Datenschutzerklärung und AGB: Was ist der Unterschied?

Stellen Sie sich die beiden Dokumente als Antworten auf unterschiedliche Fragen vor. Ihre Datenschutzerklärung beantwortet Was passiert mit meinen Daten? Ihre AGB beantworten Welche Regeln gelten hier, und was passiert, wenn etwas schiefgeht?

Der direkte Vergleich:

• Zweck: Eine Datenschutzerklärung informiert; AGB legen verbindliche Regeln zwischen Ihnen und Ihren Nutzern fest.
• Warum es sie gibt: Eine Datenschutzerklärung gibt es meist, weil ein Datenschutzgesetz oder eine Plattform sie verlangt; AGB gibt es, weil Sie eine Vereinbarung wollen, auf die Sie sich verlassen können.
• Hauptzielgruppe: Datenschutzerklärungen richten sich an Nutzer, Aufsichtsbehörden und App-Prüfer; AGB richten sich an Nutzer und im Streitfall an ein Gericht oder Schiedsgericht.
• Wen sie bindet: Eine Datenschutzerklärung beschreibt Ihre eigenen Praktiken und kann gegen Sie verwendet werden, wenn sie unzutreffend ist; AGB versuchen, Pflichten für beide Seiten festzulegen.
• Annahme: Datenschutzhinweise müssen bereitgestellt, nicht akzeptiert werden; AGB brauchen in der Regel die Zustimmung des Nutzers, um als Vertrag zu wirken.

Der letzte Punkt wird am häufigsten übersehen. Nutzer aufzufordern, „der Datenschutzerklärung zuzustimmen“, macht daraus keinen Vertrag und begründet keine wirksame Einwilligung in die Datenverarbeitung. Die Datenschutzerklärung ist eine Information, die Sie den Menschen schulden. Die AGB sind ein Angebot, das Sie ihnen machen, und beides sollte in Ihrem Registrierungsablauf niemals vermischt werden.

Nutzen Sie diese Aufteilung, um zu entscheiden, wohin ein Satz gehört.

Themen der Datenschutzerklärung:

• wer Sie sind und wie man Sie in Datenschutzfragen erreicht
• welche personenbezogenen Daten Sie erheben und aus welchen Quellen
• wofür Sie sie verwenden und, nach der DSGVO, die Rechtsgrundlage für jeden Zweck
• Auftragsverarbeiter, Werbepartner und andere Empfänger
• internationale Übermittlungen und ihre Garantien
• Speicherfristen
• Nutzerrechte und wie man sie ausübt
• Cookies und ähnliche Tracking-Technologien

Themen der AGB:

• Teilnahmevoraussetzungen, Konten und Verantwortung für die Sicherheit
• zulässige Nutzung und verbotenes Verhalten
• Rechte an Ihren Inhalten und die Lizenz, die Sie an Nutzerinhalten erhalten
• Zahlungen, Abonnements, Verlängerung, Kündigung und Rückerstattungen
• Sperrung und Beendigung
• Haftungsausschlüsse und Haftungsbeschränkungen im gesetzlichen Rahmen
• anwendbares Recht, Streitbeilegung und Änderungen der Bedingungen

Manche Themen berühren beide. Die Kontolöschung gehört als Vertragsfrage in die AGB und als Frage der Speicherdauer und der Betroffenenrechte in die Datenschutzerklärung. In diesem Fall behandelt jedes Dokument seinen eigenen Aspekt und verlinkt auf das andere, statt es zu wiederholen. Die vollständige Datenschutzseite finden Sie unter Was gehört in eine Datenschutzerklärung?

In vielen Situationen ja. Die Pflicht ergibt sich aus dem Datenschutzrecht, nicht aus dem Vertragsrecht, und sie knüpft daran an, was Sie erheben, nicht daran, wie groß Ihre Website ist.

• EU und Vereinigtes Königreich: Die Artikel 13 und 14 der DSGVO und der UK GDPR verlangen, dass Sie Menschen bei der Erhebung ihrer personenbezogenen Daten bestimmte Informationen geben, darunter Ihre Identität, Zwecke, Rechtsgrundlagen, Empfänger, Speicherfristen und Rechte.
• Kalifornien: CalOPPA verpflichtet Betreiber kommerzieller Websites und Onlinedienste, die personenbezogene Daten von Einwohnern Kaliforniens erheben, eine Datenschutzerklärung gut sichtbar zu veröffentlichen.
• Andere Regionen: Kanada, Brasilien, Australien und Neuseeland haben alle Datenschutzgesetze mit Transparenz- oder Informationspflichten, auch wenn Schwellenwerte und Einzelheiten abweichen.
• App-Stores: Apple und Google Play erwarten beide einen Link zur Datenschutzerklärung für die Apps, die sie vertreiben, unabhängig vom Sitz des Entwicklers.

