Recht und Steuern
Datenschutzerklärung
Unternehmen müssen bei der Erhebung und Verarbeitung personenbezogener Daten nach der DSGVO klare und transparente Informationen bereitstellen. Die Datenschutzerklärung muss insbesondere den Verantwortlichen, die Zwecke und Rechtsgrundlagen der Verarbeitung, Empfänger, etwaige Übermittlungen in Drittländer, Speicherdauer sowie die Rechte der Betroffenen verständlich und leicht zugänglich erläutern. Eine präzise und strukturierte Datenschutzerklärung ist rechtlich verpflichtend und stärkt das Vertrauen Ihrer Kunden und Geschäftspartner.
Inhaltliche Anforderungen an die Datenschutzerklärung
1. Name und Kontaktdaten des Verantwortlichen sowie ggf. des Datenschutzbeauftragten
Der Verantwortliche ist die natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet (Art. 4 Nr. 7 DSGVO). Die Kontaktdaten des Datenschutzbeauftragten sind anzugeben, wenn ein solcher nach Art. 37 DSGVO, § 38 BDSG benannt werden muss.
2. Rechtsgrundlage und Zweck der Datenverarbeitung
Es sind die einschlägigen Rechtsgrundlagen (z. B. Vertragserfüllung, Einwilligung, berechtigtes Interesse) und die jeweiligen Zwecke der Verarbeitung zu benennen. Der Betroffene ist darüber zu informieren, ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist und welche Folgen eine Nichtbereitstellung hätte.
a) Vertragsverhältnisse
Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 lit. b DSGVO (Vertrag oder vorvertragliche Maßnahmen). Eine zusätzliche Einwilligung ist dann nicht erforderlich.
b) Einwilligung
Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO muss freiwillig, informiert, für den konkreten Zweck und durch eine eindeutige bestätigende Handlung erfolgen (z. B. aktives Setzen eines Häkchens; keine vorausgewählten Checkboxen). Sie ist jederzeit widerruflich und muss dokumentiert werden. Die Anforderungen an die Granularität und Freiwilligkeit sind zu beachten, insbesondere darf die Erfüllung eines Vertrags nicht von einer für diesen Zweck nicht erforderlichen Einwilligung abhängig gemacht werden (Art. 7 DSGVO, Erwägungsgründe 32, 43).
c) Berechtigte Interessen
Bei Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO ist das berechtigte Interesse zu benennen und die Interessenabwägung darzustellen.
3. Empfänger der Daten
Empfänger oder Kategorien von Empfängern personenbezogener Daten sind zu benennen, wenn eine Übermittlung an Dritte beabsichtigt ist.
4. Übermittlung in Drittstaaten
Bei Übermittlungen in Staaten außerhalb der EU/des EWR oder an internationale Organisationen sind die Empfänger, die Rechtsgrundlage und ggf. bestehende Garantien (z. B. Angemessenheitsbeschluss, Standardvertragsklauseln, Data Privacy Framework für zertifizierte US-Unternehmen) anzugeben. Für nicht zertifizierte US-Unternehmen sind weiterhin Standardvertragsklauseln erforderlich.
5. Dauer der Speicherung/Kriterien für die Festlegung der Dauer
Die Speicherdauer oder die Kriterien für deren Festlegung sind anzugeben. Nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) sind Daten zu löschen, sobald sie für die Zwecke nicht mehr erforderlich sind, unter Beachtung gesetzlicher Aufbewahrungsfristen.
6. Betroffenenrechte
Es sind die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch (Art. 15–18, 21 DSGVO) und – bei automatisierter Verarbeitung auf Grundlage von Einwilligung oder Vertrag – das Recht auf Datenübertragbarkeit (Art. 20 DSGVO) zu erläutern. Zudem ist auf das Beschwerderecht bei einer Aufsichtsbehörde hinzuweisen.
7. Profiling und automatisierte Entscheidungsfindung
Sofern Profiling oder automatisierte Entscheidungen erfolgen, sind aussagekräftige Informationen über die involvierte Logik, die Tragweite und die angestrebten Auswirkungen bereitzustellen (Art. 13 Abs. 2 lit. f DSGVO).
8. Herkunft der Daten
Werden Daten nicht direkt bei der betroffenen Person erhoben, ist die Quelle anzugeben (Art. 14 Abs. 2 lit. f DSGVO).
