Fast jede Website verarbeitet personenbezogene Daten – sei es durch Server-Logs, ein Kontaktformular, eingebundene Schriften oder Analyse-Tools. Sobald das geschieht, verlangt die Datenschutz-Grundverordnung (DSGVO) eine verständliche Datenschutzerklärung, die offenlegt, wer welche Daten zu welchem Zweck verarbeitet. Diese Pflicht trifft nicht nur große Unternehmen, sondern auch kleine Selbstständige, Vereine und private Blogs, sobald sie über rein familiäre Zwecke hinausgehen. Eine fehlende oder lückenhafte Erklärung kann Abmahnungen und Bußgelder nach sich ziehen. Dieser Ratgeber zeigt, welche Bausteine 2026 in eine Datenschutzerklärung gehören, wie sie aufgebaut sein sollte und worauf es bei Sprache und Auffindbarkeit ankommt.
Warum jede Website eine Datenschutzerklärung braucht
Die DSGVO verpflichtet jeden, der personenbezogene Daten verarbeitet, die betroffenen Personen transparent zu informieren. Personenbezogen ist dabei mehr, als viele vermuten: Schon die IP-Adresse eines Besuchers gilt als personenbezogenes Datum. Da praktisch jeder Webserver beim Aufruf einer Seite die IP-Adresse protokolliert, fällt fast jede öffentlich erreichbare Website unter diese Informationspflicht. Die Erklärung ist also kein bürokratisches Beiwerk, sondern die Erfüllung der gesetzlichen Pflichten aus den Artikeln 13 und 14 der DSGVO. Sie schafft Vertrauen, weil Nutzer nachlesen können, was mit ihren Daten passiert, und sie schützt den Betreiber, weil er nachweisen kann, dass er seinen Pflichten nachgekommen ist.
Pflichtangaben zur verantwortlichen Stelle
Den Anfang macht die Frage, wer überhaupt für die Datenverarbeitung verantwortlich ist. Dieser Block muss den vollständigen Namen beziehungsweise die Firmenbezeichnung, die ladungsfähige Anschrift und mindestens eine schnelle Kontaktmöglichkeit – in der Regel eine E-Mail-Adresse – enthalten. Bei juristischen Personen gehören auch die Vertretungsberechtigten dazu, etwa der Geschäftsführer.
Sofern ein Datenschutzbeauftragter bestellt wurde, sind dessen Kontaktdaten ebenfalls anzugeben. Ein Datenschutzbeauftragter ist nicht für jede Website Pflicht: Er wird unter anderem dann nötig, wenn umfangreich besondere Datenkategorien verarbeitet werden oder die Kerntätigkeit in der systematischen Überwachung von Personen besteht. Kleine Websites ohne solche Verarbeitungen brauchen meist keinen – dann entfällt dieser Punkt einfach. Wichtig ist nur: Wenn ein Beauftragter existiert, müssen seine Kontaktdaten genannt werden.
Rechtsgrundlagen und Zwecke jeder Verarbeitung
Das Herzstück einer Datenschutzerklärung ist die Auflistung der einzelnen Verarbeitungsvorgänge. Für jeden davon muss klar werden, zu welchem Zweck Daten erhoben werden und auf welcher Rechtsgrundlage das geschieht. Die DSGVO nennt mehrere mögliche Grundlagen, die je nach Situation greifen:
- Einwilligung (Art. 6 Abs. 1 lit. a) – etwa für nicht zwingend nötige Cookies oder einen Newsletter.
- Vertragserfüllung (lit. b) – zum Beispiel bei einer Bestellung oder Kontoanlage im Shop.
- Rechtliche Verpflichtung (lit. c) – etwa steuerliche Aufbewahrungspflichten.
- Berechtigtes Interesse (lit. f) – beispielsweise für die Server-Sicherheit oder grundlegende Reichweitenmessung.
