Die kurze Antwort — Ja, und hier ist genau der Grund
Gemäß der Datenschutz-Grundverordnung (EU-Verordnung 2016/679) muss jede Organisation, die personenbezogene Daten von EU-Bürgern erhebt oder verarbeitet, diese Personen zum Zeitpunkt der Erhebung über die Verarbeitung informieren. Diese Informationspflicht ergibt sich aus Artikel 13 DSGVO. Eine Datenschutzerklärung ist der primäre Mechanismus zu ihrer Erfüllung.
Die Schwelle ist extrem niedrig. „Personenbezogene Daten" nach Artikel 4 Abs. 1 DSGVO umfassen Namen, E-Mail-Adressen, IP-Adressen, Cookie-Kennungen, Geräte-Fingerabdrücke und alle anderen Informationen, die eine lebende Person direkt oder indirekt identifizieren können. Wenn Ihre Website eines der Folgenden tut, erhebt sie personenbezogene Daten:
- Verwendet Google Analytics, Plausible oder ein anderes Analytics-Tool
- Hat ein Kontaktformular, Anfrageformular oder Angebotsanfrageformular
- Ermöglicht Newsletter-Anmeldungen
- Setzt nicht notwendige Cookies (Werbung, Tracking, Social-Media-Einbettungen)
- Aktiviert Benutzerkonten oder Checkout-Prozesse
- Bettet YouTube-Videos, Google Maps oder Social-Media-Widgets ein
- Verwendet ein Live-Chat-Widget oder Support-Tool
Das belgische Start-up, das mit 50.000 Euro bestraft wurde, führte keinen datenschweren Betrieb. Es hatte ein Kontaktformular und Google Analytics — dieselbe Kombination, die von Hunderttausenden von Websites in ganz Europa verwendet wird. Das Fehlen einer Datenschutzerklärung war für sich allein der Verstoß.
Entscheidungstabelle: Brauchen Sie eine Datenschutzerklärung?
| Szenario | Datenschutzerklärung erforderlich? |
|---|---|
| Sie haben ein Kontaktformular | Ja |
| Sie verwenden Google Analytics | Ja |
| Sie haben eine Newsletter-Anmeldung | Ja |
| Sie verkaufen Produkte oder Dienstleistungen online | Ja |
| Sie betten YouTube-Videos oder Google Maps ein | Ja |
| Sie verwenden Facebook Pixel, Hotjar oder ein anderes Tracking-Skript | Ja |
| Sie sind außerhalb der EU ansässig, haben aber EU-Besucher | Ja |
| Sie haben eine statische HTML-Broschüre ohne Formulare, Analytics und Cookies | Wahrscheinlich nicht |
Die letzte Zeile ist die einzige bedeutungsvolle Ausnahme. Eine wirklich statische Website — kein JavaScript, keine Drittanbieter-Einbettungen, kein Kontaktformular, keine Cookies außer der Sitzungsverwaltung — könnte unter der Schwelle liegen. In der Praxis erfüllt praktisch keine Geschäfts-Website diese Beschreibung.
Was die DSGVO sagt — Artikel 13 und 14 Pflichten in einfacher Sprache
Artikel 13 gilt, wenn Sie personenbezogene Daten direkt von einer Person erheben — ein Kontaktformular, ein Anmeldeformular, ein Checkout. Artikel 14 gilt, wenn Sie Daten über eine Person indirekt erhalten — durch Kauf einer Liste, Empfehlungen oder die Verfolgung des Verhaltens einer Person auf verschiedenen Websites.
Beide Artikel verlangen, dass Personen über spezifische Tatsachen zur Verarbeitung ihrer Daten informiert werden. Diese Informationen müssen zum Zeitpunkt der Datenerhebung bereitgestellt werden (Artikel 13).
Die DSGVO ist ausdrücklich, dass diese Informationen „in präziser, transparenter, verständlicher und leicht zugänglicher Form unter Verwendung einer klaren und einfachen Sprache" bereitgestellt werden müssen. Juridisch gehaltene Erklärungen, die drei Klicks von Ihrer Startseite entfernt vergraben sind, erfüllen diesen Standard nicht.
