Was in der Datenschutzerklärung Ihrer Website wirklich stehen muss
Art. 13 DSGVO verlangt konkrete Angaben zu jedem Dienst — nicht generische Formulierungen über einen hypothetischen Betrieb.
Fast jede Unternehmenswebsite hat heute eine Datenschutzerklärung. Meistens stammt sie aus einem Generator, wurde einmal eingefügt, und ist seitdem nicht angeschaut worden. Das Dokument existiert — die Frage ist, ob es stimmt.
Die DSGVO stellt keine Anforderung an die Länge einer Datenschutzerklärung. Sie stellt Anforderungen an ihre Vollständigkeit. Und vollständig bedeutet in diesem Kontext: Die Erklärung beschreibt, was auf dieser Website tatsächlich passiert — nicht, was in einem generischen Vorlagetext vorkommt.
Was Art. 13 DSGVO konkret verlangt
Artikel 13 DSGVO regelt die Informationspflichten gegenüber Website-Besuchern, deren personenbezogene Daten erhoben werden. Das betrifft nahezu jede Unternehmenswebsite — sobald ein Kontaktformular vorhanden ist, ein Analyse-Tool läuft, oder externe Dienste eingebunden sind.
Die Pflichtangaben sind nicht abstrakt. Sie betreffen konkrete Verarbeitungsvorgänge: Name und Anschrift des Verantwortlichen, den Zweck jeder einzelnen Datenverarbeitung, die jeweilige Rechtsgrundlage nach Art. 6 DSGVO, die Empfänger der Daten — also wer außer dem Unternehmen selbst Zugriff erhält —, die geplante Speicherdauer oder die Kriterien, nach denen sie bestimmt wird, sowie die Rechte der Betroffenen: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch.
Wer personenbezogene Daten in ein Drittland überträgt — in die USA zum Beispiel, wenn Google- oder Meta-Dienste eingebunden sind —, muss auch das transparent machen: welches Drittland, auf Basis welcher Garantien. Das ist kein Randpunkt, sondern ein eigener Pflichtteil der Informationspflicht.
Das klingt zunächst überschaubar. Wird aber deutlich umfangreicher, sobald man jeden einzelnen Dienst auf der eigenen Website betrachtet.
Die Datenschutzerklärung beschreibt nicht, wie Datenschutz gemeint ist. Sie beschreibt, was tatsächlich passiert.
Warum Generatortexte das Problem nicht lösen
Generator-Tools für Datenschutzerklärungen sind kein schlechter Ausgangspunkt. Sie liefern eine strukturierte Grundlage und decken den Standardfall ab. Aber sie kennen Ihre Website nicht.
Ein Generator weiß nicht, ob Sie Google Analytics nutzen oder Matomo. Er weiß nicht, ob Ihr Kontaktformular über einen externen Anbieter läuft oder direkt auf Ihrem Server. Er weiß nicht, ob Ihre Schriften von Google-Servern geladen werden oder lokal eingebunden sind. Er schreibt über einen hypothetischen Betrieb — und der ist selten identisch mit Ihrem.
Wer Google Analytics einsetzt, muss das in der Datenschutzerklärung benennen: den Zweck der Analyse, die Rechtsgrundlage (in der Regel Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO), den Empfänger (Google Ireland Ltd.), die Datenübertragung in die USA und die dafür geltenden Garantien, die Speicherdauer. Eine pauschale Formulierung wie 'Wir nutzen Analysetools zur Verbesserung unseres Angebots' genügt nicht — sie ist informationslos.
Das gilt entsprechend für jeden weiteren Dienst, der auf der Website tatsächlich im Einsatz ist.
Was auf Unternehmenswebsites häufig fehlt
In der Praxis kehren dieselben Lücken immer wieder:
Analyse-Werkzeuge. Google Analytics, GA4 oder ähnliche Dienste sind weit verbreitet — in der Datenschutzerklärung fehlen sie häufig ganz oder werden pauschal angesprochen, ohne Angabe von Rechtsgrundlage, Empfänger und Speicherdauer. Ob das Tool überhaupt ohne Einwilligung betrieben werden darf, ist dabei eine eigene Frage — der Cookie-Consent spielt dabei eine zentrale Rolle.
Externe Schriftarten. Wenn Google Fonts direkt von Google-Servern geladen werden, überträgt jeder Seitenaufruf die IP-Adresse des Besuchers an Google. Das Landgericht München I hat 2022 entschieden, dass das ohne Einwilligung gegen die DSGVO und das BDSG verstößt. Wer Schriften lokal einbindet, umgeht das Problem. Wer sie extern lädt, muss das transparent machen — und im Zweifel eine Einwilligung einholen.
Kontaktformulare. Das Formular erhebt mindestens Namen und E-Mail-Adresse, oft mehr. Zweck, Rechtsgrundlage (häufig Art. 6 Abs. 1 lit. b oder lit. f DSGVO), Speicherdauer und Empfänger — falls ein externer Dienstleister das Formular verarbeitet — müssen erscheinen. Das wird regelmäßig ausgelassen.