Schon ein Kontaktformular, eine Newsletter-Anmeldung oder ein Analyseskript bedeutet meist, dass personenbezogene Daten verarbeitet werden, daher fallen nur sehr wenige echte Websites aus allen Regeln heraus. Eine ausführlichere Darstellung finden Sie unter Brauche ich eine Datenschutzerklärung? und in den Anforderungen der DSGVO an die Datenschutzerklärung. Wenn die Antwort für Ihr Projekt ja lautet, veröffentlichen Sie die Datenschutzerklärung vor dem Start, statt zu warten, bis ein Nutzer oder Prüfer danach fragt.

Meist nicht in derselben pauschalen Weise. Keine allgemeine Regel besagt, dass jede Website Nutzungsbedingungen veröffentlichen muss. Sie veröffentlichen sie, weil ein Vertrag Sie schützt: Er legt fest, wer den Dienst nutzen darf, was Nutzer nicht tun dürfen, wem Inhalte gehören, wie Zahlungen und Rückerstattungen funktionieren und wie Streitigkeiten behandelt werden.

Es gibt wichtige Ausnahmen, in denen das Gesetz Informationen nach Art von AGB faktisch verlangt:

• Onlineverkäufe in der EU und im Vereinigten Königreich: Verkäufer müssen Verbrauchern bestimmte vorvertragliche Informationen geben, etwa den Gesamtpreis, Widerrufsrechte und den Umgang mit Beschwerden, und die Vertragsbedingungen so zugänglich machen, dass Menschen sie speichern und wiedergeben können.
• Nutzerinhalte in der EU: Vermittlungsdienste, darunter viele Websites, die Beiträge oder Uploads von Nutzern hosten, müssen nach dem Digital Services Act Inhaltsbeschränkungen und Moderation in ihren AGB beschreiben.
• Abonnements in den USA: Unternehmen mit wiederkehrenden Gebühren unterliegen bundesweiten und bundesstaatlichen Regeln zu Offenlegung, Zustimmung und Kündigung.

Wenn nichts davon zutrifft, sind AGB eine geschäftliche Entscheidung und keine gesetzliche Pflicht, wenn auch meist eine sinnvolle. Unser Ratgeber Brauche ich AGB? geht jeden Auslöser einzeln durch, und der Generator für Nutzungsbedingungen macht aus Ihren Antworten einen Entwurf, den Sie kostenlos in der Vorschau ansehen können.

Weil sich die Zielgruppen unterscheiden, unterscheidet sich auch der Schreibstil.

Eine Datenschutzerklärung muss nach den Worten von Artikel 12 DSGVO präzise, transparent, verständlich und leicht zugänglich sein. Aufsichtsbehörden lesen sie, um zu prüfen, ob Ihre Angaben dem entsprechen, was Ihr Produkt tatsächlich tut. App-Prüfer kontrollieren, ob der Link existiert und funktioniert. Datenschutzbewusste Nutzer überfliegen sie nach Weitergabe, Werbung und Löschung. Jede Aussage sollte eine Tatsache sein, die Sie belegen können: welche Auftragsverarbeiter Sie einsetzen, wie lange Sie Daten aufbewahren und wie Menschen ihre Rechte ausüben.

AGB werden meist dann gelesen, wenn etwas schiefgegangen ist: ein Streit um eine Rückerstattung, ein gesperrtes Konto, eine Urheberrechtsbeschwerde oder eine Rückbuchung. Klarheit ist trotzdem wichtig, denn das Verbraucherrecht der EU und des Vereinigten Königreichs legt unklare Klauseln zugunsten des Verbrauchers aus. AGB dürfen aber bestimmt auftreten. Sie setzen Grenzen, behalten Rechte vor und verteilen Risiken.

Eine praktische Folge: Übernehmen Sie niemals Versprechen von Ihrer Marketingseite in eines der beiden Dokumente. Eine Datenschutzerklärung, die behauptet, Daten würden „niemals weitergegeben“, während Sie ein Werbepixel einsetzen, oder AGB, die einen unterbrechungsfreien Dienst versprechen, werden zum Beweismittel gegen Sie statt zu einem Schutz. Schreiben Sie beide Dokumente in dem nüchternen, sachlichen Ton von jemandem, der damit rechnet, überprüft zu werden.

Sie können beide auf einer Seite veröffentlichen, aber das hilft selten und schafft drei vermeidbare Probleme.

