Wer personenbezogene Daten verarbeitet, muss die betroffenen Personen darüber informieren. Diese Informationspflicht wird in der Praxis meist durch eine Datenschutzerklärung erfüllt, auch Datenschutzhinweise oder Datenschutzinformationen genannt. Sie erklärt, welche Daten verarbeitet werden, zu welchen Zwecken dies geschieht, auf welcher Rechtsgrundlage die Verarbeitung beruht und welche Rechte betroffene Personen haben.

Die rechtlichen Grundlagen finden sich vor allem in der DSGVO, insbesondere in Art. 13 und 14 DSGVO. Hinzu kommen weitere Datenschutzgesetze, etwa das Schweizer DSG mit Art. 19 und 21 Schweizer DSG, sowie je nach Zielgruppe und Markt auch internationale Vorgaben wie der klaifornische CCPA.

In der Beratung zeigt sich häufig, dass Datenschutzerklärungen mehr Fragen aufwerfen als zunächst erwartet. Welche Angaben sind zwingend erforderlich? Wie konkret müssen Zwecke, Rechtsgrundlagen, Empfänger und Speicherdauer beschrieben werden? Wann müssen die Informationen bereitgestellt werden? Und welche Folgen drohen, wenn Angaben fehlen, unvollständig oder irreführend sind?

Diese FAQ beantwortet die wichtigsten Fragen zur Erstellung und Prüfung von Datenschutzerklärungen. Sie behandelt die Pflichtinhalte, typische Praxisfehler, besondere Konstellationen wie Drittlandübermittlungen, Profiling und indirekte Datenerhebung sowie die Risiken bei Verstößen. Der Schwerpunkt liegt auf dem DACH-Raum. Internationale Anforderungen werden dort berücksichtigt, wo sie für Unternehmen praktisch relevant werden.

Zusammenfassung

• Eine Datenschutzerklärung ist Pflicht für jeden, der personenbezogene Daten verarbeitet, unabhängig von Größe oder Rechtsform.
• Die Pflicht folgt aus Art. 13 und 14 DSGVO, in der Schweiz aus Art. 19 und 21 DSG.
• Hinein gehören unter anderem Verantwortlicher, Zwecke und Rechtsgrundlagen, Empfänger, Speicherdauer und Betroffenenrechte.
• Die Informationen müssen leicht auffindbar, verständlich und bereits zum Zeitpunkt der Datenerhebung verfügbar sein.
• Fehlt die Datenschutzerklärung oder ist sie fehlerhaft, drohen Bußgelder, Abmahnungen und Ansprüche Betroffener.

Datenschutzerklärung, die wichtigsten Fragen und Antworten

Die folgenden Fragen ordne ich so an, wie sie auch in meinen Mandaten aufkommen, von den Pflichtinhalten über Form und Zeitpunkt der Bereitstellung bis zu den Rechtsfolgen bei Verstößen. Die Antworten gelten für den gesamten DACH-Raum, bei internationalem Bezug ordne ich auch Vorgaben wie den CCPA ein..

Wer braucht eine Datenschutzerklärung?

Eine Datenschutzerklärung braucht jede Stelle, die personenbezogene Daten verarbeitet. Das gilt für Unternehmen, Vereine, Behörden, Freiberufler und auch Privatpersonen, sobald sie z.B. eine Website betreiben, einen Newsletter versenden oder Kundendaten speichern.

Die Pflicht ergibt sich aus Art. 13 und 14 DSGVO. Als EU-Verordnung gilt die DSGVO unmittelbar in allen Mitgliedstaaten. Sie trifft immer den „Verantwortlichen” im Sinne von Art. 4 Nr. 7 DSGVO, also diejenige Person oder Stelle, die entscheidet, welche Daten zu welchem Zweck und auf welche Weise verarbeitet werden.

Nur rein private oder familiäre Tätigkeiten sind ausgenommen, etwa das private Adressbuch oder Familienfotos (Art. 2 Abs. 2 lit. c DSGVO). Auf diese sogenannte Haushaltsausnahme berufen sich in der Praxis allerdings viele zu Unrecht, denn bei einer öffentlich zugänglichen Website greift sie nicht.

Brauchen Auftragsverarbeiter eine eigene Datenschutzerklärung?

Auftragsverarbeiter sind Dienstleister, die Daten nur im Auftrag eines Auftraggebers verarbeiten, etwa Webhoster, Cloud-Anbieter oder Newsletter-Tools.

Sie brauchen eine eigene Datenschutzerklärung nur für die Verarbeitungen, bei denen sie selbst Verantwortliche sind, z.B. gegenüber eigenen Kunden, Geschäftspartnern oder Beschäftigten. Für die Daten, die sie im Auftrag ihrer Kunden verarbeiten, müssen sie die Betroffenen dagegen nicht informieren. Dafür sorgt der jeweilige Auftraggeber.

Ein Webhoster muss also nicht die Datenschutzerklärungen für alle bei ihm gehosteten Websites bereitstellen. Das ist Sache der jeweiligen Website-Betreiber. Der Auftragsverarbeiter hilft dem Auftraggeber lediglich dabei, Anfragen der Betroffenen zu erfüllen, etwa auf Auskunft oder Löschung (Art. 15 bis 22 DSGVO).

Was gilt bei gemeinsamer Verantwortlichkeit (Joint Controllership)?

Manchmal entscheiden mehrere Stellen gemeinsam über eine Datenverarbeitung, etwa zwei Unternehmen, die gemeinsam eine Webseite betreiben.

Bei dieser soi genannten gemeinsamen Verantwortlichkeit müssen die Beteiligten in einer speziellen Vereinbarung nach Art. 26 DSGVO festlegen, wer die betroffenen Personen informiert, d.h. die Datenschutzerklärungbereitstellt.

Das Wesentliche dieser Vereinbarung muss den Betroffenen auf Antrag zugänglich gemacht werden (Art. 26 Abs. 2 S. 2 DSGVO).

Gelten die Informationspflichten auch in der Schweiz und in Österreich?

Ja. Die Pflicht zur Bereitstellung von Datenschutzinformationen gilt im gesamten DACH-Raum, und die meisten Ausführungen in dieser FAQ gelten für alle drei Länder. Die wichtigsten Unterschiede ordne ich kurz ein.

• Österreich: Als EU-Mitgliedstaat gilt die DSGVO unmittelbar. Die Informationspflichten ergeben sich direkt aus Art. 13 und 14 DSGVO, ergänzt durch das österreichische Datenschutzgesetz (DSG-AT). Die Anforderungen sind im Wesentlichen identisch mit denen in Deutschland.
• Schweiz: Das Schweizer Bundesgesetz über den Datenschutz (DSG, seit 1. September 2023) regelt die Informationspflicht zentral in Art. 19, und zwar sowohl bei direkt als auch bei indirekt erhobenen Daten. Art. 21 DSG betrifft dagegen automatisierte Einzelentscheidungen, vergleichbar mit Art. 22 DSGVO. Die Anforderungen ähneln der DSGVO, weichen aber in einzelnen Punkten ab, z.B. bei Rechtsgrundlagen, Pflichtangaben und Sanktionen (Details in meinem Beitrag „Schweizer Datenschutzgesetz (DSG)”).
• Gegenseitige Anwendbarkeit: Die DSGVO kann auch Schweizer Unternehmen treffen, wenn sie Daten von Personen in der EU verarbeiten, z.B. um deren Verhalten zu beobachten oder ihnen Waren und Dienstleistungen anzubieten (Art. 3 Abs. 2 DSGVO). Umgekehrt kann das Schweizer DSG für EU-Unternehmen gelten, wenn sich ihre Verarbeitung auf Personen in der Schweiz auswirkt (Art. 3 Abs. 1 DSG). Wer Nutzer im jeweils anderen Rechtsraum anspricht, muss daher unter Umständen beide Regelwerke beachten.

Was muss in einer Datenschutzerklärung stehen (Überblick)?

Eine Datenschutzerklärung muss alle Informationen enthalten, die betroffene Personen brauchen, um die Verarbeitung ihrer Daten nachvollziehen und ihre Rechte wahrnehmen zu können. Der Pflichtenkatalog ergibt sich aus Art. 13 und 14 DSGVO (in der Schweiz aus Art. 19 und 21 DSG).

Im Kern gehören dazu:

• Verantwortlicher: Name und Kontaktdaten, ggf. Angaben zum Datenschutzbeauftragten.
• Zwecke und Rechtsgrundlagen: für jeden einzelnen Verarbeitungsvorgang.
• Empfänger: konkrete Empfänger (z.B. Google für Analytics, 1&1 für Webhosting) oder, falls nicht bekannt, Kategorien von Empfängern.
• Drittlandtransfers: Übermittlungen in Drittländer samt Garantien wie Standardvertragsklauseln.
• Speicherdauer: konkrete Dauer oder Kriterien zu deren Berechnung.
• Betroffenenrechte: Auskunft, Löschung, Widerspruch, Beschwerde bei einer Aufsichtsbehörde etc.
• Automatisierte Entscheidungen: Angaben zu Profiling, sofern vorhanden.

Bei Daten, die nicht direkt bei den Betroffenen erhoben werden (sog. indirekte Erhebung), müssen zusätzlich folgende Angaben gemacht werden:

• Datenkategorien: welche Arten von Daten verarbeitet werden.
• Datenquellen: woher die Daten stammen.

Die einzelnen Pflichtangaben erläutere ich in den folgenden Abschnitten im Detail.

Wo muss die Datenschutzerklärung bereitgestellt werden?

Die Datenschutzerklärung muss leicht auffindbar, jederzeit zugänglich und kostenfrei verfügbar sein (Art. 12 Abs. 1 und 5 DSGVO). Betroffene Personen dürfen nicht nach den Informationen suchen müssen, sondern sollten sofort wissen, wo sie diese finden. In der Praxis sollten Sie die folgenden Punkte beachten:

• Onlinebereich: Ein klar beschrifteter Link (z.B. „Datenschutzerklärung”) auf jeder Seite, idealerweise im Fußbereich. Die Erreichbarkeit mit einem Klick ist der Maßstab, bei besonderem Platzmangel (z.B. in mobilen Apps) können auch zwei Klicks zulässig sein.
• Weitere Kanäle: Zusätzlich empfehlenswert ist ein Link zur Datenschutzerklärung in E-Mail-Signaturen, Social-Media-Profilen und anderen Kommunikationskanälen, damit die Informationen die Betroffenen auch wirklich erreichen.
• Format: Gängige Formate wie HTML oder PDF, keine proprietären Dateitypen, die nicht jeder öffnen kann. Kein Login und keine Paywall als Zugangsvoraussetzung.
• Medienbruch: Wenn bei der Datenerhebung keine digitale Verlinkung möglich ist (z.B. bei Postkarten oder smarten Geräten ohne Display), müssen zumindest die wichtigsten Informationen direkt vor Ort mitgeteilt werden. Dazu gehören Angaben zum Verantwortlichen, zur Kontaktaufnahme, zu den Betroffenenrechten und zu den wesentlichen Verarbeitungsprozessen. Auf die vollständige Datenschutzerklärung sollte per Kurzlink oder QR-Code verwiesen werden.

Was passiert, wenn die Datenschutzerklärung fehlt oder fehlerhaft ist?

Verstöße gegen die Informationspflichten der DSGVO können erhebliche rechtliche und finanzielle Folgen haben. Die Transparenz ist ein eigenständiges Grundprinzip, dessen Missachtung unabhängig von der sonstigen Rechtmäßigkeit der Verarbeitung sanktioniert werden kann.

