Wie oft Sie Ihre Datenschutzerklärung aktualisieren und Nutzer informieren sollten

Die meisten Updates werden durch Ihr eigenes Produkt ausgelöst, nicht durch neue Gesetze. Aktualisieren Sie die Erklärung, bevor oder während eine dieser Änderungen live geht:

• Hinzufügen oder Austauschen eines Anbieters, der personenbezogene Daten erhält, etwa eines Analyse-, E-Mail-, Zahlungs-, Support- oder Hosting-Dienstes
• Einbau eines neuen SDKs, Pixels oder Tags, besonders für Werbung oder Attribution
• Erhebung einer neuen Datenkategorie, etwa Standort, Kontakte, Fotos, Gesundheitsdaten oder Sprachaufnahmen
• Nutzung vorhandener Daten für einen neuen Zweck, etwa Personalisierung, Werbung oder das Training eines KI-Modells
• Einführung von KI-Funktionen, die Nutzerinhalte an einen Modellanbieter senden
• Beginn des Verkaufs oder der Weitergabe von Daten oder ihrer Nutzung für gezielte Werbung
• Expansion in ein neues Land oder einen neuen US-Bundesstaat oder Überschreiten der Anwendungsschwelle eines Gesetzes
• Änderung von Speicherfristen, Speicherorten oder internationalen Übermittlungen
• Änderung von Firmenname, Adresse, Kontaktdaten oder Datenschutzkontakt
• Änderung der Art, wie Nutzer ihre Rechte ausüben, etwa durch ein neues Anfrageformular oder eine Einstellungsseite

Eine nützliche Gewohnheit ist der Punkt „Auswirkung auf die Datenschutzerklärung?“ in Ihrer Release-Checkliste. Lautet die Antwort ja, wird die Änderung der Erklärung zusammen mit der Funktion ausgeliefert.

Nur ein großes Gesetz legt ein festes Intervall fest, aber mehrere setzen Erwartungen, die auf dasselbe hinauslaufen:

• CCPA: Civil Code Section 1798.130(a)(5) verlangt von erfassten Unternehmen, bestimmte Angaben in ihre Online-Datenschutzerklärung aufzunehmen und diese Angaben mindestens alle 12 Monate zu aktualisieren. Die CCPA-Verordnungen verlangen zudem, dass die Erklärung das Datum der letzten Aktualisierung zeigt.
• CalOPPA: Die Erklärung muss ihr Datum des Inkrafttretens nennen und beschreiben, wie Nutzer über wesentliche Änderungen informiert werden.
• DSGVO: Es gibt kein festes Intervall, aber die Informationen, die Sie Menschen geben, müssen zutreffend sein, und europäische Transparenzleitlinien betonen, dass die Rechenschaftspflicht während des gesamten Verarbeitungszyklus gilt, nicht nur bei der Erhebung.
• Australien: APP 1 verlangt eine klar formulierte und aktuelle Datenschutzerklärung.

Praktisch ergibt sich daraus eine einfache Regel: mindestens alle 12 Monate prüfen und sofort aktualisieren, wenn sich Praktiken ändern. Eine jährliche Prüfung ohne Änderungsbedarf sollten Sie trotzdem dokumentieren, denn sie zeigt, dass die Erklärung aktiv gepflegt wird. Für Kalifornien-spezifische Inhalte lesen Sie den Leitfaden zu CCPA und CPRA.

Nicht jede Bearbeitung muss angekündigt werden. Die Transparenzleitlinien der Artikel-29-Datenschutzgruppe, die vom Europäischen Datenschutzausschuss bestätigt wurden, empfehlen, die Auswirkungen auf die Menschen abzuwägen, einschließlich ihrer Möglichkeit, ihre Rechte auszuüben, und wie unerwartet oder überraschend die Änderung wäre.

Die Leitlinien nennen konkrete Beispiele. Änderungen, die immer mitgeteilt werden sollten, sind unter anderem:

• Eine Änderung des Verarbeitungszwecks
• Eine Änderung der Identität des Verantwortlichen
• Eine Änderung, wie Menschen ihre Rechte ausüben können

Korrekturen von Rechtschreibfehlern oder stilistische und grammatikalische Verbesserungen gelten nicht als inhaltlich. Zwischen diesen Polen ist Urteilsvermögen gefragt. Ein neuer Werbepartner, der Beginn internationaler Übermittlungen oder die Nutzung von Daten zum Training von KI-Modellen sind Änderungen, die die meisten Leser für wichtig halten würden. Die Klarstellung eines bestehenden Satzes ohne Bedeutungsänderung ist es in der Regel nicht.

