Wer eine Datenschutzerklärung erstellen will, kopiert oft zuerst den Text einer anderen Website und hofft, dass er schon passt. Das Problem: Dieser Text beschreibt deren Hosting, deren Formulare und deren Analyse-Tools, nicht Ihre.
Dieser Leitfaden zeigt Ihnen, wie Sie in vier Schritten zu einer Erklärung kommen, die zu Ihrer Website passt. Er richtet sich an kleine Unternehmen in Österreich und Deutschland und ersetzt keine Rechtsberatung, hilft Ihnen aber, die richtigen Fragen zu stellen.
Inhaltsverzeichnis
Warum jede Unternehmenswebsite eine braucht
Fast jede Website verarbeitet personenbezogene Daten, auch wenn Sie selbst nichts sammeln. Schon beim Aufruf überträgt der Browser die IP-Adresse an Ihren Server. Kommen ein Kontaktformular, ein Newsletter oder eine eingebettete Karte dazu, wächst die Liste schnell.
Die Datenschutz-Grundverordnung (DSGVO) verlangt in Artikel 13, dass Sie Betroffene bei der Erhebung ihrer Daten informieren. Auf einer Website geschieht das in der Datenschutzerklärung. Sie gilt in Österreich und Deutschland gleichermaßen, weil die DSGVO eine EU-Verordnung ist.
Die Datenschutzerklärung ist nicht dasselbe wie das Impressum. Das Impressum sagt, wer hinter der Website steht. Wie Sie es aufbauen, lesen Sie in Impressum erstellen.
Diese Angaben gehören hinein
Artikel 13 DSGVO nennt die Informationen, die Sie geben müssen. In verständlicher Form sind das vor allem:
| Angabe | Was das konkret heißt |
|---|---|
| Verantwortlicher | Name und Kontaktdaten Ihres Unternehmens, ggf. Datenschutzbeauftragte |
| Zweck und Rechtsgrundlage | Wofür Sie Daten nutzen und auf welcher Grundlage, etwa Vertrag oder Einwilligung |
| Empfänger | Wer Daten erhält, zum Beispiel Hosting, Newsletter-Tool, Zahlungsanbieter |
| Drittländer | Ob Daten außerhalb der EU landen, etwa bei US-Diensten |
| Speicherdauer | Wie lange Sie Daten aufbewahren oder nach welchen Kriterien |
| Rechte | Auskunft, Berichtigung, Löschung, Widerspruch, Widerruf der Einwilligung |
| Beschwerderecht | Hinweis auf die Aufsichtsbehörde, in Österreich die Datenschutzbehörde |
Schreiben Sie diese Punkte für jeden Dienst einzeln oder in klaren Abschnitten. Ein langer Block ohne Zwischenüberschriften erfüllt die Pflicht vielleicht formal, hilft aber niemandem beim Lesen.
Datenschutzerklärung erstellen in vier Schritten
Die eigentliche Arbeit ist nicht das Formulieren, sondern das Erfassen. So gehen Sie vor:
1. Inventur: Was läuft auf Ihrer Website?
Listen Sie alles auf, was Daten verarbeitet: Hosting, Kontaktformular, Cookie-Banner, Analyse-Tool, Newsletter, Online-Shop, Buchungssystem, Videos, Karten, Schriften von externen Servern. Fragen Sie Ihre Webagentur oder schauen Sie in die Liste der aktiven Plugins.
Ein Beispiel für einen versteckten Dienst sind eingebettete Karten. Wie Sie die datenschutzfreundlich einbinden, zeigt Google Maps einbinden.
2. Grundtext mit einem Generator oder Muster
Seriöse Generatoren von Anwaltskanzleien oder Interessenvertretungen fragen Ihre Dienste ab und erzeugen passende Textbausteine. Achten Sie darauf, dass der Generator österreichisches bzw. deutsches Recht berücksichtigt und regelmäßig aktualisiert wird.
Mit einem Generator eine Datenschutzerklärung erstellen geht schnell. Das Ergebnis ist aber nur so gut wie Ihre Antworten: Wer im Fragebogen den Newsletter vergisst, bekommt auch keinen Abschnitt dafür.
3. Text an Ihre Inventur anpassen
Streichen Sie Bausteine für Dienste, die Sie gar nicht nutzen, und ergänzen Sie fehlende. Nutzen Sie etwa Google Analytics 4, gehört ein eigener Abschnitt zu Einwilligung, Datenübermittlung in die USA und Speicherdauer hinein.
4. Gut sichtbar verlinken
Verlinken Sie die Erklärung von jeder Seite aus, üblicherweise im Fußbereich neben dem Impressum. Zusätzlich gehört ein kurzer Hinweis mit Link direkt unter jedes Formular.
Beispiel: Die Website eines Konzertcafés
Ein fiktives Beispiel: Ein kleines Konzertcafé in Wien hat eine WordPress-Website mit Tischreservierung, Newsletter, einem eingebetteten Video und Google Maps. Die Inventur ergibt diese Dienste:
- Hosting bei einem österreichischen Anbieter (Server-Logfiles),
- Reservierungsformular (Name, Telefonnummer, Personenzahl),
- Newsletter-Tool mit Double-Opt-in,
- Cookie-Banner, das Einwilligungen speichert,
- eingebettetes Video und Karte, beide erst nach Einwilligung geladen.
Der fertige Text hat einen Abschnitt pro Dienst. Der kopierte Mustertext von früher erwähnte dagegen einen Online-Shop, den es nie gab, und ließ den Newsletter ganz weg.
Aktuell halten: der Halbjahres-Check
Eine Datenschutzerklärung ist nie fertig. Jedes neue Plugin, jedes neue Tool und jeder Anbieterwechsel kann eine Änderung auslösen. Planen Sie deshalb einen festen Termin, etwa zweimal im Jahr:
- Plugin- und Tool-Liste mit der Erklärung abgleichen,
- neue Dienste ergänzen, entfernte streichen,
- Cookie-Banner prüfen: Stimmen die Dienste dort mit der Erklärung überein?
- Stand-Datum am Ende der Erklärung aktualisieren.
Bei sensiblen Daten, etwa Gesundheitsdaten in einer Praxis, oder bei einem großen Online-Shop lohnt sich eine Prüfung durch eine Anwältin oder einen Anwalt. Für die meisten kleinen Websites reicht ein sauber gepflegter Generator-Text mit Ihrer Inventur.
Checkliste zum Abschluss
- Alle Dienste der Website erfasst und beschrieben,
- Verantwortlicher mit Kontaktdaten genannt,
- Rechte der Betroffenen und Beschwerderecht erklärt,
- Link im Fußbereich jeder Seite und unter jedem Formular,
- nächster Prüftermin im Kalender eingetragen.
Sie planen eine neue Website oder einen Relaunch? Unser Team für Webseiten baut von Anfang an so, dass Datenschutzerklärung, Cookie-Banner und eingebundene Dienste zusammenpassen.