• Bußgelder: Aufsichtsbehörden können Bußgelder von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes verhängen (Art. 83 Abs. 5 lit. a DSGVO). Behörden und öffentliche Stellen sind davon weitgehend ausgenommen (§ 43 Abs. 3 BDSG).
• Abmahnungen: Mitbewerber und Verbände können wettbewerbsrechtlich vorgehen. Höchstrichterlich ist allerdings noch nicht abschließend geklärt, ob DSGVO-Verstöße Marktverhaltensregelungen im Sinne des UWG darstellen. Für kleinere Unternehmen bestehen Erleichterungen beim Kostenersatz (§ 13 Abs. 4 UWG) und bei der Unterlassungserklärung (§ 13a Abs. 3 UWG).
• Ansprüche Betroffener: Betroffene Personen können individuelle Ansprüche geltend machen, z.B. auf Unterlassung oder Information, etwa im Rahmen vertraglicher Nebenpflichten (§ 241 Abs. 2 BGB) oder deliktischer Ansprüche (§§ 823 Abs. 2, 1004 Abs. 1 BGB analog).
• Rechtswidrigkeit der Verarbeitung: In gravierenden Fällen, etwa bei völliger Intransparenz oder Täuschung über die Pflicht zur Datenangabe, kann der Verstoß dazu führen, dass die Datenverarbeitung selbst rechtswidrig wird. Allerdings führt nicht jeder formale Informationsmangel automatisch zur Rechtswidrigkeit. Die Rechtmäßigkeit ist als eigenständige Voraussetzung separat zu prüfen (Art. 5 Abs. 1 lit. a DSGVO).

Was muss in einer Datenschutzerklärung stehen?

Rechte wahrnehmen können.18:19Die Art. 13 und 14 DSGVO enthalten einen umfangreichen Katalog an Pflichtangaben. Welcher Artikel greift, hängt davon ab, ob die Daten direkt bei den Betroffenen erhoben werden (Art. 13, z.B. über ein Kontaktformular, eine Bestellung oder eine Newsletter-Anmeldung), oder ob die Daten aus anderen Quellen stammen (Art. 14, z.B. wenn Daten von Adresshändlern, aus öffentlichen Verzeichnissen oder von Geschäftspartnern übermittelt werden).

In beiden Fällen gilt: Die Angaben müssen so konkret sein, dass Betroffene die Verarbeitung ihrer Daten sachgerecht beurteilen und ihre Rechte wahrnehmen können.

Welche Angaben zum Verantwortlichen und Datenschutzbeauftragten gehören in die Datenschutzerklärung?

Die Datenschutzerklärung muss den Namen und die Kontaktdaten des Verantwortlichen enthalten (Art. 13 Abs. 1 lit. a DSGVO). Betroffene Personen müssen in der Lage sein, ihre Rechte effektiv geltend zu machen und den Verantwortlichen zu erreichen. Zum Verantwortlichen gehören:

• Name: Bei natürlichen Personen Vor- und Nachname, bei Unternehmen die Firmenbezeichnung (§ 17 Abs. 1 HGB), bei Vereinen der Vereinsname (§ 57 BGB).
• Anschrift: Eine ladungsfähige Postadresse ist erforderlich, damit Betroffene ihre Rechte auch gerichtlich durchsetzen können.
• Schnelle Kontaktmöglichkeit: Insbesondere im Onlinebereich sollte eine E-Mail-Adresse, ggf. auch eine Telefonnummer angegeben werden, da die Rechtewahrnehmung. zeitkritisch sein kann (z.B. bei Veröffentlichungen im Internet).
• Vertreter: Falls ein Vertreter eines Verarbeiters mit Sitz außerhalb der EU gem. Art. 27 DSGVO bestellt wurde, sind auch dessen Kontaktdaten anzugeben.

Diese Angaben überschneiden sich weitgehend mit den Impressumspflichten nach § 5 Abs. 1 Nr. 1 und 2 DDG, die insoweit als Orientierung dienen können. Zum Datenschutzbeauftragten (Art. 13 Abs. 1 lit. b DSGVO) reicht die Angabe einer Kontaktmöglichkeit, z.B. einer E-Mail-Adresse oder eines Funktionspostfachs („datenschutz@beispiel.de“). Name und Adresse des Datenschutzbeauftragten müssen nicht genannt werden.

Wie müssen Zwecke und Rechtsgrundlagen der Datenverarbeitung beschrieben werden?

Für jeden einzelnen Verarbeitungsvorgang müssen sowohl der Zweck als auch die Rechtsgrundlage angegeben werden (Art. 13 Abs. 1 lit. c DSGVO). Die Angaben müssen so konkret sein, dass betroffene Personen die Rechtmäßigkeit der Verarbeitung selbst beurteilen können. Bei den Zwecken gilt:

• Pauschale Formulierungen wie „Wir verarbeiten Ihre Daten entsprechend dem Gesetz” sind nicht ausreichend.
• Konkrete Zweckbezeichnungen wie „Durchführung von Kaufverträgen”, „Bonitätsprüfung” oder „Werbeversand” dagegen schon.
• Auch bereits für die Zukunft geplante und festgelegte Zwecke müssen genannt werden.
• Umgekehrt dürfen keine potenziellen Zwecke „auf Vorrat” genannt werden, da das die Nachvollziehbarkeit für Betroffene erschwert.

Bei den Rechtsgrundlagen müssen die konkreten Erlaubnistatbestände genannt werden, also z.B. Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), Vertragserfüllung (lit. b), rechtliche Verpflichtung (lit. c) oder berechtigte Interessen (lit. f).

Beruhen die Erlaubnisnormen auf weiteren Vorschriften (z.B. Art. 6 Abs. 1 lit. c DSGVO i.V.m. öffentlich-rechtlichen Normen), sollten auch diese genannt werden, damit Betroffene die Zulässigkeit vollständig nachvollziehen können.

Was muss bei berechtigten Interessen als Rechtsgrundlage angegeben werden?

Manchmal verarbeiten Sie Daten, weil Ihr Unternehmen ein eigenes Interesse daran hat. Die DSGVO nennt das berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Wenn Sie sich darauf berufen, müssen Sie in der Datenschutzerklärung sagen, worin dieses Interesse genau besteht (Art. 13 Abs. 1 lit. d DSGVO). Ihre Leser sollen erkennen, warum Sie ihre Daten nutzen.

• Nicht ausreichend: leere Formeln, die nur das Gesetz nachsprechen, etwa „Die Verarbeitung erfolgt auf Grundlage unserer berechtigten Interessen“.
• Ausreichend: das Interesse zumindest grob benennen, etwa „Schutz vor Betrug”, „Sicherheit der Kundendaten” oder „wirtschaftliche Interessen des Unternehmens”.

Die Interessen Ihrer Nutzer müssen Sie nicht aufzählen. Bei riskanten Verarbeitungen kann es aber nötig sein, mehr zu erklären, damit Nutzer ihre Rechte wahrnehmen können.

Einfach erklärt: Sie müssen nicht nur sagen „wir haben ein berechtigtes Interesse“, sondern auch welches. Ein Satz wie „Wir speichern die IP-Adresse, um Betrug zu verhindern” genügt. Eine Floskel ohne Inhalt genügt nicht.

Aus der Praxis: Dass auch ein rein wirtschaftliches Interesse zählt, hat der EuGH 2024 bestätigt (Urteil vom 04.10.2024, Rs. C-621/22). Das Interesse zu nennen reicht aber nicht allein, es muss die Verarbeitung auch rechtfertigen und darf die Interessen der Nutzer nicht überwiegen. Ich empfehle, diese Abwägung intern festzuhalten.

Wie sind Empfänger der Daten zu benennen?

Betroffene müssen darüber informiert werden, an wen ihre personenbezogenen Daten weitergegeben werden, Art. 13 Abs. 1 lit. e DSGVO. Zu nennen sind die Empfänger oder Kategorien von Empfängern der Daten. Der Begriff „Empfänger“ umfasst nicht nur andere Verantwortliche und Dritte, sondern auch Auftragsverarbeiter. Interne Stellen innerhalb der Organisation des Verantwortlichen müssen dagegen grundsätzlich nicht als Empfänger benannt werden.

• Konkrete Empfänger: Sind die Empfänger zum Zeitpunkt der Information bekannt, sollten sie möglichst konkret benannt werden. Das gilt insbesondere bei wesentlichen Dienstleistern, Plattformen, Zahlungsdiensten, Versanddienstleistern, Analyse- und Marketingdiensten oder sonstigen Stellen, deren Kenntnis für die betroffene Person relevant ist. Der EuGH hat für das Auskunftsrecht nach Art. 15 Abs. 1 lit. c DSGVO entschieden, dass die betroffene Person grundsätzlich Anspruch auf Mitteilung der konkreten Identität der Empfänger hat, soweit diese bekannt sind (EuGH, C-154/21). Für die Informationspflichten nach Art. 13 DSGVO gilt diese Entscheidung nicht unmittelbar. Sie spricht aber dafür, bekannte Empfänger nicht unnötig hinter allgemeinen Kategorien zu verstecken.
• Kategorien von Empfängern: Sind die konkreten Empfänger noch nicht bekannt oder wechseln sie regelmäßig, können Kategorien von Empfängern genannt werden. Diese Kategorien müssen so genau beschrieben werden, dass Betroffene die Weitergabe nachvollziehen können. Zulässig sind zum Beispiel Angaben wie „Zahlungsdienstleister“, „Versanddienstleister“, „IT-Hosting-Dienstleister“, „Steuerberater“, „Finanzbehörden“, „Inkassodienstleister“ oder „Anbieter von Analyse- und Marketingdiensten“. Nicht ausreichend sind bloß pauschale Angaben wie „Dritte“, „Partner“ oder „externe Dienstleister“, wenn daraus nicht erkennbar wird, wer typischerweise Zugriff auf die Daten erhält.

Was muss bei Datenübermittlungen in Drittländer stehen?

Bereits die Absicht, personenbezogene Daten in ein Drittland außerhalb der EU oder des EWR oder an eine internationale Organisation zu übermitteln, muss in der Datenschutzerklärung angegeben werden, Art. 13 Abs. 1 lit. f DSGVO. Die Angaben müssen so konkret sein, dass Betroffene einschätzen können, wohin ihre Daten gelangen und auf welcher datenschutzrechtlichen Grundlage der Transfer erfolgt. Erforderlich sind insbesondere:

• Drittland oder internationale Organisation: Das Drittland sollte konkret benannt werden, zum Beispiel „USA“, „Schweiz“ oder „Vereinigtes Königreich“. Bei mehreren Transfers sollte erkennbar sein, welche Empfänger oder Empfängerkategorien mit welchem Drittland verbunden sind.
• Angemessenheitsbeschluss: Besteht für das Drittland ein Angemessenheitsbeschluss der EU-Kommission, ist darauf hinzuweisen. Beispiele sind etwa die Schweiz oder, unter den jeweiligen Voraussetzungen, Datenübermittlungen an zertifizierte Unternehmen in den USA auf Grundlage des EU-US Data Privacy Framework.
• Geeignete Garantien: Fehlt ein Angemessenheitsbeschluss, muss angegeben werden, welche geeigneten Garantien die Übermittlung absichern. In Betracht kommen insbesondere EU-Standardvertragsklauseln, Binding Corporate Rules, genehmigte Verhaltensregeln oder Zertifizierungsmechanismen. Zugleich ist anzugeben, wo Betroffene eine Kopie dieser Garantien erhalten oder wo diese abrufbar sind.
• Konkrete Umsetzung: Bei Standardvertragsklauseln reicht ein bloßer pauschaler Hinweis auf die Mustervorlagen der EU-Kommission regelmäßig nicht aus. Es sollte erkennbar sein, dass und in welchem Zusammenhang die Standardvertragsklauseln für den konkreten Transfer eingesetzt werden. Die vollständigen Vertragswerke müssen in der Datenschutzerklärung nicht offengelegt werden. Betroffene müssen aber nachvollziehen können, auf welcher Transfergrundlage die Übermittlung erfolgt und wie sie nähere Informationen oder Kopien der Garantien erhalten können.
• Ausnahmen: Erfolgt die Übermittlung ausnahmsweise auf Grundlage von Art. 49 DSGVO, etwa wegen ausdrücklicher Einwilligung oder zur Vertragserfüllung, ist auch diese Grundlage transparent zu erläutern. Solche Ausnahmen sollten nicht als Regelmechanismus für dauerhafte oder wiederkehrende Drittlandübermittlungen verwendet werden.

