehlen Angaben zu Fristen, oder es steht dort „Daten werden nur so lange gespeichert, wie es erforderlich ist", was die Frist nicht nennt. Der Abschnitt zu Cookies verweist auf das Banner, statt die Verarbeitungen selbst zu beschreiben. Und es fehlt das Beschwerderecht samt zuständiger Aufsichtsbehörde. Jeder dieser Punkte ist in wenigen Minuten behoben.

##Beschreiben statt übernehmen

Nehmen Sie die Verbindungsliste, die Sie im leeren Browserprofil erhalten, und gleichen Sie sie Abschnitt für Abschnitt mit der bestehenden Erklärung ab. Die Stellen, an denen Sie keinen passenden Abschnitt finden, sind die offenen Punkte – meist zwei oder drei. Ergänzen Sie sie im Wortlaut Ihrer eigenen Verarbeitung und verlinken Sie die Erklärung von jeder Seite aus im Fußbereich. Das ist der ganze Aufwand einer datenschutzkonformen Erklärung.