Pro Datenkategorie sollte zudem die Speicherdauer oder zumindest das Kriterium für die Löschung genannt werden. Eine pauschale Floskel wie „Wir verarbeiten Daten gemäß DSGVO" reicht nicht aus – konkret muss sein, welche Daten, wofür und wie lange.
Cookies, Analyse- und Marketing-Tools transparent auflisten
Besondere Aufmerksamkeit verdienen Cookies und eingebundene Dienste von Drittanbietern. Technisch notwendige Cookies, die für den Betrieb der Seite unverzichtbar sind, dürfen ohne Einwilligung gesetzt werden. Alles, was darüber hinausgeht – Analyse, Personalisierung, Werbung –, setzt nach dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und der DSGVO grundsätzlich eine vorherige, aktive Einwilligung über ein Cookie-Banner voraus.
In der Datenschutzerklärung sollten alle eingesetzten Tools benannt werden, etwa Webanalyse-Dienste, Karten- und Schrift-Einbindungen, Social-Media-Plugins, Video-Player oder Werbenetzwerke. Für jedes Tool gehören dazu: der Anbieter, der Zweck, die Rechtsgrundlage und – falls Daten in Länder außerhalb der EU übertragen werden – ein Hinweis auf die Übermittlungsgrundlage, beispielsweise Standardvertragsklauseln. Wer eigene Tools prüfen oder Texte und Daten für die Dokumentation aufbereiten möchte, findet bei den kostenlosen Webtools praktische Helfer.
Betroffenenrechte verständlich erklären
Nutzer haben gegenüber dem Verantwortlichen eine Reihe von Rechten, über die die Erklärung informieren muss. Dazu zählen das Recht auf Auskunft über die gespeicherten Daten, auf Berichtigung falscher Angaben, auf Löschung, auf Einschränkung der Verarbeitung und auf Datenübertragbarkeit. Hinzu kommt das Widerspruchsrecht gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen, sowie das Recht, einmal erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen.
Pflicht ist außerdem der Hinweis auf das Beschwerderecht bei einer Aufsichtsbehörde. In Deutschland sind das die Landesdatenschutzbehörden. Diese Rechte sollten nicht nur aufgezählt, sondern so erklärt werden, dass ein Laie versteht, was er tun kann und an wen er sich wenden muss.
Checkliste der Pflichtbausteine
Die folgende Übersicht fasst die wichtigsten Bestandteile zusammen, die in nahezu jeder Datenschutzerklärung vorhanden sein sollten. Sie ersetzt keine individuelle Rechtsberatung, hilft aber, grobe Lücken zu vermeiden.
| Baustein | Kurz erklärt |
|---|---|
| Verantwortliche Stelle | Name/Firma, vollständige Anschrift und Kontaktmöglichkeit des Betreibers. |
| Datenschutzbeauftragter | Kontaktdaten – nur erforderlich, wenn ein Beauftragter bestellt wurde. |
| Zwecke der Verarbeitung | Wofür werden welche Daten erhoben (Kontakt, Bestellung, Analyse usw.)? |
| Rechtsgrundlagen | Einwilligung, Vertrag, rechtliche Pflicht oder berechtigtes Interesse je Vorgang. |
| Speicherdauer | Konkrete Frist oder Kriterium, nach dem Daten gelöscht werden. |
| Cookies & Tracking | Benennung der Tools, Anbieter, Zweck und Einwilligungslösung. |
| Drittland-Übermittlung | Hinweis auf Garantien wie Standardvertragsklauseln bei Transfer außerhalb der EU. |
| Betroffenenrechte | Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch. |
| Beschwerderecht | Hinweis auf das Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde. |
| Widerrufsrecht | Erklärung, dass Einwilligungen jederzeit widerrufen werden können. |
Verständliche Sprache und leichte Auffindbarkeit
Die DSGVO verlangt ausdrücklich, dass die Informationen in präziser, transparenter und verständlicher Form sowie in klarer und einfacher Sprache bereitgestellt werden. Eine Datenschutzerklärung, die nur aus juristischen Schachtelsätzen besteht, erfüllt diese Anforderung nicht optimal. Hilfreich sind kurze Absätze, aussagekräftige Zwischenüberschriften und – wo nötig – eine knappe Erläuterung von Fachbegriffen.