Wie müssen Sie die Speicherdauer angeben?

In Ihrer Datenschutzerklärung müssen Sie angeben, wie lange Sie personenbezogene Daten speichern. Ist eine feste Speicherdauer nicht möglich, müssen Sie zumindest nachvollziehbare Kriterien nennen, nach denen sich die Speicherdauer bestimmen lässt, Art. 13 Abs. 2 lit. a DSGVO.

• Pauschale Formulierungen sind nicht ausreichend: Pauschale Formulierungen wie „Wir speichern Ihre Daten, solange dies für die Zwecke der Verarbeitung erforderlich ist“ genügen in der Regel nicht. Daraus können betroffene Personen nicht erkennen, wann ihre Daten tatsächlich gelöscht werden.
• Besser: Geben Sie möglichst konkrete Fristen an. Zum Beispiel: „Wir speichern Vertragsdaten für die Dauer des Vertragsverhältnisses und anschließend für drei Jahre, beginnend mit dem Ende des Jahres, in dem der Vertrag beendet wurde. Diese Frist orientiert sich an der regelmäßigen Verjährungsfrist nach §§ 195, 199 Abs. 1 Nr. 1 BGB.“

Praktischer Hinweis: Wenn für verschiedene Daten unterschiedliche Fristen gelten, sollten Sie diese getrennt benennen. Rechnungsdaten können zum Beispiel wegen steuer- und handelsrechtlicher Aufbewahrungspflichten länger gespeichert werden als reine Kontaktanfragen oder Newsletterdaten.

Über welche Rechte der Betroffenen muss informiert werden?

Die Datenschutzerklärung muss über alle im Rahmen des jeweiligen Verarbeitungsvorgangs relevanten Betroffenenrechte informieren (Art. 13 Abs. 2 lit. b DSGVO). Werden die Rechte zusammenfassend für mehrere Verarbeitungen angegeben, sollten die Kriterien der Anwendbarkeit genannt werden.

• Widerspruchsrecht: Der Hinweis auf das Widerspruchsrecht (Art. 21 DSGVO) muss gem. Art. 21 Abs. 4 DSGVO „ausdrücklich” und „in einer von anderen Informationen getrennten Form” erfolgen, z.B. durch Fettschrift, Unterstreichung, einen Rahmen oder einen eigenen Textabsatz.
• Oft vergessene Rechte: Das Recht auf Vergessen (Art. 17 Abs. 2 DSGVO) und das Recht auf Mitteilung bei Datenänderungen (Art. 19 Abs. 1 S. 2 DSGVO) fehlen zwar im gesetzlichen Katalog, müssen aber ebenfalls genannt werden, wenn sie im Kontext der jeweiligen Verarbeitung relevant sind.
• Keine falschen Rechte: Die Mitteilung gesetzlich nicht vorgesehener Betroffenenrechte lässt diese zwar nicht entstehen, kann aber selbst einen Transparenzverstoß darstellen.

Was muss zum Widerrufsrecht bei Einwilligungen stehen?

Wenn Sie personenbezogene Daten auf Grundlage einer Einwilligung verarbeiten, müssen Sie die betroffenen Personen über ihr Widerrufsrecht informieren. Das gilt insbesondere bei Einwilligungen nach Art. 6 Abs. 1 lit. a DSGVO sowie bei Einwilligungen in die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 2 lit. a DSGVO. Die Datenschutzerklärung muss klar sagen, dass die Einwilligung jederzeit widerrufen werden kann, Art. 13 Abs. 2 lit. c DSGVO. Außerdem müssen Sie darauf hinweisen, dass der Widerruf nur für die Zukunft wirkt. Die Rechtmäßigkeit der Verarbeitung, die vor dem Widerruf auf Grundlage der Einwilligung erfolgt ist, bleibt also unberührt. Entsprechendes ergibt sich auch aus Art. 7 Abs. 3 DSGVO. Danach muss der Widerruf zudem so einfach möglich sein wie die Erteilung der Einwilligung. Eine geeignete Formulierung lautet zum Beispiel:

„Sie können eine erteilte Einwilligun jgederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung, die bis zum Widerruf auf Grundlage der Einwilligung erfolgt ist, bleibt vom Widerruf unberührt.“

• Praxis-Hinweis: Aus anwaltlicher Sicht ist dieser Punkt regelmäßig kein bloßer Formalismus. Fehlt der Hinweis auf das Widerrufsrecht oder ist der Widerruf praktisch schwerer als die Erteilung der Einwilligung, kann dies die Wirksamkeit der Einwilligung angreifbar machen. Besonders relevant ist das bei Cookie-Bannern, Newslettern, Foto- und Videoeinwilligungen, Kundenprofilen, Werbeeinwilligungen sowie bei Gesundheitsdaten oder anderen sensiblen Daten.
• Risikoeinschätzung: Das Risiko ist bei einfachen, wenig eingriffsintensiven Verarbeitungen eher moderat, wenn der Widerruf tatsächlich unkompliziert möglich ist und nur der Hinweis in der Datenschutzerklärung unvollständig ist. Deutlich höher ist das Risiko, wenn die Einwilligung die zentrale Rechtsgrundlage der Verarbeitung ist, wenn Daten zu Werbe- oder Trackingzwecken verarbeitet werden oder wenn besondere Kategorien personenbezogener Daten (z.B. Gesundheitsdaten) betroffen sind. In diesen Fällen kann ein fehlerhafter Widerrufshinweis nicht nur einen Transparenzverstoß begründen, sondern auch die gesamte Einwilligungsmechanik in Frage stellen.

In der Praxis sehe ich vor allem drei Probleme:

• Kein Widerrufsweg: Erstens wird zwar ein Widerrufsrecht erwähnt, aber kein einfacher Widerrufsweg genannt.
• Unnötige Hürden: Zweitens wird der Widerruf an unnötige Hürden geknüpft, zum Beispiel Login-Pflicht, Schriftform oder komplizierte Kontaktwege.
• Wirkung für die Zukunft: Drittens fehlt der Hinweis, dass die bis zum Widerruf erfolgte Verarbeitung rechtmäßig bleibt.

Besser ist eine kurze, klare Formulierung mit konkretem Kontaktweg, zum Beispiel per E-Mail, Abmeldelink oder Einstellungen im Consent-Tool.

Wann muss über automatisierte Entscheidungen informiert werden?

Sie müssen in Ihrer Datenschutzerklärung besonders informieren, wenn Sie automatisierte Entscheidungsfindungen im Sinne von Art. 22 Abs. 1 und 4 DSGVO einsetzen, Art. 13 Abs. 2 lit. f DSGVO. Eine solche Informationspflicht besteht, wenn folgende Voraussetzungen zusammenkommen:

• Automatisierte Entscheidung: Die Entscheidung wird durch Software, Algorithmus, KI-System oder ein sonstiges automatisiertes Verfahren getroffen.
• Keine echte menschliche Mitwirkung: Es findet keine inhaltliche menschliche Prüfung statt, die das Ergebnis tatsächlich beeinflussen kann.
• Rechtliche Wirkung: Die Entscheidung wirkt sich rechtlich auf die betroffene Person aus, zum Beispiel durch Ablehnung eines Vertrags, Kündigung oder Sperrung.
• Ähnliche erhebliche Beeinträchtigung: Auch ohne unmittelbare Rechtswirkung kann Art. 22 DSGVO greifen, wenn die Entscheidung die betroffene Person erheblich beeinträchtigt, zum Beispiel bei Kreditwürdigkeit, Zahlungsoptionen, Zugang zu Leistungen oder Bewerbungen.

Nicht jeder Einsatz von Software löst diese besondere Informationspflicht aus. Entscheidend ist, ob am Ende eine ausschließlich automatisierte Entscheidung mit erheblichen Folgen für die betroffene Person steht.

Wann liegt trotz Softwareeinsatz keine ausschließlich automatisierte Entscheidung vor?

Eine Entscheidung ist nicht schon deshalb „ausschließlich automatisiert“, weil eine Software, ein Algorithmus oder ein KI-System eingesetzt wird. Art. 22 DSGVO greift erst, wenn die Entscheidung ohne echte menschliche Mitwirkung getroffen wird.

Eine echte menschliche Mitwirkung liegt nur vor, wenn die prüfende Person tatsächlich Einfluss auf die Entscheidung nehmen kann:

• Inhaltliche Prüfung: Die Person prüft die automatisierte Bewertung tatsächlich und nicht nur formal.
• Entscheidungskompetenz: Die Person darf von der automatisierten Empfehlung abweichen.
• Entscheidungsgrundlage: Die Person verfügt über die notwendigen Informationen, um die Bewertung nachvollziehen zu können.
• Praktische Zuständigkeit: Die Person hat ausreichend Zeit, Befugnisse und organisatorische Stellung, um eigenständig zu entscheiden.
• Keine Scheinprüfung: Es genügt nicht, wenn Mitarbeitende automatisch erzeugte Vorschläge nur abklicken oder aus praktischen Gründen regelmäßig übernehmen.

Je stärker die automatisierte Bewertung das Ergebnis faktisch vorgibt, desto eher bleibt es trotz menschlicher Beteiligung bei einer automatisierten Entscheidung.

Welche Informationen müssen bei automatisierten Entscheidungen angegeben werden?

Wenn eine besondere Informationspflicht nach Art. 13 Abs. 2 lit. f DSGVO besteht, müssen Sie aussagekräftige Informationen über die involvierte Logik sowie über die Tragweite und die angestrebten Auswirkungen der Verarbeitung mitteilen.

Betroffene müssen nachvollziehen können, welche Datenarten einfließen, nach welchen Grundprinzipien bewertet wird und welche Folgen die automatisierte Entscheidung für sie haben kann. Eine brauchbare Beschreibung sollte insbesondere erklären:

• Verwendete Datenarten: Welche Datenarten fließen in die Bewertung ein?
• Zweck der Bewertung: Zu welchem Zweck erfolgt die automatisierte Bewertung?
• Grundlogik: Nach welchen Grundprinzipien wird bewertet?
• Mögliche Entscheidung: Welche Entscheidung kann aus der Bewertung folgen?
• Auswirkungen: Welche Folgen kann die Entscheidung für betroffene Personen haben?
• Menschliche Überprüfung: Ob und wie eine menschliche Überprüfung verlangt werden kann.

Muss auch über Werbeprofiling und Scoring informiert werden?

Ja, es muss auch über Werbeprofiling und Scoring informiert werden.Aber nicht immer aus demselben Grund.

