Datenschutzerklärung: die Pflichtangaben im Einzelnen
Die Datenschutzerklärung ist der Text, bei dem am häufigsten etwas fehlt. Nicht weil Betreiber schludern, sondern weil viele Vorlagen aus einer Zeit stammen, in der die Seite anders aufgebaut war. Was Art. 13 DSGVO verlangt, lässt sich abhaken.
Die neun Punkte, die drinstehen müssen
- Verantwortlicher mit Name, Anschrift und Kontaktmöglichkeit. Bei Pflicht zur Bestellung auch der Datenschutzbeauftragte.
- Zwecke der Verarbeitung, getrennt nach Vorgängen: Kontaktformular, Newsletter, Bestellung.
- Rechtsgrundlage für jeden Zweck, also Art. 6 Abs. 1 lit. a bis f DSGVO. Eine pauschale Aufzählung aller Buchstaben ohne Zuordnung genügt nicht.
- Empfänger der Daten, also Hoster, Mailversand, Zahlungsdienst, Analysewerkzeug. Jeder einzeln mit Name und Sitz.
- Übermittlung in Drittländer mit Angabe der Garantie, meist die EU-Standardvertragsklauseln.
- Speicherdauer oder wenigstens die Kriterien dafür. „So lange wie nötig" reicht nicht.
- Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch.
- Beschwerderecht bei einer Aufsichtsbehörde. Die zuständige nennen ist freundlich, Pflicht ist der Hinweis auf das Recht.
- Widerrufsrecht bei Einwilligungen, mit dem Hinweis, dass der Widerruf für die Zukunft wirkt.
Was in Prüfungen am häufigsten fehlt
| Lücke | Warum sie entsteht |
|---|---|
| Recht auf Datenübertragbarkeit | ältere Vorlagen führen nur fünf der sechs Rechte auf |
| Speicherdauer | steht oft nur beim Newsletter, nicht bei Formular und Logfiles |
| Hoster nicht namentlich genannt | im Text steht „unser Hoster", ohne Firma und Sitz |
| Kontaktformular fehlt | das Formular kam später dazu, der Text blieb wie er war |
| Cookies erwähnt, obwohl keine gesetzt werden | und umgekehrt: Cookie gesetzt, im Text kein Wort |
Die Datenschutzerklärung muss zu dem passen, was die Seite tatsächlich tut. Eine maschinelle Prüfung vergleicht genau das: Welche fremden Server werden beim Aufruf kontaktiert, welche Cookies entstehen, welche Formulare gibt es, und steht das alles im Text.
Zwei Sonderfälle, die 2026 dazugekommen sind
KI-gestützte Verarbeitung
Wenn Sie Inhalte oder Anfragen durch ein KI-Modell laufen lassen, ist der Anbieter ein Empfänger im Sinne von Art. 13 DSGVO. Er gehört mit Name, Sitz und Rechtsgrundlage in die Liste, bei Anbietern außerhalb der EU zusätzlich mit dem Hinweis auf die Standardvertragsklauseln.
Zahlungsdienste
Verkaufen Sie etwas, kommt der Zahlungsdienst hinzu. Wichtig ist die Trennung: Welche Daten bekommt der Dienst, welche bekommen Sie zurück. Dazu die steuerliche Aufbewahrungsfrist von zehn Jahren, die sich mit kurzen Löschfristen im übrigen Text sonst widerspricht.
Der praktische Weg
Nehmen Sie Ihre Seite und schreiben Sie auf, was tatsächlich passiert: Welches Formular, welcher Versand, welches Zahlungsmittel, welcher Hoster, welche eingebundenen Dienste. Erst danach den Text schreiben oder eine Vorlage anpassen. Der umgekehrte Weg, erst Vorlage und dann hoffen, erzeugt genau die Lücken aus der Tabelle.
Datenschutzerklärung kostenlos gegen die Messwerte prüfen