Datenschutzerklärung-Pflicht für Websites: Was wirklich rein muss

Sobald Ihre Website mehr tut, als ein statisches Plakat im Netz zu sein – und das tut praktisch jede moderne Seite – verarbeiten Sie personenbezogene Daten. Damit greift die Datenschutz-Grundverordnung, und eine Datenschutzerklärung wird zur Pflicht. Dieser Beitrag zeigt Ihnen ohne Juristendeutsch, was in diese Erklärung gehört, warum ein kopierter Mustertext selten passt und wie Sie eine belastbare Version für Ihr Unternehmen zusammenstellen.

Wann ist eine Datenschutzerklärung auf der Website Pflicht?

Die kurze Antwort: fast immer. Die DSGVO verpflichtet jeden, der personenbezogene Daten verarbeitet, die betroffenen Personen darüber zu informieren. Personenbezogene Daten sind dabei viel mehr, als die meisten vermuten – schon die IP-Adresse eines Besuchers zählt dazu. Und diese wird bei jedem Seitenaufruf an Ihren Webserver übertragen. Das bedeutet: Sobald jemand Ihre Website öffnet, findet eine Datenverarbeitung statt.

In der Praxis kommt kaum eine Unternehmensseite ohne weitere Verarbeitungen aus: ein Kontaktformular, ein Newsletter, eingebundene Karten, Analyse-Werkzeuge oder ein Terminbuchungs-Widget. Jede dieser Funktionen erzeugt eine eigene Datenverarbeitung, über die Sie aufklären müssen. Die Datenschutzerklärung-Pflicht für Websites gilt daher unabhängig davon, ob Sie ein Ein-Personen-Betrieb oder ein mittelständisches Unternehmen sind.

Anders als bei vielen anderen Pflichten kennt die DSGVO hier keine großzügige Bagatellgrenze für kleine Betriebe. Wer glaubt, als Kleinunternehmer außen vor zu sein, irrt: Zwar sind einige interne Formalpflichten für sehr kleine Organisationen abgestuft, die Informationspflicht gegenüber den Website-Besuchern besteht jedoch immer. Für viele kleine Unternehmen ist die Datenschutzerklärung damit die erste und sichtbarste DSGVO-Pflicht, mit der sie in Berührung kommen – und zugleich die, die am schnellsten von außen überprüfbar ist, weil sie öffentlich auf der Seite steht.

Datenschutzerklärung, Impressum, Cookie-Banner: der Unterschied

Diese drei Elemente werden oft in einen Topf geworfen, erfüllen aber unterschiedliche Zwecke. Wer sie verwechselt, hat am Ende zwar Text auf der Seite, aber keine saubere Rechtsgrundlage. Die Impressumspflicht in Österreich ergibt sich aus dem E-Commerce-Gesetz und dem Mediengesetz und regelt, wer hinter der Seite steht. Die Datenschutzerklärung regelt, was mit den Daten der Besucher passiert. Der Cookie-Banner wiederum holt aktiv eine Einwilligung ein, wo diese nötig ist.

Wichtig ist die Reihenfolge im Denken: Der Cookie-Banner ist die aktive Zustimmung, die Datenschutzerklärung ist die vollständige Information dahinter. Beide verweisen aufeinander. Ein Banner allein ersetzt keine Erklärung – und eine Erklärung allein deckt keine zustimmungspflichtigen Cookies ab. Mehr zu unserem eigenen Umgang mit diesen Themen finden Sie auf unserer Datenschutz-Seite.

Diese Angaben verlangt die DSGVO zwingend

Artikel 13 der DSGVO listet auf, worüber Sie informieren müssen, wenn Sie Daten direkt bei der betroffenen Person erheben – und genau das passiert auf Ihrer Website. Die folgende Aufstellung ist der Kern jeder korrekten Erklärung. Fehlt einer dieser Punkte, ist die Erklärung angreifbar.

• Name und Kontaktdaten des Verantwortlichen – also Ihres Unternehmens, mit ladungsfähiger Anschrift.
• Gegebenenfalls die Kontaktdaten eines Datenschutzbeauftragten, sofern Sie einen bestellen müssen.
• Die Zwecke, für die Sie die Daten verarbeiten – etwa Beantwortung von Anfragen, Reichweitenmessung oder Newsletter-Versand.
• Die Rechtsgrundlage jeder Verarbeitung (Einwilligung, Vertrag, berechtigtes Interesse oder rechtliche Verpflichtung).
• Empfänger oder Kategorien von Empfängern der Daten – zum Beispiel Ihr Hosting-Anbieter oder ein Newsletter-Dienstleister.
• Hinweise auf eine mögliche Übermittlung in Drittländer außerhalb der EU und die dafür geltenden Garantien.
• Die Speicherdauer oder die Kriterien, nach denen sie sich bestimmt.
• Die Rechte der betroffenen Personen: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.
• Das Recht, eine Einwilligung jederzeit zu widerrufen, sowie das Beschwerderecht bei der Datenschutzbehörde.
• Ob die Bereitstellung der Daten vorgeschrieben oder für einen Vertrag erforderlich ist.

