Datenschutzerklärung schreiben: Schritt für Schritt

Jede genaue Datenschutzerklärung beginnt mit einer Dateninventur, nicht mit einer Vorlage. Öffnen Sie eine Tabelle und gehen Sie Ihr Produkt so durch, wie es Nutzer tun. Notieren Sie jede Stelle, an der personenbezogene Daten hereinkommen:

• Formulare: Kontakt, Registrierung, Checkout, Support und Bewerbungen
• Konten: E-Mail-Adresse, Name, Passwort-Hash, Profilbild und Einstellungen
• Automatische Erhebung: Serverlogs mit IP-Adressen, Cookies, SDKs und Absturzberichte
• Daten von Dritten: Anmeldung mit Google oder Apple, Zahlungsbestätigungen und Werbezielgruppen
• Inhalte der Nutzer: Nachrichten, Uploads, Bewertungen und Prompts an KI-Funktionen

Halten Sie für jede Zeile die Datenkategorie, die Quelle und das Tool fest, das die Daten verarbeitet. Vergessen Sie die unsichtbare Erhebung nicht: Eingebettete Videos, von Dritten geladene Webfonts und Chat-Widgets können IP-Adressen übertragen. Wenn Sie nicht sicher sind, was ein Skript tut, lesen Sie die Dokumentation des Anbieters oder beobachten Sie den Netzwerk-Tab in den Entwicklertools Ihres Browsers. Diese Inventur ist das Rückgrat aller weiteren Schritte und eine zusätzliche Stunde wert.

Schreiben Sie als Nächstes auf, warum Sie jede Datenkategorie nutzen. Typische Zwecke sind die Bereitstellung des Dienstes, die Kontoverwaltung, die Zahlungsabwicklung, die Beantwortung von Supportanfragen, der Newsletterversand, die Nutzungsmessung, die Betrugsprävention und Werbung. Formulieren Sie die Zwecke konkret: „Zur Verbesserung unserer Dienste“ allein sagt Lesern sehr wenig, während „um zu sehen, welche Seiten Besucher lesen, damit wir unklare Inhalte verbessern können“ ehrlich und greifbar ist.

Wenn jemand im Europäischen Wirtschaftsraum oder im Vereinigten Königreich Ihr Produkt nutzt, verlangt Artikel 13 DSGVO außerdem, dass Sie für jeden Zweck die Rechtsgrundlage angeben, etwa Vertrag, Einwilligung, rechtliche Verpflichtung oder berechtigte Interessen, und die berechtigten Interessen benennen, auf die Sie sich stützen. Eine kurze Zuordnung in Ihren Notizen hält die Erklärung konsistent:

• Newsletter-E-Mails: Einwilligung
• Auftragsabwicklung und Belege: Vertrag
• Betrugsprävention und Sicherheit: berechtigte Interessen
• Steuer- und Buchhaltungsunterlagen: rechtliche Verpflichtung

Nennen Sie nur Zwecke, die Sie heute tatsächlich verfolgen. Ein Zweck, den Sie vielleicht irgendwann hinzufügen, gehört in eine spätere Aktualisierung, nicht in die heutige Erklärung.

Leser und Aufsichtsbehörden wollen wissen, wer die Daten sonst noch erhält. Gehen Sie Ihre Inventur durch und listen Sie jeden Dienstleister auf: Hosting, Content Delivery, E-Mail-Versand, Analyse, Zahlungen, Kundensupport, Fehlertracking, Werbung und KI-Modellanbieter. Notieren Sie für jeden, ob er nur nach Ihren Weisungen handelt, wie es ein Auftragsverarbeiter oder Dienstleister tut, oder die Daten auch für eigene Zwecke nutzt, wie viele Werbenetzwerke.

Ihre Datenschutzerklärung sollte die Kategorien von Empfängern beschreiben und, wo es den Lesern hilft, die Anbieter selbst nennen. Manche Anbieterverträge erwarten bestimmte Formulierungen. Die Nutzungsbedingungen von Google Analytics verlangen zum Beispiel, dass Sie eine Datenschutzerklärung veröffentlichen, die Ihre Nutzung von Google Analytics offenlegt und erklärt, wie der Dienst Daten erhebt und verarbeitet. Der Leitfaden zu Analyse-Angaben erklärt, was dieser Abschnitt üblicherweise enthält.

Halten Sie außerdem fest, wo jeder Anbieter Daten verarbeitet. Verlassen Daten den Europäischen Wirtschaftsraum oder das Vereinigte Königreich, erwartet die DSGVO, dass Sie die Übermittlung und die genutzte Garantie nennen, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln.

