Beispiele für Datenschutzerklärungen, Abschnitt für Abschnitt kommentiert

Kurze Textbausteine zeigen das Muster, aber es hilft, eine vollständige Erklärung zu lesen. Diese veranschaulichenden Muster wurden von derselben Engine aus fiktiven Antworten erzeugt, sodass Sie sehen, wie die Abschnitte bei verschiedenen Produkten zusammenpassen:

• Muster-Datenschutzerklärung für Websites: eine fiktive Content-Website mit Google Analytics, Newsletter, Einwilligung und Rechten nach EU- und UK-Recht
• Muster-Datenschutzerklärung für mobile Apps: eine fiktive App mit Konten, Firebase-Analyse, In-App-Abos und Angaben für Kalifornien
• Muster-Datenschutzerklärung für Onlineshops: ein fiktiver Onlineshop mit Stripe-Zahlungen, Newsletter, Werbung über das Meta Pixel und Rechten nach EU- und kanadischem Recht
• Muster-Datenschutzerklärung für KI-SaaS: ein fiktives KI-Schreibprodukt mit Modellanbietern, gespeicherten Prompts, ohne Training und mit DSGVO-Rechten

Nutzen Sie sie, um Struktur und Detailtiefe zu verstehen, nicht als Text zum Kopieren. Jedes Muster beschreibt die Praktiken eines fiktiven Unternehmens. Wenn Sie so weit sind, erklärt die Seite Vorlage für Datenschutzerklärungen, wie sich dieselbe Struktur an Ihre eigenen Antworten anpasst.

Starke Datenschutzerklärungen sehen auf den ersten Blick unterschiedlich aus, teilen aber eine Handvoll Merkmale, die Sie in Sekunden erkennen:

• Konkret statt generisch: Sie nennen echte Datenkategorien, Tools und Anbieter statt „bestimmter Informationen“ und „vertrauenswürdiger Partner“
• Zweckorientiert: Jede Datennutzung ist mit einem Grund verknüpft, den Leser verstehen
• Gut überfliegbar: klare Überschriften, kurze Absätze, Listen und oft eine Zusammenfassung am Anfang
• Umsetzbar: Sie erklären, wie man Rechte ausübt, mit einem funktionierenden Kontaktweg
• Ehrlich zu Grenzen: Sie beschreiben Sicherheitsmaßnahmen, ohne perfekte Sicherheit zu versprechen
• Datiert: Sie zeigen ein Datum des Inkrafttretens und erklären, wie Änderungen angekündigt werden

Die Liste der Datenschutzinformationen des britischen ICO und Artikel 13 DSGVO beschreiben den Inhalt; klare Sprache macht ihn nutzbar. Die Beispiele unten verwenden ein fiktives Unternehmen, Harbor Lane Ceramics, einen Onlineshop für Keramik in Irland, der an Kunden in der EU und im Vereinigten Königreich verkauft, einen Zahlungsdienstleister nutzt, einen Newsletter versendet und Analyse mit Einwilligung betreibt. Die Textbausteine dienen nur der Veranschaulichung. Ihr eigener Wortlaut muss Ihre eigenen Praktiken beschreiben, weshalb Kopieren eine schlechte Idee ist, wie in darf ich eine Datenschutzerklärung kopieren erklärt.

Beispielformulierung: „Harbor Lane Ceramics Ltd (fiktiv), 1 Example Street, Example City, Irland, ist verantwortlich für die in dieser Erklärung beschriebenen personenbezogenen Daten. Bei Fragen zum Datenschutz erreichen Sie uns unter [email protected]. Wir bemühen uns, innerhalb von fünf Werktagen zu antworten.“

Warum das funktioniert:

• Es nennt die juristische Person, nicht nur die Marke, und genau das verlangt Artikel 13 DSGVO, wenn er Namen und Kontaktdaten des Verantwortlichen fordert
• Es gibt einen eigenen Datenschutzkontakt an, der betreut wird
• Es setzt eine realistische Erwartung an die Antwortzeit

Wenn Sie einen Datenschutzbeauftragten benannt haben oder einen Vertreter in der EU oder im Vereinigten Königreich, weil Sie außerhalb dieser Regionen sitzen, gehören auch deren Kontaktdaten hierher. Vermeiden Sie allgemeine Formulierungen wie „kontaktieren Sie uns über unsere Website“, wenn Sie einen direkten Weg angeben können.