1. Die Einwilligung wird verworren. Artikel 7 Abs. 2 DSGVO besagt, dass ein Ersuchen um Einwilligung, das in einer schriftlichen Erklärung erfolgt, die noch andere Sachverhalte betrifft, von diesen anderen Sachverhalten klar zu unterscheiden sein muss. Wer Datenfreigaben in einem Vertrag versteckt, kann eine wirksame Einwilligung kaum nachweisen.
2. Vertragssprache dringt in einen Hinweis ein. Formulierungen wie „Sie erklären sich damit einverstanden, dass wir erheben dürfen“ legen nahe, die Datenschutzinformation sei etwas, worüber Nutzer verhandeln. Nach der DSGVO ist die Zustimmung zu einem Vertrag nicht dasselbe wie die Einwilligung in eine Verarbeitung, und für jeden Zweck muss die eigene Rechtsgrundlage klar erklärt werden.
3. Aktualisierungen kollidieren. Möglicherweise müssen Sie die Datenschutzerklärung aktualisieren, wenn Sie ein neues Analysetool einführen, ohne alle aufzufordern, den gesamten Vertrag erneut zu akzeptieren, und umgekehrt gilt das ebenso.

Sauberer sind zwei Dokumente mit Querverweisen. Die AGB sagen, dass die Datenschutzerklärung erklärt, wie mit personenbezogenen Daten umgegangen wird, und die Datenschutzerklärung bleibt ein eigenständiger Hinweis. Wenn Nutzer beide bei der Registrierung sehen sollen, zeigen Sie neben der Zustimmungsaktion zwei getrennte Links und machen Sie deutlich, dass nur den AGB zugestimmt wird.

Die Platzierung folgt der Funktion.

• Footer jeder Seite: Verlinken Sie beide Dokumente, damit Besucher sie jederzeit finden.
• Registrierung und Checkout: Setzen Sie die AGB neben die Aktion, mit der der Vertrag zustande kommt, mit einer Formulierung wie „Mit dem Erstellen eines Kontos stimmen Sie den Nutzungsbedingungen zu“, sowie einen Link zur Datenschutzerklärung zur Information.
• Stellen der Datenerhebung: Kontaktformulare, Newsletter-Anmeldungen und Lead-Formulare sollten dort, wo die Daten erhoben werden, auf die Datenschutzerklärung verlinken.
• App-Stores: Die URL der Datenschutzerklärung gehört in die Felder des Store-Eintrags, und Apple bietet zusätzlich ein eigenes Feld für eine Lizenzvereinbarung.
• In Apps: Ein Einstellungs- oder Info-Bildschirm sollte auf beide Dokumente verlinken.

Die Platzierung ist keine Dekoration. US-Gerichte haben sich geweigert, Bedingungen durchzusetzen, die nur im Footer verlinkt waren, wenn Nutzer keinen angemessenen Hinweis darauf hatten. Wo Ihre AGB erscheinen, entscheidet also unmittelbar darüber, ob sie jemanden binden. Eine Datenschutzerklärung, die zum Zeitpunkt der Erhebung niemand findet, verfehlt ebenfalls ihren Zweck, selbst wenn sie irgendwo auf Ihrer Website existiert. Ausführliche Muster zur Platzierung finden Sie unter Wo gehört der Link zur Datenschutzerklärung hin?

Widersprüche zwischen Datenschutzerklärung und AGB entstehen meist, weil beide zu unterschiedlichen Zeiten aus unterschiedlichen Vorlagen geschrieben werden. Das eine sagt, Konten würden nach 30 Tagen gelöscht, das andere nennt 90. Das eine sagt, Sie verkaufen niemals Daten, das andere räumt Partnern eine Lizenz an Nutzerinhalten ein.

Ein sichererer Ablauf:

1. Halten Sie die Fakten einmal fest: erhobene Daten, Auftragsverarbeiter, Zahlungsweg, Nutzerinhalte, bediente Regionen und Altersgrenzen.
2. Entwerfen oder generieren Sie die Datenschutzerklärung aus diesen Fakten.
3. Entwerfen oder generieren Sie die AGB aus denselben Fakten.
4. Gleichen Sie gemeinsame Themen ab: Löschung, Speicherdauer, Kommunikation, Nutzerinhalte und Drittanbieterdienste.
5. Veröffentlichen Sie beide mit klarem Datum des Inkrafttretens und bewahren Sie die alten Fassungen auf.

Legal Policy Generator folgt diesem Ansatz. Sie beantworten Fragen in verständlicher Sprache, und das Tool stellt versionierte, deterministische Klauseln für eine Datenschutzerklärung oder Nutzungsbedingungen zusammen; keine KI schreibt zur Laufzeit Klauseln. Fragebogen und vollständige Vorschau sind kostenlos und ohne Konto verfügbar, und ein einfacher HTML- oder PDF-Download ist kostenlos. Erweiterte regionale oder optionale Module kosten $5. Das Ergebnis spiegelt die Fakten wider, die Sie angeben, und ist keine Rechtsberatung.