Datenschutzerklärung für Blogs: Was jeder Blogger offenlegen sollte

Prüfen Sie zuerst die Plugins und Einstellungen Ihres Blogs. Notieren Sie, welche Daten beim Lesen, Kommentieren, Abonnieren und Kontaktieren anfallen und welche Anbieter sie erhalten. Gliedern Sie die Datenschutzerklärung danach, was Ihre Leser im Blog tun: Beiträge lesen, kommentieren, abonnieren, Links anklicken und Sie kontaktieren. Ergänzen Sie dann die üblichen Abschnitte zu Rechten, Speicherdauer, Übermittlungen und Änderungen. Unser Schritt-für-Schritt-Ratgeber zum Erstellen einer Datenschutzerklärung für eine Website deckt den gesamten Ablauf ab.

Wenn Sie nicht bei einer leeren Seite anfangen möchten, fragt der Generator für Website-Datenschutzerklärungen nach Ihren Tracking-Technologien, danach, wann nicht notwendiges Tracking beginnt, wie Leser ihre Einstellungen ändern und welche Anbieter Sie nutzen, etwa Google Analytics, Mailchimp oder reCAPTCHA. Anschließend stellt er passende Klauseln zusammen. Die Vorschau und der einfache HTML-Download sind kostenlos, und das HTML lässt sich direkt in eine WordPress-Seite oder jeden Website-Baukasten einfügen.

Denken Sie daran, dass eine Datenschutzerklärung weder den Affiliate-Hinweis in Ihren Beiträgen noch ein Einwilligungsbanner ersetzt, wo eines erforderlich ist. Betrachten Sie sie als einen Teil eines transparenten Blogs, nicht als die ganze Aufgabe.

Man ist leicht versucht zu glauben, ein privater Blog sei zu klein, um eine Rolle zu spielen. Das Recht schaut aber selten zuerst auf die Größe. Es fragt, ob Sie personenbezogene Daten erheben und wessen Daten das sind.

• DSGVO und UK GDPR: Die Ausnahme für ausschließlich persönliche oder familiäre Tätigkeiten ist eng und dürfte einen öffentlichen Blog, der Kommentare, E-Mail-Adressen oder Analysedaten von Lesern erhebt, kaum erfassen.
• CalOPPA: gilt für Betreiber kommerzieller Websites, die personenbezogene Daten von Einwohnern Kaliforniens erheben. Ein monetarisierter Blog mit Newsletter ist ein typisches Beispiel.
• Plattformbedingungen: Google AdSense und Google Analytics verlangen unabhängig von Ihren Besucherzahlen eine Datenschutzerklärung, und Newsletter-Plattformen haben eigene Bedingungen dazu, wie Sie Abonnentenadressen erheben und nutzen.

Die praktische Antwort: Wenn Ihr Blog Kommentare, einen Newsletter, Analysetools, Werbung oder Affiliate-Links hat, veröffentlichen Sie eine Datenschutzerklärung. Der allgemeine Ratgeber Brauche ich eine Datenschutzerklärung? geht die rechtlichen Auslöser Land für Land durch.

Blogs bestehen aus Plugins, Themes und Embeds, und viele davon erheben unbemerkt Daten. Nutzen Sie diese Checkliste, wenn Sie Ihren Blog prüfen:

• Kommentare: Name, E-Mail-Adresse, Website, der Kommentar selbst und oft die IP-Adresse der kommentierenden Person.
• Kommentar-Cookies: Viele Plattformen bieten an, die Angaben der kommentierenden Person im Browser zu speichern.
• Spamfilter: Inhalte von Kommentaren und Formularen, die zur Prüfung an einen Anti-Spam-Dienst gesendet werden.
• Server- und Sicherheitsprotokolle: IP-Adressen und User-Agents, die Ihr Hoster und Sicherheits-Plugins aufzeichnen.
• Analyse: Seitenaufrufe, Referrer, Geräteinformationen und Kennungen.
• Werbung und Affiliate-Links: Cookies und Kennungen, die Werbenetzwerke und Partnerprogramme setzen.
• Embeds: YouTube-Videos, Social-Media-Beiträge und Karten, die Inhalte anderer Unternehmen laden.
• Schriften und CDNs: Dateien, die von Drittanbieter-Servern geladen werden, welche die IP-Adresse des Lesers erhalten.
• Newsletter-Formulare und Pop-ups: E-Mail-Adressen und Anmeldedaten.
• Kontaktformulare: Namen, E-Mail-Adressen und Nachrichten.

Notieren Sie jeden gefundenen Punkt, das Plugin oder den Dienst dahinter und das Unternehmen, das die Daten erhält.