Eine häufige Schwäche online zu findender Erklärungen ist, dass sie nur eine Marke oder eine Website-Adresse nennen. Leser, Behörden und App-Store-Prüfer wollen wissen, welches Unternehmen tatsächlich verantwortlich ist, und die Google Play User Data Policy verlangt ausdrücklich Entwicklerinformationen und einen Ansprechpartner für Datenschutz.

Beispielformulierung: „Wir erheben:

• Bestelldaten, die Sie uns beim Checkout angeben: Name, E-Mail-Adresse, Lieferadresse und Telefonnummer
• Zahlungsbestätigungen unseres Zahlungsdienstleisters; Ihre vollständige Kartennummer sehen und speichern wir nicht
• Newsletter-Daten: Ihre E-Mail-Adresse und welche E-Mails Sie öffnen, wenn Sie sich anmelden
• Nutzungsdaten, die mit Ihrer Einwilligung automatisch erhoben werden: aufgerufene Seiten, Gerätetyp und ein aus Ihrer IP-Adresse abgeleiteter ungefährer Standort
• Nachrichten, die Sie uns per E-Mail oder über unser Kontaktformular senden“

Warum das funktioniert: Jede Kategorie ist konkret und mit ihrer Herkunft verknüpft: von Ihnen, automatische Erhebung oder ein Dritter. Leser können jeden Punkt etwas zuordnen, das sie auf der Website getan haben. Beachten Sie die ausdrückliche Aussage zu Kartennummern; sie beantwortet eine Frage, die viele Käufer haben, und stimmt nur, weil der Shop einen gehosteten Checkout nutzt.

Die schwache Version dieses Abschnitts lautet „Wir können personenbezogene Daten wie Ihren Namen, Ihre E-Mail und andere Informationen erheben.“ Sie sagt Lesern nichts darüber, was tatsächlich geschieht, und würde Gesetze nicht erfüllen, die Kategorien und Quellen verlangen.

Beispielformulierung: „Wir nutzen Ihre Daten, um:

• Ihre Bestellungen zu bearbeiten und zu liefern und Rücksendungen abzuwickeln (Rechtsgrundlage: Vertragserfüllung)
• Bestellbestätigungen und Versandupdates zu senden (Vertrag)
• Ihnen unseren Newsletter zu senden, wenn Sie ihn abonnieren (Einwilligung, die Sie jederzeit widerrufen können)
• zu verstehen, wie Besucher unsere Website nutzen, damit wir sie verbessern können (Einwilligung über unsere Cookie-Einstellungen)
• die steuerrechtlich vorgeschriebenen Buchhaltungsunterlagen aufzubewahren (rechtliche Verpflichtung)
• Betrug zu verhindern und unseren Shop sicher zu halten (unser berechtigtes Interesse am Schutz unseres Unternehmens und unserer Kunden)“

Warum das funktioniert: Jeder Zweck ist mit einer Rechtsgrundlage verknüpft, wie es Artikel 13 DSGVO verlangt, und das berechtigte Interesse wird benannt statt vage gelassen. Die Zwecke sind in Alltagssprache geschrieben, die dem entspricht, was der Shop sichtbar tut.

Erklärungen für Publikum außerhalb Europas nennen Zwecke oft ohne Rechtsgrundlagen, was dort in Ordnung ist, wo keine solche Pflicht besteht. Wenn Sie Nutzer in der EU oder im Vereinigten Königreich bedienen, gehört diese Zuordnung jedoch zu den am häufigsten fehlenden Elementen in Erklärungen aus generischen Vorlagen. Der DSGVO-Leitfaden zur Datenschutzerklärung erklärt jede Rechtsgrundlage.