Zwei Fragen bereiten vielen ersten Entwürfen Probleme: wie lange Sie Daten speichern und wie Sie sie schützen. Bei der Speicherdauer akzeptiert die DSGVO entweder eine feste Frist oder die Kriterien, nach denen Sie die Frist festlegen. Praktische Beispiele sehen so aus:

• Kontodaten: gespeichert, solange das Konto besteht, und innerhalb einer festgelegten Frist nach der Schließung gelöscht
• Abrechnungsunterlagen: so lange aufbewahrt, wie Steuer- und Handelsrecht es verlangen
• Support-E-Mails: für einen festgelegten Zeitraum nach Abschluss des Tickets gespeichert
• Analysedaten: für die in Ihrem Analysetool eingestellte Aufbewahrungsdauer gespeichert

Beschreiben Sie bei der Sicherheit Ihre tatsächlichen Maßnahmen in allgemeiner Form, etwa Verschlüsselung bei der Übertragung, eingeschränkte Zugriffe für Mitarbeitende und zeitnahe Software-Updates. Vermeiden Sie absolute Versprechen wie „Ihre Daten sind vollkommen sicher“. Kein System ist vor Sicherheitsvorfällen gefeit, und eine übertriebene Sicherheitsaussage ist genau die Art von Aussage, die zur Täuschung wird, wenn etwas schiefgeht. Schreiben Sie, was Sie tun, nicht was Sie gern tun würden.

Über die meisten regionalen Inhalte entscheidet Ihr Publikum, nicht nur der Sitz Ihres Unternehmens. Stellen Sie sich drei Fragen: Wo sind Ihre Nutzer, was erheben Sie, und wie groß ist Ihr Unternehmen?

• Nutzer in der EU oder im Vereinigten Königreich: Transparenzangaben nach DSGVO und UK-DSGVO, darunter Rechtsgrundlagen, Übermittlungen und das Recht auf Beschwerde bei einer Aufsichtsbehörde. Der DSGVO-Leitfaden zur Datenschutzerklärung listet sie auf.
• Besucher aus Kalifornien: CalOPPA verlangt von jeder kommerziellen Website und jedem Onlinedienst, der personenbezogene Daten von Einwohnern Kaliforniens erhebt, eine gut sichtbar veröffentlichte Datenschutzerklärung, ohne jeden Schwellenwert. Der CCPA ergänzt detaillierte Angaben für Unternehmen, die seine Schwellenwerte erreichen; der Leitfaden zu CCPA und CPRA führt durch diese Angaben.
• Andere US-Bundesstaaten: Inzwischen gibt es in vielen Bundesstaaten umfassende Datenschutzgesetze, jeweils mit eigenen Schwellenwerten und Widerspruchsrechten.
• Kinder: Ein Dienst, der sich in den USA an Kinder unter 13 Jahren richtet, löst die Informations- und Einwilligungsregeln von COPPA aus.
• Kanada, Brasilien, Australien, Neuseeland: Jedes dieser Länder hat eigene Offenheits- und Transparenzpflichten.

Nehmen Sie nur die Module auf, die zutreffen. Wer jedes Gesetz „für alle Fälle“ ergänzt, erzeugt Widersprüche, etwa Zusagen für Anfrageprozesse, die Sie gar nicht betreiben.

Eine Datenschutzerklärung ist auch eine Gebrauchsanleitung für Menschen, die ihre Rechte ausüben möchten. Listen Sie für jede Region, die Sie bedienen, die geltenden Rechte auf und erklären Sie genau, wie man sie wahrnimmt: über eine E-Mail-Adresse, die jemand betreut, ein Webformular oder eine Einstellung in der App.

Nach der DSGVO gehören dazu Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf der Einwilligung und Beschwerde bei einer Aufsichtsbehörde. Einwohner Kaliforniens haben gegenüber einem Unternehmen, das unter den CCPA fällt, das Recht auf Auskunft, Löschung, Berichtigung, Widerspruch gegen Verkauf oder Weitergabe personenbezogener Daten und Einschränkung der Nutzung sensibler personenbezogener Daten. Die CCPA-Verordnungen verlangen zudem eine allgemeine Beschreibung, wie Sie Anfragen verifizieren.

Testen Sie den Weg vor der Veröffentlichung. Senden Sie eine Anfrage an Ihre eigene Datenschutzadresse, prüfen Sie, ob sie ankommt, und legen Sie fest, wer sie wie schnell beantwortet. Ein Rechte-Abschnitt, der auf ein unbetreutes Postfach verweist, ist schlimmer als nutzlos: Er zeigt Lesern, dass die Erklärung nicht gepflegt wird, und echte Anfragen bleiben unbeantwortet.