9. Datenerhebung auf Webseiten: Cookies, Tracking, Telemedien
Für das Setzen und Auslesen von Cookies und ähnlichen Technologien gilt § 25 TDDDG (vormals TTDSG). Eine Einwilligung ist erforderlich, es sei denn, die Speicherung/Auslesung ist unbedingt erforderlich für die Übertragung einer Nachricht oder die Bereitstellung eines ausdrücklich gewünschten Telemediendienstes. Die Einwilligung muss nach DSGVO-Standards erfolgen (informiert, freiwillig, granular, Opt-in, jederzeit widerruflich). Ein pauschales Cookie-Banner („Weitersurfen gilt als Einwilligung“) genügt nicht. Die Anforderungen gelten auch für vergleichbare Technologien (z. B. Tracking-Pixel, Fingerprinting).
Analyse- und Tracking-Tools (z. B. Google Analytics) dürfen nur nach Einwilligung eingesetzt werden, IP-Adressen sind zu anonymisieren, und es ist ein Auftragsverarbeitungsvertrag abzuschließen.
10. Social Plugins
Social Plugins dürfen nicht ohne vorherige Einwilligung aktiviert werden (z. B. 2-Klick-Lösung oder Shariff).
11. Newsletter
Für den Versand von Newslettern ist eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO erforderlich, die im Double-Opt-In-Verfahren einzuholen ist.
12. Kontaktformulare/Registrierung
Für Kontaktformulare ist je nach Zweck Art. 6 Abs. 1 lit. b oder f DSGVO einschlägig. Die Daten dürfen nur so lange gespeichert werden, wie dies für die Bearbeitung erforderlich ist. Die Übermittlung sollte stets verschlüsselt erfolgen (SSL/TLS).
13. Externe Schriften und Dienste (z. B. Google Fonts, Maps)
Die Nutzung externer Dienste, die Datenübermittlungen in Drittländer auslösen können, sollte möglichst durch lokale Einbindung erfolgen. Andernfalls ist eine Einwilligung erforderlich.
14. Technische und organisatorische Maßnahmen
Die Datenschutzerklärung sollte auf die getroffenen technischen und organisatorischen Maßnahmen hinweisen, die ein dem Risiko angemessenes Schutzniveau gewährleisten (Art. 32 DSGVO).
15. Zuständigkeit der Aufsichtsbehörden
Die Datenschutzaufsicht für die Einhaltung von DSGVO und TDDDG liegt bei den jeweils zuständigen Datenschutzbehörden
Der Verantwortliche ist die natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet (Art. 4 Nr. 7 DSGVO). Die Kontaktdaten des Datenschutzbeauftragten sind anzugeben, wenn ein solcher nach Art. 37 DSGVO, § 38 BDSG benannt werden muss.
2. Rechtsgrundlage und Zweck der Datenverarbeitung
Es sind die einschlägigen Rechtsgrundlagen (z. B. Vertragserfüllung, Einwilligung, berechtigtes Interesse) und die jeweiligen Zwecke der Verarbeitung zu benennen. Der Betroffene ist darüber zu informieren, ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist und welche Folgen eine Nichtbereitstellung hätte.
a) Vertragsverhältnisse
Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 lit. b DSGVO (Vertrag oder vorvertragliche Maßnahmen). Eine zusätzliche Einwilligung ist dann nicht erforderlich.
b) Einwilligung
Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO muss freiwillig, informiert, für den konkreten Zweck und durch eine eindeutige bestätigende Handlung erfolgen (z. B. aktives Setzen eines Häkchens; keine vorausgewählten Checkboxen). Sie ist jederzeit widerruflich und muss dokumentiert werden. Die Anforderungen an die Granularität und Freiwilligkeit sind zu beachten, insbesondere darf die Erfüllung eines Vertrags nicht von einer für diesen Zweck nicht erforderlichen Einwilligung abhängig gemacht werden (Art. 7 DSGVO, Erwägungsgründe 32, 43).
c) Berechtigte Interessen
Bei Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO ist das berechtigte Interesse zu benennen und die Interessenabwägung darzustellen.
3. Empfänger der Daten
Empfänger oder Kategorien von Empfängern personenbezogener Daten sind zu benennen, wenn eine Übermittlung an Dritte beabsichtigt ist.
