Beschreibt Ihre Datenschutzerklärung, was Sie wirklich tun?

Eine Datenschutzerklärung ist nur etwas wert, wenn sie stimmt. Eine schicke Vorlage, die Auftragsverarbeiter (Dienstleister, die Daten für Sie verarbeiten) nennt, die Sie gar nicht nutzen, oder Ihre echten Analysetools verschweigt, ist reine Show – und unter der europäischen DSGVO auch ein rechtliches Risiko, denn das Gesetz erwartet, dass das Dokument zur Realität passt. Das Ziel: eine ehrliche Beschreibung in klarer Sprache, was Ihre Website wirklich mit den Daten der Leute macht.

Sorgen Sie dafür, dass sie stimmt

Gehen Sie Ihre eigene Website durch, notieren Sie, was wirklich passiert – und lassen Sie die Erklärung genau das wiedergeben. Eine einzige feste Checkliste gibt es nicht, aber meist gehört dazu:

• Wer Sie sind – Name und Kontaktdaten des Verantwortlichen.
• Was Sie wirklich erheben – die konkreten Formularfelder, Analyse-Kennungen, Cookies und Protokolldaten Ihrer Website, keine Standardliste.
• Warum, und auf welcher Rechtsgrundlage – Einwilligung, Vertrag oder berechtigtes Interesse.
• An wen Sie weitergeben – Hosting-, E-Mail- und Analyseanbieter, dazu die gern vergessenen: CDNs, CAPTCHA- und Anti-Spam-Dienste, Zahlungsanbieter und eingebettete Dritte wie Karten, Schriften oder Videos. Nennen Sie sie beim Namen oder in Empfängerkategorien. Manche arbeiten als Ihre Auftragsverarbeiter, andere können eigenständige oder gemeinsam Verantwortliche sein – stempeln Sie also nicht alle als „Auftragsverarbeiter“ ab.
• Wie lange Sie jede Datenart aufbewahren – echte Fristen, oder die Kriterien, nach denen Sie entscheiden, wenn sich keine genaue Frist nennen lässt. Ein bloßes „so lange wie nötig“ reicht nicht.
• Wie Nutzer ihre Rechte ausüben – Auskunft, Berichtigung, Löschung, Widerspruch – und auf welchem Weg.
• Internationale Übermittlungen, falls Daten die EU bzw. den EWR verlassen.

Kommt ein Tool dazu oder fällt eines weg? Dann aktualisieren Sie die Erklärung. Eine Erklärung, die Ihrer Technik hinterherhinkt, ist wieder Fiktion.

Cookies und Einwilligung

Nach den europäischen ePrivacy-Regeln und den nationalen Cookie-Vorschriften gilt: Bevor nicht notwendige Daten gespeichert oder ausgelesen werden, ist meist eine Einwilligung nötig – das trifft Werbe-, Analyse- und Personalisierungs-Tracker ebenso wie ähnliche Techniken, etwa localStorage oder Fingerprinting. Unbedingt nötige Cookies (Sitzung, Sicherheit) brauchen meist keine. Was genau gilt, hängt von der Technik und vom anwendbaren nationalen Recht ab – prüfen Sie es. Und beachten Sie: Die DSGVO regelt die anschließende Verarbeitung personenbezogener Daten noch einmal gesondert. Wo eine Einwilligung nötig ist, muss Ihr Banner die Wahl auch wirklich durchsetzen – nicht nur beschreiben.

Fazit: Eine Datenschutzerklärung muss beschreiben, was Sie wirklich tun – echte Daten, echte Auftragsverarbeiter, echte Fristen, echte Rechte – in klarer Sprache, und nicht notwendige Cookies erst nach echter Einwilligung.

Was zu tun ist

1. Prüfen Sie zuerst, was Ihre Website wirklich erhebt und weitergibt – jedes Formular, jedes Skript, jedes Cookie, jeden Dienstleister –, bevor Sie ein Wort schreiben.
2. Passen Sie eine seriöse Vorlage an genau diese Befunde an – in klarer Sprache, mit den Punkten oben.
3. Nennen Sie echte Aufbewahrungsfristen (oder Ihre Entscheidungskriterien) und die tatsächlichen Empfänger, an die Sie Daten weitergeben – und lassen Sie keine Platzhalter stehen.
4. Wo Einwilligung nötig ist, setzen Sie ein echtes Banner ein, das nicht notwendige Skripte blockiert, bis der Nutzer zustimmt – Ablehnen so einfach wie Zustimmen.
5. Machen Sie die Erklärung leicht auffindbar – ein Link in der Fußzeile auf jeder Seite und überall dort, wo Sie personenbezogene Daten erheben (Formulare, Anmeldungen) – und datieren Sie sie.
6. Gehen Sie sie durch, sobald sich Ihre Datenflüsse ändern – damit die Erklärung nie lügt.