Die Datenschutzerklärung einer Website ist die Umsetzung der Informationspflichten nach Art. 13 DSGVO (bei Direkterhebung, also wenn Daten beim Nutzer selbst erhoben werden). Art. 12 DSGVO verlangt, dass diese Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache bereitgestellt werden.
Pflichtangaben nach Art. 13 Abs. 1 DSGVO
- Name und Kontaktdaten des Verantwortlichen (und ggf. des Vertreters)
- Kontaktdaten des Datenschutzbeauftragten (falls benannt)
- Zwecke der Verarbeitung und jeweilige Rechtsgrundlage (Art. 6 Abs. 1 lit. a-f DSGVO)
- Bei Verarbeitung auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f): Benennung der konkreten berechtigten Interessen
- Empfänger oder Kategorien von Empfängern der Daten
- Informationen über Datenübermittlungen in Drittländer und die dabei verwendeten Garantien (Art. 44 ff. DSGVO)
Zusätzliche Pflichtangaben nach Art. 13 Abs. 2 DSGVO
- Speicherdauer oder Kriterien für die Festlegung der Speicherdauer
- Hinweis auf Betroffenenrechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenportabilität (Art. 20), Widerspruch (Art. 21)
- Bei Einwilligung: Hinweis auf Widerrufsrecht (Art. 7 Abs. 3 DSGVO)
- Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)
- Ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist
- Informationen über automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO)
Für Websites bedeutet dies konkret: Jede eingesetzte Technologie (Cookies, Analysetools, Plugins, Kontaktformulare, Newsletter) muss mit Zweck, Rechtsgrundlage, Empfänger und Speicherdauer aufgeführt werden. Die DSK-OH Digitale Dienste empfiehlt, alle eingesetzten Cookies und Tracking-Technologien zu inventarisieren und in der Datenschutzerklärung transparent darzustellen.
Fehlende oder unvollständige Informationen können mit Bußgeldern nach Art. 83 Abs. 5 lit. b DSGVO geahndet werden (bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes).
Ob Ihre Datenschutzerklärung zu den tatsächlich eingesetzten Diensten passt, zeigt ein Datenschutz-Audit.