Datenschutzerklärung erstellen lassen

Ratgeber: Datenschutzerklärung erstellen lassen - nach DGSVO

(Lesezeit ca. 10 Minuten)

Im Jahr 2018 war die Aufregung groß. Obwohl mit ausreichend Vorlaufzeit angekündigt, waren viele Unternehmen nicht auf die Neuerungen beim Datenschutz vorbereitet, die durch Wirksamwerden der Regelungen der DSGVO Einzug hielten. Allerorts herrschte Unklarheit, was genau zu tun ist, was man nicht mehr darf und wie zu informieren ist. An einigen Stellen führte dies zu kuriosen Überreaktionen nach dem Motto: „Besser zu viel als zu wenig“. Hintergrund war dabei vor allem, dass die DSGVO mit auf den ersten Blick horrenden Strafen bei Verstößen drohte.

Dieser Ratgeber möchte einen Überblick verschaffen, wobei es bei der Umsetzung der datenschutzrechtlichen Vorschriften in der Praxis ankommt und wie man die richtige Balance zwischen Kundenfreundlichkeit und Compliance findet.

Das Wichtigste in Kürze

• Zweck der Datenschutzerklärung ist es über die Verarbeitung der personenbezogenen Daten und die darauf entstehenden Rechte zu informieren.
• Die DSGVO ist die Rechtsgrundlage für die Regelungen zum Datenschutz in der Europäischen Union.
• In einer Datenschutzerklärung wird angegeben, welche Daten verarbeitet werden, auf welche Art und wie die Verarbeitung erfolgt, zu welchem Zweck dies geschieht und an wen Daten weitergegeben werden.
• Privatpersonen sind von der Pflicht einer Datenschutzerklärung nicht ausgenommen.
• Eine Datenschutzerklärung sollte bei Änderungen an der Webseite überprüft und ggf. angepasst werden.
• Datenschutz-Generatoren können gefährlich sein, da keine genaue Prüfung der Anforderungen vorgenommen wird.
• Die DSGVO regelt, dass bei Verstößen Bußgelder bis zu 20 Mio. € oder 4 % des Jahresumsatzes festgesetzt werden können.

Inhaltsverzeichnis

1. Was ist eine Datenschutzerklärung und was ist ihr Zweck?
2. Was sind personenbezogene Daten und was bedeutet Verarbeitung?
3. Was ist die DSGVO?
4. Welchen Inhalt hat eine Datenschutzerklärung?
5. Was wird in Datenschutzerklärungen auf Webseiten geregelt?
6. Was wird in Datenschutzerklärungen für Social Media Profile geregelt?
7. Wann und für wen ist eine Datenschutzerklärung verpflichtend?
8. Was kostet es, eine Datenschutzerklärung erstellen zu lassen?
9. Wieso können Datenschutz-Generatoren gefährlich und unsicher sein?
10. Was sind Cookies und Social-Media-Plugins, darf ich sie benutzen und wie erwähne ich sie in der Datenschutzerklärung?
11. Sind DSGVO-Abmahnungen zulässig?
12. Welche Risiken und Sanktionen bergen fehlerhafte Datenschutzerklärungen?
13. Fazit: Kostenlose anwaltliche Ersteinschätzung

Was ist eine Datenschutzerklärung und was ist ihr Zweck?

Bei einer Datenschutzerklärung handelt es sich um einen Rechtstext. Diesen bindet man auf einem Internetauftritt (z.B. Webseite, Social Media Präsenz, App) ein. Zweck der Datenschutzerklärung ist es, die Nutzer*innen des Internetauftrittes über die Verarbeitung der personenbezogenen Daten und die darauf entstehenden Rechte zu informieren.

Was sind personenbezogene Daten und was bedeutet Verarbeitung?

Dabei ist zunächst zu klären, was personenbezogene Daten sind. Nach der gesetzlichen Definition sind dies Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Als identifizierbar wird eine natürliche Person angesehen,

• die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder
• zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.

