Was passiert, wenn Sie keine Datenschutzerklärung haben?

Wenn Ihnen auffällt, dass Sie Daten ohne Erklärung erhoben haben, gehen Sie methodisch vor statt in Panik:

1. Erfassen Sie jedes Formular, jede Kontofunktion, jedes Analyse- oder Werbe-Tag, jedes SDK und jeden Anbieter, der mit personenbezogenen Daten in Berührung kommt
2. Entwerfen Sie eine Erklärung, die diese Fakten zutreffend beschreibt, einschließlich der regionalen Abschnitte, die Ihr Publikum auslöst
3. Prüfen Sie Ihr Consent-Setup, damit einwilligungspflichtige Cookies und Tracker nicht vor der Zustimmung der Nutzer aktiv werden
4. Veröffentlichen Sie die Erklärung unter einer dauerhaften URL und verlinken Sie sie in Footer, Formularen, App-Einstellungen und Store-Einträgen
5. Aktualisieren Sie Ihre Einträge im App Store, bei Google Play und auf anderen Plattformen mit dem neuen Link
6. Legen Sie ein Datum des Inkrafttretens fest und führen Sie ein Archiv, damit künftige Fassungen nachvollziehbar sind
7. Holen Sie rechtlichen Rat ein, wenn Sie sensible Daten oder Kinderdaten verarbeiten, eine Beschwerde erhalten haben oder eine Behörde Sie kontaktiert hat

Die Anleitung Datenschutzerklärung schreiben behandelt jeden Schritt ausführlich. Für einen schnelleren Einstieg führt Sie der Generator für Datenschutzerklärungen durch dieselbe Inventur und zeigt Ihnen die vollständige Erklärung kostenlos und ohne Konto in der Vorschau.

Es gibt kein einheitliches weltweites Gesetz, aber wenn Sie online personenbezogene Daten erheben, gilt mit ziemlicher Sicherheit mindestens eine Regel für Sie. Die wichtigsten:

• DSGVO und UK-DSGVO: gelten für Organisationen mit Niederlassung in der EU oder im Vereinigten Königreich und für solche außerhalb, die dort Menschen Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten. Die Artikel 13 und 14 verlangen bei der Erhebung bestimmte Informationen.
• CalOPPA: verlangt von jedem Betreiber einer kommerziellen Website oder eines Onlinedienstes, der personenbezogene Daten von Einwohnern Kaliforniens erhebt, eine gut sichtbare Datenschutzerklärung, ohne Umsatzschwelle.
• CCPA: verlangt eine ausführliche Datenschutzerklärung von gewinnorientierten Unternehmen, die einen seiner Schwellenwerte erreichen, etwa einen jährlichen Bruttoumsatz von mehr als 26.625.000 US-Dollar, wie seit dem 1. Januar 2025 angepasst.
• Andere US-Bundesstaaten und COPPA: Viele Bundesstaaten haben umfassende Datenschutzgesetze, und COPPA verlangt einen Online-Hinweis für Dienste, die sich an Kinder unter 13 Jahren richten.
• Kanada, Brasilien, Australien, Neuseeland: PIPEDA, LGPD sowie der australische und der neuseeländische Privacy Act verlangen jeweils Offenheit darüber, wie mit personenbezogenen Daten umgegangen wird.

Der Leitfaden brauche ich eine Datenschutzerklärung geht jede Situation ausführlicher durch.

Ja, und das ist oft die erste Folge, auf die Entwickler stoßen. Apples App-Review-Richtlinie 5.1.1(i) besagt, dass alle Apps einen Link zu ihrer Datenschutzerklärung im Metadatenfeld von App Store Connect und leicht zugänglich in der App enthalten müssen. Die Google Play User Data Policy besagt, dass alle Apps einen Link zur Datenschutzerklärung in der Play Console und in der App veröffentlichen müssen, und auch Apps, die auf keine personenbezogenen und sensiblen Nutzerdaten zugreifen, müssen eine einreichen.

Ohne Erklärung wird eine neue Einreichung wahrscheinlich abgelehnt, und einer bestehenden App drohen bei einer späteren Prüfung Durchsetzungsmaßnahmen. Die Maßnahmen von Google Play können Ablehnung, Entfernung und Sperrung umfassen, und schwere oder wiederholte Verstöße können das Entwicklerkonto gefährden. Die Erklärung muss außerdem zu den Datenschutzlabels und dem Datensicherheitsformular (Data safety) passen, die Sie einreichen.

Wenn Sie eine mobile App veröffentlichen, listen die Leitfäden zur Datenschutzerklärung für Google Play und zur Datenschutzerklärung für den Apple App Store die genauen Anforderungen jedes Stores auf.

