Achtung: Eine Abmahnung wegen fehlender Datenschutzangaben trifft schneller, als viele denken.
Eine fehlende oder unvollständige Datenschutzerklärung gehört bis heute zu den häufigsten Abmahngründen im Netz. Die rechtliche Grundlage hat sich seit 2016 allerdings vollständig geändert. Wir fassen zusammen, worauf es heute ankommt und was Sie als Seitenbetreiber prüfen sollten.
Dieser Beitrag ist ursprünglich im Februar 2016 erschienen, damals noch mit Blick auf das „Gesetz zur Verbesserung der zivilrechtlichen Durchsetzung von verbraucherschützenden Vorschriften des Datenschutzrechts". Diese Ausgangslage ist überholt. Maßgeblich ist heute die Datenschutz-Grundverordnung, und die stellt deutlich umfangreichere Anforderungen an eine Webseite als das alte deutsche Datenschutzrecht.
Von 2016 zur DSGVO: die heutige Rechtslage
Seit dem 25. Mai 2018 gilt in der gesamten EU die Datenschutz-Grundverordnung (DSGVO). Sie regelt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen und worüber Sie die Nutzer Ihrer Webseite informieren müssen. Ergänzt wird sie in Deutschland durch das Bundesdatenschutzgesetz.
Für Webseiten kommt ein zweites Regelwerk hinzu: das TDDDG, das bis zur Umbenennung im Jahr 2024 als TTDSG bekannt war. Es regelt den Zugriff auf Endgeräte der Nutzer, also insbesondere Cookies und vergleichbare Techniken. Beide Gesetze greifen ineinander – wer nur eines von beiden im Blick hat, übersieht in der Regel etwas.
Informationspflichten nach Art. 13 und 14 DSGVO
Die Pflichtangaben für eine Datenschutzerklärung ergeben sich aus Art. 13 DSGVO (wenn Sie Daten direkt beim Nutzer erheben, etwa über ein Kontaktformular) und Art. 14 DSGVO (wenn Sie Daten aus anderen Quellen erhalten). Dazu gehören unter anderem:
- Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Datenschutzbeauftragten
- Zwecke und Rechtsgrundlagen jeder einzelnen Verarbeitung
- Empfänger oder Kategorien von Empfängern der Daten
- Übermittlungen in Länder außerhalb der EU und deren Grundlage
- Speicherdauer oder die Kriterien für ihre Festlegung
- die Rechte der Betroffenen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch
- das Recht, eine Einwilligung jederzeit zu widerrufen, und das Beschwerderecht bei einer Aufsichtsbehörde
Die Informationen müssen verständlich formuliert und von jeder Unterseite aus leicht erreichbar sein. Eine Datenschutzerklärung, die die tatsächlich eingesetzten Dienste nicht abbildet, erfüllt diese Pflicht nicht – auch dann nicht, wenn sie aus einem Generator stammt.
Cookies und Tracking: § 25 TDDDG
Nach § 25 TDDDG dürfen Informationen nur dann auf dem Endgerät eines Nutzers gespeichert oder von dort ausgelesen werden, wenn dieser eingewilligt hat. Ausgenommen sind Vorgänge, die für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt technisch erforderlich sind – etwa ein Warenkorb oder eine Session-Kennung. Alles darüber hinaus, insbesondere Reichweitenmessung, Marketing und Retargeting, setzt eine Einwilligung voraus.
An das Cookie-Banner werden entsprechend hohe Anforderungen gestellt: Die Einwilligung muss freiwillig, informiert und für jeden Zweck einzeln erteilt werden, sie darf nicht vorangekreuzt sein, das Ablehnen muss genauso einfach möglich sein wie das Zustimmen, und sie muss sich jederzeit widerrufen lassen. Entscheidend ist außerdem, dass die betroffenen Skripte tatsächlich erst nach der Einwilligung geladen werden.
Das sauber umzusetzen ist vor allem eine Frage der Skript-Steuerung — ein Banner allein genügt nicht. Wenn Sie dabei Unterstützung möchten: Wir richten den Cookie Consent Manager ein und betreuen ihn, mit eigenen Texten und passend zu den Diensten, die Ihre Seite tatsächlich lädt.
Was in der Praxis abgemahnt wird
Die typischen Beanstandungen sind heute recht gut eingegrenzt:
- eine fehlende, veraltete oder unvollständige Datenschutzerklärung
- Cookie-Banner ohne echte Ablehnen-Option oder mit Tracking, das schon vor der Einwilligung startet
- Google Fonts, die beim Seitenaufruf vom Google-Server nachgeladen werden, statt lokal eingebunden zu sein
- Google Maps, YouTube-Videos oder Social-Media-Plugins, die ohne vorherige Einwilligung eingebunden sind
- ein fehlender Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit Hoster, Newsletter-Dienst oder Agentur
- Kontaktformulare ohne Transportverschlüsselung
Angreifbar sind Sie dabei aus mehreren Richtungen: durch Aufsichtsbehörden, durch Verbraucher- und Wettbewerbsverbände, durch betroffene Personen, die Schadensersatz geltend machen, und durch Mitbewerber. Dass Wettbewerber Datenschutzverstöße über das Wettbewerbsrecht verfolgen können, hat der Europäische Gerichtshof im Jahr 2024 bestätigt.
Diese Punkte sollten Sie auf Ihrer Webseite prüfen
Verschaffen Sie sich zunächst einen Überblick darüber, welche Dienste Ihre Seite überhaupt lädt – oft sind es mehr als gedacht. Prüfen Sie anschließend, ob Ihre Datenschutzerklärung genau diese Dienste beschreibt und die Angaben aus Art. 13 DSGVO vollständig enthält. Kontrollieren Sie, ob Ihr Consent-Banner Ablehnen und Zustimmen gleichwertig anbietet und ob wirklich nichts vor der Einwilligung geladen wird. Binden Sie Schriften und Karten möglichst lokal beziehungsweise erst nach aktiver Zustimmung ein. Und sammeln Sie die Auftragsverarbeitungsverträge Ihrer Dienstleister an einer Stelle, damit Sie im Ernstfall nicht suchen müssen.
Im Zweifel fachkundig prüfen lassen
Dieser Beitrag gibt einen allgemeinen Überblick über die Rechtslage und ersetzt keine rechtliche Beratung. Wie die Vorgaben in Ihrem konkreten Fall umzusetzen sind, hängt davon ab, welche Daten Sie zu welchem Zweck verarbeiten. Wenn Sie unsicher sind oder bereits Post von einer Kanzlei bekommen haben, lassen Sie Ihre Seite von einer fachkundigen Stelle – etwa einer auf IT-Recht spezialisierten Kanzlei oder einem Datenschutzbeauftragten – prüfen.
Ursprungsfassung 2016 von unseren Praktikanten Annika und Tim, seither überarbeitet.