• Werbeprofiling: Profiling für Werbezwecke fällt nicht automatisch unter Art. 22 DSGVO. Die bloße Bildung von Zielgruppen, die Anzeige personalisierter Werbung oder die Auswertung von Interessenprofilen führt in der Regel noch nicht zu einer rechtlichen Wirkung oder ähnlich erheblichen Beeinträchtigung. Die genauen technischen Abläufe der Werbeausspielung müssen daher grundsätzlich nicht in allen Einzelheiten dargestellt werden.
• “Cookie-Hinweise”: Das bedeutet aber nicht, dass Werbeprofiling unerwähnt bleiben darf. Tracking, Profilbildung und personalisierte Werbung müssen weiterhin transparent beschrieben werden. Das betrifft insbesondere Zwecke, Rechtsgrundlagen, eingesetzte Dienste, Empfänger, Cookies, Speicherdauer sowie Einwilligungs- und Widerrufsmöglichkeiten.
• Scoring: Bei Scoring-Werten ist besondere Vorsicht geboten. Nach der Rechtsprechung des EuGH kann bereits die automatisierte Erstellung eines Score-Werts unter Art. 22 DSGVO fallen, wenn dieser Score für die spätere Entscheidung faktisch maßgeblich ist. Unternehmen sollten sich daher nicht allein darauf verlassen, dass sie formal noch eine eigene Entscheidung treffen. Entscheidend ist, welche praktische Bedeutung der Score tatsächlich hat.

Risikoeinschätzung: Bei reinem Werbeprofiling ist das Risiko im Rahmen von Art. 22 DSGVO meist geringer. Die praktischen Risiken liegen dort eher bei unklarer Transparenz, fehlerhaften Einwilligungen, unzureichender Cookie-Steuerung und fehlenden Widerrufsmöglichkeiten.

Bei Scoring ist das Risiko dagegen deutlich höher, vor allem wenn der Score über Vertragsschluss, Zahlungsmöglichkeiten, Kreditwürdigkeit oder Zugang zu Leistungen entscheidet.

Müssen bei automatisierten Entscheidungen Geschäftsgeheimnisse offengelegt werden?

Die Informationspflicht bedeutet nicht, dass Sie Quellcode, mathematische Modelle, Gewichtungen, Trainingsdaten oder Geschäftsgeheimnisse offenlegen müssen. Die Beschreibung muss aber so verständlich sein, dass betroffene Personen die Grundlogik und die möglichen Folgen der automatisierten Entscheidung realistisch einschätzen können.

Aus anwaltlicher Sicht ist das Risiko wie folgt einzuschätzen:

• Hohes Risiko: Das Risiko ist hoch, wenn automatisierte Entscheidungen unmittelbare Auswirkungen auf Vertragsschlüsse, Zahlungsmöglichkeiten, Kreditwürdigkeit, Kontosperrungen, Bewerbungen oder den Zugang zu Leistungen haben.
• Zulässigkeitsrisiko: In diesen Fällen geht es nicht nur um einen Informationstext, sondern um die Zulässigkeit eines besonders eingriffsintensiven Entscheidungsprozesses.
• Typischer Praxisfehler: Häufig wird nur pauschal mitgeteilt, dass eine „automatisierte Entscheidung“ stattfindet, ohne die Logik, Tragweite und Auswirkungen verständlich zu erläutern.
• Praktischer Hinweis: Die Beschreibung sollte für Betroffene verständlich sein, ohne technische Details oder Geschäftsgeheimnisse offenzulegen.

Wann muss über eine Pflicht zur Angabe von Daten informiert werden?

Sie müssen betroffene Personen darüber informieren, ob sie zur Angabe ihrer personenbezogenen Daten verpflichtet sind oder ob die Angabe freiwillig ist, Art. 13 Abs. 2 lit. e DSGVO. Besteht eine Pflicht, müssen Sie außerdem mitteilen, ob diese gesetzlich oder vertraglich vorgeschrieben ist und welche Folgen es hat, wenn die Daten nicht angegeben werden. Typische Fälle sind:

• Gesetzliche Pflichtangaben: Das betrifft zum Beispiel steuerliche Daten, die für Rechnungen oder Buchhaltung erforderlich sind.
• Vertraglich erforderliche Angaben: Dazu gehören zum Beispiel Name, Anschrift und Zahlungsdaten bei einer Bestellung.
• Freiwillige Angaben: Das betrifft zum Beispiel eine Telefonnummer für Rückfragen oder freiwillige Profilangaben.
• Technisch notwendige Angaben: Das sind Angaben, ohne die ein Dienst praktisch nicht bereitgestellt werden kann.

Pflichtangaben sollten möglichst dort erklärt werden, wo die Daten abgefragt werden. In Formularen ist es sinnvoll, erforderliche Angaben mit einem Sternchen zu kennzeichnen und kurz zu erläutern, welche Angaben für den jeweiligen Zweck erforderlich sind. Eine geeignete Formulierung lautet zum Beispiel:

„Die mit einem Sternchen gekennzeichneten Angaben sind für den Vertragsschluss erforderlich. Ohne diese Angaben können wir Ihre Bestellung nicht bearbeiten.“

Welche Risiken bestehen bei falschen Pflichtangaben?

Sie sollten nicht den Eindruck erwecken, freiwillige Angaben seien verpflichtend. Ebenso sollten Sie keine Pflicht zur Angabe behaupten, wenn diese rechtlich oder praktisch nicht besteht. Ein solcher Transparenzmangel kann die Rechtmäßigkeit der Verarbeitung angreifbar machen.

Besonders kritisch ist das, wenn Betroffene Daten nur deshalb angeben, weil sie irrtümlich von einer Pflicht ausgehen. Aus anwaltlicher Sicht ist das Risiko wie folgt einzuschätzen:

• Geringes Risiko: Bei einfachen Bestell- oder Kontaktformularen ist das Risiko meist beherrschbar, wenn Pflichtfelder klar gekennzeichnet und sachlich erforderlich sind.
• Erhöhtes Risiko: Das Risiko steigt, wenn sensible Daten, umfangreiche Profilangaben, Telefonnummern, Geburtsdaten oder Marketingdaten als Pflichtangaben abgefragt werden.
• Hohes Risiko: Das Risiko ist hoch, wenn Angaben als verpflichtend dargestellt werden, obwohl sie für den jeweiligen Zweck nicht erforderlich sind.
• Besonders problematisch: Pflichtfelder für Werbeeinwilligungen sind regelmäßig kritisch, da Einwilligungen freiwillig sein müssen.
• Typischer Praxisfehler: In der Praxis sind vor allem überzogene Pflichtfelder angreifbar, etwa Telefonnummer, Geburtsdatum oder Einwilligungen zu Werbung, wenn diese für den Vertragsschluss nicht benötigt werden.
• Rechtsfolge: Eine Täuschung über die Erforderlichkeit von Angaben kann nicht nur einen Transparenzverstoß begründen, sondern auch die Rechtsgrundlage der Verarbeitung in Frage stellen.

Was ist bei indirekter Datenerhebung zusätzlich zu beachten?

Art. 14 DSGVO gilt, wenn Sie personenbezogene Daten nicht direkt bei den betroffenen Personen erheben, sondern aus anderen Quellen erhalten. Das ist zum Beispiel der Fall, wenn Daten von Datenhändlern, Auskunfteien, Adressdienstleistern, öffentlichen Verzeichnissen, Geschäftspartnern oder sonstigen Dritten stammen.

Die Informationspflichten nach Art. 14 DSGVO entsprechen weitgehend den Informationspflichten nach Art. 13 DSGVO. Zusätzlich oder abweichend müssen Sie insbesondere folgende Punkte beachten:

• Datenkategorien: Sie müssen mitteilen, welche Kategorien personenbezogener Daten Sie erhalten haben, Art. 14 Abs. 1 lit. d DSGVO. Beispiele sind Adressdaten, Kontaktdaten, Bonitätsdaten, Vertragsdaten, Kommunikationsdaten oder Interessendaten. Die Kategorien müssen so konkret sein, dass betroffene Personen nachvollziehen können, welche Art von Daten über sie verarbeitet wird.
• Datenquellen: Sie müssen angeben, aus welcher Quelle die personenbezogenen Daten stammen, Art. 14 Abs. 2 lit. f DSGVO. Ist die konkrete Quelle bekannt, sollte sie benannt werden, zum Beispiel ein bestimmter Datenmittler, eine Auskunftei oder ein Geschäftspartner. Sie müssen aber grundsätzlich nicht zusätzlich offenlegen, aus welcher Quelle dieser Dritte die Daten ursprünglich erhalten hat.
• Öffentliche Quellen: Wenn die Daten aus öffentlich zugänglichen Quellen stammen, müssen Sie dies ebenfalls mitteilen. Das betrifft zum Beispiel öffentliche Register, berufliche Verzeichnisse, öffentlich zugängliche Websites oder öffentliche Social-Media-Profile.
• Unbekannte Quellen: Sind die konkreten Quellen nicht bekannt, sollten Sie die in Betracht kommenden Quellen möglichst genau beschreiben. Pauschale Angaben wie „Dritte“ oder „öffentlich verfügbare Quellen“ sind zu ungenau, wenn sich die Herkunft näher eingrenzen lässt.
• Keine Pflichtangaben-Information wie bei Art. 13: Anders als Art. 13 DSGVO verlangt Art. 14 DSGVO keine ausdrückliche Information darüber, ob die betroffene Person zur Bereitstellung der Daten verpflichtet ist. Trotzdem kann eine entsprechende Erläuterung sinnvoll oder erforderlich sein, wenn die indirekt erhobenen Daten für einen Vertragsschluss, eine Bonitätsprüfung oder eine sonstige Entscheidung verwendet werden.

Welche Praxisfälle und Risiken bestehen bei indirekter Datenerhebung?

Eine Verarbeitung kann gleichzeitig Informationspflichten nach Art. 13 und Art. 14 DSGVO auslösen. Wenn Sie Daten bei einer Person erheben, die zugleich Angaben über andere Personen macht, gilt gegenüber der erhebenden Person Art. 13 DSGVO. Gegenüber den weiteren betroffenen Personen gilt Art. 14 DSGVO.

Ein Beispiel: Ein Kunde gibt bei einer Bestellung auch Daten eines abweichenden Empfängers an. Gegenüber dem Kunden gelten die Informationspflichten nach Art. 13 DSGVO. Gegenüber dem abweichenden Empfänger können Informationspflichten nach Art. 14 DSGVO bestehen, weil dessen Daten nicht direkt bei ihm selbst erhoben wurden.

Aus anwaltlicher Sicht wird Art. 14 DSGVO in der Praxis häufig unterschätzt. Besonders risikobehaftet sind Fälle, in denen Daten aus Adressdatenbanken, Auskunfteien, Lead-Listen, öffentlichen Quellen oder von Geschäftspartnern übernommen werden, ohne dass die Betroffenen hierüber transparent informiert werden.

• Geringeres Risiko: Das Risiko ist eher beherrschbar, wenn die Datenquelle klar ist, die Datenkategorien überschaubar sind und die Betroffenen zeitnah informiert werden.
• Erhöhtes Risiko: Das Risiko steigt bei Daten aus Datenmittlern, Auskunfteien, Lead-Listen, Scraping, öffentlichen Profilen oder mehreren unklaren Quellen.
• Hohes Risiko: Das Risiko ist hoch, wenn indirekt erhobene Daten für Bonitätsentscheidungen, Werbung, Scoring, Profilbildung oder sonstige belastende Entscheidungen verwendet werden.
• Typischer Praxisfehler: Häufig wird nur eine allgemeine Datenschutzerklärung vorgehalten, ohne gesondert zu erklären, woher indirekt erhobene Daten stammen.
• Praktischer Hinweis: Wenn Sie regelmäßig Daten aus Drittquellen erhalten, sollten Sie Art. 14 DSGVO nicht nur abstrakt in der Datenschutzerklärung behandeln, sondern die jeweiligen Datenquellen und Datenkategorien möglichst verarbeitungsspezifisch beschreiben.

