So erstellen Sie eine Datenschutzerklärung für Ihre Website

Eine Datenschutzerklärung ist nur so gut wie die Bestandsaufnahme dahinter. Bevor Sie ein Wort schreiben, gehen Sie die Website als Besucher und als Administrator durch und notieren Sie jede Stelle, an der Daten hinein- oder hinausfließen:

• Formulare: Kontakt-, Angebots-, Buchungs-, Newsletter- und Bewerbungsformulare, einschließlich versteckter Felder und Datei-Uploads.
• Konten: Registrierung, Anmeldung, Passwort-Zurücksetzung und Profilseiten.
• Analyse: Google Analytics, die integrierte Statistik des Baukastens, Heatmaps und Sitzungsaufzeichnung.
• Cookies und lokaler Speicher: was jeder Eintrag bewirkt und wer ihn setzt.
• Embeds: YouTube- oder Vimeo-Player, Karten, Social-Media-Feeds, Buchungs-Widgets und Chat-Fenster.
• Hosting und Sicherheit: Serverprotokolle, Content-Delivery-Netzwerke, Firewalls und CAPTCHA-Tools.
• E-Mail und Marketing: Newsletter-Plattformen, CRM-Systeme und Werbepixel.
• Zahlungen: Checkout-Seiten, Zahlungsdienstleister und Rechnungstools.

Eine kurze technische Prüfung hilft. Öffnen Sie die Entwicklertools Ihres Browsers, laden Sie einige Seiten in einem privaten Fenster und sehen Sie sich Cookies, Speicher und Netzwerkanfragen an. Jede Drittanbieter-Domain, die Sie dort sehen, ist ein Anbieter, den Ihre Datenschutzerklärung möglicherweise nennen muss.

Fast jede Website erhebt personenbezogene Daten, selbst wenn der Betreiber nie danach fragt. Ihr Hoster speichert IP-Adressen in Serverprotokollen, Analyseskripte setzen Kennungen, und schon ein einziges Kontaktformular erhebt Namen und E-Mail-Adressen. Mehrere Gesetze machen daraus eine Pflicht, Datenschutzhinweise zu veröffentlichen:

• DSGVO und UK GDPR: Die Artikel 13 und 14 listen die Informationen auf, die Sie Personen bei der Erhebung ihrer Daten geben müssen, und Artikel 12 verlangt, dass sie präzise, transparent und leicht zugänglich sind.
• CalOPPA: Kommerzielle Websites, die personenbezogene Daten von Einwohnern Kaliforniens erheben, müssen eine Datenschutzerklärung gut sichtbar veröffentlichen.
• Andere Rechtsordnungen: Kanada, Australien, Brasilien und Neuseeland erwarten alle, dass Organisationen offenlegen, wie sie mit personenbezogenen Daten umgehen.

Plattformbedingungen stellen eigene Anforderungen. Google Analytics und Google AdSense verlangen beide eine angemessene Datenschutzerklärung, bevor Sie sie nutzen. Wenn Sie vollständig wissen möchten, wer eine Datenschutzerklärung veröffentlichen muss, lesen Sie Brauche ich eine Datenschutzerklärung? und unseren Ratgeber dazu, was passiert, wenn Sie keine Datenschutzerklärung haben.

Machen Sie aus der Bestandsaufnahme eine einfache Tabelle mit fünf Spalten: welche Daten, warum Sie sie erheben, wer sie erhält, wie lange Sie sie speichern und, wenn die DSGVO gilt, auf welche Rechtsgrundlage Sie sich stützen. Diese Tabelle wird zum Rückgrat der Datenschutzerklärung.

Ein kleines Beispiel für die Website eines kleinen Studios:

• Kontaktformular: Name, E-Mail-Adresse, Nachricht. Zweck: Beantwortung der Anfrage. Anbieter: Ihr E-Mail-Hoster. Speicherdauer: 12 Monate nach Ende der Korrespondenz.
• Analyse: aufgerufene Seiten, Gerätetyp, ungefährer Standort anhand der IP-Adresse. Zweck: verstehen, welche Seiten funktionieren. Anbieter: Ihr Analyseanbieter. Speicherdauer: der in den Analyseeinstellungen festgelegte Zeitraum.
• Newsletter: E-Mail-Adresse und Anmeldedatum. Zweck: Versand von Neuigkeiten, die die Person angefordert hat. Anbieter: Ihre E-Mail-Marketing-Plattform. Speicherdauer: bis zur Abmeldung.

