Kurz gesagt: Jede Website, auf der personenbezogene Daten verarbeitet werden, braucht eine Datenschutzerklärung. Das gilt für Unternehmen, Vereine und in der Regel auch für Blogs und private Websites, sobald sie öffentlich erreichbar sind. Schon beim Aufruf einer Seite verarbeitet der Server die IP-Adresse der Besucher. Wer die DSGVO auf einer Website umsetzen will, sollte diese Punkte prüfen. Wie sich eine Datenschutzerklärung Schritt für Schritt erstellen lässt, steht im Beitrag Datenschutzerklärung erstellen.
Spätestens seit dem 25. Mai 2018 benötigen alle verantwortlichen Stellen eine DSGVO-konforme Datenschutzerklärung auf ihrer Website. In unserem Blogbeitrag lesen Sie Tipps für den Datenschutz auf Ihrer Homepage und weiteren Websites. Nach der DSGVO sind diverse rechtliche Vorgaben für eine Datenschutzerklärung zu berücksichtigen. Bei Missachtung dieser Vorgaben drohen Strafen in Form von Bußgeldern von bis zu 20 Mio. € oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem welcher der Beträge höher ist.
Die für eine Datenschutzerklärung erforderliche Angaben können Sie in einer Übersicht aus diesem Beitrag entnehmen. Darüber hinaus stellen wir Ihnen auch eine Muster-Datenschutzerklärung zur Verfügung.
Die Datenschutzerklärung
Die Datenschutzerklärung der Website (auch Datenschutzhinweise, Datenschutzinformation oder Datenschutzerklärung der Webseite oder Homepage genannt) informiert Besucher darüber, welche personenbezogenen Daten beim Besuch erhoben werden, wofür sie genutzt werden und welche Rechte Betroffene haben. Sie gehört bei Websites von Unternehmen, Vereinen und Selbstständigen zu den Pflichtangaben und muss über jede Seite erreichbar sein. Jede Website muss die Datenschutz-Vorgaben der DSGVO ausreichend berücksichtigen. Eine explizite Nennung von Websites erfolgt in der neuen Datenschutzverordnung nicht. Vielmehr umschreibt die Datenschutzerklärung alle Informations- und Transparenzpflichten gem. Art. 12 ff. DSGVO, die unabhängig von der Datenerhebung auf Websites bei jeder anderen Datenerhebung ebenfalls berücksichtigt werden müssen. Art. 13 DSGVO nennt insgesamt über zwölf Punkte, die je Verarbeitungstätigkeit angegeben werden, wobei gewisse Punkte wie die Betroffenenrechte nur einmal genannt werden müssen.
Der erforderliche Detailgrad der Datenschutzerklärung bemisst sich nach den gesetzlichen Vorgaben gem. Art. 12, 13 DSGVO. Die erforderlichen Mindestangaben, insbesondere aus Art. 13 DSGVO, müssen zwingend erfüllt werden.
Bezüglich des Ortes der Platzierung der Datenschutzerklärung sind die Vorgaben aus Art. 12 Abs. 1 S.1 DSGVO zu berücksichtigen: Die Informationen, die eine Datenschutzerklärung enthalten muss, müssen präzise, transparent, verständlich und vor allem in leicht zugänglicher Form der jeweiligen betroffenen Person zur Verfügung gestellt werden. Diese Vorgabe macht deutlich, dass die Datenschutzerklärung nicht versteckt auf einer Website platziert werden darf, denn das würde den Vorgaben der DSGVO widersprechen.
Die betroffene Person muss die Datenschutzerklärung ohne Aufwand finden können. Ferner muss die Datenschutzerklärung auf der Website stets abrufbar sein, um die Informationspflichten DSGVO-konform zu erfüllen.
Entscheidend ist in diesem Zusammenhang auch, welche personenbezogene Daten bei der Nutzung einer Website eigentlich erhoben werden. Hierzu gehören in der Regel die IP-Adresse und weitere Angaben in Verbindung zu einer Person, wie z.B. der eingesetzte Browser, das Betriebssystem oder die Uhrzeit der Website-Abrufe durch diese IP-Adresse. Darüber hinaus werden auch, in Abhängig von der jeweiligen Website (z.B. Online-Shop), ggfs. “klassische” personenbezogene Daten wie Name, Adresse und Zahlungsdaten erhoben.
Wann ist Datenschutz auf Websites Pflicht?
