Die Datenschutzerklärung ist eine der wenigen Pflichtangaben, die wirklich jede Website braucht, vom kleinen Handwerkerbetrieb bis zum Online-Shop. Trotzdem ist sie oft das schwächste Glied: lieblos aus einem Generator kopiert, seit Jahren nicht angefasst, und ausgerechnet die Dienste, die tatsächlich Daten verarbeiten, fehlen darin. Dieser Beitrag zeigt, welche Angaben in eine Datenschutzerklärung für die Website gehören und wie Sie das Dokument aktuell halten, ohne es jedes Mal neu schreiben zu müssen.
Warum die Datenschutzerklärung Pflicht ist
Sobald Sie über Ihre Website personenbezogene Daten verarbeiten, und das tun Sie praktisch immer, müssen Sie darüber informieren. Schon das Aufrufen einer Seite überträgt die IP-Adresse an Ihren Server. Die DSGVO verlangt, dass Sie transparent darlegen, welche Daten Sie zu welchem Zweck verarbeiten und auf welcher Rechtsgrundlage.
Die Datenschutzerklärung ist dabei nicht mit dem Impressum zu verwechseln. Beide sind Pflicht, aber sie erfüllen unterschiedliche Aufgaben. Das Impressum sagt, wer hinter der Seite steht, die Datenschutzerklärung sagt, was mit den Daten der Besucher geschieht. Details zum Impressum finden Sie unter dem Glossarbegriff Impressumspflicht.
Der Verantwortliche und seine Kontaktdaten
Jede Datenschutzerklärung beginnt mit der Frage: Wer ist verantwortlich? Hier nennen Sie Namen und Anschrift der Person oder des Unternehmens, das über die Datenverarbeitung entscheidet, samt einer erreichbaren Kontaktmöglichkeit.
Falls Sie einen Datenschutzbeauftragten benannt haben, gehören dessen Kontaktdaten ebenfalls hierher. Für viele kleine Betriebe ist ein Datenschutzbeauftragter nicht verpflichtend, aber wenn einer bestellt ist, muss er auffindbar sein.
Zwecke und Rechtsgrundlagen der Verarbeitung
Das Herzstück der Datenschutzerklärung ist die Aufstellung dessen, was Sie mit welchen Daten und warum tun. Für jede Verarbeitung sollten Sie drei Dinge benennen:
- welche Daten verarbeitet werden
- zu welchem Zweck das geschieht
- auf welcher Rechtsgrundlage es beruht
Das klingt formal, ist aber wichtig, weil pauschale Formulierungen schnell ins Leere laufen. “Wir verarbeiten Ihre Daten zur Verbesserung unseres Angebots” sagt nichts aus. Konkret wird es, wenn Sie beschreiben, dass etwa Kontaktformulardaten zur Bearbeitung der Anfrage genutzt werden und nach Erledigung gelöscht werden.
Hosting, Server-Logs und eingebundene Dienste
Hier wird es in der Praxis am häufigsten lückenhaft. Ihre Datenschutzerklärung muss alle Dienste nennen, die tatsächlich Daten verarbeiten, und das sind oft mehr, als man denkt:
- der Hoster und die anfallenden Server-Logfiles
- Web-Analyse wie Google Analytics oder datensparsame Alternativen
- eingebettete Inhalte wie Karten, Videos oder Schriftarten von externen Servern
- ein Newsletter-Dienst, sofern Sie E-Mail-Marketing betreiben
- Social-Media-Verknüpfungen und Werbe-Tools
Für jeden dieser Dienste sollten Sie angeben, welche Daten dorthin fließen und ob eine Übermittlung in Drittländer stattfindet. Wenn ein Dienst eine Einwilligung über das Cookie-Banner voraussetzt, muss das hier ebenfalls erkennbar sein. Beides muss zusammenpassen: Was Sie technisch einbinden, muss die Erklärung abbilden.
Kontaktformular, Newsletter und besondere Fälle
Manche Verarbeitungen verdienen einen eigenen Abschnitt, weil sie regelmäßig Daten erheben. Das Kontaktformular ist der häufigste Fall: Wer es ausfüllt, übermittelt mindestens Name und Nachricht, oft auch Telefonnummer oder E-Mail-Adresse. Ihre Erklärung sollte sagen, wofür diese Daten genutzt werden, wie lange sie gespeichert bleiben und wann sie gelöscht werden.