Seien Sie konkret bei Einstellungen, die die Antwort verändern, etwa die Aufbewahrungsdauer in der Analyse, Werbefunktionen oder Schalter für die Datenweitergabe. Unser Ratgeber zu Datenschutzangaben für Analysetools zeigt, welche Analyseeinstellungen verändern, was Sie angeben müssen.

Die meisten Datenschutzerklärungen für Websites folgen demselben Grundgerüst, weil die Gesetze dieselben Kernfragen stellen. Verwenden Sie klare Überschriften, die Besucher schnell überfliegen können:

1. Wer Sie sind und wie man Sie erreicht, einschließlich einer E-Mail-Adresse für Datenschutzanfragen.
2. Welche personenbezogenen Daten Sie erheben, gegliedert nach Quelle: Formulare, Konten, automatische Erfassung und Dritte.
3. Wofür Sie sie verwenden und, wo DSGVO oder UK GDPR gelten, die Rechtsgrundlage.
4. Cookies und ähnliche Technologien, mit einer Möglichkeit, die Einstellungen zu ändern.
5. Wer die Daten erhält: Hosting-, E-Mail-, Analyse-, Zahlungs- und Werbeanbieter.
6. Internationale Übermittlungen und die Garantien, auf die Sie sich stützen.
7. Wie lange Sie jede Kategorie speichern.
8. Die Rechte der Betroffenen und wie sie ausgeübt werden.
9. Daten von Kindern, Sicherheit und wie Sie Änderungen bekannt geben.

Schreiben Sie im Aktiv und sagen Sie, was Sie tatsächlich tun. „Wir nutzen Google Analytics, um Seitenaufrufe zu zählen“ ist klarer als „wir verwenden möglicherweise verschiedene Technologien“. Die Checkliste unter Was gehört in eine Datenschutzerklärung? erklärt jeden Abschnitt ausführlicher.

Bei regionalen Abschnitten machen viele kleine Websites Fehler, entweder weil sie geltende Gesetze ignorieren oder weil sie Abschnitte für Gesetze kopieren, die gar nicht gelten.

• Besucher aus der EU und dem Vereinigten Königreich: Wenn Sie Personen in der EU oder im Vereinigten Königreich Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten, ist davon auszugehen, dass die DSGVO oder die UK GDPR gilt. Sie brauchen Rechtsgrundlagen, Betroffenenrechte, Angaben zu Übermittlungen und das Recht auf Beschwerde bei einer Aufsichtsbehörde. Siehe den Ratgeber zur DSGVO-Datenschutzerklärung.
• Kalifornien: CalOPPA gilt für kommerzielle Websites, die personenbezogene Daten von Einwohnern Kaliforniens erheben, und verlangt unter anderem eine Aussage dazu, wie Sie auf Do-Not-Track-Signale reagieren. Der CCPA gilt nur für Unternehmen, die seine Schwellenwerte erreichen, etwa eine inflationsangepasste Umsatzschwelle oder die Verarbeitung personenbezogener Daten von 100.000 oder mehr kalifornischen Verbrauchern oder Haushalten. Siehe den Ratgeber zu CCPA und CPRA.
• Weitere US-Bundesstaaten, Kanada, Brasilien, Australien und Neuseeland: Jede Rechtsordnung hat eigene Auslöser und eigene Begriffe.

Nehmen Sie nur Rechte und Pflichten auf, die für Sie gelten. Eine Datenschutzerklärung, die Rechte verspricht, die Sie nie gewähren, schafft ihr eigenes Risiko.

Sie haben drei realistische Optionen, und jede hat ihre Vor- und Nachteile.

• Selbst schreiben: kostenlos und vollständig maßgeschneidert, aber langsam, und Pflichtangaben wie Garantien für Übermittlungen oder Formulierungen zu Do Not Track werden leicht übersehen.
• Die Datenschutzerklärung einer anderen Website kopieren: schnell, aber riskant. Deren Praktiken, Anbieter und rechtliche Pflichten sind nicht Ihre, und der Text ist in der Regel urheberrechtlich geschützt. Warum, erklären wir in Darf ich eine Datenschutzerklärung kopieren?
• Eine Vorlage oder einen Generator nutzen: schneller, sofern das Tool nach Ihren tatsächlichen Praktiken fragt, statt Lücken mit allgemeinen Versprechen zu füllen.