Im Zweifel behandeln Sie die Änderung als wesentlich. Eine moderate Änderung zu ausführlich mitzuteilen kostet wenig; eine bedeutende stillschweigend einzuführen kann Vertrauen beschädigen und die Aufmerksamkeit der Behörden auf sich ziehen.

Bei wesentlichen Änderungen reicht es nicht, das Datum oben auf der Seite zu ändern. Die europäischen Transparenzleitlinien sagen, dass eine Benachrichtigung über einen geeigneten Kanal erfolgen sollte, etwa E-Mail, Brief oder Pop-up, der den Änderungen gewidmet und nicht mit Marketinginhalten vermischt ist, und dass Hinweise, Menschen sollten „die Datenschutzerklärung regelmäßig auf Änderungen prüfen“, nicht nur als unzureichend, sondern auch als unfair gelten. Für grundlegende Änderungen, etwa neue Empfängerkategorien oder neue Übermittlungen außerhalb der Region, empfehlen sie eine Mitteilung mit ausreichendem Vorlauf, damit Menschen die Änderung abwägen und ihre Rechte ausüben können.

Ein praktischer Benachrichtigungsplan:

1. Veröffentlichen Sie die neue Fassung mit Datum des Inkrafttretens und halten Sie die alte Fassung verfügbar
2. Schicken Sie Kontoinhabern eine E-Mail mit einer kurzen, klaren Zusammenfassung, was sich ändert und warum
3. Zeigen Sie angemeldeten Nutzern einen Hinweis in der App oder auf der Website
4. Erklären Sie die voraussichtlichen Auswirkungen und mögliche Wahlmöglichkeiten, etwa einen Widerspruch
5. Lassen Sie eine angemessene Frist, bevor die Änderungen wirksam werden

Beispielformulierung: „Ab dem 1. März nutzen wir einen neuen E-Mail-Anbieter mit Sitz in den USA. Ihre Newsletter-Daten werden auf Grundlage von Standardvertragsklauseln übermittelt. Sie können sich jederzeit abmelden.“

Manche Änderungen erfordern mehr als eine Mitteilung. Wenn Sie nach der DSGVO personenbezogene Daten für einen neuen Zweck nutzen möchten, verlangt Artikel 13 Absatz 3, dass Sie die Menschen vor dieser Weiterverarbeitung informieren, und wenn die Verarbeitung auf Einwilligung beruht, brauchen Sie eine Einwilligung, die den neuen Zweck abdeckt. Die Leitlinien warnen zudem, dass Transparenz eine Änderung nicht heilt, die so bedeutend ist, dass die Verarbeitung ihrem Wesen nach eine völlig andere wird.

US-Behörden sehen das ähnlich. In einem Beitrag von 2024 warnten FTC-Mitarbeiter, dass ein Unternehmen, das freizügigere Datenpraktiken einführt und Menschen nur durch eine heimliche, rückwirkende Änderung seiner Nutzungsbedingungen oder Datenschutzerklärung darüber informiert, unlauter oder täuschend handeln kann. Der Beitrag verweist auf frühere Fälle, darunter einen, in dem ein Unternehmen seine Datenschutzerklärung änderte, um Daten an Dritte weiterzugeben, ohne Verbraucher zu informieren oder ihre Einwilligung einzuholen.

Ein sicherer Standard für bedeutende Änderungen:

• Neue Praktiken nur auf Daten anwenden, die nach der Änderung erhoben werden, oder
• Vor der Anwendung auf bereits vorhandene Daten eine klare, ausdrückliche Einwilligung einholen

Wenn Sie unsicher sind, was zutrifft, holen Sie vor dem Livegang der Änderung Rat bei einer qualifizierten Anwältin oder einem qualifizierten Anwalt ein.

Gute Versionskontrolle macht jede künftige Frage leichter zu beantworten. Mindestens sollte Ihre Erklärung ein Datum des Inkrafttretens zeigen, wie es CalOPPA verlangt, und ein Datum der letzten Aktualisierung, wie es die CCPA-Verordnungen von erfassten Unternehmen verlangen. Viele Websites ergänzen zudem eine kurze Änderungsübersicht am Anfang oder Ende der Erklärung.

