Datenschutzerklärung für die Webseite: DSGVO-konforme Vorlage und häufige Fehler

Wenn ich eine neue Webseite für einen Kunden aufsetze, frage ich regelmäßig nach der Datenschutzerklärung. Die Antwort ist erstaunlich oft: "Ich habe da irgendetwas aus dem Internet kopiert" oder schlimmer: "Brauche ich das bei meiner kleinen Seite wirklich?" Beides ist ein Problem, und ich erkläre im Folgenden, warum.

Ich bin Webentwickler, kein Anwalt - dieser Artikel ersetzt keine Rechtsberatung und gibt ausschließlich technische und praktische Erfahrungswerte wieder. Wer auf der sicheren Seite sein will, prüft seine Datenschutzerklärung zusätzlich mit einem auf IT-Recht spezialisierten Rechtsanwalt.

Warum die Datenschutzerklärung keine optionale Zugabe ist

Art. 13 der DSGVO verpflichtet jeden, der personenbezogene Daten über Webseiten erhebt, die betroffene Person darüber zu informieren. Personenbezogene Daten werden fast überall erhoben: beim Kontaktformular, beim Newsletter-Abonnement, beim Einsatz von Google Analytics oder schlicht dadurch, dass ein externer Dienst die IP-Adresse der Besucherin oder des Besuchers übermittelt bekommt.

Das gilt unabhängig von der Unternehmensgröße. Eine Tischlerei in Altona mit fünf Mitarbeitern und einer WordPress-Visitenkartenseite ist genauso betroffen wie ein mittelständischer Onlineshop. Bußgelder können bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes betragen - und selbst für kleine Betriebe sind kostenpflichtige Abmahnungen durch Wettbewerber oder Verbraucherschutzverbände real.

Was in jede Datenschutzerklärung nach Art. 13 DSGVO muss

Die DSGVO schreibt in Art. 13 einen konkreten Mindestinhalt vor. Ich gehe die Punkte durch, die in der Praxis am häufigsten fehlen oder unvollständig sind:

Name und Kontaktdaten des Verantwortlichen

Nicht nur der Firmenname, sondern vollständige Adresse, E-Mail-Adresse und idealerweise Telefonnummer. Bei Bedarf auch die Kontaktdaten eines Datenschutzbeauftragten, falls einer benannt werden muss (ab 20 Personen, die regelmäßig personenbezogene Daten verarbeiten, ist er in der Regel Pflicht).

Verarbeitungszwecke und Rechtsgrundlagen

Für jede Verarbeitungstätigkeit müssen Zweck und Rechtsgrundlage benannt werden. Art. 6 DSGVO nennt die möglichen Grundlagen: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse oder berechtigtes Interesse. Bei Cookies und Tracking-Tools, die nicht technisch notwendig sind, ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO zusammen mit TDDDG § 25 die relevante Grundlage.

Speicherdauer

Angaben zur Speicherdauer oder zu den Kriterien, nach denen sie festgelegt wird, fehlen bei gut einem Drittel der Datenschutzerklärungen, die mir in der Praxis begegnen. Konkret heißt das: "Kontaktanfragen werden nach spätestens 90 Tagen gelöscht" statt vage "so lange wie nötig".

Betroffenenrechte

Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch - und das Beschwerderecht bei der zuständigen Aufsichtsbehörde. Letzteres vergisst fast jede selbst geschriebene Erklärung. In Deutschland ist je nach Bundesland eine der staatlichen Datenschutzbehörden zuständig, zum Beispiel der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit für in Hamburg ansässige Unternehmen.

Drittanbieter und Auftragsverarbeiter

Jeder externe Dienst, der Daten verarbeitet, muss erwähnt werden: Hosting-Anbieter, Google Analytics, Google Fonts (wenn von externen Servern geladen), YouTube-Einbettungen, Facebook Pixel, Mailchimp für Newsletter und so weiter. Bei Diensten außerhalb der EU oder des EWR muss zusätzlich auf die Grundlage der Datenübermittlung in Drittländer hingewiesen werden - meistens EU-Standardvertragsklauseln.

Das TDDDG: Was sich seit Mai 2024 geändert hat

Das frühere TTDSG heißt seit Mai 2024 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz). Inhaltlich ist für Webseitenbetreiber vor allem § 25 TDDDG relevant: Er regelt das Setzen von Cookies und ähnlichen Technologien und schreibt für alles, was nicht technisch notwendig ist, eine ausdrückliche Einwilligung vor. Das war schon unter dem TTDSG so, aber die Rechtslage ist seitdem gefestigter und die Aufsichtsbehörden prüfen aktiver.

In der Datenschutzerklärung sollte das TDDDG als ergänzende Rechtsgrundlage neben der DSGVO erwähnt werden, wenn Cookies oder Tracking eingesetzt werden. Generatoren, die seit mindestens Mitte 2024 nicht mehr aktualisiert wurden, hinken hier möglicherweise hinterher.

