Die Datenschutzerklärung ist kein Vertrag und keine Einwilligung. Sie erfüllt eine Informationspflicht: Wer Daten von Menschen verarbeitet, muss diesen Menschen sagen, was er tut, worauf er sich stützt und welche Rechte sie haben. Das gilt für die Website und für den Betrieb dahinter.
Deshalb ist jede gute Datenschutzerklärung die Beschreibung eines Ist-Zustands. Ein Muster, das nicht zu deinem Betrieb passt, ist schlechter als keins: Es beschreibt Dinge, die du nicht tust, und verschweigt die, die du tust.
Wer verantwortlich ist
Am Anfang steht, wer verantwortlich ist: Name, Anschrift, Kontakt, bei Gesellschaften die Vertretung. Ist ein Datenschutzbeauftragter bestellt, gehört dessen Kontakt ebenfalls hinein. Die Adresse ist meist dieselbe wie im Impressum, die Erklärung selbst gehört aber auf eine eigene, klar bezeichnete Seite und nicht in den Fußtext des Impressums.
Zweck und Rechtsgrundlage, je Verarbeitung
Der Kern ist eine Aufstellung: Was verarbeitest du, wofür, und worauf stützt du dich. Vier Grundlagen decken den Alltag kleiner Betriebe weitgehend ab:
- Vertrag: Bestellung, Reservierung, Terminvereinbarung, Lieferung, Reklamation.
- Rechtliche Pflicht: Aufbewahrung von Belegen, Lohnunterlagen, Meldungen an Behörden.
- Berechtigtes Interesse: sicherer Betrieb der Website, Schutz vor Missbrauch, Werbung an Bestandskunden im gesetzlichen Rahmen. Das Interesse muss benannt werden, der Begriff allein ist keine Begründung.
- Einwilligung: alles darüber hinaus, also Reichweitenmessung, Werbe-Cookies, Newsletter, Fotos von Gästen.
Die Einwilligung ist die einzige Grundlage, die widerrufen werden kann. Wenn deine Erklärung sich darauf stützt, muss es auch einen Weg geben, sie einzuholen und einen Widerruf zu bearbeiten.
Empfänger: hier wird es konkret
Zu nennen sind die Stellen, die Daten von dir erhalten. Für einen kleinen Betrieb sind das meist: Hoster, Mailanbieter, Newsletterdienst, Terminbuchung, Steuerberatung, Lohnbüro, Versanddienstleister, Kassenanbieter und die Beteiligten der Kartenzahlung.
Der letzte Punkt fehlt fast überall. Wenn deine Kundschaft mit Karte zahlt, laufen Zahlungsdaten über das Terminal, den Netzbetreiber und den Acquirer. Die Erklärung nennt die beteiligten Stellen und den Zweck: Abwicklung der Zahlung, Abrechnung, Betrugsprävention, gesetzliche Aufbewahrung. Welche Kartendaten dein Kassensystem überhaupt speichert und welche nur verschlüsselt durchlaufen, sagt dir dein Anbieter. Frag danach, bevor du etwas hineinschreibst, denn falsche Angaben sind hier schlimmer als knappe.
Findet eine Verarbeitung außerhalb der EU statt, gehört das ebenfalls hinein, samt der Grundlage für die Übermittlung. Bei den großen Analyse- und Werbediensten ist das der Regelfall, nicht die Ausnahme.
Speicherdauer und Rechte
Für jede Verarbeitung gehört eine Angabe zur Dauer hinein, entweder als Zeitraum oder als Kriterium, etwa bis zum Ende der handels- und steuerrechtlichen Aufbewahrungspflicht oder bis zum Widerruf. Die konkreten Aufbewahrungsfristen für Belege und Buchhaltung stehen im Steuer- und Handelsrecht; welche Dauer für deine Unterlagen gilt, bestätigt dir deine Steuerberatung.
Am Ende stehen die Rechte der betroffenen Personen: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf der Einwilligung und die Beschwerde bei der Aufsichtsbehörde. Der Hinweis auf das Widerspruchsrecht muss sich vom übrigen Text abheben, er darf nicht im Fließtext untergehen.
Zwei Verwechslungen, die teuer werden
Erstens: Das Cookie-Banner ersetzt die Erklärung nicht, und die Erklärung ersetzt das Banner nicht. Das Banner holt Einwilligungen ein, die Erklärung informiert. Wer nur eines von beidem hat, erfüllt nur die halbe Pflicht.
Zweitens: Die Erklärung ist nach außen gerichtet. Die interne Dokumentation deiner Verarbeitungen und die Verträge mit deinen Dienstleistern sind eigene Aufgaben und gehören nicht auf die Website. Sie sind aber die Vorarbeit: Ohne sie schreibst du eine Erklärung über einen Betrieb, den du nicht kennst.
Wenn sich etwas ändert
Neuer Newsletterdienst, neue Terminbuchung, eine Kamera im Verkaufsraum, ein Wechsel des Kassensystems: Jede dieser Änderungen berührt die Erklärung. Setz dir die Regel, dass ein neuer Dienst erst startet, wenn die Zeile dazu geschrieben ist. Das ist weniger Arbeit als die spätere Suche nach dem, was inzwischen läuft.
Wo wir aufhören
Ob deine Rechtsgrundlagen tragen und ob eine bestimmte Verarbeitung zulässig ist, ist eine rechtliche Bewertung. Sie gehört in die Rechtsberatung oder zu einem Datenschutzberater. Die Aufsichtsbehörde deines Bundeslandes veröffentlicht dazu Hinweise und beantwortet Fragen von Betrieben. Wir beschreiben hier den Aufbau, damit du erkennst, was in deiner Erklärung fehlt.