Dies sind keine personenbezogenen Daten:

• Aggregierte Daten (betreffen eine Gruppe, aber nicht auf die einzelne Person zurückzuführen)
• Anonymisierte Daten
• Daten von Unternehmen (aber Achtung bei Mitarbeiterdaten)

Daneben gibt es auch noch sogenannte besondere personenbezogene Daten. Hierbei handelt es sich um Daten, die besonders vertraulich und daher auch umso schützenswerter sind. Beispiele dafür sind etwa Gesundheitsdaten, sexuelle Orientierung, religiöse Anschauungen, und biometrische Bilder. Die Verarbeitung besonderer personenbezogener Daten ist an erhöhte Voraussetzungen geknüpft. So benötigen Unternehmen, die solche Daten regelmäßig verarbeiten etwa eine*n Datenschutzbeauftragte*n.

Nun gilt es auch noch zu klären, was eine Verarbeitung der Daten im Rechtssinne genau bedeutet. Auch hierbei gibt es eine gesetzliche Definition.

Verarbeitung ist demnach

• jeder, mit oder ohne Hilfe automatisierter Verfahren, ausgeführter Vorgang oder
• jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten (wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung).

Was ist die DSGVO?

DSGVO steht als Abkürzung für die europäische Datenschutzgrundverordnung. Diese gilt seit dem 25. Mai 2018. Im Internet begegnet man auch oft der Bezeichnung GDPR. Dies ist der englische Begriff, der jedoch genau dasselbe bezeichnet.

Die DSGVO ist die Rechtsgrundlage für die Regelungen zum Datenschutz in der Europäischen Union. Dies bedeutet etwa, dass die DSGVO in Ländern wie der Schweiz, Russland, China, den USA und generell außerhalb Europas nicht gilt.

Die DSGVO teilt sich in verschiedene Artikel auf, in denen die Begrifflichkeiten erklärt werden, sowie die Rechte der von der Datenverarbeitung betroffenen Personen und die Pflichten des Datenverarbeiters benannt werden.

Dabei geht die DSGVO nicht ins Detail und bietet keine genaue Anleitung, wie der Datenschutz umzusetzen ist, sondern stellt viel mehr allgemeine Spielregeln auf. Eine solche wichtige Spielregel ist etwa die Datenvermeidung. Das heißt, sofern zulässig und zumutbar sollten möglichst wenige Daten verarbeitet werden.

Für den deutschen Raum ist zudem das Bundesdatenschutzgesetz (BDSG) zu beachten. Dazu muss man wissen, dass die DSGVO sogenannte Öffnungsklauseln beinhaltet. Dies bedeutet, dass die europäischen Staaten in bestimmten Bereichen eigene Regelungen aufstellen können, die von der DSGVO abweichen oder die Ausgestaltung präzisieren. Danach sind in Deutschland grundsätzlich nicht nur die Vorschriften der DSGVO, sondern auch jene des BDSG zu berücksichtigen.

Weitere Informationen zur DSGVO in der EU finden Sie in unserem Ratgeber Datenschutz EU-DGSVO.

Welchen Inhalt hat eine Datenschutzerklärung?

Grob zusammengefasst beschreibt man in einer Datenschutzerklärung welche Daten verarbeitet werden, auf welche Art und wie die Verarbeitung erfolgt, zu welchem Zweck dies geschieht und an wen Daten weitergegeben werden.

Darüber hinaus muss darüber aufgeklärt werden, welche Rechte den betroffenen Personen zustehen (z.B. Löschung der Daten, Widerruf der Einwilligung, Auskunft) und wer für die Datenverarbeitung verantwortlich ist.

Losgelöst davon gibt es je nach Fallgestaltung zusätzliche Pflichtinhalte. Eine Datenschutzerklärung fällt heutzutage recht umfangreich aus und nimmt schnell zehn Seiten und mehr ein. Die Datenschutzerklärung muss in dem Fall vollständig sein, darf aber auch nicht über Inhalte belehren, die gar nicht zutreffend sind.

