Datenschutzerklärung

Eine Datenschutzerklärung informiert betroffene Personen darüber, wie ein Unternehmen oder eine andere verantwortliche Stelle personenbezogene Daten verarbeitet. Sie erläutert insbesondere die Zwecke und Rechtsgrundlagen der Datenverarbeitung, die Speicherdauer und die Rechte der betroffenen Personen. Die rechtlichen Anforderungen ergeben sich aus Art. 12 bis 14 der Datenschutz-Grundverordnung (DS-GVO). Ziel ist es, eine transparente und nachvollziehbare Datenverarbeitung sicherzustellen.

Wann ist eine Datenschutzerklärung Pflicht?

Unternehmen und andere Verantwortliche müssen betroffene Personen über die Verarbeitung ihrer personenbezogenen Daten informieren. Die Informationspflichten ergeben sich aus Art. 13 und 14 DS-GVO und gelten unabhängig von der Größe des Unternehmens.

Eine Datenschutzerklärung ist insbesondere bei Websites erforderlich, auf denen personenbezogene Daten verarbeitet werden. Dazu gehören beispielsweise IP-Adressen, Kontaktformularangaben, Kundenkontodaten oder Informationen, die durch Analyse- und Trackingdienste erhoben werden.

Die Informationspflichten beschränken sich jedoch nicht auf Websites. Auch bei der Verarbeitung von Kunden-, Beschäftigten- oder Bewerberdaten müssen Verantwortliche die gesetzlich vorgeschriebenen Informationen bereitstellen.

Art. 13 DS-GVO regelt die Informationspflichten bei der direkten Erhebung personenbezogener Daten. Art. 14 DS-GVO betrifft dagegen Fälle, in denen die Daten nicht unmittelbar bei der betroffenen Person erhoben werden. Für beide Situationen gelten unterschiedliche Anforderungen an den Zeitpunkt der Information und einzelne Pflichtangaben.

Welche Angaben muss eine Datenschutzerklärung enthalten?

Die erforderlichen Inhalte einer Datenschutzerklärung ergeben sich insbesondere aus Art. 13 und 14 DS-GVO. Welche Angaben im Einzelfall erforderlich sind, richtet sich nach den tatsächlich stattfindenden Verarbeitungsvorgängen.

Zu den wesentlichen Pflichtinformationen gehören:

• Verantwortlicher: Name und Kontaktdaten der für die Datenverarbeitung verantwortlichen Stelle sowie gegebenenfalls ihres Vertreters.
• Datenschutzbeauftragter: Kontaktdaten des Datenschutzbeauftragten, sofern ein solcher benannt wurde.
• Verarbeitungszwecke und Rechtsgrundlagen: Angaben darüber, zu welchen Zwecken personenbezogene Daten verarbeitet werden und auf welche Rechtsgrundlagen sich die Verarbeitung stützt.
• Berechtigte Interessen: Beschreibung der verfolgten berechtigten Interessen, wenn die Verarbeitung auf Art. 6 Abs. 1 lit. f DS-GVO beruht.
• Empfänger der Daten: Angaben zu Empfängern oder Kategorien von Empfängern personenbezogener Daten.
• Drittlandübermittlungen: Informationen über geplante Datenübermittlungen in Drittländer oder an internationale Organisationen sowie die hierfür maßgeblichen Schutzmechanismen.
• Speicherdauer: Angaben zur Dauer der Speicherung oder zu den Kriterien für deren Festlegung.
• Betroffenenrechte: Hinweise insbesondere auf die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.
• Widerruf und Beschwerde: Informationen über das Recht zum Widerruf einer Einwilligung und das Beschwerderecht bei einer Datenschutzaufsichtsbehörde.
• Weitere gesetzliche Angaben: Soweit einschlägig, Informationen über die Pflicht zur Bereitstellung personenbezogener Daten und die Folgen einer Nichtbereitstellung sowie über automatisierte Entscheidungen einschließlich Profiling.

Werden personenbezogene Daten nicht unmittelbar bei der betroffenen Person erhoben, sind nach Art. 14 DS-GVO zusätzlich insbesondere die Kategorien der verarbeiteten Daten und ihre Herkunft anzugeben. Für die Informationspflichten gelten die gesetzlichen Ausnahmen, insbesondere nach Art. 13 Abs. 4 und Art. 14 Abs. 5 DS-GVO.

Eine Datenschutzerklärung muss die tatsächlichen Verarbeitungsvorgänge zutreffend und vollständig beschreiben. Allgemeine Mustertexte ersetzen deshalb keine Prüfung der konkreten Datenverarbeitung.

Wie muss eine Datenschutzerklärung gestaltet und bereitgestellt werden?

Nach Art. 12 Abs. 1 DS-GVO müssen Datenschutzinformationen in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie in einer klaren und einfachen Sprache bereitgestellt werden.

Für Unternehmenswebsites bedeutet dies, dass die Datenschutzerklärung leicht auffindbar und ohne unnötige Zugangshürden abrufbar sein muss. In der Praxis erfolgt die Bereitstellung über einen eindeutig bezeichneten Link, beispielsweise im Footer der Website.

Die Informationen sollten übersichtlich gegliedert sein und die eingesetzten Dienste sowie die damit verbundenen Datenverarbeitungen verständlich erläutern. Unklare Formulierungen, widersprüchliche Angaben und pauschale Beschreibungen genügen den Transparenzanforderungen nicht.

Die Datenschutzerklärung ist von einer Einwilligungserklärung zu unterscheiden. Sie dient der Information über die Datenverarbeitung und ersetzt keine erforderliche Einwilligung, beispielsweise für bestimmte Trackingtechnologien. Für das Speichern von Informationen auf Endgeräten und den Zugriff darauf sind zusätzlich die Anforderungen des § 25 TDDDG zu beachten.