Eine Datenschutzerklärung auf Websites ist immer dann Pflicht, wenn im Rahmen des Besuchs der Website personenbezogene Daten von Besuchern erhoben werden. Das dürfte in der Regel bei nahezu jeder Website der Fall sein. Betroffen von der Pflicht, mittels einer Datenschutzerklärung die Informations- und Transparenzpflichten gem. Art. 12 ff. DSGVO zu erfüllen, sind nicht nur Unternehmen, sondern auch Vereine, Körperschaften (Behörden), Stiftungen und Anstalten. Vorschriften des Telemediengesetzes (TMG) in Form der §§ 12, 13 und 15 TMG, sind seit Anwendbarkeit der DSGVO am 25.05.2018 laut einer Positionsbestimmung der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) für nicht-öffentliche Stellen nicht mehr anwendbar.
Datenschutz auf Unternehmens-Websites
Mit der zunehmenden Digitalisierung werden Websites für Unternehmen insbesondere aus wirtschaftlicher Perspektive immer wichtiger. Da die Relevanz von Websites für den wirtschaftlichen Erfolg immer weiter wächst, sollten auch die Vorgaben der DSGVO stets berücksichtigt werden, da die Aufmerksamkeit in Bezug auf Websites immer weiter wächst. In diesem Zusammenhang spielen auch die Rechte von Betroffenen nach der DSGVO eine besondere. Hinzu kommt ein explizites Beschwerderecht von betroffenen Personen in Bezug auf Datenschutzverstöße bei der jeweiligen zuständigen Aufsichtsbehörde, vgl. Art. 77 DSGVO.
Datenschutz auf Vereins-Websites
Für Websites von Vereinen gelten keine datenschutzrechtlichen Besonderheiten. Auch bei Vereinen handelt es sich um Verantwortliche i.S.d. § 4 Nr. 7 DSGVO. Websites von Vereinen müssen hinsichtlich der Datenschutzerklärung die gleichen Vorgaben erfüllen wie auch Unternehme nund Behörden. Die Verwirrung und Aufregung bezüglich der Vorgaben der DSGVO und des BDSG-neu waren vor, während und nach Anwendbarkeit der DSGVO besonders groß.
Ursächlich hierfür sind keine expliziten und besondere datenschutzrechtliche Regelungen für Vereine, sondern eher die Tatsache, dass die DSGVO auch Vereine mit hauptsächlich ehrenamtlich tätigen Mitgliedern genauso in die Pflicht nimmt wie Unternehmen und Behörden. Einige Behörden haben allerdings Schwerpunkte der datenschutzrechtlichen Vorgaben für Vereine bestimmt: So hat das Bayerische Landesamt für Datenschutzaufsicht eine Checkliste und ein FAQ mit den zehn häufigsten Fragen zum Datenschutz für Vereine veröffentlicht.
Datenschutz auf privaten Websites
Auch für private Websites macht die DSGVO keine Ausnahmen: Betreiber privater Websites, beispielsweise für ein Hobby oder für Blogbeiträge, sind ebenfalls Verantwortliche nach der DSGVO und müssen daher ebenfalls eine Datenschutzerklärung nach den Vorgaben der Art. 12 ff. DSGVO auf der eigenen Website einstellen. Auch für private Websitenbetreiber und Vereine drohen identische Bußgelder. Auch Privatpersonen sollen bereits wegen eines Verstoßes gegen die DSGVO abgemahnt worden sein.
Braucht jede Website eine Datenschutzerklärung?
In der Regel ja. Wer wissen will, wer eine Datenschutzerklärung braucht, fragt am besten, ob auf der Website personenbezogene Daten verarbeitet werden. Das ist fast immer der Fall, denn schon beim Aufruf speichern Server die IP-Adresse in Logfiles. Diese Tabelle zeigt, was für welche Website gilt:
| Website-Typ | Erklärung nötig? | Begründung |
|---|---|---|
| Unternehmenswebsite, Webshop, Selbstständige | Ja | Verarbeitung personenbezogener Daten im geschäftlichen Zusammenhang (Logfiles, Kontaktformular, Cookies, Bestellungen) |
| Verein, Verband, Stiftung | Ja | Zum Beispiel Mitgliederbereich, Kontaktformular, Veranstaltungsanmeldung |
| Blog mit Kommentarfunktion, Newsletter oder Analyse-Tool | Ja | Kommentare, E-Mail-Adressen und Nutzungsdaten werden verarbeitet |
| Private Website ohne Kontaktformular, Cookies und Tracking | In der Regel ja | Die Ausnahme für rein persönliche oder familiäre Tätigkeiten (Art. 2 Abs. 2 lit. c DSGVO) wird bei öffentlich erreichbaren Seiten eng ausgelegt, Logfiles fallen trotzdem an |
| Website, die ein Dienstleister oder eine Agentur für Kunden betreibt | Ja, für den Kunden | Der Betreiber ist Verantwortlicher, der Dienstleister in der Regel Auftragsverarbeiter |
Wer als Betreiber einer privaten Website oder eines Blogs auf Nummer sicher gehen will, nimmt eine Datenschutzerklärung auf, auch wenn nur wenige Daten verarbeitet werden. Was in jedem Fall hineingehört, steht im Abschnitt „Was gehört in eine Datenschutzerklärung?“.
