Datenschutzerklärung: Was wirklich Pflicht ist nach DSGVO

Wann ist eine Datenschutzerklärung Pflicht?

Eine Datenschutzerklärung ist immer dann Pflicht, wenn personenbezogene Daten verarbeitet werden. Das ist praktisch bei jeder Website der Fall – allein durch die Erhebung der IP-Adresse beim Seitenaufruf. Nach Art. 13 DSGVO müssen Sie als Betreiber transparent informieren, welche Daten Sie zu welchem Zweck verarbeiten.

Was muss die Datenschutzerklärung nach Art. 13 und 14 DSGVO enthalten?

Die Datenschutzerklärung muss folgende Pflichtinformationen enthalten:

• Name und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten (falls vorhanden)
• Zwecke und Rechtsgrundlagen der Verarbeitung
• Berechtigte Interessen des Verantwortlichen (Art. 6 Abs. 1 lit. f)
• Empfänger oder Kategorien von Empfängern
• Übermittlungsabsicht in Drittländer und Garantien
• Speicherdauer oder Löschkriterien
• Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch)
• Beschwerderecht bei der Aufsichtsbehörde
• Bestehen einer automatisierten Entscheidungsfindung (Profiling)
• Pflicht zur Bereitstellung und Folgen der Nichtbereitstellung

Welche Dienste müssen in der Datenschutzerklärung genannt werden?

Alle Dienste, die personenbezogene Daten verarbeiten, müssen genannt werden. Dazu gehören:

• Google Analytics – Tracking und Analyse
• Google Fonts – Schriftarten (externer Abruf)
• Google Maps – Kartenmaterial
• reCAPTCHA – Spam-Schutz
• WordPress-Plugins – diverse Zusatzfunktionen
• Social-Media-Einbettungen – Instagram, YouTube, Facebook, X/Twitter, LinkedIn
• Consent-Management-Plattformen – Cookie-Banner-Dienste
• E-Mail-Marketing-Dienste – Mailchimp, Sendinblue, MailerLite
• Hosting-Anbieter – Server-Standorte und Logdaten
• CDN-Dienste – Cloudflare, jsDelivr, unpkg
• Analyse-Tools – Plausible, Matomo, Hotjar

Welche Bußgelder drohen bei Verstößen gegen die DSGVO?

Die DSGVO sieht gestaffelte Bußgelder vor: Bei Verstößen gegen Informationspflichten (Art. 13/14) drohen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. In Deutschland haben die Aufsichtsbehörden seit 2019 zahlreiche Bußgelder verhängt, darunter mehrere Millionenstrafen gegen große Unternehmen. Aber auch kleine Unternehmen und Vereine wurden bereits mit Bußgeldern im vier- bis fünfstelligen Bereich belegt.

Was ist der Unterschied zwischen DSGVO und TTDSG?

Die DSGVO (Datenschutz-Grundverordnung) regelt grundsätzlich die Verarbeitung personenbezogener Daten in der EU. Das TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) ist das deutsche Ergänzungsgesetz, das spezifische Regelungen für den Zugriff auf Endgeräte (Cookies, Local Storage, Fingerprinting) und die Einwilligungspflicht nach §25 TTDSG enthält. Während die DSGVO die allgemeinen Informationspflichten festlegt, regelt das TTDSG konkret die Cookie-Einwilligung und die Speicherung von Informationen im Endgerät des Nutzers.

Muss Google Fonts in der Datenschutzerklärung erwähnt werden?

Ja, wenn Google Fonts von den Google-Servern geladen wird (externer Font-Download), muss dies in der Datenschutzerklärung genannt werden. Denn bei jedem Seitenaufruf wird die IP-Adresse an Google-Server übermittelt. Alternativ können Google Fonts lokal auf dem eigenen Server gehostet werden (Self-Hosting), dann entfällt die Datenübermittlung. Selbst bei lokaler Einbindung empfiehlt sich jedoch eine Erwähnung zur Transparenz.