Diese Liste wirkt auf den ersten Blick lang, folgt aber einer einfachen Logik: Sie soll den Besucher in die Lage versetzen, informierte Entscheidungen über seine Daten zu treffen. Deshalb reicht es nicht, die Punkte formelhaft abzuhaken. Jede Angabe muss konkret sein – „Wir speichern Ihre Anfrage, bis diese vollständig bearbeitet ist, längstens jedoch für die Dauer gesetzlicher Aufbewahrungsfristen“ ist eine brauchbare Formulierung, „Wir speichern Daten, solange es nötig ist“ dagegen zu vage. Je präziser Ihre Erklärung, desto weniger Angriffsfläche bietet sie.

Checkliste: Diese Verarbeitungen werden am häufigsten vergessen

Die meisten unvollständigen Datenschutzerklärungen scheitern nicht am Grundgerüst, sondern an übersehenen Details. Technische Funktionen, die im Hintergrund laufen, verarbeiten Daten, ohne dass es dem Betreiber bewusst ist. Prüfen Sie Ihre Seite gegen diese Liste – jeder zutreffende Punkt braucht einen eigenen Absatz in der Erklärung.

• Server-Logfiles: Jeder Webserver protokolliert IP-Adressen, Zeitpunkt und aufgerufene Seiten.
• Kontaktformular und E-Mail: Name, Adresse und Inhalt der Anfrage werden gespeichert.
• Newsletter-Anmeldung: Double-Opt-In, verwendeter Dienstleister, Widerrufsmöglichkeit.
• Web-Analyse und Reichweitenmessung: fast immer zustimmungspflichtig.
• Externe Schriftarten und Icon-Bibliotheken, die von fremden Servern geladen werden.
• Eingebundene Karten, Videos oder Social-Media-Elemente von Drittanbietern.
• Terminbuchung, Chat-Widgets oder Kundenportale mit Login.
• Zahlungsdienstleister im Onlineshop.
• Cookies und ähnliche Technologien – auch solche, die Tools automatisch setzen.

Besonders die eingebundenen Schriftarten und externen Bibliotheken sind eine unterschätzte Falle: Werden diese direkt vom Server eines Drittanbieters geladen, wird die IP-Adresse Ihrer Besucher dorthin übertragen – oft in ein Land außerhalb der EU. Wer solche Ressourcen stattdessen lokal auf dem eigenen Server einbindet, vermeidet die Übermittlung und vereinfacht die Erklärung erheblich. Genau solche Details berücksichtigen wir bei der Software- und Website-Entwicklung von Anfang an.

Cookie-Banner: Wann eine Einwilligung nötig ist

Ein häufiges Missverständnis lautet: „Wir haben einen Cookie-Banner, also sind wir sicher.“ Tatsächlich ist ein Banner nur dort verpflichtend, wo Sie nicht unbedingt notwendige Cookies oder ähnliche Technologien einsetzen. Für rein technisch erforderliche Cookies – etwa den Warenkorb im Shop – brauchen Sie keine Einwilligung. Für Analyse, Marketing und eingebettete Drittinhalte hingegen schon.

Der Cookie-Banner und die Datenschutzerklärung müssen zusammenpassen: Was der Banner zur Zustimmung anbietet, muss in der Erklärung ausführlich beschrieben sein. Widersprüche zwischen beiden fallen bei Prüfungen sofort auf und untergraben die Rechtssicherheit beider Dokumente.

Warum ein kopiertes Muster selten passt

Generatoren und Vorlagen für Datenschutzerklärungen sind verbreitet – und als Ausgangspunkt durchaus nützlich. Das Risiko entsteht, wenn ein solcher Text unverändert übernommen wird. Denn eine Datenschutzerklärung ist nur dann korrekt, wenn sie exakt die Verarbeitungen beschreibt, die Ihre Seite tatsächlich durchführt. Ein Muster enthält oft Passagen zu Diensten, die Sie gar nicht nutzen – und schweigt zu jenen, die bei Ihnen laufen.

Beide Fehlerarten sind problematisch. Werden Dienste beschrieben, die Sie nicht verwenden, wirkt die Erklärung unglaubwürdig und irreführend. Fehlen dagegen tatsächlich genutzte Dienste, ist Ihre Informationspflicht verletzt. Ein Muster ersetzt daher nie die Bestandsaufnahme: Sie müssen wissen, welche Tools auf Ihrer Seite aktiv sind, bevor Sie den Text finalisieren. Wer eine Seite mit Login oder ein Kundenportal betreibt, hat zusätzliche Verarbeitungen, die kein Standardmuster kennt.

Hinzu kommt, dass Muster mit der Zeit veralten. Rechtsprechung und Auslegung entwickeln sich weiter, und eine Vorlage, die vor Jahren korrekt war, kann heute Lücken aufweisen. Ein weiterer, oft übersehener Punkt: Auch die technische Umsetzung Ihrer Seite verändert sich. Wird ein neues Analyse-Tool eingebunden oder ein Chat-Widget ergänzt, ohne dass die Erklärung nachgezogen wird, entsteht sofort eine Lücke. Datenschutz ist deshalb kein einmaliges Projekt, sondern begleitet den Betrieb Ihrer Website oder App dauerhaft. Am robustesten fahren Sie, wenn technische Änderungen und die Aktualisierung der Erklärung im selben Arbeitsschritt passieren.

