Brauche ich eine Datenschutzerklärung für meine Website?

Vorweg in aller Deutlichkeit: Wir bauen Websites, wir sind keine Rechtsanwälte. Dieser Text erklärt, welche Pflicht woraus folgt und wie wir bei unseren Projekten vorgehen. Er ist keine Rechtsberatung. Die konkrete Ausgestaltung Ihrer Erklärung — vor allem in Praxen, bei Fotos von Kunden oder bei Diensten außerhalb Europas — gehört vor die Augen eines Anwalts oder Ihres Datenschutzbeauftragten.

Warum schon eine reine Visitenkarten-Seite betroffen ist

Art. 13 DSGVO verpflichtet den Verantwortlichen, betroffene Personen zum Zeitpunkt der Datenerhebung unter anderem über Name und Kontaktdaten des Verantwortlichen, Zwecke und Rechtsgrundlage der Verarbeitung, Empfänger, Speicherdauer und die eigenen Rechte zu informieren. Personenbezogene Daten fallen dabei früher an, als die meisten denken: Jeder Seitenaufruf hinterlässt beim Server einen Eintrag mit IP-Adresse, Zeitpunkt, Browserkennung und aufgerufener Adresse. Ohne diesen Vorgang funktioniert kein Webserver.

Wie diese Information aussehen muss, steht in Art. 12 Abs. 1 DSGVO: in präziser, transparenter, verständlicher und leicht zugänglicher Form, in klarer und einfacher Sprache. „Leicht zugänglich“ ist der Grund, warum die Erklärung praktisch überall im Fußbereich verlinkt wird — erreichbar von jeder Unterseite, ohne Suchen, ohne Klickstrecke.

Nicht zu verwechseln ist das mit dem Impressum. Das ist eine eigene Pflicht aus § 5 DDG (Digitale-Dienste-Gesetz) und betrifft geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste — die Einschränkung „in der Regel gegen Entgelt“ gehört dazu, auch wenn sie beim Zitieren gern wegfällt; verlangt werden dort Angaben wie Name und Anschrift, eine Adresse für die elektronische Post, gegebenenfalls Register und Aufsichtsbehörde. Zwei Pflichten, zwei Seiten — die eine ersetzt die andere nicht.

Was Sie einbauen, bestimmt, was drinstehen muss

Wir gehen bei jeder Seite nach demselben Prinzip vor: erst eine Bestandsaufnahme dessen, was technisch verbaut ist, dann für jeden Baustein genau ein Absatz. Nichts Verbautes ohne Absatz, kein Absatz ohne technische Grundlage. Die Zuordnung sieht bei uns so aus:

Der letzte Punkt ist der am häufigsten übersehene. Eine Schrift, eine eingebettete Karte oder ein Video, das erst beim Aufruf von einem fremden Server nachgeladen wird, überträgt die IP-Adresse Ihres Besuchers dorthin — auch ohne Klick. Bei unseren Seiten liegen Schriften deshalb auf demselben Server wie die Seite selbst; auf mde-digital.de laden wir keine Schriften von außen nach.

Der teuerste Fehler: die abgeschriebene Erklärung

Der Klassiker sind Texte aus einem Generator oder von einer anderen Website, die zur eigenen Seite nicht passen. Das Muster ist immer gleich: Es stehen Absätze über Statistik- oder Werbedienste drin, die gar nicht eingebaut sind — und es fehlt der Absatz zu dem, was tatsächlich läuft, etwa dem Buchungsfenster oder dem Anfrageformular. Beides ist falsch. Der zweite Fall ist der ernstere, weil dort eine echte Verarbeitung unerwähnt bleibt.

Ein Generator ist als Rohgerüst brauchbar, ersetzt aber nicht den Abgleich mit der Realität Ihrer Seite. Wer den Abgleich nicht selbst machen kann, sollte ihn machen lassen — er dauert eine halbe Stunde, wenn jemand weiß, was verbaut ist.

Erklärung und Einwilligungsbanner sind zwei verschiedene Dinge

Häufige Verwechslung: Die Datenschutzerklärung ist eine Information, das Banner holt eine Einwilligung ein. Ob Sie ein Banner brauchen, richtet sich nach § 25 TDDDG: Das Speichern von Informationen auf dem Endgerät des Nutzers und der Zugriff auf dort gespeicherte Informationen sind nur mit Einwilligung zulässig. Ausgenommen ist nach Abs. 2 Nr. 2 der Fall, dass dies unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst bereitgestellt werden kann.

Praktisch heißt das: Eine Seite, die keine Cookies setzt, keine Werbe- oder Analysewerkzeuge mit Geräte-Zugriff einbindet und ihre Schriften selbst ausliefert, kommt in aller Regel ohne Banner aus — die Erklärung braucht sie trotzdem. So ist auch unsere eigene Seite gebaut, mit einer Einschränkung, die wir offen benennen: Im Sitzungsspeicher des Browsers liegt ein einziger technischer Merker, damit die kurze Startanimation nur beim ersten Aufruf erscheint und nicht bei jedem Seitenwechsel. Er enthält keine personenbezogenen Daten, wird nicht übertragen und ist spätestens beim Schließen des Tabs gelöscht. Wir halten ihn deshalb für nicht einwilligungspflichtig — und führen ihn trotzdem in unserer Datenschutzerklärung auf, statt ihn zu verschweigen.