Was müssen Webseitenbetreiber bei der DSGVO beachten?
Webseitenbetreiber müssen die Besucher informieren (Datenschutzerklärung), eine Rechtsgrundlage für jede Verarbeitung haben, Einwilligungen für nicht notwendige Cookies einholen, Verträge mit Dienstleistern schließen und technische Maßnahmen wie die verschlüsselte Übertragung (HTTPS) umsetzen. Wer das auf der eigenen Website prüfen will, nutzt die Aufzählung am Anfang des Beitrags und die Tabellen weiter unten.
Datenschutz für Webagenturen: Wer ist für die Website verantwortlich?
Verantwortlich für den Datenschutz auf der Website ist der Betreiber, also der Auftraggeber. Eine Webagentur, die die Seite im Auftrag erstellt, hostet oder pflegt, ist dabei meist Auftragsverarbeiter und braucht einen Vertrag nach Art. 28 DSGVO. Für die Website der Agentur selbst gilt wie für jede andere Website: Die Agentur ist Verantwortlicher und braucht eine eigene Datenschutzerklärung. Agenturen sollten die Datenschutzerklärung eines Kunden nicht pauschal übernehmen, weil sie von den eingesetzten Diensten abhängt. Wer im Unternehmen für die Einhaltung zuständig ist, steht im Beitrag Wer ist für die Einhaltung des Datenschutzes verantwortlich?. Wer die Aufgaben nicht selbst übernehmen will, kann einen externen Datenschutzbeauftragten einbinden.
Konsequenzen bei der Nichteinhaltung des Datenschutzes
Bei Verstößen gegen die DSGVO können die Aufsichtsbehörden Bußgelder verhängen, der Rahmen reicht bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO). Eine fehlende oder fehlerhafte Datenschutzerklärung kann außerdem zu Beschwerden von Betroffenen und zu Abmahnungen oder Unterlassungsforderungen führen. Welche Folgen Verstöße für die Geschäftsführung haben können, steht im Beitrag zur Haftung der Geschäftsführung.
Wie hoch kann das Bußgeld ausfallen?
Verstöße gegen die Informationspflichten fallen in die höchste Bußgeldstufe der DSGVO. Nach Art. 83 Abs. 5 lit. b DSGVO können die Aufsichtsbehörden Geldbußen von bis zu 20 Millionen Euro verhängen. Bei Unternehmen liegt die Obergrenze alternativ bei 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.
Diese Werte sind Höchstgrenzen, keine Regelbeträge. Wie hoch ein Bußgeld im Einzelfall ausfällt, hängt von den Kriterien des Art. 83 Abs. 2 DSGVO ab, etwa von Schwere und Dauer des Verstoßes oder davon, ob vorsätzlich gehandelt wurde. Die Leitlinien 04/2022 des Europäischen Datenschutzausschusses (EDSA) konkretisieren die Berechnung. Wie eine behördliche Prüfung abläuft, lesen Sie in unserem Beitrag Was prüft die Datenschutzbehörde?
Können Wettbewerber eine fehlerhafte Datenschutzerklärung abmahnen?
Ja. Der Bundesgerichtshof (BGH) hat am 27. März 2025 entschieden, dass Mitbewerber und Verbraucherschutzverbände DSGVO-Verstöße über das Gesetz gegen den unlauteren Wettbewerb (UWG) verfolgen dürfen (BGH, Az. I ZR 186/17, I ZR 222/19 und I ZR 223/19). Für Datenschutzerklärungen ist das Verfahren I ZR 186/17 besonders relevant. Dort ging es um unzureichende Datenschutzhinweise, und der BGH wertete den Verstoß gegen die Informationspflichten zugleich als wettbewerbswidriges Vorenthalten wesentlicher Informationen nach § 5a UWG.