Beispielformulierung: „Wir geben Daten nur an Anbieter weiter, die uns beim Betrieb des Shops helfen:

• Unseren Zahlungsdienstleister, um Zahlungen abzuwickeln und Betrug zu verhindern
• Unsere E-Commerce-Plattform, die den Shop hostet und Bestelldaten speichert
• Unseren E-Mail-Anbieter, um Bestell-E-Mails und unseren Newsletter zu versenden
• Unseren Analyseanbieter, wenn Sie in Analyse-Cookies einwilligen
• Paketdienste, um Ihr Paket zuzustellen

Wir verkaufen Ihre personenbezogenen Daten nicht. Einige Anbieter haben ihren Sitz in den USA; werden Daten außerhalb des Europäischen Wirtschaftsraums übermittelt, stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission oder eine andere rechtmäßige Garantie.“

Warum das funktioniert: Empfänger sind nach Rolle gruppiert, und jeder hat einen Grund. Die Aussage zur Übermittlung nennt die Garantie, wie es die DSGVO verlangt, wenn Daten die Region verlassen. Viele echte Erklärungen nennen jeden Anbieter einzeln; das hilft, wenn Leser die Erklärung des Anbieters selbst lesen möchten.

Die schwache Version, „Wir können Daten an vertrauenswürdige Dritte weitergeben“, gehört zu den häufigsten Formulierungen in schlechten Erklärungen. Sie beantwortet keine der Fragen, die Leser oder Behörden stellen würden.

Beispielformulierung: „Wir verwenden notwendige Cookies für Warenkorb und Checkout. Mit Ihrer Einwilligung verwenden wir zusätzlich Analyse-Cookies, um zu messen, welche Seiten besucht werden. Sie können Analyse-Cookies beim ersten Besuch im Banner annehmen oder ablehnen und Ihre Wahl jederzeit über den Link Cookie-Einstellungen im Footer ändern.“

Warum das funktioniert: Es trennt notwendige von optionalen Cookies, sagt, dass optionale von einer Einwilligung abhängen, und zeigt Nutzern genau, wo sie ihre Wahl ändern können. Vor allem entspricht es dem, was das Consent-Banner tatsächlich tut. Eine Erklärung, die sagt, Analyse laufe nur mit Einwilligung, auf einer Website, auf der Analyse sofort geladen wird, ist ein Widerspruch, den Behörden und Nutzer erkennen können.

Wenn Sie viele Tracking-Technologien nutzen, kann eine Tabelle mit jedem Cookie, seinem Anbieter, Zweck und seiner Laufzeit in diesem Abschnitt stehen oder in einer separaten, von hier verlinkten Cookie-Richtlinie. Manche Tools haben auch vertragliche Anforderungen; die Nutzungsbedingungen von Google Analytics verlangen zum Beispiel, dass Sie die Nutzung des Dienstes offenlegen. Themen für Formulierungen speziell zur Analyse finden Sie im Leitfaden zu Analyse-Angaben.

Beispielformulierung: „Wir speichern:

• Bestell- und Rechnungsunterlagen sechs Jahre lang, um unsere steuerlichen Aufbewahrungspflichten zu erfüllen
• Newsletter-Daten, bis Sie sich abmelden
• Kundenservice-E-Mails zwei Jahre nach Ihrer letzten Nachricht
• Analysedaten 14 Monate lang, danach werden sie automatisch gelöscht“

Warum das funktioniert: Die DSGVO verlangt entweder eine Speicherdauer oder die Kriterien für ihre Festlegung, und dieses Beispiel nennt konkrete Fristen mit Gründen. Leser sehen, dass nichts unbegrenzt gespeichert wird, und der Shop hat intern eine klare Regel.