Gibt es weitere Informationspflichten über den gesetzlichen Katalog hinaus?

Ja. Die Informationspflichten in Art. 13 und 14 DSGVO bilden den gesetzlichen Mindestkatalog. Daneben kann der allgemeine Transparenzgrundsatz aus Art. 5 Abs. 1 lit. a DSGVO im Einzelfall weitere Erläuterungen erforderlich machen.

Das gilt vor allem dann, wenn betroffene Personen die Verarbeitung ohne zusätzliche Angaben nicht sachgerecht verstehen oder bewerten können. Zusätzliche Angaben können insbesondere in Betracht kommen bei:

• Besonderen Risiken der Verarbeitung: Dazu können zum Beispiel Profiling mit erheblichen Auswirkungen, besonders umfangreiche Datenauswertungen, neuartige Tracking-Technologien oder sensible Nutzungskontexte gehören. Erwägungsgrund 60 DSGVO nennt ausdrücklich, dass betroffene Personen gegebenenfalls auch über Risiken der Verarbeitung informiert werden sollten.
• Technischen und organisatorischen Schutzmaßnahmen: Solche Angaben können sinnvoll sein, wenn sie für das Verständnis der Verarbeitung relevant sind. Beispiele sind Verschlüsselung, Pseudonymisierung, Rollen- und Berechtigungskonzepte oder besondere Schutzmaßnahmen bei sensiblen Daten. Es genügt aber regelmäßig eine verständliche Beschreibung.
• Besonderen Garantien: Bei besonders sensiblen oder risikobehafteten Verarbeitungen kann es sinnvoll sein, auf vorhandene Garantien hinzuweisen. Dazu gehören zum Beispiel Zertifizierungen, genehmigte Verhaltensregeln, verbindliche interne Datenschutzvorschriften, besondere Löschkonzepte oder zusätzliche Kontrollmechanismen.
• Ungewöhnlichen Verarbeitungssituationen: Je weniger Betroffene mit einer Verarbeitung rechnen müssen, desto eher sind zusätzliche Erläuterungen erforderlich. Das betrifft zum Beispiel verdeckte oder indirekte Datenerhebungen, Datenanreicherungen, Datenabgleiche, KI-gestützte Auswertungen oder die Zusammenführung von Daten aus verschiedenen Quellen.

Wo liegen die Grenzen zusätzlicher Informationspflichten?

Die Informationspflichten dürfen nicht überspannt werden. Die Datenschutzerklärung muss betroffene Personen verständlich informieren, sie muss aber nicht die gesamte Datenschutzdokumentation offenlegen.

Interne Dokumente wie das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO, interne Risikoanalysen, Sicherheitskonzepte oder Verträge mit Dienstleistern müssen grundsätzlich nicht veröffentlicht werden. Aus anwaltlicher Sicht ist das Risiko wie folgt einzuschätzen:

• Geringeres Risiko: Das Risiko ist eher gering, wenn die Verarbeitung üblich, erwartbar und bereits anhand der Pflichtangaben nach Art. 13 oder 14 DSGVO gut nachvollziehbar ist.
• Erhöhtes Risiko: Das Risiko steigt, wenn die Verarbeitung technisch komplex ist, mehrere Datenquellen kombiniert werden oder Betroffene die Datenverwendung nicht ohne Weiteres erwarten.
• Hohes Risiko: Das Risiko ist hoch bei Profiling mit erheblichen Auswirkungen, Scoring, sensiblen Daten, KI-gestützten Entscheidungen, Datenanreicherungen, Drittlandübermittlungen mit erhöhtem Risiko oder neuartigen Tracking-Technologien.
• Typischer Praxisfehler: Häufig werden sehr allgemeine Standardtexte verwendet, obwohl die konkrete Verarbeitung erklärungsbedürftig ist. Dann steht formal viel in der Datenschutzerklärung, aber Betroffene verstehen trotzdem nicht, was tatsächlich mit ihren Daten geschieht.
• Praktischer Hinweis: Zusätzliche Angaben sollten nicht als technische Selbstdarstellung verstanden werden. Entscheidend ist, welche Informationen Betroffene benötigen, um Zweck, Umfang, Risiken und Folgen der Verarbeitung realistisch einschätzen zu können.

Wann und wie muss die Datenschutzerklärung bereitgestellt werden?

Die DSGVO verlangt nicht nur bestimmte Inhalte, sondern auch deren rechtzeitige und gut zugängliche Bereitstellung. Betroffene Personen müssen bereits zum Zeitpunkt der Datenerhebung und während der gesamten Verarbeitungsdauer erkennen können, welche Daten zu welchen Zwecken und auf welcher Rechtsgrundlage verarbeitet werden.

Ändern sich wesentliche Grundlagen der Verarbeitung, müssen sie darüber rechtzeitig informiert werden.

Wann müssen die Informationen bei Direkterhebung bereitgestellt werden?

Bei einer Direkterhebung müssen Sie die Datenschutzinformationen zum Zeitpunkt der Datenerhebung bereitstellen, Art. 13 Abs. 1 S. 1 DSGVO. Das betrifft Fälle, in denen Sie personenbezogene Daten unmittelbar bei den betroffenen Personen selbst erheben, zum Beispiel über Formulare, Registrierungen, Bestellungen, Bewerbungen, Telefonate oder persönliche Gespräche.

Die Informationen sollten möglichst schon vor der eigentlichen Dateneingabe oder sonstigen Datenerhebung zugänglich sein. Betroffene müssen ausreichend Gelegenheit haben, die Hinweise wahrzunehmen und nachzuvollziehen, bevor sie ihre Daten mitteilen. Typische Umsetzungen sind:

• Online-Formulare: Hinweis auf die Datenschutzerklärung direkt am Formular, zum Beispiel bei Kontaktformularen, Registrierungen, Bestellungen oder Bewerbungsformularen.
• Websites: Dauerhaft erreichbarer Link zur Datenschutzerklärung, typischerweise im Footer.
• Offline-Formulare: Datenschutzinformationen als Hinweisblatt, Aushang, QR-Code oder Kurzlink.
• Telefonische Erhebung: Kurzer Hinweis auf die Datenverarbeitung und Verweis auf abrufbare Datenschutzinformationen, soweit eine vollständige Information im Gespräch nicht praktikabel ist.
• Persönliche Gespräche: Bereitstellung der Informationen durch Aushang, Hinweisblatt, QR-Code oder vorherige Übersendung.

Wurde die Information zum Zeitpunkt der Erhebung versäumt, sollte sie unverzüglich nachgeholt werden. Das gilt besonders dann, wenn nicht sicher nachgewiesen werden kann, dass die Information bereits ordnungsgemäß erfolgt ist. Aufgrund der Rechenschaftspflicht sollten Sie dokumentieren können, auf welchem Weg die Informationen bereitgestellt wurden.

Link zur Datenschutzerklärung in der E-Mail-Signatur: Ein Link zur Datenschutzerklärung in der E-Mail-Signatur ist aus praktischer Sicht sinnvoll. Das gilt auch für Autoresponder, Transaktions-E-Mails und sonstige System-E-Mails.

So erhalten zum Beispiel Initiativbewerber, Kunden oder sonstige Kontaktpersonen jedenfalls nach dem ersten Kontakt einen einfachen Zugang zu den Datenschutzhinweisen. Eine E-Mail-Signatur ersetzt aber nicht in jedem Fall den rechtzeitigen Hinweis im eigentlichen Erhebungskontext.

Wann müssen die Informationen bei indirekter Erhebung bereitgestellt werden?

Bei indirekter Erhebung müssen Sie betroffene Personen innerhalb einer angemessenen Frist nach Erlangung der Daten informieren, spätestens aber innerhalb eines Monats, Art. 14 Abs. 3 lit. a DSGVO.

Eine indirekte Erhebung liegt vor, wenn Sie personenbezogene Daten nicht bei der betroffenen Person selbst erhalten, sondern aus anderen Quellen, zum Beispiel von Geschäftspartnern, Auskunfteien, Datenmittlern, öffentlichen Verzeichnissen oder sonstigen Dritten. In bestimmten Fällen muss die Information früher erfolgen:

• Vor erster Kontaktaufnahme: Wenn die Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, muss die Information spätestens zum Zeitpunkt der ersten Kontaktaufnahme erfolgen, Art. 14 Abs. 3 lit. b DSGVO.
• Vor erster Offenlegung: Wenn die Daten gegenüber anderen Empfängern offengelegt werden sollen, muss die Information spätestens vor dieser ersten Offenlegung erfolgen, Art. 14 Abs. 3 lit. c DSGVO.
• Spätestens innerhalb eines Monats: Erfolgt weder eine frühere Kontaktaufnahme noch eine frühere Offenlegung, bleibt es bei der Monatsfrist.
• So früh wie möglich: Die Monatsfrist sollte nicht als Regelfrist ausgeschöpft werden. Die Information muss so früh erfolgen, dass betroffene Personen die Verarbeitung nachvollziehen und ihre Rechte wirksam ausüben können.

Informationspflichten bereits beim Eingang der Daten prüfen: Aus praktischer Sicht sollten Sie bereits beim Eingang indirekt erhobener Daten prüfen, ob und wann eine Art.-14-Information ausgelöst wird.

Besonders wichtig ist das bei Lead-Listen, Adressdatenbanken, Bonitätsprüfungen, Bewerberempfehlungen, Empfehlungsprogrammen, Datenimporten aus CRM-Systemen oder Daten aus öffentlichen Quellen.

Sollte die Datenschutzerklärung in der E-Mail-Signatur verlinkt werden?

Ein Link zur Datenschutzerklärung in der E-Mail-Signatur ist aus praktischer Sicht sinnvoll. Das gilt auch für Autoresponder, Transaktions-E-Mails und sonstige System-E-Mails.

So erhalten zum Beispiel Initiativbewerber, Kunden, Interessenten oder sonstige Kontaktpersonen nach dem ersten Kontakt einen einfachen Zugang zu den Datenschutzhinweisen. Besonders sinnvoll ist die Verlinkung in folgenden Fällen:

• Allgemeine Geschäftskorrespondenz: Der Link erleichtert Empfängern den Zugriff auf die allgemeinen Datenschutzinformationen des Unternehmens.
• Autoresponder: Bei eingehenden Kontaktanfragen, Bewerbungen oder Supportanfragen kann automatisch auf die Datenschutzerklärung verwiesen werden.
• Transaktions-E-Mails: Bei Bestellungen, Registrierungen, Buchungen oder Vertragskommunikation erhalten Betroffene einen dauerhaften Zugang zu den Informationen.
• System-E-Mails: Auch automatisch versendete Nachrichten sollten den Link enthalten, wenn sie im Zusammenhang mit personenbezogenen Daten stehen.

Die E-Mail-Signatur ersetzt aber nicht in jedem Fall den rechtzeitigen Hinweis im eigentlichen Erhebungskontext. Bei Formularen, Bewerbungen, Registrierungen, Newsletter-Anmeldungen oder Bestellungen sollte der Hinweis weiterhin direkt dort erfolgen, wo die Daten erhoben werden.