Den Weg dafür hatte der Europäische Gerichtshof (EuGH) mit zwei Urteilen geebnet: Meta Platforms vom 28. April 2022 (Rs. C-319/20) und Lindenapotheke vom 4. Oktober 2024 (Rs. C-21/23). Die uneinheitliche Rechtsprechung der Instanzgerichte aus dem Jahr 2018, etwa des LG Würzburg, des LG Wiesbaden und des OLG Hamburg, ist damit überholt.
Was gehört in eine Datenschutzerklärung?
Diese Pflichtangaben gehören nach Art. 13 DSGVO in die Datenschutzerklärung einer Website:
| Pflichtangabe | Was angeben | Grundlage |
|---|---|---|
| Verantwortlicher | Name und Kontaktdaten des Betreibers | Art. 13 Abs. 1 lit. a |
| Datenschutzbeauftragter | Kontaktdaten, falls einer benannt ist | Art. 13 Abs. 1 lit. b |
| Zwecke und Rechtsgrundlagen | wofür die Daten verarbeitet werden und auf welcher Grundlage | Art. 13 Abs. 1 lit. c |
| Berechtigte Interessen | welches Interesse verfolgt wird, wenn die Verarbeitung darauf beruht | Art. 13 Abs. 1 lit. d |
| Empfänger | wer die Daten erhält (zum Beispiel Hosting-Anbieter, Analyse-Dienste) | Art. 13 Abs. 1 lit. e |
| Drittlandübermittlung | ob Daten in Länder außerhalb der EU gehen und mit welchen Garantien | Art. 13 Abs. 1 lit. f |
| Speicherdauer | wie lange Daten gespeichert werden oder nach welchen Kriterien | Art. 13 Abs. 2 lit. a |
| Rechte der Betroffenen | Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit | Art. 13 Abs. 2 lit. b |
| Widerruf der Einwilligung | Hinweis, dass eine Einwilligung jederzeit widerrufen werden kann | Art. 13 Abs. 2 lit. c |
| Beschwerderecht | Recht auf Beschwerde bei einer Aufsichtsbehörde | Art. 13 Abs. 2 lit. d |
| Bereitstellung der Daten | ob die Angabe gesetzlich oder vertraglich vorgeschrieben ist und welche Folgen die Nichtangabe hat | Art. 13 Abs. 2 lit. e |
| Automatisierte Entscheidungen | ob es eine automatisierte Entscheidungsfindung einschließlich Profiling gibt | Art. 13 Abs. 2 lit. f |
Datenschutz auf der Website umsetzen: Typische Inhalte nach Funktion
Welche Angaben konkret in die Datenschutzerklärung kommen, hängt davon ab, was auf der Website passiert. Die Angaben ergeben sich aus dem Verzeichnis von Verarbeitungstätigkeiten. Typische Funktionen einer Website:
| Funktion | Welche Daten | Typische Rechtsgrundlage und Hinweis |
|---|---|---|
| Hosting und Server-Logfiles | IP-Adresse, Datum und Uhrzeit, Browser, aufgerufene Seite | berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Mit dem Hosting-Anbieter einen Vertrag zur Auftragsverarbeitung schließen und die Speicherdauer der Logfiles nennen |
| Kontaktformular und E-Mail | Name, E-Mail-Adresse, Nachricht | Vertrag oder vorvertragliche Maßnahmen (lit. b) oder berechtigtes Interesse (lit. f), Löschfristen nennen |
| Cookies, Tracking und Analyse | Kennungen, Nutzungsdaten, Gerätedaten | Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 TDDDG), nur technisch notwendige Cookies brauchen keine |
| Newsletter | E-Mail-Adresse, Anmeldezeitpunkt | Einwilligung, Protokoll der Anmeldung führen |
| Eingebundene Dienste (Schriftarten, Karten, Videos, Social-Media-Plugins) | IP-Adresse und Browserdaten, die an den Anbieter gehen | in der Regel Einwilligung, wenn Daten an Dritte übertragen werden. Anbieter und Land der Verarbeitung nennen |
| Externe Links | beim bloßen Link keine Übertragung beim Aufruf der eigenen Seite | Ein Link auf eine fremde Website überträgt erst beim Anklicken Daten an die Zielseite. Anders ist es bei eingebundenen Inhalten (zum Beispiel einem Video-Player), die schon beim Laden der Seite Daten übertragen. In der Datenschutzerklärung darauf hinweisen, dass für fremde Seiten deren Datenschutzerklärung gilt |
Wer die Nachweise und Verträge dauerhaft führen will, nutzt ein Datenschutzmanagementsystem, auf Wunsch mit Software.