Die Zahlen im Beispiel sind für einen fiktiven Shop gewählt. Ihre eigenen Fristen sollten sich aus Ihren tatsächlichen rechtlichen Pflichten, Anbietereinstellungen und geschäftlichen Bedürfnissen ergeben. Wo eine feste Frist nicht möglich ist, beschreiben Sie stattdessen die Kriterien, etwa „solange Ihr Konto besteht und für einen begrenzten Zeitraum danach, um Streitigkeiten zu klären.“

Ein schwacher Speicherabschnitt sagt „Wir speichern Daten so lange wie nötig.“ Ohne Kriterien sagt dieser Satz niemandem etwas und erfüllt die Anforderung der DSGVO nicht.

Beispielformulierung: „Sie haben das Recht, Ihre personenbezogenen Daten einzusehen, berichtigen oder löschen zu lassen, bestimmten Verarbeitungen zu widersprechen oder sie einschränken zu lassen, Ihre Daten in einem übertragbaren Format zu erhalten und Ihre Einwilligung jederzeit zu widerrufen. Für eine Anfrage schreiben Sie an [email protected]. Wir können Sie bitten, Ihre Identität zu bestätigen, bevor wir tätig werden. Sie haben außerdem das Recht, sich bei der Data Protection Commission in Irland oder bei der Datenschutzbehörde Ihres Wohnorts zu beschweren.“

Warum das funktioniert: Es listet die Rechte, die für das Publikum des Shops gelten, nennt einen einfachen Weg, sie auszuüben, erklärt die Verifizierung und nennt die Aufsichtsbehörde, wie es die DSGVO verlangt.

Gehören Einwohner Kaliforniens zu Ihrem Publikum und erreicht Ihr Unternehmen die CCPA-Schwellenwerte, erweitert sich dieser Abschnitt um die Rechte auf Auskunft, Löschung, Berichtigung, Widerspruch gegen Verkauf oder Weitergabe und Einschränkung der Nutzung sensibler personenbezogener Daten sowie um Ihren Umgang mit Opt-out-Präferenzsignalen und bevollmächtigten Vertretern. Die CCPA-Verordnungen listen jedes Pflichtelement auf. Andere Regionen ergänzen eigene Rechte, weshalb ein Generator für Datenschutzerklärungen, der regionale Module anhand Ihrer Antworten auswählt, gegenüber dem Bearbeiten einer festen Vorlage Zeit sparen kann.

Beispielformulierung: „Unser Shop richtet sich an Erwachsene. Wir erheben wissentlich keine personenbezogenen Daten von Kindern. Wenn Sie glauben, dass uns ein Kind Daten übermittelt hat, kontaktieren Sie uns, und wir löschen sie.

Wir aktualisieren diese Erklärung, wenn sich unsere Praktiken ändern. Bei bedeutenden Änderungen informieren wir Kunden und Newsletter-Abonnenten per E-Mail, bevor die Änderungen wirksam werden.

Gültig ab: 1. März 2026. Zuletzt aktualisiert: 1. März 2026.“

Warum das funktioniert: Die Aussage zur Zielgruppe ist kurz und ehrlich, der Änderungsprozess beschreibt eine direkte Mitteilung, statt Menschen aufzufordern, regelmäßig nachzusehen, und beide Daten werden angezeigt. CalOPPA verlangt ein Datum des Inkrafttretens und eine Beschreibung, wie Nutzer über wesentliche Änderungen informiert werden, und die CCPA-Verordnungen verlangen das Datum der letzten Aktualisierung.

Richtet sich Ihr Dienst in den USA an Kinder unter 13 Jahren, reicht diese kurze Aussage nicht; COPPA verlangt einen eigenen Hinweis mit bestimmtem Inhalt. Hinweise, wann und wie Sie Updates ankündigen, finden Sie unter wie oft Sie Ihre Datenschutzerklärung aktualisieren sollten.