Rechtsanwältin, Fachanwältin für Informationstechnologierecht & Zertifizierte Datenschutzbeauftragte (TÜV)
T (+49) 040 / 7344 086-0
171 Bewertungen
https://www.provenexpert.com/sbs-legal-rechtsanwaelte
97 Bewertungen
https://www.anwalt.de/sbs-legal-rechtsanwaelte
63 Bewertungen
https://www.google.com/search?&q=sbs-legal
14 Bewertungen
https://www.facebook.com/SBS-LEGAL-Rechtsanw%C3%A4lte
Eine Datenschutzerklärung (DSE) gehört heute in der Regel zu jeder Webseite, auf der personenbezogene Daten verarbeitet werden. Das betrifft längst nicht nur Online-Shops, sondern auch Unternehmensseiten mit
Nach Art. 13 DSGVO müssen Betroffene bereits bei der Erhebung der Daten transparent darüber informiert werden, welche Daten verarbeitet werden, zu welchem Zweck dies geschieht und auf welcher Rechtsgrundlage die Verarbeitung beruht.
Die Datenschutzerklärung ist somit ein wichtiges Transparenzinstrument. Sie soll Nutzer in die Lage versetzen, zu verstehen, was mit ihren Daten passiert, wer sie erhält, wie lange sie gespeichert werden und welche Rechte ihnen zustehen.
Gut zu wissen: Sobald ein geschäftliches Social-Media-Profil betrieben wird, sollten eigene Datenschutzhinweise bereitgestellt werden, da dort regelmäßig personenbezogene Daten verarbeitet werden und die Plattformen teils gemeinsam mit dem Betreiber verantwortlich sind. Das gilt besonders für Facebook, Instagram und LinkedIn. Die Hinweise sollten leicht auffindbar im Profil oder über einen direkten Link erreichbar sein.
Zunächst sollte ermittelt werden, welche personenbezogenen Daten überhaupt verarbeitet werden, etwa über Formulare, Server-Logs, Cookies, Tracking-Tools, Newsletter-Dienste oder eingebettete Inhalte.
Im nächsten Schritt werden die jeweiligen Rechtsgrundlagen, Empfänger, Speicherdauern, Übermittlungen in Drittländer und Betroffenenrechte dokumentiert. Danach sollte der Text so aufbereitet werden, dass er verständlich, vollständig und leicht zugänglich ist. Die Information muss zudem regelmäßig aktualisiert werden, etwa wenn neue Tools hinzukommen oder bestehende Dienste geändert werden.
Eine vollständige Datenschutzerklärung sollte insbesondere folgende Punkte abdecken:
Für Cookies und ähnliche Technologien gilt neben der DSGVO insbesondere § 25 TDDDG. Sobald Informationen auf dem Endgerät gespeichert oder von dort ausgelesen werden, ist grundsätzlich eine Einwilligung erforderlich, sofern der Vorgang nicht technisch unbedingt notwendig ist. Das betrifft vor allem Marketing-, Tracking- und Analyse-Cookies, während essenzielle Cookies etwa für Warenkorb, Login oder Sicherheit in engen Grenzen zulässig sein können.
Die Datenschutzerklärung sollte deshalb nicht nur allgemein auf „Cookies“ hinweisen, sondern konkret benennen, welche Cookies oder Cookie-Kategorien eingesetzt werden, zu welchem Zweck sie dienen, wie lange sie gespeichert bleiben und ob Dritte Zugriff auf die Daten erhalten. Entscheidend ist außerdem, dass die Informationen zur Einwilligung nicht allein im Cookie-Banner stehen, sondern auch in der Datenschutzerklärung nachvollziehbar erläutert werden.
Tracking-Mechanismen dienen meist dazu, Nutzer über mehrere Seitenaufrufe oder sogar über mehrere Webseiten hinweg wiederzuerkennen und ihr Verhalten auszuwerten. Dazu zählen etwa Pixel, Tags, Fingerprinting-Ansätze oder vergleichbare Identifier, die häufig für Reichweitenmessung, Conversion-Tracking oder personalisierte Werbung eingesetzt werden.
Rechtlich sind solche Verfahren besonders sensibel, da sie in der Regel nicht nur Transparenz nach Art. 13 DSGVO, sondern häufig auch eine wirksame Einwilligung nach § 25 TDDDG und Art. 6 DSGVO voraussetzen. Die Datenschutzerklärung muss daher präzise beschreiben, welche Tracking-Dienste eingesetzt werden, welche Daten verarbeitet werden und ob eine Profilbildung stattfindet.
Analyse-Tools wie Webanalyse- oder Statistikdienste werden in der Regel verwendet, um Besucherzahlen, Klickpfade, Verweildauer oder Kampagnenwirkung zu messen. Auch wenn solche Tools als „harmlos“ wahrgenommen werden, greifen sie regelmäßig in den Datenschutz ein, denn sie werten systematisch Nutzerverhalten aus und verknüpfen dieses mit technischen Kennungen.