Impressum und Datenschutzerklärung: Pflicht, Unterschiede und Platzierung
Impressum und Datenschutzerklärung sind zwei getrennte Pflichten. Die Datenschutzerklärung gehört nicht ins Impressum, sondern auf eine eigene Seite. Beide müssen von jeder Seite der Website leicht erreichbar sein, üblicherweise über Links im Footer. Regelungen bezüglich eines Impressums ergeben sich somit nicht aus der DSGVO. Zweck der Impressumspflicht ist es, dass Besucher der Website wissen, von dem diese betrieben wird. Dies gilt insbesondere für etwaige rechtliche Ansprüche. Daher muss das Impressum einer Website auch immer eine ladungsfähige Anschrift enthalten, damit rechtliche Ansprüche auch gerichtlich geltend gemacht werden können. In diesem Zusammenhang ist ein Impressum-Generator bei vielen Website-Betreibern im Einsatz. Auch Muster für ein Impressum werden von vielen Unternehmen im Internet angeboten. Abmahnungen wegen Verstößen gegen die Impressumspflicht waren in der Vergangenheit oft Gegenstand diverser Gerichtsverhandlungen (vgl. bspw. OLG Hamburg, OLG Düsseldorf).
Besonders wichtig ist die Differenzierung zwischen Datenschutzerklärung und Impressum: So müssen beide getrennt auf einer Website ausgewiesen werden. Zwar gibt es beispielsweise bei der Angabe der verantwortlichen Stelle, inkl. Kontaktdaten, eine gewisse Gemeinsamkeit von Datenschutzerklärung und Impressum. Allerdings sind die weiteren erforderlichen Punkte einer Datenschutzerklärung stark von den erforderlichen Angaben eines Impressums zu differenzieren. Daher müssen Websitenbetreiber stets daran denken, Impressum und Datenschutzerklärung getrennt auf einer Website darzustellen und für jeden dieser beiden Punkte gesondert die rechtlichen Vorgaben berücksichtigen.
| Impressum | Datenschutzerklärung | |
|---|---|---|
| Zweck | Anbieterkennzeichnung: wer betreibt die Website? | Information über die Verarbeitung personenbezogener Daten der Besucher |
| Grundlage | § 5 DDG (bei journalistisch-redaktionellen Angeboten § 18 MStV) | Art. 13 und 14 DSGVO |
| Pflicht für | Anbieter geschäftsmäßiger digitaler Dienste, in der Regel gegen Entgelt | jeden Verantwortlichen, der über die Website personenbezogene Daten verarbeitet |
| Typischer Inhalt | Name, Anschrift, Kontakt, Rechtsform, Register, Umsatzsteuer-ID | Verantwortlicher, Zwecke, Rechtsgrundlagen, Empfänger, Dauer, Rechte |
| Platzierung | eigene Seite, erreichbar mit höchstens zwei Klicks | eigene Seite, erreichbar mit höchstens zwei Klicks |
Informierte Einwilligungen und Consent-Management für Cookies
Cookies und Tracking sind der Teil, den Besucher auf einer Website am deutlichsten merken. Technisch notwendige Cookies dürfen ohne Einwilligung gesetzt werden, alle anderen (zum Beispiel Analyse, Marketing, eingebundene Videos) erst nach einer informierten Einwilligung (§ 25 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ein Cookie-Banner sollte deshalb Ablehnen und Zustimmen gleichwertig anbieten, die Auswahl speichern und widerrufbar machen. In der Datenschutzerklärung müssen die eingesetzten Dienste und Cookies mit Zweck und Speicherdauer genannt werden.
Wenn auf Ihrer Website Cookies verarbeitet werden, müssen Sie ein datenschutzkonformes Cookie-Management einrichten. Hier existieren bereits einige Anbieter, wie z.B. hellotrust, die nach der Installation die datenschutzkonforme Verwaltung der Cookies übernehmen. Wichtig ist in diesem Zusammenhang, dass nur informierte Einwilligung die Speicherung von Cookies erlauben. Zudem müssen die betroffenen Personen die Möglichkeit haben, die selbst vorgenommene Auswahl für Cookies jederzeit wieder ändern zu können. Wenn mehrere Cookies eingesetzt werden, was der Regelfall sein dürfte, müssen betroffene Personen die Option haben, sich für oder gegen einzelne Cookies entscheiden zu können. Die Option, lediglich in alle Cookies einzuwilligen, ist unzulässig.