Führen Sie im Hintergrund ein Archiv:

• Jede veröffentlichte Fassung mit Datum des Inkrafttretens und Datum der Ablösung
• Eine einzeilige Zusammenfassung, was sich geändert hat und warum
• Kopien aller versendeten Änderungsmitteilungen und deren Versanddatum
• Die Einwilligungsnachweise für Änderungen, die eine Einwilligung erforderten

Mit diesem Archiv können Sie zeigen, welche Erklärung galt, als sich ein Nutzer registrierte, die Frage einer Behörde oder eines Kunden präzise beantworten und Streit darüber klären, was Sie damals versprochen haben. Es beschleunigt auch die jährliche Prüfung, weil Sie von dokumentierten früheren Entscheidungen ausgehen statt aus dem Gedächtnis.

Der Legal Policy Generator nutzt versionierte Klauseln, die deterministisch anhand Ihrer Antworten ausgewählt werden. Wenn Sie Ihre Antworten aktualisieren, ändert sich der neu erzeugte Wortlaut daher nur dort, wo sich Ihre Fakten oder die zugrunde liegenden Klauselversionen geändert haben. Welches Tool Sie auch nutzen: Bewahren Sie eigene Kopien auf.

Auch Gesetze ändern sich, und mehrere aktuelle Entwicklungen können Ihre Erklärung betreffen:

• US-Bundesstaaten: Umfassende Datenschutzgesetze in Indiana, Kentucky und Rhode Island traten am 1. Januar 2026 in Kraft und ergänzen die wachsende Liste von Bundesstaaten mit Widerspruchsrechten gegen gezielte Werbung, Verkauf und Profiling. Der Leitfaden zu den Datenschutzgesetzen der US-Bundesstaaten fasst die üblichen Angaben zusammen.
• Kalifornien: Aktualisierte CCPA-Verordnungen traten am 1. Januar 2026 in Kraft und ergänzen Regeln zu Technologien für automatisierte Entscheidungen, Risikobewertungen und Cybersicherheitsaudits, mit gestaffelten Umsetzungsfristen.
• Kinder: Die geänderte COPPA Rule wurde im April 2025 mit überarbeiteten Anforderungen an Hinweise und Einwilligung veröffentlicht.
• Vereinigtes Königreich: Der Data (Use and Access) Act 2025 tritt schrittweise in Kraft und ändert Teile des britischen Datenschutzrahmens, wie im Leitfaden zur Datenschutzerklärung nach UK-DSGVO beschrieben.
• Neuseeland: Der Privacy Amendment Act 2025 hat einen neuen Grundsatz zur Information von Menschen eingeführt, wenn Daten indirekt erhoben werden.

Sie müssen nicht jeden Gesetzentwurf verfolgen. Prüfen Sie stattdessen bei jeder jährlichen Prüfung die offiziellen Quellen für die Regionen, die Sie bedienen, und abonnieren Sie Updates der Aufsichtsbehörden, die für Ihr Publikum relevant sind.

Tragen Sie einen wiederkehrenden Termin in Ihren Kalender ein und gehen Sie diese Routine jedes Jahr durch, nach einem großen Release auch früher:

1. Wiederholen Sie Ihre Dateninventur: Formulare, Konten, SDKs, Tags, Anbieter und KI-Funktionen
2. Gleichen Sie sie mit der Erklärung ab: Ist etwas neu, entfallen oder anders beschrieben?
3. Prüfen Sie die Anbieter: Bestätigen Sie Namen, Rollen, Standorte und etwaige Übermittlungsgarantien
4. Prüfen Sie die Regionen: Bedienen Sie jetzt ein neues Land oder einen neuen Bundesstaat, oder überschreiten Sie einen Schwellenwert wie den des CCPA?
5. Prüfen Sie offizielle Quellen: Suchen Sie nach neuen Gesetzen oder Leitlinien in jeder Region, die Sie bedienen
6. Testen Sie Betroffenenanfragen: Senden Sie über jeden in der Erklärung genannten Weg eine Testanfrage
7. Gleichen Sie Consent-Tools und Store-Labels ab: Banner, Datenschutzlabels im App Store und das Datensicherheitsformular (Data safety) bei Google Play sollten zur Erklärung passen
8. Aktualisieren und dokumentieren Sie: Veröffentlichen Sie Änderungen mit neuem Datum, archivieren Sie die alte Fassung und informieren Sie Nutzer bei wesentlichen Änderungen

Wenn sich nichts geändert hat, dokumentieren Sie, dass die Prüfung stattgefunden hat. Wenn Sie die Erklärung aus aktualisierten Antworten neu aufbauen möchten, können Sie das Ergebnis im Generator für Datenschutzerklärungen vor der Veröffentlichung kostenlos ansehen. Den übergreifenden Prozess für jeden Abschnitt beschreibt Datenschutzerklärung schreiben.