Ähnlich beim Newsletter: Hier dokumentieren Sie das Anmeldeverfahren, die Einwilligung und die Möglichkeit, sich jederzeit wieder abzumelden. Betreiben Sie einen Online-Shop oder ein Buchungssystem, kommen Zahlungsdienstleister und Bestelldaten hinzu. Je nach Geschäftsmodell wächst die Erklärung also über die Standardbausteine hinaus, und genau diese individuellen Teile werden in Generator-Vorlagen am ehesten vergessen.
Die Rechte der Betroffenen
Jede Person, deren Daten Sie verarbeiten, hat Rechte, und über die müssen Sie informieren. Dazu zählen das Recht auf Auskunft, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung sowie auf Datenübertragbarkeit. Ergänzend gehört der Hinweis dazu, dass sich Betroffene bei einer Aufsichtsbehörde beschweren können und eine erteilte Einwilligung jederzeit widerrufbar ist.
Diese Passagen sind in den meisten Generatoren enthalten, sollten aber nicht nur als Textbaustein dastehen. Wer eine Auskunft verlangt, sollte aus Ihrer Erklärung erkennen, an wen er sich wenden kann.
So halten Sie die Datenschutzerklärung aktuell
Eine Datenschutzerklärung ist kein Dokument, das man einmal erstellt und dann vergisst. Sie veraltet genau dann, wenn sich an Ihrer Website etwas ändert, und das passiert öfter als gedacht. Ein neues Analyse-Tool, ein eingebundenes Buchungssystem, ein anderer Newsletter-Anbieter: Jede dieser Änderungen muss sich in der Erklärung niederschlagen.
Bewährt hat sich ein einfacher Grundsatz: Wer einen neuen Dienst einbaut, aktualisiert im gleichen Zug die Datenschutzerklärung. Wird diese Regel eingehalten, bleibt das Dokument automatisch synchron mit der tatsächlichen Technik. Zusätzlich lohnt sich einmal im Jahr ein kurzer Abgleich, ob noch alles stimmt. Bei einem professionellen Webdesign wird diese Pflege von Anfang an mitgedacht, statt sie dem Zufall zu überlassen.
Häufige Fehler
- die Datenschutzerklärung aus einem Generator kopieren, ohne sie an die eigene Website anzupassen
- eingesetzte Tools wie Analytics, Karten oder Schriftarten gar nicht aufführen
- das Dokument nach Änderungen an der Website nicht aktualisieren
- Datenschutzerklärung und Impressum vermischen oder eines davon weglassen
- Standardtexte übernehmen, die Rechtsgrundlagen nennen, die für die eigene Verarbeitung gar nicht gelten
Diese Fehler haben eines gemeinsam: Sie entstehen aus Bequemlichkeit und lassen sich mit etwas Sorgfalt vermeiden.
Rechtliche Einordnung und nächster Schritt
Die Datenschutzerklärung ist Teil eines Pflichtenpakets, das eng zusammenhängt: Cookie-Banner, Impressum und technische Umsetzung greifen ineinander. Einen Gesamtüberblick gibt der Beitrag DSGVO-Website-Pflichten 2026, weitere Datenschutzthemen finden Sie im Bereich DSGVO.
Eines muss klar gesagt sein: Dieser Beitrag erklärt, was üblicherweise in eine Datenschutzerklärung gehört, ist aber kein Ersatz für eine Rechtsberatung. Welche Formulierungen und Rechtsgrundlagen im Einzelfall passen, sollten Sie anwaltlich prüfen lassen. Die technische Seite, also die korrekte Einbindung der Dienste und die Pflege bei Änderungen, übernehmen wir.
Wenn Sie wissen wollen, ob Ihre Datenschutzerklärung wirklich zu Ihrer Website passt, schauen wir es uns an. Melden Sie sich über unser Kontaktformular. Wir betreuen Unternehmen in Stuttgart und der Region Neckar-Alb und sorgen dafür, dass Technik und Erklärung zusammenpassen.