Kommentare sind oft die ersten personenbezogenen Daten, die ein Blog erhebt, und verdienen einen eigenen kurzen Abschnitt. Der von WordPress selbst vorgeschlagene Text für die Datenschutzerklärung erinnert gut daran, was standardmäßig passiert: Er erklärt, dass die Website beim Hinterlassen eines Kommentars die im Kommentarformular angezeigten Daten sowie die IP-Adresse und den User-Agent-String des Browsers erhebt, um Spam zu erkennen. Er erwähnt auch, dass eine gehashte Version der E-Mail-Adresse an Gravatar gesendet werden kann, um zu prüfen, ob ein Profilbild existiert.

Ihr Abschnitt zu Kommentaren sollte Folgendes abdecken:

1. Was das Kommentarformular erhebt und was öffentlich angezeigt wird.
2. Ob ein automatischer Spamdienst Kommentare prüft, und welcher.
3. Ob Kommentarangaben in Cookies gespeichert werden, und wie lange.
4. Wie lange Kommentare und ihre Metadaten aufbewahrt werden.
5. Wie eine kommentierende Person Sie bitten kann, ihre Daten zu bearbeiten, zu exportieren oder zu löschen.

In WordPress können Sie eine Seite für die Datenschutzerklärung auswählen, und es gibt einen Leitfaden mit Textvorschlägen, aber WordPress kann nicht wissen, welche Plugins Sie installiert haben. Unser Ratgeber zur WordPress-Datenschutzerklärung erklärt die Einstellungsseite und die Regeln für Plugins.

Ein Newsletter verwandelt gelegentliche Leser in eine Liste von E-Mail-Adressen, also in personenbezogene Daten, die Sie nun langfristig speichern. Ihre Datenschutzerklärung sollte erklären:

• Was Sie erheben: meist eine E-Mail-Adresse, manchmal einen Namen, das Anmeldedatum und die Seite, auf der sich die Person angemeldet hat.
• Welche Plattform die E-Mails versendet: Nennen Sie Ihren E-Mail-Dienstleister, denn er verarbeitet die Liste in Ihrem Auftrag.
• Ob Sie Öffnungen und Klicks messen: Viele E-Mail-Plattformen tun das standardmäßig mit Tracking-Pixeln und umgeleiteten Links.
• Wie man sich abmeldet: Jede E-Mail sollte einen funktionierenden Link enthalten, und die Datenschutzerklärung sollte das erwähnen.
• Einwilligung: In der EU und im Vereinigten Königreich brauchen Marketing-E-Mails an Einzelpersonen grundsätzlich eine vorherige Einwilligung, sofern keine enge Ausnahme greift.

In den USA verlangt der CAN-SPAM Act, dass kommerzielle E-Mails eine klare Abmeldemöglichkeit und eine gültige Postanschrift enthalten, und Abmeldungen müssen zügig umgesetzt werden. Diese Regeln betreffen die E-Mails selbst, nicht die Datenschutzerklärung, aber beides sollte übereinstimmen. Unser Ratgeber zur Datenschutzerklärung für E-Mail-Newsletter behandelt die Einzelheiten.

Ja. Die Nutzungsbedingungen von Google Analytics verlangen, dass Sie eine angemessene Datenschutzerklärung haben und einhalten, die Nutzung von Google Analytics sowie die Art der Datenerhebung und -verarbeitung offenlegen und auf die beteiligten Cookies oder Kennungen hinweisen. Die Bedingungen fordern außerdem einen gut sichtbaren Link zu Googles Seite darüber, wie Google Informationen von Websites nutzt, die seine Dienste verwenden, oder einen gleichwertigen Hinweis.

Was Sie für einen typischen Blog aufnehmen sollten:

• Dass Sie Google Analytics nutzen, um zu verstehen, welche Beiträge gelesen werden und wie Leser den Blog finden.
• Die Arten der betroffenen Daten, etwa aufgerufene Seiten, Referrer, Geräte- und Browserdetails sowie der ungefähre Standort.
• Ob Sie Funktionen aktiviert haben, die zusätzliche Daten hinzufügen, etwa Google Signals oder Verknüpfungen mit Google Ads.
• Wie Leser ihre Cookie-Einstellungen ändern oder die Analyse blockieren können.

Wenn Sie Leser in der EU oder im Vereinigten Königreich haben, brauchen Analyse-Cookies grundsätzlich eine Einwilligung, bevor sie geladen werden, vorbehaltlich enger nationaler Ausnahmen. Der Wechsel zu einem datenschutzfreundlichen Analysetool kann verringern, was Sie erheben, entbindet Sie aber nicht davon, es zu beschreiben. Siehe den Ratgeber zur Datenschutzerklärung für Google Analytics.