Der Generator für Website-Datenschutzerklärungen von Legal Policy Generator geht den dritten Weg. Sie beantworten verständliche Fragen zu Formularen, Analyse, Tracking, Anbietern und Regionen. Das Tool wählt dann versionierte Klauseln aus, die zu Ihren Antworten passen, ohne dass eine KI zur Laufzeit Klauseln schreibt. Fragebogen, vollständige Vorschau und der einfache HTML- und PDF-Download sind kostenlos und ohne Konto verfügbar. Erweiterte regionale oder optionale Module kosten $5. Welchen Weg Sie auch wählen: Das Ergebnis ist keine Rechtsberatung, prüfen Sie es also anhand Ihrer tatsächlichen Einrichtung.

Geben Sie der Datenschutzerklärung eine eigene Seite mit einer kurzen, stabilen Adresse wie /privacy oder /privacy-policy. Eine stabile URL ist wichtig, weil Sie sie in App-Stores, Werbeplattformen, E-Mail-Tools und Checkout-Einstellungen eintragen, und ein defekter Link dort kann eine Prüfung stoppen.

Die grundlegenden Schritte sind auf fast jeder Plattform gleich:

1. Legen Sie eine neue Seite mit dem Titel Datenschutzerklärung an.
2. Fügen Sie den Text oder das HTML der Datenschutzerklärung in den Seiteninhalt ein oder verlinken Sie eine gehostete Fassung.
3. Setzen Sie das Datum des Inkrafttretens an den Anfang, damit Leser wissen, welche Fassung sie lesen.
4. Veröffentlichen Sie die Seite und öffnen Sie sie in einem privaten Fenster, um zu prüfen, dass sie ohne Anmeldung lädt.
5. Prüfen Sie, ob Überschriften, Listen und Links das Einfügen überstanden haben.

Mit Legal Policy Generator lässt sich der einfache HTML-Download in eine Seite eines Website-Baukastens einfügen. Wenn Sie lieber auf eine öffentliche Webseite verlinken, kostet das optionale Hosting einmalig $0.99, und das Abonnement für $5 pro Monat enthält Hosting, solange es aktiv ist. Plattformspezifische Hinweise finden Sie unter Datenschutzerklärung in Wix, Squarespace, Webflow oder Shopify einfügen.

Eine Datenschutzerklärung, die niemand findet, nützt wenig. Setzen Sie mindestens einen Link mit der Beschriftung Datenschutzerklärung in den Footer jeder Seite, damit er auf der Startseite und überall dort erscheint, wo Besucher landen.

Ergänzen Sie dann kontextbezogene Links an jeder Stelle, an der Daten erhoben werden:

• Neben dem Absenden-Button von Kontakt-, Angebots- und Newsletter-Formularen.
• Auf Registrierungs- und Checkout-Seiten.
• In Ihrem Cookie-Banner oder Ihrer Einstellungszentrale, falls Sie eines verwenden.
• In App-Store-Einträgen, Einstellungen von Werbeplattformen und OAuth-Zustimmungsbildschirmen, die nach einer URL zur Datenschutzerklärung fragen.

Verwenden Sie einen klaren Linktext, halten Sie den Link auch in mobilen Layouts sichtbar und stellen Sie sicher, dass er ohne JavaScript funktioniert. Unser Ratgeber dazu, wo der Link zur Datenschutzerklärung hingehört, behandelt die CalOPPA-Formulierung „conspicuously post“ und die Erwartungen der DSGVO im Detail.

Eine Datenschutzerklärung beschreibt Ihre Website zu einem bestimmten Zeitpunkt, und Websites ändern sich ständig. Prüfen Sie die Erklärung, sobald einer dieser Auslöser eintritt:

• Sie fügen ein Plugin, Skript, Embed oder eine Integration hinzu oder entfernen es.
• Sie wechseln Ihren Hosting-, E-Mail-, Analyse- oder Zahlungsanbieter.
• Sie beginnen mit Werbung, Retargeting oder Onlineverkauf.
• Sie bedienen Besucher in einem neuen Land oder einer neuen Region.
• Ein Gesetz, auf das Sie sich stützen, ändert sich, oder eine Plattform aktualisiert ihre Bedingungen.

Bewahren Sie eine datierte Kopie jeder Fassung auf, ändern Sie das Datum des Inkrafttretens, wenn sich der Text ändert, und informieren Sie über wesentliche Änderungen auf eine Weise, die zu Ihrer Beziehung zu den Betroffenen passt, etwa durch einen Hinweis auf der Website oder eine E-Mail an Kontoinhaber. Eine kurze Prüfung alle paar Monate, auch wenn sich scheinbar nichts geändert hat, deckt Tools auf, die Teammitglieder stillschweigend hinzugefügt haben. Einen praktischen Prüfplan finden Sie unter Wie oft sollten Sie Ihre Datenschutzerklärung aktualisieren?