Daran lässt sich die eigentliche Prüfregel gut zeigen: § 25 TDDDG spricht nicht von Cookies, sondern von Informationen auf dem Endgerät. Wer wissen will, ob er ein Banner braucht, muss also jede Speicherung im Browser ansehen und nicht nur die Cookie-Liste. Sobald ein Werkzeug etwas ablegt oder ausliest, das für den gewünschten Dienst nicht erforderlich ist — Analyse, Werbung, Wiedererkennung über die Sitzung hinaus —, führt an der Einwilligung kein Weg vorbei, und dann muss sie auch technisch wirken: Vor dem Klick darf nichts geladen werden.

Was in jede Erklärung gehört

• Verantwortlicher: Wer die Seite betreibt, mit Anschrift und einem Weg, Sie zu erreichen. Bei Einzelunternehmern dieselbe Anschrift wie im Impressum.
• Zweck und Rechtsgrundlage je Verarbeitung: Nicht pauschal, sondern getrennt: Betrieb der Seite, Kontaktaufnahme, Terminvergabe, Werbung. Eine Einwilligung ist nur eine von mehreren möglichen Grundlagen.
• Empfänger: Alle, die Daten in Ihrem Auftrag verarbeiten: Hoster, Mailversand, Buchungssystem. Anonyme Formulierungen wie „unsere Dienstleister“ helfen niemandem.
• Speicherdauer: Konkrete Frist oder das Kriterium, nach dem sie sich richtet. Diese Angabe muss zu dem passen, was auf dem Server tatsächlich eingestellt ist.
• Rechte der Besucher: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch — und der Hinweis auf das Beschwerderecht bei der zuständigen Aufsichtsbehörde.
• Drittlandbezug, falls vorhanden: Sobald ein Dienst außerhalb der EU verarbeitet, gehört das benannt. Wer solche Dienste vermeidet, hat an dieser Stelle nichts zu erklären.

Wo unsere Zuständigkeit endet

Drei Fragen tauchen bei fast jedem Projekt auf, und bei allen dreien ist die ehrliche Antwort: Das entscheidet nicht der Webdesigner.

• Brauchen Sie einen Datenschutzbeauftragten?: Das hängt an Ihrer Betriebsgröße und an der Art Ihrer Verarbeitung, nicht an der Website. Eine Frage für die Rechtsberatung.
• Brauchen Sie ein Verarbeitungsverzeichnis?: Art. 30 Abs. 5 DSGVO nimmt Unternehmen mit weniger als 250 Mitarbeitern aus — allerdings nur, wenn die Verarbeitung kein Risiko birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien betrifft. Diese Ausnahme ist enger, als sie beim ersten Lesen klingt; ob sie für Sie greift, ist genau so ein Fall für den Anwalt.
• Was passiert, wenn die Erklärung fehlt?: Die Bandbreite reicht von der Beschwerde eines Besuchers bei der Aufsichtsbehörde bis zu anwaltlicher Post. Wie ein konkreter Fall ausgeht, ist eine Rechtsfrage — wir nennen dazu bewusst keine Zahlen.

So läuft das bei einem Projekt bei uns

Wir schreiben zuerst auf, was in die Seite eingebaut wird, und leiten daraus die Absätze ab — dieselbe Liste dient anschließend als Anhang für die Verträge zur Auftragsverarbeitung. Sie bekommen also nicht nur einen Text, sondern die Zuordnung dazu, welcher Absatz auf welchen technischen Baustein zurückgeht. Die inhaltliche Freigabe bleibt bei Ihnen, ebenso die Entscheidung, ob Sie den Text zusätzlich anwaltlich prüfen lassen. Was in unseren Website-Paketen sonst noch enthalten ist, steht auf /preise; die laufende Betreuung der Seite finden Sie unter Hosting & Pflege.

Wer speziell wissen will, was beim Einsatz eines Buchungssystems datenschutzrechtlich zu klären ist, findet die fünf Kriterien im Artikel DSGVO-konforme Online-Terminbuchung. Und wenn die Seite technisch noch gar nicht steht, ist der Artikel Was brauche ich, um eine Website online zu stellen? der passendere Einstieg — dort steht die Erklärung als einer von sechs Bausteinen vor dem Start.

Fazit

Eine Datenschutzerklärung ist kein Formalakt, den man einmal einkauft, sondern die Beschreibung dessen, was Ihre Seite tatsächlich tut. Deshalb altert sie: Jedes neue Werkzeug — ein Buchungsfenster, ein Newsletter, eine eingebettete Karte — erzeugt einen neuen Absatz. Wer sich das zur Gewohnheit macht, hat den größten Teil der Pflicht erledigt. Für den Rest gibt es Anwälte, und die sind an dieser Stelle gut investiert.