Aufgrund der Dichte an Gesetzen und Verordnungen ist es, bei der Erstellung einer Datenschutzerklärung, ratsam eine*n Rechtsanwält*in zu kontaktieren. Bei uns können Sie sich ganz einfach eine kostenlose anwaltliche Ersteinschätzung einholen.

Was wird in Datenschutzerklärungen auf Webseiten geregelt?

Bei der konkreten Umsetzung einer Datenschutzerklärung für Webseiten nimmt in der Regel der Abschnitt zu den datenverarbeitenden Tools von Drittanbieter*innen den größten Anteil ein. Dazu gehören etwa Analysedienste, Social Media Buttons, Newsletter-Versand, eingebettete Videos oder Kartenmaterial sowie Zahlungsdiensteanbieter.

Die mögliche Bandbreite ist enorm. Besondere Vorsicht ist dabei geboten, wenn Daten in die USA transferiert werden, da viele externe Anbieter*innen dort ihren Sitz haben. Nach der Rechtsprechung ist das Privacy Shield Abkommen zwischen den USA und Europa für ungültig erklärt worden. Daraus ist ein großer Klärungsbedarf in rechtlicher Hinsicht entstanden, insbesondere wie nun mit solchen Datenvorgängen umzugehen ist und welche Lösungen und Alternativen es gibt.

Was wird in Datenschutzerklärungen für Social Media Profile geregelt?

Im Vergleich zur Datenschutzerklärung für Webseiten ist der auf Social Media Profile ausgelegte Rechtstext regelmäßig im Umfang deutlich reduziert. Dies liegt zum einem daran, dass man oft gar nicht in der Lage ist die Datenverarbeitung im großen Maße zu beeinflussen, andererseits aber auch daran, dass der*die Betreiber*in des sozialen Netzwerkes selbst über die Datenverarbeitungsvorgänge in einer eigenen Datenschutzerklärung informieren muss.

Dennoch sieht die europäische Rechtsprechung eine Verantwortlichkeit des*der Inhaber*in des Profils. In der Praxis häufig anzutreffende Regelungen sind daher etwa solche, die sich auf die Verarbeitung aus Gewinnspielen oder Bewerbungen beziehen.

Um Ihren Internetauftritt rechtssicher zu gestalten, empfiehlt sich die Überprüfung durch eine*n Rechtsanwält*in.

Wann und für wen ist eine Datenschutzerklärung verpflichtend?

Eine Datenschutzerklärung ist immer dann verpflichtend, wenn personenbezogene Daten verarbeitet werden.

Ein weit verbreiteter Irrglaube ist dabei, dass diese Pflicht keine Privatpersonen trifft. Dies ist jedoch falsch, denn die DSGVO macht diesbezüglich keine Unterscheidung zwischen Privatpersonen und Unternehmen. Auch ein privater Blog muss daher eine Datenschutzerklärung anbieten. Eine Datenschutzerklärung muss auch nicht nur auf einer Webseite vorgehalten werden. Auch wenn man über einen Social Media Auftritt persönliche Daten verarbeitet oder eine App oder Browser-Erweiterung anbietet, ist dies der Fall. Das Gleiche gilt im Übrigen auch für Verarbeitungsvorgänge außerhalb des Internets (z.B. Kundendatenbanken, Patientenlisten etc.).

Als plakatives Beispiel kann man sich merken, dass sehr oft bereits eine leere weiße Internetseite eine Datenschutzerklärung benötigt. Dies rührt daher, dass zumeist der Hoster der Domain Protokolldaten schreibt und darin etwa IP-Adressen oder verwendete Systeme erfasst. An einer Datenschutzerklärung kommt man daher im Prinzip nicht herum.

Sofern man sich an deutsche Nutzer*innen richtet (Hinweise dafür sind etwa deutsche Sprache oder .de Domain) muss die Datenschutzerklärung in deutscher Sprache verfasst sein.

Wenn die Webseite zusätzlich in anderen Sprachen angeboten wird, muss auch die Datenschutzerklärung dahingehend übersetzt werden. Dabei wird von der Rechtsprechung zumeist jedoch die englische Fassung neben der deutschen Version für ausreichend gehalten.