Generatoren im Vergleich: Wann sie helfen, wann nicht

Für viele kleine Webseiten sind kostenlose Generatoren ein sinnvoller Startpunkt. Die bekannteste Lösung in Deutschland ist der Generator von eRecht24 (in Kooperation mit einer Kanzlei entwickelt, über eine Million Mal eingesetzt laut Anbieter). Daneben gibt es Angebote von Datenschutz.org, der IHK Gießen-Friedberg sowie verschiedenen Datenschutzkanzleien.

Das Problem mit jedem Generator: Er erzeugt einen Rahmen. Die inhaltliche Prüfung, welche Tools wirklich auf der Webseite laufen und ob sie korrekt beschrieben sind, kann kein Generator automatisch leisten. Ich sehe regelmäßig Datenschutzerklärungen, die Google Analytics erwähnen, obwohl die Seite längst auf Matomo umgestellt wurde - oder umgekehrt.

Die fünf häufigsten Fehler kleiner Firmen

Fehler 1: Kopierte Vorlage, nicht angepasst

Die häufigste Variante: Text aus dem Internet kopiert, nicht ein einziger Satz an die eigene Realität angepasst. Die Datenschutzerklärung erwähnt Tools, die gar nicht im Einsatz sind, und schweigt über Tools, die täglich Daten sammeln. Das erfüllt die Transparenzpflicht der DSGVO nicht und ist bei einer Prüfung durch eine Datenschutzbehörde sofort erkennbar.

Bei einem Kundenprojekt aus Hamburg - einer kleinen Unternehmensberatung - fand ich eine Datenschutzerklärung mit detaillierten Ausführungen zu Facebook Custom Audiences. Die Seite hatte noch nie Facebook Pixel eingebunden. Dafür lud sie Google Fonts von externen Servern, was im Text mit keiner Silbe erwähnt wurde.

Fehler 2: Google Fonts von externen Servern

Seit dem LG München I-Urteil vom Januar 2022 (Az. 3 O 17493/20) ist klar: Google Fonts von externen Google-Servern zu laden, überträgt die IP-Adresse des Besuchers ohne Einwilligung nach Google in die USA - und ist DSGVO-widrig. Die Lösung ist einfach: Schriften lokal einbinden und in der Webseite entsprechend konfigurieren. Bei WordPress geht das mit einem einzigen Plugin (OMGF oder manuell per functions.php), dauert 15 Minuten und kostet nichts.

Fehler 3: Kein Cookie-Consent-Banner oder ein nicht funktionierender

Viele Webseiten haben irgendein Cookie-Banner, das sich aber mit "Alle ablehnen" nicht wirklich ablehnen lässt - oder das Tracking-Scripts lädt, bevor der Besucher überhaupt eine Wahl getroffen hat. Das ist sowohl nach DSGVO als auch nach TDDDG § 25 nicht zulässig. Einwilligung muss freiwillig, informiert und vor der Datenverarbeitung erteilt werden.

Fehler 4: Datenschutzerklärung nicht auffindbar

Nach gängiger Auslegung muss die Datenschutzerklärung von jeder Seite mit maximal zwei Klicks erreichbar sein. Nicht im Footer versteckt zwischen sechs weiteren Links, nicht ausschließlich im Impressum verlinkt, nicht hinter einer Login-Wall. In der Praxis begegnet mir auch immer wieder: Der Link zur Datenschutzerklärung ist vorhanden, führt aber ins Leere (404-Fehler) - zum Beispiel nach einem WordPress-Relaunch, bei dem Seiten-URLs nicht weitergeleitet wurden.

Fehler 5: Nie aktualisiert

Eine Datenschutzerklärung aus dem Jahr 2018, die noch nie angefasst wurde, ist in den meisten Fällen nicht mehr aktuell - weder technisch (neue Tools) noch rechtlich (TDDDG, aktualisierte Behörden-Leitlinien). Ich empfehle meinen Kunden, mindestens einmal im Jahr alle eingesetzten Plugins und Drittanbieter-Dienste gegen die Datenschutzerklärung abzugleichen und nach jeder größeren Änderung der Webseite zu prüfen.

Praktische Schritte zur DSGVO-konformen Datenschutzerklärung

Hier mein Standardvorgehen, wenn ich eine Webseite für Kunden aufsetze oder eine bestehende überprüfe:

Erster Schritt: Vollständiges Inventar aller Datenverarbeitungen erstellen. Das heißt: Alle installierten Plugins und Themes durchgehen, alle eingebetteten Drittanbieter-Ressourcen (iframes, externe Skripte, externe Schriften) auflisten. Tools wie der Browser-Netzwerk-Tab helfen dabei - einfach die Webseite laden und schauen, welche externen Domains kontaktiert werden.

Zweiter Schritt: Für jeden Dienst klären, ob eine Rechtsgrundlage vorhanden ist. Technisch notwendige Cookies (Session, Login) laufen über berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Analyse und Werbung brauchen eine Einwilligung.

Dritter Schritt: Datenschutzerklärung auf Basis eines Generators erstellen und Punkt für Punkt mit dem Inventar abgleichen. Alle Tools, die nicht im Inventar stehen, raus. Alle Tools aus dem Inventar, die nicht in der Erklärung stehen, rein.