Ebenso wichtig ist die Auffindbarkeit. Die Erklärung muss von jeder Seite der Website aus mit wenigen Klicks erreichbar sein, üblicherweise über einen klar benannten Link im Footer. Sie sollte nicht hinter mehreren Untermenüs versteckt sein und auf Mobilgeräten genauso gut lesbar bleiben wie am Desktop. Eine eigene, gut erreichbare Unterseite ist die gängige und empfehlenswerte Lösung.
Pflege und regelmäßige Aktualisierung
Eine Datenschutzerklärung ist kein einmaliges Dokument, das man nach der Veröffentlichung vergisst. Sobald sich die Datenverarbeitung ändert – etwa weil ein neues Analyse-Tool eingebunden, ein Newsletter eingeführt oder ein Dienstleister gewechselt wird –, muss auch die Erklärung angepasst werden. Es empfiehlt sich, das Dokument in festen Abständen zu prüfen und mit den tatsächlich eingesetzten Diensten abzugleichen. Wer regelmäßig Neues auf seiner Seite ausprobiert, sollte den Abgleich zur Routine machen. Weitere praxisnahe Ratgeber zu Technik, Recht und Online-Themen gibt es fortlaufend im News-Bereich sowie auf der Startseite.
Häufige Fragen
Braucht auch eine kleine private Website eine Datenschutzerklärung?
In der Regel ja. Sobald eine Seite öffentlich erreichbar ist und personenbezogene Daten verarbeitet – und sei es nur die IP-Adresse über die Server-Logs –, greifen die Informationspflichten der DSGVO. Nur rein private oder familiäre Angebote ohne Außenwirkung sind ausgenommen.
Kann ich einfach eine fremde Datenschutzerklärung kopieren?
Das ist nicht ratsam. Eine kopierte Erklärung passt fast nie zu den eigenen Verarbeitungen und führt schnell zu falschen oder fehlenden Angaben. Außerdem können Texte urheberrechtlich geschützt sein. Besser ist ein seriöser Generator als Ausgangspunkt, der anschließend an die tatsächlich genutzten Dienste angepasst wird.
Reicht ein Cookie-Banner allein aus?
Nein. Das Banner und die Datenschutzerklärung erfüllen unterschiedliche Aufgaben. Das Banner holt die Einwilligung für nicht notwendige Cookies ein, die Erklärung informiert ausführlich über alle Verarbeitungen, Rechtsgrundlagen und Rechte. Beide werden in der Regel benötigt.
Welche Rechtsgrundlage gilt für technisch notwendige Cookies?
Technisch notwendige Cookies, ohne die die Website nicht funktioniert, dürfen ohne Einwilligung gesetzt werden. Ihre Verarbeitung stützt sich meist auf das berechtigte Interesse des Betreibers. In der Erklärung sollten sie dennoch genannt werden, getrennt von den einwilligungspflichtigen Cookies.
Wie oft muss ich die Datenschutzerklärung aktualisieren?
Es gibt keine starre Frist. Maßgeblich ist die tatsächliche Datenverarbeitung: Jede relevante Änderung – neues Tool, neuer Dienstleister, neue Funktion – sollte zeitnah eingepflegt werden. Eine zusätzliche regelmäßige Kontrolle, etwa jährlich, hilft, schleichende Lücken zu vermeiden.
Was passiert bei einer fehlenden oder fehlerhaften Erklärung?
Mögliche Folgen reichen von Abmahnungen durch Mitbewerber oder Verbände bis zu Beschwerden bei der Aufsichtsbehörde und im Ernstfall Bußgeldern. Auch das Vertrauen der Besucher leidet. Eine korrekte, aktuelle Erklärung ist daher sowohl rechtlicher Schutz als auch ein Qualitätsmerkmal.