Die Datenschutzerklärung sollte daher unterscheiden, ob ein Tool rein statistisch, pseudonymisiert oder zu Marketingzwecken eingesetzt wird. Wichtig ist außerdem, dass der Verantwortliche nicht nur das Tool selbst benennt, sondern auch beschreibt, ob ein Auftragsverarbeiter beteiligt ist, welche Datenkategorien verarbeitet werden und ob eine Übermittlung an Drittanbieter erfolgt.
Sobald Daten an Empfänger außerhalb des Europäischen Wirtschaftsraums übermittelt werden, sind die besonderen Anforderungen an Drittlandübermittlungen zu beachten. In der Datenschutzerklärung muss dann erläutert werden, in welches Land die Daten gehen, auf welcher Grundlage die Übermittlung erfolgt und welche Garantien bestehen, etwa ein Angemessenheitsbeschluss, Standardvertragsklauseln oder zusätzliche Schutzmaßnahmen.
Gerade bei US-Dienstleistern, Cloud-Anbietern oder internationalen Marketingplattformen ist dieser Punkt besonders wichtig. Unternehmen sollten die Drittlandbezüge nicht verstecken, sondern transparent und konkret darstellen, weil Betroffene nur dann nachvollziehen können, welchen Risiken ihre Daten ausgesetzt sind und wie diese abgesichert werden.
Die aktuelle Rechtsprechung macht deutlich, dass Cookie- und Tracking-Fragen weiterhin zu den dynamischsten Bereichen des Datenschutzrechts gehören. Besonders relevant sind Entscheidungen, die die Verantwortung nicht nur beim Webseitenbetreiber, sondern auch bei beteiligten Drittanbietern sehen, wenn Cookies oder Tracking-Mechanismen ohne wirksame Einwilligung eingesetzt werden.
Für die Praxis bedeutet das, dass Unternehmen sich nicht darauf verlassen sollten, dass technische Dienstleister oder Tool-Anbieter die rechtliche Einwilligungssituation schon richtig abbilden. Die Prozesse rund um Consent-Management, Tag-Einbindung und Dokumentation müssen tatsächlich funktionieren, sonst drohen Bußgelder, Abmahnungen und gegebenenfalls Schadensersatzansprüche.
Fehlt eine Datenschutzerklärung oder ist sie unvollständig, kommen Bußgelder nach Art. 83 DSGVO, Schadensersatzansprüche nach Art. 82 DSGVO und unter Umständen auch wettbewerbsrechtliche Abmahnungen in Betracht.
Besonders riskant ist es, wenn Cookies, Tracking oder Drittlandübermittlungen nicht richtig beschrieben werden oder wenn die Webseite trotz Banner technisch bereits Daten verarbeitet, bevor eine wirksame Einwilligung vorliegt. Gerade hier sind die Anforderungen an Transparenz, Dokumentation und technische Umsetzung in den letzten Jahren spürbar strenger geworden.
Nur dann, wenn der Generator alle tatsächlichen Datenverarbeitungen, Tools und Empfänger korrekt abbildet. Ohne individuelle Anpassung bleibt die Erklärung oft unvollständig oder ungenau.
Ja, Cookies und ähnliche Technologien sollten separat und verständlich erläutert werden, vor allem wenn sie zu Tracking-, Analyse- oder Marketingzwecken eingesetzt werden.
Immer dann, wenn personenbezogene Daten an Empfänger außerhalb des EWR übermittelt oder dort verarbeitet werden. Dann müssen Land, Rechtsgrundlage und Schutzmechanismen transparent benannt werden.
SBS LEGAL berät Unternehmen umfassend im Datenschutzrecht und unterstützt bei der rechtssicheren Gestaltung von Datenschutzerklärungen, Cookie-Management und DSGVO-Compliance. Insbesondere bei Themen wie DSGVO, Tracking, Cookies und Drittlandübermittlungen hilft die Kanzlei bei der rechtlichen Einordnung und praktischen Umsetzung.
Eine Datenschutzerklärung muss die tatsächlichen Datenverarbeitungsprozesse eines Unternehmens korrekt und transparent abbilden. SBS LEGAL unterstützt Unternehmen bei der Erstellung, Prüfung und laufenden Aktualisierung datenschutzrechtlicher Dokumentationen sowie bei der rechtlichen Bewertung von Tracking-Technologien, Analyse-Tools und internationalen Datentransfers. Durch eine frühzeitige rechtliche Prüfung lassen sich Haftungsrisiken, Bußgelder und datenschutzrechtliche Beanstandungen häufig vermeiden.