Was ist eine Datenschutzerklärung?
Die Datenschutzerklärung beantwortet die Frage, die jeder Besucher deiner Website stellen darf: Was macht ihr eigentlich mit meinen Daten?
Das Wort selbst steht nicht im Gesetz. Gemeint ist die Information nach Art. 13 und 14 der DSGVO. Die musst du geben, sobald du personenbezogene Daten verarbeitest. Bei einer Website ist das praktisch immer der Fall: Server-Logs mit IP-Adressen, Kontaktformular, Newsletter, Analyse-Tools, eingebettete Videos.
Die deutschen Datenschutzbehörden nennen die Informationspflichten die Basis für alle anderen Rechte. Nur wer weiß, dass Daten über ihn verarbeitet werden, kann Auskunft verlangen oder widersprechen.
Was muss in eine Datenschutzerklärung?
Art. 13 DSGVO verlangt bei Daten, die du direkt erhebst, zwölf Angaben — sechs in Absatz 1, sechs in Absatz 2:
- Wer: Name und Kontakt des Verantwortlichen, ggf. des Datenschutzbeauftragten.
- Wozu und warum: Zwecke und Rechtsgrundlage, bei berechtigtem Interesse auch welches.
- An wen: Empfänger der Daten — etwa Hoster, Newsletter-Tool, Google — und ob sie in ein Drittland gehen.
- Wie lange: Speicherdauer oder die Kriterien dafür.
- Welche Rechte: Auskunft, Löschung, Widerspruch, Widerruf einer Einwilligung, Beschwerde bei der Aufsicht.
- Was sonst: ob die Angabe Pflicht ist und ob automatisiert entschieden oder Profiling betrieben wird.
Wie das klingen muss, sagt Art. 12: präzise, transparent, verständlich und leicht zugänglich, in klarer und einfacher Sprache. Die europäischen Datenschutzbehörden werden in ihren Leitlinien deutlich: Wörter wie „kann“, „einige“ oder „möglicherweise“ haben in einer Datenschutzerklärung nichts zu suchen.
Wo muss die Datenschutzerklärung stehen?
Laut den Leitlinien der europäischen Behörden gehört auf jede Seite ein direkter, gut sichtbarer Link — unter einem Begriff, den jeder versteht, etwa „Datenschutz“. In Apps soll die Erklärung nie mehr als zwei Fingertipps entfernt sein.
Für lange Erklärungen empfehlen die Behörden eine gestaffelte Form: oben das Wichtigste — wer, wozu, welche Rechte und was Besucher überraschen könnte —, darunter die Details. Vollständig an einer Stelle abrufbar muss sie trotzdem sein.
Was passiert bei Fehlern? Zwei echte Fälle
Verstöße gegen die Informationspflichten fallen in die obere Bußgeldstufe der DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Das ist eine Obergrenze, kein typischer Betrag für kleine Firmen. Wie ernst die Behörden das Thema nehmen, zeigen aber zwei große Fälle:
Fall A · Streaming
Netflix, Niederlande 2024
4,75 Mio. €
Bußgeld
4
unklare Pflichtangaben
Unklar waren Zwecke, Empfänger, Speicherdauer und Drittländer
Verhängt von der niederländischen Datenschutzbehörde, ausgelöst durch Beschwerden der Datenschutz-Organisation noyb.
Fall B · Social Media
TikTok, Irland 2025
45 Mio. €
nur für Transparenz
6
Monate Frist zur Abhilfe
Die Erklärung nannte die Drittländer nicht — auch nicht den Zugriff aus China
Teil eines Bußgelds von 530 Mio. € der irischen Datenschutzbehörde. Die neuere Fassung der Erklärung hielt die Behörde für in Ordnung.
Für kleine Firmen ist eher die Abmahnung das Risiko. Der Bundesgerichtshof hat 2025 entschieden, dass Verbraucherverbände fehlende Datenschutz-Informationen auch ohne Auftrag eines Betroffenen einklagen dürfen (I ZR 186/17, Meta).
Häufige Fehler
Fehler 1 · Schwammig statt konkret
„Wir können Ihre Daten zur Verbesserung unserer Dienste nutzen.“ Das sagt nichts. Bei Netflix waren genau solche unklaren Zwecke ein Kern des Bußgelds.
Fehler 2 · Einmal schreiben, nie aktualisieren
Neues Newsletter-Tool, neues Tracking, neuer Chat auf der Website — und die Erklärung bleibt von 2019. Jedes neue Tool, das Daten bekommt, gehört rein.
Fehler 3 · Datenschutzerklärung mit Einwilligung verwechseln
Die Erklärung informiert nur. Sie erlaubt dir nichts. Für Cookies und Tracking brauchst du nach § 25 TDDDG trotzdem eine Einwilligung — dafür ist das Cookie-Banner da.
Fehler 4 · Link nur auf der Startseite
Wer über eine Landingpage aus einer Anzeige kommt, sieht deine Startseite nie. Der Link gehört in den Footer jeder Seite.
So kommst du zu einer guten Datenschutzerklärung
- Tools auflisten: Schreib erst auf, was auf deiner Website läuft — Hosting, Formular, Newsletter, Analyse, Schriften, Videos, Chat.
- Generator nutzen: Der Datenschutz-Generator von Rechtsanwalt Thomas Schwenke ist für kleine Unternehmen bis 5.000 € Jahresumsatz kostenlos, eRecht24 hat ebenfalls einen kostenlosen Generator.
- Mit AVV abgleichen: Jeder Dienstleister mit Auftragsverarbeitungsvertrag ist ein Empfänger und gehört in die Erklärung.
- Nach jeder Änderung prüfen: Neues Tool eingebaut? Erklärung anpassen.
Häufige Fragen
Brauche ich als Solopreneur eine Datenschutzerklärung?
Ja, sobald deine Website personenbezogene Daten verarbeitet — und das tut praktisch jede, schon über die IP-Adressen im Server-Log. Die DSGVO kennt keine Ausnahme nach Unternehmensgröße für die Informationspflicht.
Reicht ein kostenloser Generator?
Für die meisten kleinen Websites ja, wenn du alle Tools vollständig angibst und die Erklärung bei Änderungen aktualisierst. Bei ungewöhnlichen Verarbeitungen, etwa eigenen Apps oder Datenhandel, lohnt eine Prüfung durch Fachleute.
Was ist der Unterschied zum Impressum?
Das Impressum sagt, wer hinter der Website steht. Die Datenschutzerklärung sagt, was mit den Daten der Besucher passiert. Beides sind Pflichten, beide brauchen einen eigenen, gut sichtbaren Link.
Ersetzt das Cookie-Banner die Datenschutzerklärung?
Nein. Das Banner holt die Einwilligung für Cookies und Tracking ein. Die Datenschutzerklärung informiert über alle Verarbeitungen, auch die ohne Einwilligung. Du brauchst beides.
Lesen Besucher das überhaupt?
Selten. In einer Umfrage von Pew Research in den USA (2023) sagten 56 %, sie klicken häufig auf „Zustimmen“, ohne die Erklärung zu lesen. Gelesen wird sie von Behörden, Verbänden und Abmahnern — schreib sie für die.