Muster für die Datenschutzerklärung auf Websites
Datenschutzerklärung kopieren: Ist das erlaubt?
Eine Datenschutzerklärung von einer anderen Website zu kopieren, ist nicht empfehlenswert. Zum einen kann der Text urheberrechtlich geschützt sein, zum anderen passt er selten: Eine Datenschutzerklärung muss beschreiben, welche Daten auf der eigenen Website tatsächlich verarbeitet werden, mit welchen Diensten und mit welcher Rechtsgrundlage. Eine übernommene Erklärung nennt oft Dienste, die die Website gar nicht nutzt, oder lässt eingesetzte Dienste weg. Als Vorlage und Ausgangspunkt eignet sich ein Muster, das Sie anpassen. Das Muster Datenschutzerklärung von Keyed zeigt die Struktur, die Angaben zu den eingesetzten Diensten müssen Sie selbst ergänzen.
FAQ
Braucht jede Website eine Datenschutzerklärung?
In der Regel ja. Sobald eine Website öffentlich erreichbar ist, werden personenbezogene Daten verarbeitet, mindestens die IP-Adresse in den Server-Logfiles. Das gilt für Unternehmen, Vereine, Blogs und in der Regel auch für private Websites. Eine Ausnahme gilt nur für rein persönliche oder familiäre Tätigkeiten (Art. 2 Abs. 2 lit. c DSGVO).
Welche Pflichtangaben gehören in die Datenschutzerklärung?
Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Datenschutzbeauftragten, Zwecke und Rechtsgrundlagen, Empfänger, Übermittlung in Drittländer, Speicherdauer, Rechte der Betroffenen, Widerrufsrecht, Beschwerderecht, Hinweis zur Bereitstellung der Daten und zu automatisierten Entscheidungen (Art. 13 DSGVO).
Darf man eine Datenschutzerklärung kopieren?
Davon ist abzuraten. Der Text kann urheberrechtlich geschützt sein und passt in der Regel nicht zu den Diensten, die die eigene Website nutzt. Ein Muster kann als Ausgangspunkt dienen, muss aber angepasst werden.
Kann die Datenschutzerklärung im Impressum stehen?
Besser nicht. Impressum und Datenschutzerklärung sind zwei getrennte Pflichten und sollten auf eigenen Seiten stehen, die von jeder Seite der Website leicht erreichbar sind, zum Beispiel über den Footer.
Wer ist für den Datenschutz auf der Website verantwortlich?
Der Betreiber der Website, also das Unternehmen, der Verein oder die Person, die über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Eine Webagentur, die die Website im Auftrag betreibt oder pflegt, ist in der Regel Auftragsverarbeiter und braucht einen Vertrag nach Art. 28 DSGVO.
Braucht ein Blog oder eine private Website eine Datenschutzerklärung?
Ja, in der Regel schon, vor allem bei Kommentaren, Newsletter, Analyse-Tools, eingebundenen Videos oder Karten. Auch ohne diese Funktionen fallen Logfiles an.
Was gilt für externe Links?
Ein Link auf eine fremde Website überträgt erst beim Anklicken Daten an die Zielseite, dort gilt deren Datenschutzerklärung. Eingebundene Inhalte wie Videos, Karten oder Schriftarten übertragen dagegen schon beim Laden der eigenen Seite Daten und müssen in der Datenschutzerklärung genannt werden, in der Regel mit Einwilligung.
Wie setzen Unternehmen Cookies und Tracking auf der Website DSGVO-konform um?
Nur technisch notwendige Cookies dürfen ohne Einwilligung gesetzt werden. Alle anderen werden erst nach einer informierten Einwilligung geladen, die Auswahl wird gespeichert und lässt sich widerrufen. Die eingesetzten Dienste stehen mit Zweck und Speicherdauer in der Datenschutzerklärung (§ 25 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).
Was passiert, wenn die Datenschutzerklärung fehlt oder fehlerhaft ist?
Betroffene können sich bei der Aufsichtsbehörde beschweren, die Bußgelder verhängen kann (Art. 83 DSGVO). Zusätzlich sind Abmahnungen oder Unterlassungsforderungen möglich.
Wer hilft Unternehmen beim Datenschutz auf der Website?
Unterstützen können ein interner oder externer Datenschutzbeauftragter, Datenschutzmanagement-Software und bei Rechtsfragen eine Kanzlei. Keyed übernimmt als externer Datenschutzbeauftragter Überwachung, Beratung und Schulung. Die Verantwortung bleibt beim Betreiber der Website.
