Darf ich die Datenschutzerklärung eines anderen kopieren?

Andere Erklärungen zu lesen ist ein sinnvoller Weg zu lernen. Ziel ist es, Struktur und Ideen zu übernehmen, niemals Sätze. Eine praktische Methode:

1. Lesen Sie drei oder vier Erklärungen von Unternehmen, die Ihrem ähneln, darunter mindestens eines, das in Ihrem Hauptmarkt tätig ist
2. Notieren Sie die behandelten Themen und ihre Reihenfolge, nicht den Wortlaut
3. Achten Sie darauf, was eine Erklärung gut lesbar macht, etwa Zusammenfassungen, Tabellen und klare Anleitungen für Anfragen
4. Schließen Sie diese Tabs und erstellen Sie Ihre eigene Dateninventur aus Ihrem Produkt, Ihren Formularen und Anbietern
5. Schreiben Sie jeden Abschnitt in eigenen Worten auf Basis dieser Inventur
6. Gleichen Sie Ihre Gliederung mit einer Checkliste der Pflichtinhalte ab, um Lücken zu finden
7. Prüfen Sie, ob Consent-Banner, App-Store-Labels und Erklärung dasselbe aussagen

Wenn Sie dieselbe Struktur mit weniger Handarbeit möchten, fragt der Generator für Datenschutzerklärungen jedes Thema in verständlicher Sprache ab und setzt den Wortlaut aus einer versionierten Klauselbibliothek zusammen. Da der Text anhand Ihrer Antworten ausgewählt und nicht von Dritten kopiert wird, beschreibt er Ihr Produkt und nicht das eines anderen.

Selbst wenn das Urheberrecht keine Rolle spielte, beschreibt eine kopierte Erklärung das Geschäft eines anderen Unternehmens. Überlegen Sie, was typischerweise schiefgeht, wenn ein kleiner Onlineshop die Erklärung eines großen Softwareunternehmens kopiert:

• Sie nennt die falsche juristische Person, Adresse und Datenschutzkontakt
• Sie listet Anbieter, die der Shop nicht nutzt, und lässt die genutzten weg, etwa Zahlungsdienstleister und E-Mail-Plattform
• Sie beschreibt Funktionen, die der Shop nicht hat, etwa mobile Apps, Sprachassistenten oder Unternehmenskonten
• Sie verspricht Anfrageprozesse, Antwortzeiten und Opt-out-Tools, die der Shop nie gebaut hat
• Sie nennt Rechtsgrundlagen, Datenübermittlungen und Speicherfristen, die nicht der Realität entsprechen
• Sie deckt Regionen ab, die der Shop nicht bedient, und übersieht die, die er bedient

Jede Abweichung ist eine falsche Aussage darüber, wie mit personenbezogenen Daten umgegangen wird. Leser können ihre Rechte nicht über Kontaktdaten ausüben, die jemand anderem gehören, und jeder, der Ihr Produkt prüft, vom App-Reviewer bis zum Geschäftskunden, kann die Lücke zwischen Erklärung und tatsächlichem Verhalten Ihrer Website erkennen.

In der Regel ja. Eine Datenschutzerklärung ist ein geschriebener Text, und geschriebene Texte sind als eigene geistige Schöpfung grundsätzlich urheberrechtlich geschützt. Nach Angaben des U.S. Copyright Office ist ein Werk in dem Moment geschützt, in dem es geschaffen und in einer greifbaren Form festgehalten wird, und eine Registrierung ist in der Regel freiwillig. Ein fehlender Copyright-Vermerk im Footer bedeutet nicht, dass der Text frei verwendbar ist.

Das Urheberrecht hat Grenzen, die hier wichtig sind. Das Copyright Office erklärt, dass das Urheberrecht keine Fakten, Ideen, Systeme oder Funktionsweisen schützt und auch keine Namen, Titel, Slogans oder kurzen Wendungen. Das heißt: Die Themen, die eine Datenschutzerklärung behandelt, etwa Datenkategorien, Zwecke, Rechte und Speicherdauer, darf jeder aufgreifen. Geschützt sein kann der konkrete Ausdruck einer Autorin oder eines Autors: die einzelnen Sätze, die gewählte Struktur und die Erklärungen, die sie geschrieben haben.