Wenn Sie mit Google AdSense Geld verdienen, ist die Datenschutzerklärung nicht optional. Der AdSense-Hilfeartikel zu erforderlichen Inhalten nennt Aussagen, die Ihre Datenschutzerklärung enthalten muss:

• Dass Drittanbieter, einschließlich Google, Cookies verwenden, um Anzeigen auf Grundlage früherer Besuche eines Nutzers auf Ihrer Website oder anderen Websites auszuliefern.
• Dass Google durch die Verwendung von Werbe-Cookies sich selbst und seinen Partnern ermöglicht, Anzeigen auf Grundlage von Besuchen auf Ihren Websites und anderen Websites im Internet auszuliefern.
• Dass Nutzer personalisierte Werbung über Googles Anzeigeneinstellungen deaktivieren oder Cookies einiger Drittanbieter über eine Opt-out-Seite der Branche ablehnen können.

Publisher mit Besuchern im EWR, im Vereinigten Königreich oder in der Schweiz müssen außerdem Googles Richtlinie zur Einwilligung der Nutzer in der EU einhalten, die eine Einwilligung für Cookies verlangt, wo das Gesetz dies vorschreibt, sowie für die Personalisierung von Anzeigen. Google verlangt von Publishern, die seine Werbeprodukte nutzen, eine von Google zertifizierte Consent-Management-Plattform, wenn sie Nutzern im EWR und im Vereinigten Königreich Anzeigen ausliefern.

Wenn Sie zusätzlich andere Werbenetzwerke einsetzen, nennen Sie diese und verlinken Sie ihre Opt-out-Seiten. Die vollständige Checkliste finden Sie in unserem Ratgeber zur AdSense-Datenschutzerklärung.

Nein, und die Verwechslung gehört zu den häufigsten Fehlern in Blogs. Beide beantworten unterschiedliche Fragen für unterschiedliche Aufsichtsbehörden.

Der Affiliate- oder Werbehinweis teilt Lesern mit, dass Sie möglicherweise Geld verdienen, wenn sie klicken oder kaufen. In den USA besagt der Leitfaden der FTC zu Empfehlungen, dass Blogger Affiliate-Beziehungen klar und deutlich offenlegen sollten, und je näher der Hinweis an der Empfehlung steht, desto besser. Ein Hinweis, der unten auf der Seite oder hinter einem mit „Rechtliches“ beschrifteten Link versteckt ist, wird leicht übersehen. Der Affiliate-Hinweis gehört daher neben die Links in jedem Beitrag, nicht nur in Ihre Datenschutzerklärung.

Der Datenschutzhinweis erklärt die Datenseite. Wenn ein Leser auf einen Affiliate-Link klickt, kann das Partnernetzwerk oder der Händler Cookies setzen oder den Klick aufzeichnen, um den Verkauf zuzuordnen. Ihre Datenschutzerklärung sollte erwähnen, dass Affiliate-Links dieses Tracking mit sich bringen können, und die Programme nennen, an denen Sie teilnehmen.

Partnerprogramme haben in ihren Teilnahmebedingungen oft eigene Regeln für Hinweise. Lesen Sie die aktuelle Vereinbarung jedes Programms, an dem Sie teilnehmen, statt sich auf Formulierungen zu verlassen, die aus einem anderen Blog kopiert wurden.

Eingebettete Inhalte vergisst man leicht, weil man sie nicht selbst gebaut hat. Der von WordPress vorgeschlagene Datenschutztext bringt es auf den Punkt: Eingebettete Inhalte von anderen Websites verhalten sich genauso, als ob der Besucher die andere Website besucht hätte. Ein YouTube-Video, ein Instagram-Beitrag oder eine Karte kann diesem Unternehmen also ermöglichen, Daten zu erheben, Cookies zu setzen und die Interaktion mit dem Embed zu verfolgen.

Für jede Art von Embed sollte Ihre Datenschutzerklärung den Anbieter nennen und erklären, dass dieser beim Laden des Embeds Daten erheben kann. Dasselbe gilt für:

• Webschriften und Skriptbibliotheken, die von Drittanbieter-Servern geladen werden und die IP-Adresse des Lesers erhalten.
• Social-Media-Share-Buttons, die Skripte von sozialen Netzwerken laden.
• Kommentarsysteme, die von Dritten gehostet werden.

Sie können das Risiko mit Click-to-load-Platzhaltern verringern, die das Embed erst laden, wenn der Leser sich dafür entscheidet, oder indem Sie Schriften selbst hosten. Wo die Einwilligungsregeln der EU oder des Vereinigten Königreichs für von Embeds gesetzte Cookies gelten, helfen solche Platzhalter auch dabei, diese nicht vor der Einwilligung zu laden.