Was Ihre Datenschutzerklärung enthalten muss — 10 Pflichtbestandteile
Jeder der folgenden Punkte ist nach den Artikeln 13 und 14 DSGVO obligatorisch:
- Identität des Verantwortlichen — Ihr vollständiger rechtlicher Name oder Unternehmensname, eingetragene Adresse und Kontakt-E-Mail
- Kontaktdaten des Datenschutzbeauftragten — falls Sie einen bestellen müssen
- Verarbeitungszwecke — für jede Art von Daten, die Sie erheben, geben Sie spezifisch an, warum Sie sie erheben
- Rechtsgrundlage für jede Verarbeitungstätigkeit — Einwilligung (Art. 6 Abs. 1 lit. a), Vertrag (Art. 6 Abs. 1 lit. b), rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) oder berechtigte Interessen (Art. 6 Abs. 1 lit. f)
- Berechtigte Interessen — wenn Sie sich auf Art. 6 Abs. 1 lit. f stützen, müssen Sie diese konkreten Interessen benennen
- Drittempfänger — listen Sie jeden Dienst auf, der personenbezogene Daten erhält
- Internationale Übermittlungen — wenn Daten die EU/den EWR verlassen (z. B. US-basierte Dienste), nennen Sie die eingerichtete Schutzmaßnahme
- Aufbewahrungsfristen — wie lange jede Datenkategorie aufbewahrt wird, in spezifischen Zeitrahmen
- Betroffenenrechte — Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Portabilität und Widerspruch
- Recht auf Beschwerde — Nutzer müssen informiert werden, dass sie sich bei ihrer nationalen Datenschutzbehörde beschweren können
Wo Ihre Datenschutzerklärung auf Ihrer Website erscheinen muss
Fußzeile — obligatorisch. Jede Seite Ihrer Website muss in der Fußzeile auf die Datenschutzerklärung verlinken.
Kontaktformulare — obligatorisch. Jedes Formular, das personenbezogene Daten erfasst, muss zum Zeitpunkt der Einreichung auf die Datenschutzerklärung verlinken.
Newsletter-Anmeldungen — obligatorisch. Das Anmeldeformular muss auf die Erklärung verlinken und erklären, dass die E-Mail-Adresse für den Versand des Newsletters verwendet wird.
Cookie-Einwilligungsbanner — erforderlich beim ersten Besuch. Das Cookie-Banner muss auf die Datenschutzerklärung und die Cookie-Richtlinie verlinken, bevor nicht notwendige Cookies gesetzt werden.
Die Konsequenzen des Fehlens einer Datenschutzerklärung
Aufsichtsbehörden in der gesamten EU warten nicht auf Datenpannen. Das Fehlen einer Datenschutzerklärung ist ein selbstständig durchsetzbarer Verstoß nach Artikel 83 Abs. 5 DSGVO, der Verstöße gegen die Transparenzpflichten der Artikel 13 und 14 abdeckt.
| Verstoßstufe | Maximale Strafe |
|---|---|
| Transparenzverstoß (Art. 13–14) | 20 Mio. € oder 4 % des weltweiten Jahresumsatzes |
| Verwaltungsversagen (Art. 83 Abs. 4) | 10 Mio. € oder 2 % des weltweiten Jahresumsatzes |
In der Praxis verfolgen Aufsichtsbehörden bei Erstzuwiderhandlungen ein eskalierendes Vorgehen: eine formelle Warnung, eine Korrekturanordnung mit einer Frist, dann Bußgelder, wenn die Frist nicht eingehalten wird.
So erstellen Sie schnell eine konforme Datenschutzerklärung
Die Hürde zur Compliance ist nicht rechtliche Komplexität — es ist das Wissen, welche Fragen Sie über Ihre eigene Datenverarbeitung stellen müssen. Die meisten Website-Besitzer haben nicht jeden Analytics-Script, jedes Drittanbieter-Plugin und jedes Formular auf ihrer Website aus einer Datenflussperspektive durchdacht.
Nutzen Sie den Datenschutzerklärungsgenerator, um in weniger als fünf Minuten eine auf Ihre Website zugeschnittene Datenschutzerklärung zu erstellen. Er deckt alle 10 obligatorischen Artikel-13-Elemente ab und erstellt ein veröffentlichungsfertiges Dokument in verständlicher Sprache.
Quellen: EU-Verordnung 2016/679 (DSGVO); Belgische Datenschutzbehörde (APD/GBA) Durchsetzungsregister; EDPB-Leitlinien 2/2022 zu Artikel 60.