4. Übermittlung in Drittstaaten
Bei Übermittlungen in Staaten außerhalb der EU/des EWR oder an internationale Organisationen sind die Empfänger, die Rechtsgrundlage und ggf. bestehende Garantien (z. B. Angemessenheitsbeschluss, Standardvertragsklauseln, Data Privacy Framework für zertifizierte US-Unternehmen) anzugeben. Für nicht zertifizierte US-Unternehmen sind weiterhin Standardvertragsklauseln erforderlich.
5. Dauer der Speicherung/Kriterien für die Festlegung der Dauer
Die Speicherdauer oder die Kriterien für deren Festlegung sind anzugeben. Nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) sind Daten zu löschen, sobald sie für die Zwecke nicht mehr erforderlich sind, unter Beachtung gesetzlicher Aufbewahrungsfristen.
6. Betroffenenrechte
Es sind die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch (Art. 15–18, 21 DSGVO) und – bei automatisierter Verarbeitung auf Grundlage von Einwilligung oder Vertrag – das Recht auf Datenübertragbarkeit (Art. 20 DSGVO) zu erläutern. Zudem ist auf das Beschwerderecht bei einer Aufsichtsbehörde hinzuweisen.
7. Profiling und automatisierte Entscheidungsfindung
Sofern Profiling oder automatisierte Entscheidungen erfolgen, sind aussagekräftige Informationen über die involvierte Logik, die Tragweite und die angestrebten Auswirkungen bereitzustellen (Art. 13 Abs. 2 lit. f DSGVO).
8. Herkunft der Daten
Werden Daten nicht direkt bei der betroffenen Person erhoben, ist die Quelle anzugeben (Art. 14 Abs. 2 lit. f DSGVO).
9. Datenerhebung auf Webseiten: Cookies, Tracking, Telemedien
Für das Setzen und Auslesen von Cookies und ähnlichen Technologien gilt § 25 TDDDG (vormals TTDSG). Eine Einwilligung ist erforderlich, es sei denn, die Speicherung/Auslesung ist unbedingt erforderlich für die Übertragung einer Nachricht oder die Bereitstellung eines ausdrücklich gewünschten Telemediendienstes. Die Einwilligung muss nach DSGVO-Standards erfolgen (informiert, freiwillig, granular, Opt-in, jederzeit widerruflich). Ein pauschales Cookie-Banner („Weitersurfen gilt als Einwilligung“) genügt nicht. Die Anforderungen gelten auch für vergleichbare Technologien (z. B. Tracking-Pixel, Fingerprinting).
Analyse- und Tracking-Tools (z. B. Google Analytics) dürfen nur nach Einwilligung eingesetzt werden, IP-Adressen sind zu anonymisieren, und es ist ein Auftragsverarbeitungsvertrag abzuschließen.
10. Social Plugins
Social Plugins dürfen nicht ohne vorherige Einwilligung aktiviert werden (z. B. 2-Klick-Lösung oder Shariff).
11. Newsletter
Für den Versand von Newslettern ist eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO erforderlich, die im Double-Opt-In-Verfahren einzuholen ist.
12. Kontaktformulare/Registrierung
Für Kontaktformulare ist je nach Zweck Art. 6 Abs. 1 lit. b oder f DSGVO einschlägig. Die Daten dürfen nur so lange gespeichert werden, wie dies für die Bearbeitung erforderlich ist. Die Übermittlung sollte stets verschlüsselt erfolgen (SSL/TLS).
13. Externe Schriften und Dienste (z. B. Google Fonts, Maps)
Die Nutzung externer Dienste, die Datenübermittlungen in Drittländer auslösen können, sollte möglichst durch lokale Einbindung erfolgen. Andernfalls ist eine Einwilligung erforderlich.
14. Technische und organisatorische Maßnahmen
Die Datenschutzerklärung sollte auf die getroffenen technischen und organisatorischen Maßnahmen hinweisen, die ein dem Risiko angemessenes Schutzniveau gewährleisten (Art. 32 DSGVO).
15. Zuständigkeit der Aufsichtsbehörden
Die Datenschutzaufsicht für die Einhaltung von DSGVO und TDDDG liegt bei den jeweils zuständigen Datenschutzbehörden