Müssen Änderungen an der Datenschutzerklärung aktiv mitgeteilt werden?

Ja. Ändern sich die ursprünglich mitgeteilten Verarbeitungszwecke oder andere wesentliche Grundlagen der Verarbeitung, müssen Betroffene aktiv und rechtzeitig vorab informiert werden.

Ein bloßer Hinweis in der Datenschutzerklärung, dass Betroffene diese regelmäßig neu aufrufen sollten, reicht nicht aus.

• Zweckänderung: Sollen Daten zu anderen als den ursprünglich mitgeteilten Zwecken verarbeitet werden, müssen die neuen Zwecke gem. Art. 13 Abs. 3 bzw. Art. 14 Abs. 4 DSGVO mitgeteilt werden. Neben den neuen Zwecken sind auch alle anderen maßgeblichen Informationen nach Art. 13 Abs. 2 bzw. 14 Abs. 2 DSGVO mitzuteilen.
• Sonstige wesentliche Änderungen: Auch ohne Zweckänderung sollten Änderungen mitgeteilt werden, die zu einer anderen Beurteilung der Verarbeitung durch Betroffene führen könnten, z.B. neue Empfänger, neue Rechtsgrundlagen oder eine Verarbeitung in einem Drittland.
• Keine Mitteilung nötig: Bei rein redaktionellen Änderungen sollte auf eine Information verzichtet werden, um eine Informationsermüdung bei den Betroffenen zu vermeiden. Auch eine turnusmäßige Erinnerung an die Datenschutzhinweise ohne deren wesentliche Änderung ist nicht erforderlich.

Wie müssen Änderungen kommuniziert werden?

Änderungen müssen so kommuniziert werden, dass die Betroffenen sie tatsächlich wahrnehmen. Die Informationen dürfen nicht nur stillschweigend aktualisiert werden.

• Aktive Mitteilung: Z.B. durch Zusendung der Änderungen per E-Mail, durch Banner oder Pop-Up-Fenster vor der Nutzung von Onlinediensten
• Erkennbarkeit der Änderungen: Betroffene müssen erkennen können, an welchen Stellen sich die bisher mitgeteilten Informationen geändert haben, z.B. durch begleitende Erläuterungen oder Kennzeichnung der Änderungen in den bisherigen Datenschutzhinweisen
• Zeitlicher Vorlauf: Die Mitteilung sollte mit angemessenem zeitlichem Vorlauf erfolgen, damit Betroffene ausreichend Zeit zur Prüfung der Änderungen und zur Wahrnehmung ihrer Rechte haben

Gibt es Ausnahmen von den Informationspflichten?

Die DSGVO und das BDSG sehen Ausnahmen von den Informationspflichten vor. Diese sind allerdings eng auszulegen, da sie das Transparenzniveau nicht unterlaufen dürfen.

Verantwortliche müssen ihr Interesse an der Ausnahme mit dem Informationsinteresse der Betroffenen abwägen, entstandene Transparenzdefizite möglichst kompensieren und unterbliebene Informationen nachholen.

Wann entfällt die Informationspflicht bei Direkterhebung?

Bei der Direkterhebung ist nur eine einzige Ausnahme vorgesehen. Betroffenen Personen müssen keine Informationen mitgeteilt werden, über die sie bereits verfügen (Art. 13 Abs. 4 DSGVO).

Die Hürden dafür sind allerdings hoch, denn der Verantwortliche muss nachweisen können, dass die betroffene Person tatsächlich bereits über alle erforderlichen Informationen verfügt (z.B. weil sie im Rahmen eines laufenden Vertragsverhältnisses bereits eine vollständige Datenschutzerklärung erhalten hat):

• Nachweispflicht: Verantwortliche dürfen sich nicht auf eigene Annahmen stützen, z.B. dass Betroffene technische Vorgänge nachvollziehen können. Die positive Kenntnis der Betroffenen muss nachweisbar sein.
• Vorsicht geboten: Aufgrund der hohen Sanktionen sollten sich Verantwortliche nur mit großer Vorsicht auf diese Ausnahme verlassen und grundsätzlich von fehlender Informiertheit ausgehen.
• Ausnahme von der Ausnahme: Bei eindeutig als bekannt geltenden Informationen, z.B. wenn die Speicherung oder Offenlegung ausdrücklich durch Rechtsvorschriften geregelt ist (ErwG 62 S. 1), kann die Kenntnis eher unterstellt werden.

Andere Ausnahmen, insbesondere eine Unmöglichkeit oder Unzumutbarkeit der Information, sind bei der Direkterhebung nicht vorgesehen. Wenn Betroffene unaufgefordert Daten übermitteln (z.B. Initiativbewerbungen), sollten die erwartbaren Übermittlungen in den Datenschutzhinweisen berücksichtigt oder die Information unverzüglich nachgeholt werden.

Welche Ausnahmen gelten bei indirekter Datenerhebung?

Bei indirekter Erhebung, also wenn die Daten nicht bei den Betroffenen selbst, sondern aus anderen Quellen stammen (z.B. von Geschäftspartnern, aus öffentlichen Registern oder von Auskunfteien), ist der Ausnahmenkatalog erheblich erweitert (Art. 14 Abs. 5 DSGVO), da die Information der Betroffenen hier mit höherem Aufwand verbunden oder sogar unmöglich sein kann.

• Kenntnis der Information (Art. 14 Abs. 5 lit. a DSGVO): Entspricht der Ausnahme bei der Direkterhebung und setzt nachweisbare Kenntnis voraus.
• Unmöglichkeit oder unverhältnismäßiger Aufwand (Art. 14 Abs. 5 lit. b DSGVO): Diese Ausnahme ist in der Praxis selten anwendbar und gilt primär für Archivzwecke im öffentlichen Interesse, wissenschaftliche, historische Forschungszwecke und statistische Zwecke. Ebenso kann die Ausnahme greifen, wenn die Information die Verwirklichung der Verarbeitungsziele unmöglich machen oder ernsthaft beeinträchtigen würde, z.B. beim Schutz eines Whistleblowers. Wichtig: Das entstandene Transparenzdefizit muss durch geeignete Maßnahmen kompensiert werden, z.B. durch öffentliche Bekanntmachungen.
• Ausdrückliche Regelung durch Rechtsvorschriften (Art. 14 Abs. 5 lit. c DSGVO): Wenn die Erlangung oder Offenlegung der Daten durch Rechtsvorschriften der Union oder der Mitgliedstaaten geregelt ist. Auch hier sollte an eine Kompensation des Informationsdefizits gedacht werden.
• Berufsgeheimnis (Art. 14 Abs. 5 lit. d DSGVO): Wenn die Daten einem Berufsgeheimnis unterliegen und daher vertraulich behandelt werden müssen. Das betrifft z.B. Anwälte, Ärzte oder Steuerberater, die im Rahmen eines Mandats- oder Behandlungsverhältnisses Daten über Dritte erhalten und diese aufgrund ihrer gesetzlichen Schweigepflicht nicht offenlegen dürfen. In Deutschland konkretisiert § 29 Abs. 2 BDSG diese Ausnahme für die Datenübermittlung an solche Berufsgeheimnisträger.

Welche zusätzlichen Ausnahmen sieht das BDSG vor?

Neben den Ausnahmen der DSGVO ergänzt das BDSG den Ausnahmenkatalog auf Grundlage der Öffnungsklausel des Art. 23 DSGVO.

• § 32 BDSG: Enthält Ausnahmen für Zweckänderungen bei direkt erhobenen Daten
• § 33 BDSG: Geht weiter und schafft Ausnahmen für alle bei einer Erhebung bei Dritten nachträglich mitzuteilenden Pflichten. Die Ausnahmen betreffen vor allem die öffentliche Aufgabenwahrnehmung, Sicherheit und Ordnung sowie den Schutz von Rechtsansprüchen Privater.

Für beide Vorschriften gilt: Die besonderen Rechenschaftspflichten (§ 32 Abs. 2 und 3, § 33 Abs. 2 BDSG), Maßnahmen zur Kompensation der fehlenden Transparenz (z.B. Publikation allgemeiner Hinweise) und deren Nachholung innerhalb angemessener Frist (spätestens zwei Wochen) müssen stets im Lichte einer effektiven Transparenz ausgelegt werden.

Wie muss eine Datenschutzerklärung gestaltet sein?

Art. 12 Abs. 1 DSGVO verlangt, dass Datenschutzinformationen in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie in klarer und einfacher Sprache bereitgestellt werden. Diese Anforderungen betreffen nicht nur den Inhalt, sondern auch die sprachliche und gestalterische Aufbereitung der Informationen.

Was bedeutet “leicht zugänglich” in der Praxis?

Leicht zugänglich bedeutet, dass betroffene Personen die Datenschutzinformationen sofort finden und ohne Hürden aufrufen können. Sie dürfen nicht selbst danach suchen müssen.

• Erkennbarkeit: Die Datenschutzinformationen müssen ohne aufwendige Suche als solche erkennbar sein. Ihr Charakter muss sich bereits aus der Betitelung und der Bezeichnung entsprechender Verweise (z.B. Linktexte) ergeben.
• Begriffswahl: Empfohlen werden nach Informationen klingende Begriffe wie „Datenschutzerklärung”, „Datenschutzinformationen” oder „Datenschutzhinweise”. Begriffe wie „Datenschutzrichtlinien” oder „Datenschutzbedingungen” deuten dagegen auf Rechtsverbindlichkeit hin und sollten vermieden werden, um eine Verwechslung mit AGB zu verhindern.
• Erreichbarkeit: Die Informationen sollten mit einem Klick erreichbar sein, z.B. über einen Link im Fußbereich jeder Webseite. Bei besonderen Umständen (z.B. Platzmangel in mobilen Apps) können auch zwei Klicks zulässig sein.
• Gängige Formate: Informationen sollten in HTML oder PDF bereitgestellt werden, nicht in proprietären Formaten. Sie müssen ohne Login oder Abschaltung von Adblockern zugänglich sein.
• Mehrere Kanäle: Es empfiehlt sich, die Datenschutzinformationen über mehrere Kommunikationswege bereitzustellen, z.B. als Link auf Webseiten, in Apps, in Social-Media-Profilen und in E-Mail-Signaturen.

Was gilt, wenn ein Medienbruch unvermeidbar ist (z.B. IoT-Geräte, Postkarten)?

Ein Medienbruch liegt vor, wenn die Datenschutzinformationen nicht im selben Medium wie die Datenerhebung bereitgestellt werden können, z.B. bei Videoüberwachungskameras, smarten Geräten ohne Display, Gewinnspielpostkarten oder Geräten im Internet of Things.

• Essenzielle Informationen vor Ort: Zumindest die wichtigsten Informationen müssen direkt bei der Erhebung mitgeteilt werden. Dazu gehören Angaben zum Verantwortlichen, zur Kontaktaufnahme, zu Betroffenenrechten, zu den Verarbeitungsprozessen und Rechtsgrundlagen im jeweiligen Kontext sowie zu Verarbeitungsprozessen, mit denen Betroffene nicht rechnen müssen oder die sich besonders gravierend auf deren Interessen auswirken.
• Verweis auf vollständige Informationen: Auf die vollständigen Datenschutzinformationen sollte per Kurzlink oder QR-Code verwiesen werden. Webadressen sollten möglichst kurz und einprägsam sein (z.B. „beispielsdomain.de/datenschutz” statt „beispielsdomain.de/?p=283737″).
• QR-Codes: QR-Codes sind empfehlenswert, sollten aber erläutert und nur alternativ zu einer Webadresse bereitgestellt werden, z.B. „Bitte mit Kamera des Mobiltelefons scannen, um die Datenschutzhinweise aufzurufen (oder aufrufen über: beispielsdomain.de/datenschutz)”.
• Kopieren & Einfügen: Sind Links nicht klickbar, aber per Kopieren-und-Einfügen ohne Medienwechsel erreichbar (z.B. in Social-Media-Profilen), kann auf die Angabe aller essenziellen Informationen vor Ort verzichtet werden. Links sollten dennoch möglichst klickbar sein.