Viele Tools, auf die Sie sich verlassen, machen eine Datenschutzerklärung zur vertraglichen Bedingung für ihre Nutzung. Die Nutzungsbedingungen von Google Analytics verlangen zum Beispiel, dass Sie eine Datenschutzerklärung veröffentlichen, die Ihre Nutzung von Cookies, mobilen Kennungen oder ähnlichen Technologien offenlegt, und dass Sie Ihre Nutzung von Google Analytics und dessen Datenerhebung und -verarbeitung offenlegen. Werbeprogramme verlangen üblicherweise ähnliche Angaben zu Cookies und personalisierter Werbung, und E-Mail-Plattformen erwarten von Absendern, dass sie erklären, wie Abonnentendaten genutzt werden.

Wenn Sie gegen die Bedingungen eines Anbieters verstoßen, kann dieser Ihren Zugang nach genau diesen Bedingungen meist einschränken, sperren oder kündigen. Für ein Unternehmen, das von Werbeeinnahmen oder einer Marketingliste abhängt, kann der Verlust eines Kontos einschneidender sein als ein Schreiben der Aufsichtsbehörde, denn er geschieht ohne Anhörung und lässt sich oft nur mit Zeitaufwand rückgängig machen.

Die Lösung ist einfach: Legen Sie jedes genutzte Tool in Ihrer Erklärung so offen, wie es dessen Bedingungen verlangen. Die Leitfäden zu den Anforderungen an die Datenschutzerklärung für Google Analytics und an die Datenschutzerklärung für AdSense zeigen die Themen, die jeder Anbieter erwartet.

Nicht jede Folge geht von einer Behörde aus. Geschäftskunden verlangen routinemäßig eine Datenschutzerklärung im Einkaufsprozess und bei Sicherheitsprüfungen von Lieferanten. Eine fehlende Erklärung, oder eine, die offensichtlich nicht Ihr Produkt beschreibt, wirft Fragen auf, die Geschäfte verzögern oder stoppen, besonders bei größeren Kunden mit eigenen Datenschutzpflichten.

Andere praktische Auswirkungen werden leicht unterschätzt:

• Partner- und Integrationsprogramme, etwa die Anmeldung mit Google oder Stores für Browsererweiterungen, verlangen oft vor der Freigabe eine URL zur Datenschutzerklärung
• Zahlungs-, E-Mail- und Marketinganbieter erwarten von Händlern, dass sie erklären, wie mit Kundendaten umgegangen wird
• Investoren und Käufer prüfen die Datenschutzunterlagen bei der Due Diligence
• Nutzer suchen zunehmend nach einem Datenschutz-Link, bevor sie eine E-Mail-Adresse oder Kartennummer angeben

Nichts davon ist mit einem Bußgeld verbunden, aber jeder Punkt kann durch entgangene Umsätze und Verzögerungen mehr kosten als die Zeit, die eine zutreffende Erklärung erfordert. Eine klare, ehrliche Erklärung ist zudem ein stilles Vertrauenssignal auf jeder Seite Ihrer Website.

Die DSGVO behandelt Transparenz als Kernpflicht. Nach Artikel 83 Absatz 5 können Verstöße gegen die Betroffenenrechte in den Artikeln 12 bis 22, zu denen die Informationen gehören, die Sie Menschen geben müssen, zu Geldbußen von bis zu 20 Millionen Euro oder 4 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres führen, je nachdem, welcher Betrag höher ist. Die UK-DSGVO legt das entsprechende Maximum auf 17,5 Millionen Pfund oder 4 % fest.

Das sind Obergrenzen, keine Ausgangswerte. Artikel 83 Absatz 2 verlangt von den Behörden, Art, Schwere und Dauer des Verstoßes zu berücksichtigen, die Zahl der Betroffenen, ob vorsätzlich oder fahrlässig gehandelt wurde, die ergriffenen Maßnahmen zur Schadensminderung und die Zusammenarbeit der Organisation. Bußgelder müssen wirksam, verhältnismäßig und abschreckend sein.

Bußgelder sind auch nicht das einzige Mittel. Nach Artikel 58 können Aufsichtsbehörden Warnungen und Verwarnungen aussprechen, anordnen, dass Sie die Verarbeitung mit der DSGVO in Einklang bringen, anordnen, dass Sie die betroffenen Personen informieren, und vorübergehende oder endgültige Beschränkungen der Verarbeitung bis hin zu einem Verbot verhängen. Für ein kleines Unternehmen kann die Anordnung, eine Marketingpraxis einzustellen, schwerer wiegen als das theoretische Höchstbußgeld.