Artikel 12 DSGVO verlangt Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache. Das ist für jedes Publikum ein guter Rat, und einige Gewohnheiten machen selbst eine lange Erklärung gut lesbar:

• Beginnen Sie mit einer kurzen Zusammenfassung der wichtigsten Punkte
• Verwenden Sie aussagekräftige Überschriften, etwa „An wen wir Daten weitergeben“
• Schreiben Sie lieber „wir“ und „Sie“ als „das Unternehmen“ und „die betroffene Person“
• Ersetzen Sie vage Wörter wie „kann“ und „bestimmte“ wo immer möglich durch Konkretes
• Nutzen Sie Listen für Datenkategorien und eine Tabelle für Speicherfristen
• Ergänzen Sie bei langen Erklärungen ein Inhaltsverzeichnis mit Sprungmarken

Lesen Sie den Entwurf laut vor. Wenn ein Satz zweimal gelesen werden muss, schreiben Sie ihn um. Klare Sprache heißt nicht locker sein, sondern sicherstellen, dass Leser danach wissen, was mit ihren Daten tatsächlich geschieht. Echte Formulierungsmuster zeigt der Leitfaden mit Beispielen für Datenschutzerklärungen, der kommentierte Textbausteine Abschnitt für Abschnitt durchgeht.

Veröffentlichen Sie die Datenschutzerklärung unter einer dauerhaften, öffentlichen URL und verlinken Sie sie überall dort, wo Menschen Entscheidungen über ihre Daten treffen. Übliche Stellen sind:

• Der Footer jeder Seite Ihrer Website
• Registrierungs-, Checkout- und Newsletter-Formulare
• Der Einstellungs- oder Info-Bildschirm Ihrer App
• Ihre Einträge in App Store Connect und der Google Play Console

App-Stores haben eigene Regeln. Apples Richtlinie 5.1.1(i) verlangt einen Link zur Datenschutzerklärung im Metadatenfeld von App Store Connect und leicht zugänglich in der App. Google Play verlangt einen Link in der Play Console und in der App, unter einer aktiven, öffentlich zugänglichen URL ohne Geofencing, und akzeptiert keine PDFs. CalOPPA verlangt eine gut sichtbare Veröffentlichung, und die CCPA-Verordnungen erwarten auf Ihrer Startseite oder der Download-Seite Ihrer App einen auffälligen Link, der das Wort „Privacy“ enthält. Layouts, die auf echten Websites funktionieren, finden Sie unter wo der Link zur Datenschutzerklärung hingehört.

Eine Datenschutzerklärung ist ein lebendes Dokument. Zeigen Sie oben ein Datum des Inkrafttretens, wie es CalOPPA verlangt, und bewahren Sie eine Kopie jeder veröffentlichten Fassung auf, damit Sie belegen können, was Nutzer zu welchem Zeitpunkt gesehen haben. Prüfen Sie die Erklärung immer dann, wenn Sie:

• ein Tool, SDK oder einen Anbieter hinzufügen oder entfernen
• eine neue Datenkategorie erheben oder Daten für einen neuen Zweck nutzen
• in einem neuen Land oder US-Bundesstaat starten
• KI-Funktionen, Werbung oder Zahlungen einführen
• ändern, wie Nutzer ihre Rechte ausüben

Unternehmen, die unter den CCPA fallen, müssen die vorgeschriebenen Angaben für Kalifornien nach Civil Code Section 1798.130(a)(5) mindestens alle 12 Monate aktualisieren. Tragen Sie sich deshalb eine jährliche Prüfung in den Kalender ein, auch wenn sich scheinbar nichts geändert hat. Informieren Sie Nutzer bei wesentlichen Änderungen direkt, statt die Seite stillschweigend zu bearbeiten. Den vollständigen Ablauf samt Formulierungen für die Benachrichtigung finden Sie unter wie oft Sie Ihre Datenschutzerklärung aktualisieren sollten.

Gehen Sie diese Checkliste durch, bevor die Datenschutzerklärung online geht:

1. Der vollständige Name des Betreibers, die Kontakt-E-Mail und, wo erforderlich, die Postanschrift sind korrekt
2. Jede Datenkategorie aus Ihrer Inventur steht in der Erklärung, und nichts darüber hinaus
3. Jeder Zweck ist konkret und hat eine Rechtsgrundlage, wenn Nutzer aus der EU oder dem Vereinigten Königreich betroffen sind
4. Jede Empfängerkategorie ist aufgeführt, einschließlich Analyse- und Werbetools
5. Internationale Übermittlungen und ihre Garantien sind beschrieben, wo relevant
6. Speicherfristen oder die Kriterien dafür sind angegeben
7. Rechte, Anfragewege und Verifizierung sind für jede bediente Region erklärt
8. Die Angaben zu Cookies und Tracking entsprechen dem, was Ihr Consent-Banner tatsächlich tut
9. Kinderdaten, sensible Daten und KI-Funktionen sind behandelt, falls vorhanden
10. Das Datum des Inkrafttretens ist gesetzt und frühere Fassungen sind archiviert
11. Der Link steht im Footer, in Formularen, in den App-Einstellungen und in den Store-Einträgen

Wenn Sie das nicht alles von Hand zusammentragen möchten, stellt der Legal Policy Generator diese Fragen in verständlicher Sprache und wählt anhand Ihrer Antworten versionierte Klauseln aus. Fragebogen und vollständige Vorschau sind kostenlos und ohne Konto nutzbar, sodass Sie das Ergebnis mit Ihrer eigenen Checkliste vergleichen können.