In welcher Sprache muss die Datenschutzerklärung verfasst sein?

Die Sprache der Datenschutzerklärung richtet sich nach dem Kreis der betroffenen Personen, also der Zielgruppe der Verarbeitungsmaßnahmen.

Wird z.B. ein Onlineangebot in mehreren Sprachen angeboten, müssen auch die Datenschutzhinweise in diesen Sprachen vorliegen. Die Sprache muss klar und einfach sein. Das bedeutet:

• Verständlicher Duktus: Kurze Sätze, verständliche Begriffe, Vermeidung oder Erläuterung von Fach- und Fremdwörtern
• Aktive Ausdrucksweise: Vermeidung von Substantivierungen und Passivkonstruktionen, soweit möglich
• Zielgruppengerecht: Alter, Bildungsgrad, sprachliches Verständnis und fachlicher Hintergrund der Betroffenen müssen berücksichtigt werden. Zur Orientierung kann das verbraucherrechtliche Leitbild eines durchschnittlich informierten und aufmerksamen Verbrauchers herangezogen werden.

Muss die Datenschutzerklärung auch andere Rechtsordnungen berücksichtigen?

Neben der DSGVO können Informationspflichten aus den Datenschutzgesetzen anderer Länder relevant werden, sobald sich eine Datenverarbeitung auf Personen in deren Geltungsbereich auswirkt. Ähnlich wie bei der DSGVO (Art. 3 Abs. 2) gilt in vielen internationalen Datenschutzgesetzen das sogenannte Marktortprinzip. D.h. nicht der Sitz des Unternehmens ist entscheidend, sondern ob sich das Angebot an Personen in dem jeweiligen Land richtet. Wer z.B. einen Onlineshop betreibt, der sich gezielt an Kunden in der Schweiz, in Großbritannien oder in Brasilien wendet, muss unter Umständen auch die dortigen Informationspflichten erfüllen.

• Schweiz: Das DSG gilt auch für Verantwortliche im Ausland, wenn sich deren Datenverarbeitung auf Personen in der Schweiz auswirkt (Art. 3 Abs. 1 DSG). Die Informationspflichten nach Art. 19 und 21 DSG ähneln der DSGVO, weichen aber in Einzelpunkten ab, z.B. bei den Rechtsgrundlagen und beim Sanktionsrahmen.
• USA/CCPA: Der California Consumer Privacy Act fordert abweichende und zusätzliche Informationspflichten, z.B. detaillierte Angaben zum Verfahrensablauf bei Betroffenenrechten (§ 7003 und § 7011 CCPA-Regulations). Umgekehrt kennt der CCPA kein Recht auf Datenübertragbarkeit wie Art. 20 DSGVO.
• Klarstellung empfohlen: Es sollte klargestellt werden, für welche Datenschutzordnungen und Regionen die Datenschutzhinweise gelten.
• Umgang mit unterschiedlichen Anforderungen: Bei abweichenden Vorgaben kann entweder den jeweils strengsten Anforderungen gefolgt werden, oder es können separate Abschnitte für verschiedene Rechtsordnungen erstellt werden. Letzteres kann sinnvoll sein, um als Verantwortlicher keine gesetzlich nicht vorgesehenen Verpflichtungen einzugehen, z.B. wenn ein Recht auf Datenübertragbarkeit nur nach DSGVO, nicht aber nach CCPA besteht.

Warum sollten Formulierungen wie “wir könnten Ihre Daten nutzen” vermieden werden?

Datenschutzinformationen sollten auf Bedingungen und Modalitäten verzichten, um sprachlich klar und präzise zu sein. Modalverben wie „kann”, „könnte”, „manche”, „oft” oder „möglich” erwecken den Eindruck, dass Verarbeitungen nur unter Umständen stattfinden.

Modalitäten können aber auch zulässig sein, insbesondere wenn:

• Genaue Angaben nicht möglich sind: Z.B. bei der Mitteilung von Kriterien für die Speicherdauer statt einer konkreten Dauer (Art. 13 Abs. 2 lit. a DSGVO)
• Betroffene selbst Einfluss haben: Z.B. „Wenn Sie sich auf unserer Plattform registrieren, verarbeiten wir die folgenden Daten…” oder „Wenn Sie unsere Webseite mit einem Mobilgerät aufrufen, erheben wir die Geräteidentifikationsnummer”

Was ist das Mehrebenen-Modell?

Das Mehrebenen-Modell (auch „mehrschichtige” oder „mehrstufige Kommunikation”) ist ein Ansatz, um der Informationsüberlastung entgegenzuwirken.

Betroffene Personen erhalten die relevanten Informationen nicht nur in einer vollständigen Datenschutzerklärung, sondern zusätzlich im Kontext der jeweiligen Datenerhebung.

• Erste Ebene (kontextuell): Im Kontext des jeweiligen Erhebungsvorgangs werden die dafür relevanten und notwendigen Informationen bereitgestellt, z.B. unerwartete Verarbeitungszwecke oder besonders eingriffsintensive Vorgänge.
• Zweite Ebene (vollständig): Ein Verweis führt zu den ausführlichen Datenschutzinformationen, die alle Pflichtangaben kohärent an einer zentralen Stelle zusammenfassen. Idealerweise leiten die kontextbezogenen Hinweise per Sprungmarke direkt zu den entsprechenden Stellen in der vollständigen Datenschutzerklärung.

Wichtig: Die kontextuelle Ebene ist eine Ergänzung, kein Ersatz für die vollständige Datenschutzerklärung. Die Datenschutzinformationen dürfen nicht zergliedert werden.

Privacy-Dashboard: Bei einer Vielzahl von Verarbeitungsprozessen kann die Transparenz zusätzlich durch ein “Privacy-Dashboard”, d.h. einen zentralen Informations- und Einstellungsbereich unterstützt werden, in dem Betroffene alle Verarbeitungen und deren Einstellungen an einer Stelle einsehen können.

Welche besonderen Anforderungen gelten bei Minderjährigen?

Wenn davon auszugehen ist, dass die Verarbeitungsprozesse auch Minderjährige betreffen, müssen deren besondere Lese- und Verständnisschwierigkeiten berücksichtigt werden. Das betrifft nicht nur die Sprachwahl, sondern alle Aspekte der Informationsvermittlung.

• Angepasste Sprache: Einfachere Sprache, kürzere Sätze, zusätzliche Erläuterungen.
• Alternative Formate: Informationen können z.B. mittels Bildergeschichten oder Trickfilmen vermittelt werden.
• Grenze: Eine Anpassung ist nur erforderlich, wenn von den Minderjährigen ein Mindestmaß an Verständnis und autonomem Handeln zu erwarten ist. Für Kleinstkinder ist keine Anpassung nötig.

Dieselben Kriterien gelten auch für andere Personen mit eingeschränkten Aufnahme- und Verständnisfähigkeiten, z.B. ältere oder sehbeeinträchtigte Personen. Datenschutzinformationen sollten daher möglichst barrierefrei gestaltet sein, z.B. maschinell lesbar durch Screenreader oder in Brailleschrift auf Hinweisschildern.

Dürfen Datenschutzhinweise auch mündlich oder per Video erteilt werden?

Es wäre nicht ausreichend, die vollständigen Datenschutzinformationen ausschließlich mündlich bereitzustellen. Eine rein mündliche Information (einschließlich Computerstimme oder Aufzeichnung) ist gem. Art. 12 Abs. 1 S. 3 DSGVO nur auf Verlangen der betroffenen Person möglich.

• Ergänzend erlaubt: Mündliche Hinweise dürfen ergänzend und unterstützend eingesetzt werden, z.B. bei Telefonansagen beim Erstkontakt oder bei digitalen Assistenten. Die vollständigen Informationen müssen den Nutzern aber vorab in Textform mitgeteilt werden (z.B. per Link auf die Datenschutzerklärung auf der Webseite).
• Visualisierung: Bildsymbole, Piktogramme (z.B. Kamerasymbol bei Videoüberwachung), Informationsgrafiken, Videos und Ablaufdiagramme können die Transparenz verbessern, sollten aber nur ergänzend zu den vollständigen Textinformationen verwendet werden. Die Datenschutzhinweise müssen auch ohne visuelle Elemente hinreichend transparent sein.
• Risiko visueller Symbole: Visuelle Darstellungen können der Transparenz entgegenstehen, wenn sie eine fehlerhafte Vorstellung über die Verarbeitungsprozesse erwecken.

Was droht bei Verstößen gegen die Informationspflichten?

Die Missachtung der Transparenzvorgaben stellt einen eigenständigen Rechtsverstoß dar, der unabhängig von der sonstigen Rechtmäßigkeit der Datenverarbeitung sanktioniert werden kann.

Neben Bußgeldern drohen wettbewerbsrechtliche Konsequenzen, Ansprüche Betroffener und im Extremfall die Rechtswidrigkeit der gesamten Verarbeitung.

Hinzu kommt die Rechenschaftspflicht gem. Art. 5 Abs. 2 DSGVO: Dokumentations- und Nachweislücken können sich unabhängig von tatsächlich bestandener Transparenz zu Lasten der Verantwortlichen auswirken.

Welche Bußgelder drohen?

Aufsichtsbehörden können Verstöße gegen die Transparenzvorgaben gem. Art. 83 Abs. 5 lit. a DSGVO mit einem Bußgeld von bis zu 20 Mio. Euro oder 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres sanktionieren, je nachdem welcher Betrag höher ist.

• Behördliche Befugnisse: Neben Bußgeldern können die Aufsichtsbehörden im Rahmen ihrer Befugnisse gem. Art. 58 DSGVO die Verantwortlichen auch zur Herstellung der Transparenz auffordern, z.B. durch Anordnung konkreter Informationsmaßnahmen.
• Ausnahme für Behörden: Behörden und öffentliche Stellen sind gem. §§ 2 Abs. 5, 43 Abs. 3 BDSG in Deutschland vom Bußgeld ausgenommen, soweit sie nicht am Wettbewerb teilnehmen.

Können Mitbewerber wegen fehlender oder fehlerhafter Datenschutzerklärung abmahnen?

Neben behördlichen Sanktionen drohen wettbewerbsrechtliche Abmahnungen und Klagen. Anspruchsberechtigt sind Mitbewerber, rechtsfähige Wirtschaftsverbände, qualifizierte Einrichtungen und Kammern nach § 8 Abs. 1, 3 UWG.

Lange war umstritten, ob Datenschutzverstöße überhaupt wettbewerbsrechtlich verfolgt werden dürfen. Diese Frage hat der BGH mit Urteilen vom 27. März 2025 weitgehend geklärt.