Eingebettete Inhalte. Wer Google Maps oder YouTube direkt einbettet — nicht über eine Zwei-Klick-Lösung — überträgt beim Laden der Seite Daten an externe Server. Diese Dienste gehören vollständig in die Datenschutzerklärung, mit Rechtsgrundlage und Empfänger.
Newsletter-Dienste. Wenn eine Website ein Newsletter-Anmeldeformular einbindet, das über einen externen Anbieter läuft, ist auch das informationspflichtig — inklusive Double-Opt-in-Verfahren und Speicherdauer.
Wie man die eigene Datenschutzerklärung prüft
Eine einfache Methode: Öffnen Sie Ihre Website wie ein Erstbesucher. Gehen Sie jeden Bereich durch und notieren Sie, was geladen wird — welche externen Dienste eingebunden sind, welche Formulare es gibt, welche Inhalte von Drittanbietern stammen. Dann prüfen Sie für jeden Punkt, ob er in der Datenschutzerklärung auftaucht — mit Zweck, Rechtsgrundlage, Empfänger und Speicherdauer.
Was in dieser Gegenüberstellung nicht erscheint, fehlt. Das ist behebbar — aber nur, wenn man weiß, was auf der eigenen Website tatsächlich läuft.
Wer die technische Einrichtung seiner Website nicht selbst vorgenommen hat, muss das manchmal erst erfragen. 'Welche externen Dienste sind auf meiner Website eingebunden?' ist eine legitime und wichtige Frage — und sollte eine vollständige Antwort haben.
Beim Website-Check gehört dieser Punkt zum Standard: welche Dienste eine Website tatsächlich einbindet, und ob die Datenschutzerklärung das korrekt abbildet.
Nicht: Haben wir eine Datenschutzerklärung? Sondern: Stimmt sie mit dem überein, was auf unserer Website gerade passiert?
Die Datenschutzerklärung ist kein Dokument, das man einmal erstellt und dann vergisst. Sie gilt — für den Zustand der Website, der gerade online ist, nicht für den Zustand von vor zwei Jahren.
Wer Tools wechselt, ein Kontaktformular integriert oder die Website technisch überarbeitet, muss die Datenschutzerklärung mitführen. Das ist kein bürokratischer Aufwand. Es ist, was 'vollständig' in diesem Kontext bedeutet.
Häufige Fragen
Muss ich als kleines Unternehmen überhaupt eine Datenschutzerklärung auf meiner Website haben?
Ja. Sobald Ihre Website personenbezogene Daten erhebt — durch ein Kontaktformular, ein Analyse-Tool oder externe Dienste — gilt die DSGVO uneingeschränkt. Es gibt keine Ausnahmeregelung für kleine Betriebe.
Reicht ein Generator-Text für die Datenschutzerklärung aus?
Als Ausgangspunkt ja, als Endfassung meist nicht. Generatortexte beschreiben einen hypothetischen Betrieb — nicht Ihre Website mit ihren konkreten Tools, Formularen und eingebetteten Diensten. Was Sie tatsächlich einsetzen, muss auch in Ihrer Erklärung stehen.
Was passiert, wenn in meiner Datenschutzerklärung etwas fehlt?
Formal liegt eine Verletzung der Informationspflichten nach Art. 13 DSGVO vor. In der Praxis häufiger als Bußgelder sind Abmahnungen durch Wettbewerber oder Verbraucherschutzorganisationen. Das Risiko ist auch für kleine Unternehmen real.
Wie oft muss ich die Datenschutzerklärung aktualisieren?
Immer dann, wenn sich etwas auf der Website ändert: neues Analyse-Tool, neues Kontaktformular, neue eingebettete Inhalte, Wechsel des Hosters. Es gibt kein festes Intervall — der Auslöser ist die Änderung selbst.
Ist Google Fonts datenschutzrechtlich relevant?
Ja, wenn die Schriften direkt von Google-Servern geladen werden. Dabei wird die IP-Adresse des Besuchers übertragen. Das LG München I hat 2022 entschieden, dass das ohne Einwilligung unzulässig ist. Die Lösung: Schriften lokal einbinden, dann findet keine Übertragung statt.
Muss ich für jede Datenverarbeitung eine eigene Passage in der Datenschutzerklärung schreiben?
Nicht unbedingt als separate Abschnitte, aber jede Verarbeitungstätigkeit muss vollständig erklärt sein — mit Zweck, Rechtsgrundlage, Empfänger und Speicherdauer. Eine pauschale Sammelformulierung genügt nicht.
Wie steht es um die Datenschutzerklärung Ihrer Website?
Ich schaue mir an, welche externen Dienste Ihre Website einbindet — und ob Ihre Datenschutzerklärung das vollständig abbildet. Was auffällt, besprechen wir.
Gründer von Seethaler Studio.