Was hinter der Website noch dazugehört

Die Datenschutzerklärung ist der sichtbare Teil Ihrer DSGVO-Pflichten. Im Hintergrund gehören meist zwei weitere Elemente dazu, die viele kleine Unternehmen übersehen. Das Verzeichnis von Verarbeitungstätigkeiten dokumentiert intern, welche Daten Sie zu welchem Zweck verarbeiten. Es ist kein öffentliches Dokument, aber die Datenschutzbehörde kann es einsehen. Die Ausnahmen für kleine Betriebe sind eng gefasst – gehen Sie im Zweifel davon aus, dass Sie ein Verzeichnis führen müssen.

Der zweite Baustein ist der Auftragsverarbeitungsvertrag. Sobald ein externer Dienstleister in Ihrem Auftrag Daten verarbeitet – Ihr Hosting-Anbieter, ein Newsletter-Tool oder ein Cloud-Speicher –, brauchen Sie mit diesem einen solchen Vertrag. Seriöse Anbieter stellen ihn bereit; es liegt an Ihnen, ihn abzuschließen und aufzubewahren. Fehlt der Vertrag, verarbeiten Sie streng genommen Daten über einen Dienstleister ohne rechtliche Absicherung – ein Punkt, der bei einer Prüfung schnell auffällt.

Diese drei Ebenen – öffentliche Erklärung, internes Verzeichnis und Verträge mit Dienstleistern – hängen eng zusammen. Wer die Bestandsaufnahme seiner Tools einmal sauber gemacht hat, hat gleichzeitig die Grundlage für alle drei geschaffen. Genau deshalb lohnt es sich, das Thema strukturiert anzugehen, statt jedes Dokument isoliert zu betrachten. Für Betriebe, die ihre Abläufe ohnehin gerade digitalisieren, ist das ein guter Anlass, Datenschutz gleich mitzudenken – etwa im Zuge einer Digitalisierung des Betriebs.

Was passiert bei einer fehlenden oder falschen Erklärung?

Eine fehlende oder unvollständige Datenschutzerklärung ist kein Kavaliersdelikt. Betroffene können sich bei der Datenschutzbehörde beschweren, Mitbewerber und Verbände können abmahnen, und im schwerwiegenden Fall drohen Geldbußen. Für kleine Unternehmen ist die häufigste reale Folge die Abmahnung – oft verbunden mit Kosten, die deutlich über dem Aufwand einer sauberen Erklärung liegen.

• Beschwerde einer betroffenen Person bei der Datenschutzbehörde mit anschließender Prüfung.
• Abmahnung durch Mitbewerber oder Verbände wegen unlauteren Wettbewerbs.
• Schadenersatzansprüche einzelner Betroffener bei nachweisbarem Nachteil.
• Geldbußen, deren Höhe sich nach Schwere und Umsatz richtet.

Die gute Nachricht: Der Aufwand, es von vornherein richtig zu machen, ist überschaubar – und deutlich geringer als die Kosten einer nachträglichen Auseinandersetzung. Wer Datenschutz früh mitdenkt, spart sich diesen ganzen Ärger. Details zu Schwellenwerten, Fristen und aktuellen Vorgaben prüfen Sie am besten direkt bei der WKO oder der Datenschutzbehörde, da sich Rechtslage und Auslegung ändern können.

So gehen Sie Schritt für Schritt vor

1. 1
   Bestandsaufnahme aller Verarbeitungen

   Listen Sie jede Funktion Ihrer Seite auf: Formulare, Analyse-Tools, eingebettete Inhalte, externe Schriften, Chat, Buchung. Fragen Sie im Zweifel, welche Dienste im Hintergrund laden.
2. 2
   Externe Dienste einordnen

   Klären Sie zu jedem Dienst: Wer ist der Anbieter, wohin fließen die Daten und gibt es einen Auftragsverarbeitungsvertrag? Verzichtbare Dienste möglichst entfernen oder lokal einbinden.
3. 3
   Erklärung pro Verarbeitung schreiben

   Beantworten Sie für jeden Baustein die fünf Kernfragen: welche Daten, welcher Zweck, welche Rechtsgrundlage, welche Speicherdauer, welche Empfänger. Ergänzen Sie die Betroffenenrechte.
4. 4
   Cookie-Banner abstimmen

   Sorgen Sie dafür, dass zustimmungspflichtige Tools erst nach der Einwilligung laden und dass Ablehnen so einfach ist wie Zustimmen. Banner und Erklärung müssen inhaltlich übereinstimmen.
5. 5
   Sichtbar verlinken und aktuell halten

   Verlinken Sie Datenschutzerklärung und Impressum von jeder Seite aus, üblicherweise im Footer. Aktualisieren Sie die Erklärung, sobald Sie ein neues Tool einsetzen.

Häufige Fragen zur Datenschutzerklärung