• Mitbewerber dürfen abmahnen. Der BGH bestätigte die Aktivlegitimation von Mitbewerbern (Az. I ZR 222/19 und I ZR 223/19) und die Klagebefugnis von Verbraucherverbänden (Az. I ZR 186/17). Grundlage ist die Vorabentscheidung des EuGH vom 4. Oktober 2024 (Rs. C-21/23, „Lindenapotheke”). Die DSGVO entfaltet keine Sperrwirkung gegenüber dem Wettbewerbsrecht, beide Regelungsregime gelten nebeneinander.
• Transparenzverstöße sind marktrelevant: Im App-Zentrum-Fall wertete der BGH die mangelnde Transparenz nach Art. 12, 13 DSGVO als unlauteres Marktverhalten. Art. 9 Abs. 1 DSGVO qualifizierte er ausdrücklich als Marktverhaltensregel im Sinne von § 3a UWG. Voraussetzung bleibt, dass der Verstoß einen Wettbewerbsvorteil verschafft.
• Erleichterungen für kleinere Unternehmen: Der Anspruch auf Kostenersatz ist bei Datenschutz-Abmahnungen durch Mitbewerber gegen Unternehmen mit in der Regel weniger als 250 Beschäftigten ausgeschlossen (§ 13 Abs. 4 Nr. 2 UWG). Beim Erstverstoß darf gegen Unternehmen mit weniger als 100 Beschäftigten keine Vertragsstrafe vereinbart werden (§ 13a Abs. 2 UWG).

Aus der Praxis: In der Beratung sehe ich, dass viele kleinere Unternehmen die Abmahngefahr nach diesen Urteilen unterschätzen. Auch wenn der Kostenersatz oft ausgeschlossen ist, bleibt die Unterlassungspflicht bestehen, und bei Wiederholung drohen Vertragsstrafen. Ich empfehle, die Datenschutzerklärung jetzt auf Vollständigkeit nach Art. 13 DSGVO zu prüfen.

Haben Betroffene eigene Ansprüche?

Die Transparenzvorschriften der DSGVO sind nicht als direkte Ansprüche formuliert, d.h. Betroffene können nicht einfach vor Gericht klagen und sagen „Ich will eine Datenschutzerklärung erhalten“.

Dennoch stehen ihnen verschiedene Wege offen, um ihre Rechte durchzusetzen, wenn ein Verantwortlicher seine Informationspflichten nicht erfüllt.

• Vertragliche Nebenpflicht: Ein Informationsanspruch kann sich als Schutzpflicht aus dem Vertragsverhältnis ergeben (§ 241 Abs. 2 BGB i.V.m. Art. 5 Abs. 1 lit. a, Art. 12-14 DSGVO).
• Deliktischer Anspruch: Ebenso kommt ein Unterlassungsanspruch gem. §§ 823 Abs. 2, 1004 Abs. 1 BGB analog in Betracht.
• Offene Rechtsfrage: Auch hier ist höchstrichterlich nicht geklärt, ob individuelle Unterlassungs- und Kostenersatzansprüche neben den Sanktionsregeln der DSGVO und dem Schadensersatz nach Art. 82 Abs. 1 DSGVO bestehen.

Wird die gesamte Datenverarbeitung durch einen Verstoß rechtswidrig?

Ein Transparenzverstoß kann dazu führen, dass die Datenverarbeitung selbst gegen die Rechtmäßigkeitsvorgaben der Art. 6 und 9 DSGVO verstößt. Allerdings führt nicht jeder Informationsmangel automatisch zur Rechtswidrigkeit.

• Separate Prüfung: Die Rechtmäßigkeit der Verarbeitung ist als eigenständige Grundlage des Datenschutzes neben der Transparenz separat zu prüfen (Art. 5 Abs. 1 lit. a DSGVO). So setzt z.B. eine informierte Einwilligung nicht alle Angaben gem. Art. 13 Abs. 1 und 2 DSGVO voraus, etwa die Angaben zum Datenschutzbeauftragten.
• Gesetzliche Verarbeitungspflichten: Eine gem. Art. 6 Abs. 1 S. 1 lit. c DSGVO gesetzlich vorgeschriebene Verarbeitung wird bei mangelnder Transparenz grundsätzlich nicht rechtswidrig.
• Eklatante Fälle: Eine Rechtswidrigkeit wird vor allem dann anzunehmen sein, wenn die Verarbeitung völlig intransparent erfolgt, Betroffene unter Vorspiegelung einer Pflicht zur Datenangabe zur Herausgabe ihrer Daten bewegt werden oder Informationen sonst erschlichen werden.

Sind Datenschutzhinweise rechtlich verbindlich?

Datenschutzinformationen gem. Art. 13 und 14 DSGVO sind keine rechtsverbindlichen Regelungen, sondern reine Hinweise ohne regelnde Wirkung.

Sie unterscheiden sich damit grundlegend von Einwilligungen, AGB oder vertraglichen Verpflichtungen. Dennoch gibt es in der Praxis wichtige Abgrenzungsfragen und Nachweispflichten, die Verantwortliche beachten müssen.

Sind Datenschutzhinweise wie AGB zu behandeln?

Nein. Datenschutzinformationen sind einseitige Hinweise des Verantwortlichen, die keine vertragliche Bindung erzeugen. Betroffene müssen ihnen also nicht „zustimmen”, und der Verantwortliche kann daraus keine Pflichten für die Betroffenen ableiten.

Das unterscheidet sie wesentlich von Einwilligungen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG), bei denen Betroffene aktiv einer bestimmten Datenverarbeitung zustimmen, und von vertraglichen Regelungen wie z.B. Nutzungsbedingungen, die etwa die Pflicht zum Schutz von Zugangsdaten oder zur regelmäßigen Datensicherung enthalten können.

• Vermischung vermeiden: Die Vermischung von Datenschutzinformationen mit regelnden Inhalten (z.B. AGB) sollte vermieden werden. Etwaige Abgrenzungsschwierigkeiten können dazu führen, dass Gerichte auch den Datenschutzinformationen eine regelnde Wirkung zusprechen (vgl. KG MMR 2020, 239; OLG Hamburg, MMR 2015, 740).
• Folge bei Einstufung als AGB: Werden Datenschutzinformationen als AGB qualifiziert, unterliegen sie der AGB-Kontrolle gem. §§ 305 bis 310 BGB und können grundsätzlich nicht ohne Zustimmung der Betroffenen geändert werden.
• Begriffswahl: Begriffe wie „Datenschutzinformationen” oder „Datenschutzhinweise” unterstreichen den Informationscharakter. Begriffe wie „Datenschutzrichtlinien” oder „Datenschutzbedingungen” deuten dagegen auf Rechtsverbindlichkeit hin und erhöhen das Risiko einer Einstufung als AGB.

Muss eine Bestätigung der Kenntnisnahme eingeholt werden?

Nein. Eine Bestätigung der Kenntnisnahme, z.B. mittels eines Kontrollkästchens oder einer Unterschrift, ist mangels regelnder Wirkung der Datenschutzinformationen nicht erforderlich.

• Freiwillig möglich: Verantwortliche können eine solche Bestätigung grundsätzlich einfordern, um die Bereitstellung des Verweises auf die Datenschutzinformationen nachweisen zu können. Die Inhalte der Datenschutzinformationen müssen jedoch separat nachgewiesen werden.
• Formulierung beachten: Verbindlich klingende Formulierungen wie „Ich erkläre mich mit den Datenschutzhinweisen einverstanden” sollten vermieden werden. Stattdessen sollte auf die Datenschutzhinweise bloß hingewiesen werden, z.B. „Weitere Informationen erhalten Sie in unseren Datenschutzhinweisen”.

Wie kann die Einhaltung der Informationspflichten nachgewiesen werden?

Verantwortliche sind gem. Art. 5 Abs. 2 DSGVO verpflichtet, die Einhaltung der Transparenzvorgaben zumindest gegenüber Aufsichtsbehörden nachzuweisen. Dieser Nachweis sollte umfassend dokumentiert werden.

• Protokollierung: Die Inhalte der bereitgestellten Informationen sollten samt Angaben zum Zeitraum, Ort und Art ihrer Bereitstellung protokolliert werden.
• Verfahrensgestaltung: Die Prüfung der Transparenz, Formulierung der Informationen und Gestaltung der Umsetzungsmaßnahmen sollten bereits im Rahmen der Verfahrensgestaltung gem. Art. 25 DSGVO erfolgen und dokumentiert werden.
• Zielgruppentests: Mit fachgerecht durchgeführten Zielgruppentests können Verantwortliche in Extremfällen nachweisen, dass die betroffenen Personen die bereitgestellten Informationen hinreichend wahrnehmen und nachvollziehen konnten.
• Zertifizierung: Die DSGVO sieht ferner die Möglichkeit eines Nachweises der Transparenz mittels Zertifizierungsverfahren gem. Art. 42 S. 1 DSGVO vor.

Das Wichtigste zur Datenschutzerklärung zusammengefasst

Eine rechtskonforme Datenschutzerklärung ist keine Formalität, sondern eine zentrale Pflicht für jeden, der personenbezogene Daten verarbeitet. Die wichtigsten Punkte:

• Pflicht für alle: Jede Stelle, die personenbezogene Daten verarbeitet, braucht eine Datenschutzerklärung, unabhängig von Größe oder Rechtsform. Das gilt in Deutschland, Österreich und der Schweiz gleichermaßen.
• Vollständigkeit: Der Pflichtenkatalog der Art. 13 und 14 DSGVO (bzw. Art. 19 und 21 DSG) muss vollständig abgedeckt sein. Bei indirekter Erhebung kommen zusätzliche Angaben zu Datenkategorien und Datenquellen hinzu.
• Verständlichkeit: Datenschutzinformationen müssen präzise, verständlich und in klarer Sprache formuliert sein. Juristische Fachsprache allein reicht nicht.
• Zugänglichkeit: Die Informationen müssen leicht auffindbar, jederzeit erreichbar und kostenfrei sein. Im Onlinebereich bedeutet das: ein Klick zum Ziel.
• Rechtzeitig: Bei Direkterhebung müssen die Informationen zum Zeitpunkt der Erhebung vorliegen, bei indirekter Erhebung spätestens innerhalb eines Monats. Wesentliche Änderungen müssen aktiv mitgeteilt werden.
• Mehrebenen-Modell: Neben der vollständigen Datenschutzerklärung sollten relevante Informationen zusätzlich im Kontext der jeweiligen Datenerhebung bereitgestellt werden.
• Keine AGB: Datenschutzhinweise sind keine rechtsverbindlichen Regelungen. Die Vermischung mit AGB oder vertraglichen Regelungen sollte vermieden werden.
• Nachweis sichern: Verantwortliche müssen die Einhaltung der Transparenzvorgaben dokumentieren und nachweisen können.
• Sanktionen ernst nehmen: Verstöße können Bußgelder, Abmahnungen, individuelle Ansprüche und im Extremfall die Rechtswidrigkeit der gesamten Verarbeitung nach sich ziehen.
• International denken: Wer Nutzer in mehreren Rechtsräumen anspricht, muss prüfen, ob neben der DSGVO auch andere Datenschutzgesetze (DSG, CCPA etc.) zu beachten sind.

Eine gute Datenschutzerklärung schützt nicht nur vor rechtlichen Risiken, sondern schafft Vertrauen bei den Nutzern. Wer die Informationspflichten ernst nimmt und die eigene Datenschutzerklärung regelmäßig aktualisiert, ist auf der sicheren Seite.

Tipp für mehr Rechtssicherheit

Mit unseren Generatoren können Sie rechtssichere Datenschutzerklärungen, Shop-AGB oder KI-Richtlinien erstellen und die folgenden Vorteile genießen: ✔ vom Anwalt ✔ mit Siegel ✔ kein Abo ✔ Dokumente ohne zeitliches Limit nutzbar ✔ Download als Word-Datei oder PDF ✔

---