Um den gesetzlichen Informationspflichten nachzukommen, muss die Datenschutzerklärung zudem so eingebunden werden, dass diese einfach (z.B. über einen Link) aufgerufen werden kann.

Was kostet es, eine Datenschutzerklärung erstellen zu lassen?

Die Kosten einer Datenschutzerklärung hängen in erster Linie davon ab, welchen textlichen Umfang der Rechtstext einnimmt und dies ist wiederum konkret davon abhängig in welchem Maße personenbezogene Daten verarbeitet werden. Bei einer durchschnittlich aufwändigen, anwaltlich erstellten Datenschutzerklärung fällt in der Regel ein mittlerer dreistelliger Betrag an. Auf yourXpert erhalten sie eine kostenlose anwaltliche Ersteinschätzung und ein unverbindliches Angebot.

Zu beachten ist dabei, dass eine einmal erstellte Datenschutzerklärung nicht für alle Zeit in Stein gemeißelt ist. Wenn etwa an der Webseite Veränderungen vorgenommen werden, die in Bezug zu Datenverarbeitungsvorgängen stehen, ist auch eine Anpassung der Datenschutzerklärung erforderlich.

Wieso können Datenschutz-Generatoren gefährlich und unsicher sein?

Die Versuchung liegt nahe einer der vielen Datenschutz-Generatoren im Internet zu verwenden. Oftmals sind diese Generatoren kostenlos und leicht zu bedienen.

Die Gefahr lauert jedoch an anderer Stelle. Denn der Generator muss in der Regel auch entsprechend gefüttert werden mit Informationen. Dies setzt nämlich voraus, dass man auch genau Bescheid weiß, welche Daten erhoben und an wen weitergegeben werden. In vielen Fällen ist dies im "Frontend" (Bereich der Webseite, der für Nutzer*innen sichtbar ist) aber gar nicht sichtbar, sondern setzt vertieftes technisches Know-how voraus. Dies sollte im Lichte dessen betrachtet werden, dass die Datenschutzerklärung vollständig sein muss.

Außerdem werden kostenlose Generatoren häufig nicht akutell gehalten und einige Generatoren fallen durch zwielichtige und teilweise falsche Formulierungen auf. Diese gilt es zu vermeiden, da sie das Risiko abgemahnt zu werden sogar erhöhen. Dazu fehlen teilweise auch wichtige Klauseln gänzlich.

Daher ist es ratsam die Datenschutzerklärung durch eine*n Anwält*in erstellen zu lassen, der*die auch eine genaue Prüfung der Anforderungen vorgenommen hat und diese dann maßgeschneidert umsetzt.

Was sind Cookies und Social-Media-Plugins, darf ich sie benutzen und wie erwähne ich sie in der Datenschutzerklärung?

Bei Cookies handelt es sich um kleine Textdateien, die vom Browser beim Aufruf vieler Webseiten gespeichert werden. Oftmals dienen Cookies der Bequemlichkeit, da bestimmte Daten gespeichert werden, sodass man dieser auf Webseiten beim nächsten Besuch nicht erneut eingeben muss (z.B. Login-Daten, Einstellungen etc.).

Um Cookies ablegen zu dürfen, ist eine Einwilligung erforderlich, es sei denn es handelt sich um sogenannte technisch-notwendige Cookies, als solche ohne jene die Webseite gar nicht funktionieren würde. Für optionale Cookies etwa zu Marketingzwecken benötigt man jedoch eine Zustimmung, die in der Regel über einen Cookie Consent Banner eingeholt wird.

Social Media Plugins sind kleine Tools von bekannten sozialen Netzwerken wie etwa Facebook, Instagram und Twitter. Hierüber können zum Beispiel über einen Button-Klick „Likes“ abgegeben oder Inhalte abonniert werden. Dabei wird je nach Ausgestaltungsart des Plugins eine Verbindung zu den Servern des sozialen Netzwerkes aufgebaut, das heißt es erfolgt auch ein Datenaustausch.