Die Regeln unterscheiden sich von Land zu Land, und die meisten Länder schützen Werke automatisch ohne Registrierung. Dies ist eine allgemeine Erläuterung, keine Rechtsberatung. Die praktische Folgerung ist einfach: Ideen wiederzuverwenden ist in Ordnung, den Wortlaut eines anderen komplett zu kopieren ist ein unnötiges Risiko.

Ja, denn eine Datenschutzerklärung wird als Sammlung tatsächlicher Zusagen behandelt. In den USA verbietet Section 5 des Federal Trade Commission Act unlautere oder täuschende Handlungen oder Praktiken im oder mit Auswirkung auf den Handel, und die FTC ist in vielen Fällen gegen Unternehmen vorgegangen, deren Datenschutzaussagen nicht zu ihren tatsächlichen Praktiken passten. Die meisten Bundesstaaten haben eigene Verbraucherschutzgesetze für ähnliches Verhalten.

Kalifornien ergänzt eine besondere Regel. CalOPPA verlangt von kommerziellen Websites und Onlinediensten, die personenbezogene Daten von Einwohnern Kaliforniens erheben, eine Erklärung mit festgelegtem Inhalt, und Section 22576 macht es zu einem Verstoß, die eigene veröffentlichte Erklärung nicht einzuhalten, sei es wissentlich und vorsätzlich oder fahrlässig und wesentlich. Eine kopierte Erklärung, die Praktiken verspricht, die Sie nicht befolgen, ist genau diese Art von Risiko.

Es spielt keine Rolle, dass die Worte von jemand anderem stammen. Sobald Sie sie als Ihre Erklärung veröffentlichen, sind es Ihre Aussagen über Ihr Unternehmen, und Sie sind dafür verantwortlich, dass sie stimmen.

Wenn Sie Menschen im Europäischen Wirtschaftsraum oder im Vereinigten Königreich bedienen, macht die DSGVO die Genauigkeit noch konkreter. Artikel 13 verlangt, dass Sie zum Zeitpunkt der Erhebung Ihren Namen und Ihre Kontaktdaten angeben, die Kontaktdaten eines etwaigen Datenschutzbeauftragten, die Zwecke und die Rechtsgrundlage der Verarbeitung, die Empfänger, etwaige Übermittlungen außerhalb der Region samt Garantien, Speicherfristen oder Kriterien, die bestehenden Rechte und das Recht auf Beschwerde bei einer Aufsichtsbehörde.

Eine kopierte Erklärung scheitert an den meisten dieser Punkte vom ersten Tag an. Sie nennt einen anderen Verantwortlichen, beschreibt andere Zwecke und listet die Auftragsverarbeiter eines anderen Unternehmens. Artikel 5 Absatz 1 Buchstabe a verlangt außerdem eine rechtmäßige, faire und transparente Verarbeitung, und Artikel 12 fordert Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form.

Verstöße gegen die Transparenz- und Betroffenenrechte in den Artikeln 12 bis 22 fallen unter die höhere Bußgeldstufe der DSGVO. Sie müssen aber kein Bußgeld erwarten, um das Problem zu sehen: Ein Hinweis, der die Verarbeitung eines anderen beschreibt, informiert Ihre Nutzer schlicht nicht, und genau darum geht es. Der DSGVO-Leitfaden zur Datenschutzerklärung listet jede Pflichtangabe auf.

Das können sie, und kopierter Text macht eine Ablehnung wahrscheinlicher. Die Google Play User Data Policy verlangt eine Datenschutzerklärung, die Entwicklerinformationen und einen Ansprechpartner für Datenschutz enthält, die Arten personenbezogener und sensibler Nutzerdaten offenlegt, auf die die App zugreift und die sie erhebt, nutzt und weitergibt, und den sicheren Umgang sowie die Aufbewahrungs- und Löschrichtlinie des Entwicklers erklärt. Eine Erklärung mit Namen und Kontaktdaten eines anderen Unternehmens erfüllt diese Beschreibung nicht.