Wann müssen Datenschutzinformationen bereitgestellt und aktualisiert werden?

Bei der direkten Erhebung personenbezogener Daten müssen die Informationen nach Art. 13 DS-GVO grundsätzlich zum Zeitpunkt der Datenerhebung bereitgestellt werden.

Werden personenbezogene Daten aus anderen Quellen erhoben, richtet sich der Zeitpunkt nach Art. 14 Abs. 3 DS-GVO. Die Information muss grundsätzlich innerhalb einer angemessenen Frist, spätestens jedoch innerhalb eines Monats erfolgen. Bei einer früheren Kommunikation mit der betroffenen Person oder einer Offenlegung an andere Empfänger gelten besondere zeitliche Vorgaben.

Eine Datenschutzerklärung muss außerdem den tatsächlichen Stand der Datenverarbeitung wiedergeben. Werden neue Dienste eingeführt, Verarbeitungszwecke geändert oder personenbezogene Daten an zusätzliche Empfänger übermittelt, ist zu prüfen, welche Anpassungen der Datenschutzinformationen erforderlich sind.

Eine gesetzlich festgelegte Aktualisierungspflicht in bestimmten Zeitabständen besteht nicht. Verantwortliche müssen jedoch sicherstellen, dass ihre Informationen zutreffend bleiben und betroffene Personen über relevante Änderungen rechtzeitig informiert werden.

Welche Folgen hat eine fehlende oder fehlerhafte Datenschutzerklärung?

Eine fehlende, unvollständige oder irreführende Datenschutzerklärung verstößt gegen die datenschutzrechtlichen Informationspflichten, soweit keine gesetzliche Ausnahme eingreift.

Die zuständige Datenschutzaufsichtsbehörde kann nach Art. 58 DS-GVO Maßnahmen zur Beseitigung des Verstoßes anordnen. Dazu gehört insbesondere die Verpflichtung, betroffenen Personen die gesetzlich vorgeschriebenen Informationen bereitzustellen.

Verstöße gegen die Informationspflichten können außerdem mit Geldbußen nach Art. 83 Abs. 5 lit. b DS-GVO geahndet werden. Der gesetzliche Bußgeldrahmen beträgt bis zu 20 Millionen Euro oder bei Unternehmen bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.

Eine ordnungsgemäße Datenschutzerklärung allein stellt allerdings noch keine rechtmäßige Datenverarbeitung sicher. Sämtliche Verarbeitungsvorgänge müssen zusätzlich die übrigen Anforderungen der DS-GVO erfüllen.

Praxisbeispiel: Datenschutzerklärung eines Online-Shops

Ein Online-Shop verarbeitet personenbezogene Daten seiner Kunden zur Bestellabwicklung, Zahlungsabwicklung und Lieferung. Zusätzlich nutzt das Unternehmen ein Kontaktformular und einen externen Analysedienst zur Auswertung der Websitenutzung.

In seiner Datenschutzerklärung informiert der Online-Shop darüber, welche personenbezogenen Daten bei den einzelnen Vorgängen verarbeitet werden, welche Zwecke verfolgt werden und auf welchen Rechtsgrundlagen die Verarbeitung beruht. Außerdem erläutert er die Speicherdauer, die beteiligten Empfänger und die Rechte der betroffenen Personen.

Für die Bestellabwicklung stützt sich das Unternehmen auf Art. 6 Abs. 1 lit. b DS-GVO. Beim Einsatz des Analysedienstes prüft es gesondert die datenschutzrechtlichen Voraussetzungen sowie die Anforderungen des § 25 TDDDG. Soweit eine Einwilligung erforderlich ist, holt der Online-Shop diese vor der betreffenden Verarbeitung beziehungsweise dem einwilligungspflichtigen Zugriff auf das Endgerät ein.

Führt das Unternehmen einen zusätzlichen Marketingdienst ein, überprüft es die damit verbundenen Datenverarbeitungen und ergänzt die Datenschutzerklärung um die erforderlichen Informationen.

legal data Einschätzung: Eine Datenschutzerklärung muss die tatsächlichen Verarbeitungsvorgänge eines Unternehmens vollständig, verständlich und rechtlich zutreffend abbilden. Standardisierte Mustertexte reichen nicht aus, wenn sie die

eingesetzten Technologien, Datenempfänger oder Verarbeitungszwecke unzutreffend beschreiben. Unternehmen sollten ihre Datenschutzinformationen deshalb an die konkreten Abläufe anpassen und bei Änderungen der Datenverarbeitung überprüfen.

Rechtsgrundlagen

Die wesentlichen Anforderungen an Datenschutzerklärungen ergeben sich aus Art. 12 DS-GVO zur transparenten Information und Kommunikation sowie aus Art. 13 und 14 DS-GVO zu den Informationspflichten bei der Erhebung personenbezogener Daten.

Ergänzend sind insbesondere Art. 5 Abs. 1 lit. a DS-GVO zum Transparenzgrundsatz, Art. 6 DS-GVO zu den Rechtsgrundlagen der Verarbeitung und Art. 7 DS-GVO zu den Bedingungen einer Einwilligung relevant. Die Betroffenenrechte ergeben sich insbesondere aus Art. 15 bis 22 DS-GVO.

Für die Speicherung von Informationen in Endeinrichtungen und den Zugriff auf solche Informationen ist zusätzlich § 25 TDDDG zu berücksichtigen. Aufsichtsbehördliche Maßnahmen und Geldbußen richten sich nach Art. 58 und 83 DS-GVO.