Sind DSGVO-Abmahnungen zulässig?

In diesem Punkt ist sich die Rechtsprechung bislang uneinig, zumindest wenn es um die Einstufung des Datenschutzverstoßes als Wettbewerbsverletzung geht. Sicher ist, dass Betroffene des Datenschutzverstoßes Unterlassung fordern können. Privatpersonen können mitunter auch ein Schmerzensgeld wegen Verletzung des Persönlichkeitsrechtes verlangen.

Umstritten ist aber, ob auch ein*e Mitbewerber*in etwa wegen einer unzureichender oder fehlerhaften Datenschutzerklärung eine Abmahnung versenden und die Erstattung der zum Teil hohen Rechtsverfolgungskosten fordern kann. Hierzu haben die Gerichte bislang unterschiedlich geurteilt.

Durch ein neues Gesetz im Wettbewerbsrecht, das im Dezember 2020 in Kraft getreten ist, sollen die Rechtsverfolgungskosten dann nicht mehr gefordert werden können, wenn das Unternehmen weniger als 250 Beschäftigte hat. Damit sind solche Abmahnungen nicht mehr lukrativ, vor einem Gerichtsverfahren, einem Verfahren der Datenschutzebehörden oder von Privatpersonen schützt dies aber nicht.

Welche Risiken und Sanktionen bergen fehlerhafte Datenschutzerklärungen?

Neben den oben beschriebenen Abmahnungen, lauert die Gefahr in der Praxis bei Verstößen gegen das Datenschutzrecht vor allem in den Sanktionen, die durch die Datenschutzbehörden verhängt werden können. Die DSGVO regelt, dass bei Verstößen Bußgelder bis zu 20 Mio. € oder 4 % des Jahresumsatzes festgesetzt werden können.

Auch wenn Millionenstrafen in der Praxis selten sind und nur gegenüber Großkonzernen verhängt werden, drohen trotzdem auch bei vermeintlich kleineren Verstößen von kleinen und mittleren Unternehmen erhebliche Bußgelder.

Fehlerhafte Datenschutzerklärungen können ebenfalls zu Geldbußen führen. Dazu muss man wissen, dass einen Verstoß jedermann (also jede natürliche Person, aber auch unliebsame Konkurrenten) einfach und ohne Kosten an die Datenschutzbehörde (jedes Bundesland hat eine eigene Stelle) melden kann.

Wird eine Geldbuße verhängt, fällt diese deutlich höher aus als die Kosten für die Erstellung einer Datenschutzerklärung. Daher sollte man nicht am falschen Ende sparen und eine Datenschutzerklärung von einem*einer Anwält*in rechtssicher erstellen zu lassen.

Fazit: Kostenlose anwaltliche Ersteinschätzung

Eine Datenschutzerklärung selbst zu erstellen und dabei die gesetzlichen Anforderungen vollständig einzuhalten, ist ein äußerst schwieriges Unterfangen. Kaum ein Rechtsgebiet ist derart im ständigen Wandel wie das Datenschutzrecht und wird immer wieder durch Rechtsprechung und Empfehlungen der Datenschutzbehörden beeinflusst. Daher ist es dringend zu empfehlen die Datenschutzerklärung professionell durch eine*n fachkundige*n Anwält*in erstellen zu lassen, um höhere Folgekosten und Aufwand einzusparen.

Dabei ist auch hervorzuheben, dass die Umsetzung der DSGVO nicht ausschließlich in der Erstellung einer Datenschutzerklärung mündet. Es sind weitere datenschutzrechtliche Aspekte zu berücksichtigen (z.B. Einwilligungen, Auftragsverarbeitungs-Vertrag, Verschlüsselungen). Daher ist eine umfassende Evaluierung der individuellen Anforderungen zur Umsetzung des Datenschutzes erforderlich.

War dieser Ratgeber hilfreich?

Was können wir besser machen bzw. was fehlt Ihnen?

Abbrechen