Vierter Schritt: Technische Umsetzung - Google Fonts lokal, YouTube-Videos über Borlabs oder ähnliche Lösungen erst nach Einwilligung laden, Consent-Banner korrekt konfigurieren.

Was der AVV (Auftragsverarbeitungsvertrag) damit zu tun hat

Wer externe Dienstleister einsetzt, die personenbezogene Daten im Auftrag verarbeiten - also Hosting-Anbieter, E-Mail-Marketing-Tools, Analyse-Plattformen - muss mit diesen einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abschließen. Das ist kein Teil der Datenschutzerklärung selbst, aber ohne AVV ist die gesamte Verarbeitung über diesen Dienstleister nicht rechtskonform. Große Anbieter (Google, Hetzner, Mailchimp) bieten standardisierte AVV-Vorlagen an, die online abgeschlossen werden können.

In der Datenschutzerklärung sollte darauf hingewiesen werden, dass bestimmte Dienstleister als Auftragsverarbeiter tätig sind und entsprechende Verträge bestehen.

Webseiten für Deutschland: Was zusätzlich gilt

Neben der DSGVO gibt es für deutsche Webseiten weitere Pflichten, die eng mit dem Datenschutz verknüpft sind. Das Impressum nach DDG (früher TMG) ist separat Pflicht und gehört nicht in die Datenschutzerklärung, sondern auf eine eigene Seite. Wer einen Onlineshop betreibt, hat durch WooCommerce und externe Zahlungsanbieter weitere Verarbeitungen, die in der Erklärung abgebildet sein müssen - dazu schreibe ich mehr im Bereich Online-Shops.

Wer Wert auf eine vollständig abgedeckte rechtliche Basis legt, findet bei SEO-Optimierung auch Informationen dazu, wie Datenschutz und technische SEO zusammenhängen (Core Web Vitals, serverseitiges Rendering als Alternative zu externen Skripten).

Häufige Fragen

Ist eine Datenschutzerklärung auch für eine kleine Firmenwebseite Pflicht?

Ja, ohne Einschränkung. Sobald auf der Webseite personenbezogene Daten verarbeitet werden - und das passiert schon beim Einsatz von Google Analytics, einem Kontaktformular oder Google Fonts von externen Servern - greift Art. 13 DSGVO. Die Unternehmensgröße spielt dabei keine Rolle.

Was muss in eine DSGVO-konforme Datenschutzerklärung rein?

Pflicht sind mindestens: Name und Kontaktdaten des Verantwortlichen, Verarbeitungszwecke und Rechtsgrundlagen, Speicherdauer, Empfänger oder Kategorien von Empfängern, Betroffenenrechte (Auskunft, Berichtigung, Löschung, Widerspruch, Datenübertragbarkeit) sowie das Beschwerderecht bei der zuständigen Datenschutzbehörde. Dazu kommen konkrete Angaben zu allen eingesetzten Tools und Drittanbietern.

Kann ich eine kostenlose Vorlage aus dem Internet verwenden?

Als Ausgangspunkt ja - aber nur, wenn Sie die Vorlage vollständig an Ihre tatsächliche Datenverarbeitung anpassen. Eine 1:1-Kopie, die Tools auflistet, die Sie gar nicht nutzen, oder Tools unterschlägt, die Sie tatsächlich einsetzen, erfüllt die Transparenzpflicht der DSGVO nicht. Generatoren wie eRecht24 helfen, den Rahmen zu schaffen, die inhaltliche Prüfung liegt aber bei Ihnen.

Was ist das TDDDG und warum ist es relevant für Webseiten?

Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) hat im Mai 2024 das frühere TTDSG abgelöst. Es regelt ergänzend zur DSGVO den Datenschutz bei Telemedien und Telekommunikation - also auch für gewöhnliche Webseiten. Relevant ist es vor allem für Cookie-Einwilligungen: Cookies, die nicht technisch notwendig sind, brauchen eine ausdrückliche Einwilligung nach TDDDG § 25.

Wie oft muss ich meine Datenschutzerklärung aktualisieren?

Immer dann, wenn sich die Datenverarbeitung auf Ihrer Webseite ändert - also bei jedem neuen Plugin, Tool oder Drittanbieter, den Sie einbinden. Außerdem nach relevanten Gesetzesänderungen oder Gerichtsurteilen. Eine jährliche Prüfung ist ein Minimum; wer regelmäßig neue Tools testet, sollte die Erklärung öfter kontrollieren.

Was droht bei einer fehlenden oder mangelhaften Datenschutzerklärung?

Bußgelder bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes sind theoretisch möglich, in der Praxis für kleine Webseiten eher selten in dieser Größenordnung. Realistischer sind kostenpflichtige Abmahnungen durch Mitbewerber oder Verbraucherschutzverbände sowie Unterlassungsverfügungen. Dazu kommt der Reputationsschaden gegenüber Kunden, die auf Vertrauenswürdigkeit achten.