Direkte Antwort

Die Datenschutzerklärung einer Website informiert nach Art. 13 DSGVO über alle Datenverarbeitungen auf der Seite. Sie muss alle eingebundenen Dienste (Google Analytics, Maps, Fonts, Calendly, Newsletter, Kontaktformulare etc.) einzeln auflisten, den Verantwortlichen nennen und Betroffenenrechte erklären. Aktualisierungs-Pflicht: Kommt eine neue Datenverarbeitung dazu, gehört sie in den Text.

Acht Pflichtangaben nach Art. 13 DSGVO

Diese acht Angaben gehören in die Datenschutzerklärung, sobald eine Website personenbezogene Daten verarbeitet:

  1. Verantwortlicher: Name, Anschrift, Kontakt (identisch zum Impressum, plus E-Mail).
  2. Datenschutz-Beauftragter: Falls ein DSB benannt ist – Name + Kontakt. Bei Kleinunternehmen meist nicht Pflicht.
  3. Zwecke der Verarbeitung: Warum werden Daten gesammelt (Kontaktanfrage, Newsletter, Analytics, etc.).
  4. Rechtsgrundlage: DSGVO Art. 6 Abs. 1 – meist a) Einwilligung, b) Vertragserfüllung, f) berechtigtes Interesse.
  5. Empfänger der Daten: Wer bekommt die Daten? Hosting-Provider, Newsletter-Tool, Analytics-Anbieter etc.
  6. Drittland-Übermittlungen: Werden Daten in USA oder andere Drittländer übermittelt (Google, Facebook)? Mit Hinweis auf EU-Standardvertragsklauseln.
  7. Speicherdauer: Wie lange werden Daten aufbewahrt? Bei Kontaktanfragen typisch 6 Monate, bei steuerrelevanten Daten 10 Jahre.
  8. Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit, Beschwerde bei Aufsichtsbehörde.

Welche Dienste die Datenschutzerklärung einer Website einzeln nennen muss

Für jede Integration, die Daten an Dritte gibt oder speichert, braucht es einen eigenen Abschnitt:

  • Hosting-Provider: Wer hostet die Site (IONOS, Strato, Raidboxes)? Welche Daten werden in Server-Logs gespeichert? Wie lange?
  • Cookies: Welche werden gesetzt? Welche sind essentiell, welche nicht? Speicherdauer?
  • Kontaktformular: Welche Daten werden erhoben? Wofür? Wie lange gespeichert?
  • Newsletter (wenn vorhanden): Double-Opt-In-Verfahren, Provider (MailPoet, Mailchimp, Brevo), Widerrufsrecht.
  • Google Fonts: Lokal eingebunden oder Google-CDN? Bei CDN: Drittland-Übermittlung an Google.
  • Google Maps: Bei Einbindung von Karten – Drittland-Übermittlung an Google.
  • Google Analytics: Nur mit Cookie-Consent. IP-Anonymisierung aktiviert?
  • Social Media Plugins: Facebook-, LinkedIn-, Instagram-Buttons. Bei „Share“-Buttons: Lösungen ohne automatischen Datenabfluss, etwa Shariff oder eine Zwei-Klick-Variante.
  • Calendly oder andere Terminbuchungs-Tools: Datenverarbeitung, Drittland-Übermittlung.
  • YouTube/Vimeo-Einbindungen: No-Cookie-Modus oder Two-Click-Lösung.

Wann die Datenschutzerklärung aktualisiert werden muss

Die Datenschutzerklärung einer Website ist kein einmal-erstellen-und-vergessen-Dokument. Bei jeder Änderung, die neue Daten ins Spiel bringt, muss sie angepasst werden:

  • Neues Plugin installiert → Datenschutz-Erklärung erweitern
  • Tracking-Tool gewechselt → Anpassen
  • Newsletter-Provider gewechselt → Anpassen
  • Hosting-Wechsel → Server-Standort-Hinweis anpassen

Best Practice: bei jedem Plugin-Install gleich Datenschutz-Erklärung ergänzen, bevor das Plugin live geht. Mindest-Review: jährlich. Genau daran scheitert es in der Praxis meistens – deshalb ist das Aktualisieren der Rechtstexte fester Bestandteil der Website-Betreuung.

Häufige Fragen zur Datenschutzerklärung

Reicht ein Datenschutz-Generator?

Als Startpunkt ja – e-recht24, datenschutz.org und anwaltsregister bieten solche Generatoren an. Aber: Sie müssen die generierten Abschnitte zu Ihren tatsächlichen Datenverarbeitungen kürzen. Wer eine Datenschutz-Erklärung kopiert, die Google-Analytics-Hinweise enthält, obwohl Analytics nicht eingesetzt wird, hat keine korrekte Erklärung.

Generator oder Anwalt?

Generator-Lösungen sind günstig bis kostenlos. Eine anwaltliche Erstellung mit Audit ist einmalig deutlich teurer. Bei komplexen Online-Shops oder spezialisierten Dienstleistungen lohnt sich anwaltliche Beratung.

Reicht eine pauschale Datenschutz-Erklärung für alle Sub-Pages?

Eine zentrale Datenschutz-Erklärung-Page reicht. Sie muss aber von jeder anderen Page aus erreichbar sein (Footer-Link). Nicht jede Page braucht eigene Datenschutz-Hinweise.

Was passiert bei Verstoß?

Bei Datenpannen oder Verstößen gegen die DSGVO drohen Bußgelder von bis zu 4 % des weltweiten Jahresumsatzes – das ist der gesetzliche Rahmen für Großunternehmen. Für Mittelstandsbetriebe fallen die tatsächlich verhängten Strafen deutlich niedriger aus. Dazu kommen die Kosten bei Wettbewerber-Abmahnungen.

DSGVO-Check Ihrer aktuellen Site?

Im Erstgespräch prüfe ich auch die Datenschutz-Erklärung – meist sind 2-3 schnelle Anpassungen das Wichtigste.

Erstgespräch buchen

Verwandte Themen

Was gehört ins Impressum?→ Brauche ich einen Cookie-Banner?→ Google Fonts rechtssicher einbinden→ Pillar: DSGVO + Rechtliches→

Verfasst von David Rupa, Inhaber von Bergstraße Digital. Diese Inhalte sind eine praktische Übersicht und ersetzen keine Rechtsberatung.