Apples Richtlinie 5.1.1(i) verlangt ebenso, dass die Erklärung angibt, welche Daten die App erhebt, wie sie sie erhebt und wofür sie sie verwendet, und Aufbewahrung, Löschung sowie den Widerruf der Einwilligung oder die Löschanfrage erklärt. Store-Prüfer vergleichen die Erklärung außerdem mit den Datenschutzlabels und den Angaben im Datensicherheitsformular (Data safety), die Sie eingereicht haben; Widersprüche zwischen ihnen sind ein häufiger Grund für Rückfragen.

Andere Plattformen folgen derselben Logik. Die OAuth-Verifizierung von Google, Einträge im Chrome Web Store und Zahlungsanbieter erwarten alle, dass die Erklärung Ihr Produkt beschreibt. Kopieren spart Minuten und kann Tage an erneuten Einreichungen kosten.

Vorlagen unterscheiden sich vom Kopieren, weil sie zur Wiederverwendung angeboten werden. Wer eine Vorlage erstellt, erwartet, dass Sie sie anpassen, und die Bedingungen sagen Ihnen, was Sie dürfen. Prüfen Sie vor der Nutzung jeder Vorlage drei Dinge:

• Die Lizenz: Manche Vorlagen dürfen frei genutzt und bearbeitet werden, manche verlangen eine Namensnennung, und manche verbieten kommerzielle Nutzung oder Weiterverbreitung
• Das Datum: Einer Vorlage, die vor jüngsten Gesetzesänderungen geschrieben wurde, können Pflichtangaben fehlen
• Die Passung: Eine Vorlage für einen Blog deckt keine App mit In-App-Käufen und Werbe-SDKs ab

Manche Organisationen veröffentlichen ihre eigenen Erklärungen unter offenen Lizenzen wie Creative Commons. Trägt eine Erklärung eine solche Lizenz, dürfen Sie sie zu den angegebenen Bedingungen wiederverwenden, wozu Namensnennung und die Weitergabe Ihrer angepassten Fassung unter derselben Lizenz gehören können. Die Erlaubnis löst die Urheberrechtsfrage, aber nicht die Genauigkeitsfrage: Sie müssen trotzdem jede Tatsache neu schreiben.

Besser ist eine Vorlage, die sich an Ihre Antworten anpasst, statt einer, die Sie von Hand bearbeiten. Die Seite Vorlage für Datenschutzerklärungen erklärt, wie sich eine Struktur je nach beschriebenem Dienst verändern kann.

Sie haben drei realistische Wege, und jeder beginnt mit demselben: einer ehrlichen Inventur dessen, was Sie erheben und warum.

• Selbst schreiben: kostenlos und vollständig in Ihrer Hand, wenn Sie methodisch vorgehen. Die Schritt-für-Schritt-Anleitung Datenschutzerklärung schreiben enthält eine Checkliste für den Entwurf.
• Einen Generator nutzen: schneller und konsistenter, sofern er nach Ihren echten Praktiken fragt. Fragebogen und vollständige Vorschau des Legal Policy Generator sind kostenlos und ohne Konto, und ein einfacher HTML- und PDF-Download ist kostenlos.
• Einen Anwalt beauftragen: die richtige Wahl, wenn Sie sensible Daten verarbeiten, sich an Kinder richten, Daten für Werbung verkaufen oder weitergeben oder anspruchsvolle Großkunden haben.

Welchen Weg Sie auch wählen, die Kosten sind meist niedriger als erwartet; was eine Datenschutzerklärung kostet vergleicht die Optionen. Jeder dieser Wege ist sicherer als Kopieren, weil jeder ein Dokument hervorbringt, das Ihr Unternehmen beschreibt und nicht das eines anderen.