Kalifornien hat zwei sich überschneidende Regelungen. Der CCPA gilt für gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind und einen Schwellenwert erreichen, etwa einen jährlichen Bruttoumsatz von mehr als 26.625.000 US-Dollar, den Kauf, Verkauf oder die Weitergabe personenbezogener Daten von 100.000 oder mehr Verbrauchern oder Haushalten oder mindestens die Hälfte des Jahresumsatzes aus dem Verkauf oder der Weitergabe personenbezogener Daten. Nach der Anpassung vom Januar 2025, die die California Privacy Protection Agency bekannt gab, können Verwaltungsbußgelder und zivilrechtliche Strafen 2.663 US-Dollar pro Verstoß oder 7.988 US-Dollar pro vorsätzlichem Verstoß erreichen, ebenso bei Verstößen, die personenbezogene Daten von Verbrauchern betreffen, von denen das Unternehmen weiß, dass sie unter 16 Jahre alt sind. Die Agency setzt im Verwaltungsweg durch, und der Attorney General kann Zivilklagen erheben.

CalOPPA hat keinen Größenschwellenwert. Ein Betreiber verstößt dagegen, wenn er nicht innerhalb von 30 Tagen nach einem Hinweis auf die Nichteinhaltung eine konforme Erklärung veröffentlicht. CalOPPA enthält selbst keine Strafbeträge, aber Verstöße können nach dem kalifornischen Unfair Competition Law verfolgt werden, wo zivilrechtliche Strafen nach Business and Professions Code Section 17206 bis zu 2.500 US-Dollar pro Verstoß erreichen können.

Beträge pro Verstoß summieren sich schnell, wenn sie pro Nutzer oder pro Download gezählt werden. Der Leitfaden zu CCPA und CPRA erklärt, was die kalifornischen Angaben enthalten müssen.

In den USA gibt es kein allgemeines Bundesgesetz, das jedes Unternehmen zur Veröffentlichung einer Datenschutzerklärung verpflichtet. Der Federal Trade Commission Act verbietet jedoch unlautere oder täuschende Handlungen oder Praktiken im Handel, und die FTC nutzt diese Befugnis seit vielen Jahren gegen Unternehmen, deren Datenschutzaussagen irreführend waren oder deren Praktiken gegebene Versprechen brachen. Vergleiche legen häufig langfristige Pflichten auf, etwa Datenschutzprogramme, unabhängige Prüfungen und Berichte, und Verstöße gegen eine FTC-Anordnung können zu zivilrechtlichen Strafen führen.

Für Angebote an Kinder gilt eine strengere Regel. Die COPPA Rule verlangt von Betreibern von Websites und Onlinediensten, die sich an Kinder unter 13 Jahren richten oder tatsächlich wissen, dass sie personenbezogene Daten solcher Kinder erheben, einen Online-Datenschutzhinweis zu veröffentlichen und eine überprüfbare Einwilligung der Eltern einzuholen. Laut den COPPA-Hinweisen der FTC kann ein Gericht Verstöße mit zivilrechtlichen Strafen von bis zu 53.088 US-Dollar pro Verstoß ahnden, ein inflationsbereinigter Betrag.

Die Lehre daraus: Sowohl Schweigen als auch Ungenauigkeit sind riskant. Keine Erklärung zu haben schützt nicht vor Prüfungen der FTC, wenn Ihre Praktiken unlauter sind, und eine Erklärung mit falschen Aussagen schafft ein eigenes Täuschungsproblem.

Wenn Ihre Nutzer in diesen Ländern sind, erwarten deren Gesetze ebenfalls Offenheit beim Umgang mit Daten:

• Kanada: Der Offenheitsgrundsatz von PIPEDA verlangt, dass Organisationen Informationen über ihre Richtlinien und Praktiken leicht verfügbar machen. Das Office of the Privacy Commissioner untersucht Beschwerden, und das Gesetz 25 in Quebec ergänzt eigene Veröffentlichungspflichten.
• Brasilien: Das LGPD gibt Menschen das Recht auf klare Informationen über die Verarbeitung. Zu den Sanktionen gehören Verwarnungen und Bußgelder von bis zu 2 % des Umsatzes eines Unternehmens in Brasilien, begrenzt auf 50 Millionen R$ pro Verstoß.
• Australien: Organisationen, die unter den Privacy Act fallen, in der Regel Unternehmen mit einem Jahresumsatz über 3 Millionen A$ sowie einige kleinere, müssen nach APP 1 eine klar formulierte und aktuelle Datenschutzerklärung haben. Das OAIC kann ermitteln und bei schweren Eingriffen in die Privatsphäre zivilrechtliche Strafen beantragen.
• Neuseeland: Der Privacy Act 2020 verlangt, dass Stellen Menschen über die Erhebung informieren, und der Privacy Commissioner kann Beschwerden untersuchen und Compliance Notices erlassen.

Die Einzelheiten unterscheiden sich; prüfen Sie daher im Überblick zu Datenschutzgesetzen jedes Land, das Sie bedienen.