DSGVO-Bußgelder: Was bei fehlender oder falscher Datenschutzerklärung passiert
Bevor wir zu den Pflichtinhalten kommen, ein kurzer Blick auf die Realität: Die Aufsichtsbehörden in der EU verhängen zunehmend Bußgelder — auch gegen kleine Unternehmen und Einzelpersonen.
| Unternehmen | Land | Bußgeld | Grund |
|---|---|---|---|
| WhatsApp (Meta) | Irland/EU | 225 Mio. EUR | Unzureichende Informationspflichten Art. 13/14 DSGVO |
| Google LLC | Frankreich | 150 Mio. EUR | Cookie-Einwilligung nicht einfach genug zu verweigern |
| Garante (Bußgeld gegen Arztpraxis) | Italien | 10.000 EUR | Keine DSGVO-konforme Datenschutzerklärung |
| Kleine Online-Shops | Deutschland | 5.000–15.000 EUR | Fehlende Datenschutzerklärung / veraltete Angaben |
| Blogger (Einzelperson) | Deutschland | 5.000 EUR | Einbindung von Google Fonts ohne Einwilligung |
Das letzte Beispiel ist besonders aufschlussreich: Selbst das Einbinden von Google Fonts direkt von Google-Servern (statt lokal) übermittelt IP-Adressen an Google — und das ohne Einwilligung kann nach einem Landgerichtsurteil aus 2022 bußgeldbewehrt sein.
Wer braucht eine Datenschutzerklärung?
Die kurze Antwort: jeder, der eine Website betreibt, sobald personenbezogene Daten verarbeitet werden. Und das ist praktisch immer der Fall:
- Webserver speichern IP-Adressen in Server-Logs (personenbezogene Daten nach DSGVO)
- Google Analytics / Matomo übertragen Nutzerdaten
- Eingebettete YouTube-Videos laden Cookies von Google
- Kontaktformulare speichern Namen und E-Mail-Adressen
- Newsletter-Anmeldungen verarbeiten E-Mail-Adressen
Die DSGVO gilt ab dem ersten Besucher aus der EU — unabhängig davon, wo Ihr Server oder Ihre Firma ihren Sitz hat. Betreiben Sie eine Website, die von EU-Bürgern genutzt wird, unterliegen Sie der DSGVO.
Die 15 Pflichtinhalte nach Art. 13 und 14 DSGVO
Artikel 13 DSGVO (Daten direkt bei der betroffenen Person erhoben) und Art. 14 DSGVO (Daten nicht direkt erhoben) definieren, was in der Datenschutzerklärung stehen muss:
| Nr. | Pflichtinhalt | Rechtsgrundlage |
|---|---|---|
| 1 | Name und Kontaktdaten des Verantwortlichen | Art. 13 Abs. 1 lit. a |
| 2 | Kontaktdaten des Datenschutzbeauftragten (falls vorhanden) | Art. 13 Abs. 1 lit. b |
| 3 | Zweck und Rechtsgrundlage der Verarbeitung | Art. 13 Abs. 1 lit. c |
| 4 | Berechtigte Interessen (bei Art. 6 Abs. 1 lit. f) | Art. 13 Abs. 1 lit. d |
| 5 | Empfänger oder Kategorien von Empfängern | Art. 13 Abs. 1 lit. e |
| 6 | Übermittlung in Drittländer und Schutzmaßnahmen | Art. 13 Abs. 1 lit. f |
| 7 | Speicherdauer oder Kriterien zur Festlegung | Art. 13 Abs. 2 lit. a |
| 8 | Recht auf Auskunft, Berichtigung, Löschung, Einschränkung | Art. 13 Abs. 2 lit. b |
| 9 | Recht auf Datenübertragbarkeit | Art. 13 Abs. 2 lit. c |
| 10 | Widerspruchsrecht (Art. 21) | Art. 13 Abs. 2 lit. b |
| 11 | Recht auf Widerruf der Einwilligung | Art. 13 Abs. 2 lit. c |
| 12 | Beschwerderecht bei der Aufsichtsbehörde | Art. 13 Abs. 2 lit. d |
| 13 | Ob Bereitstellung der Daten gesetzlich/vertraglich erforderlich ist | Art. 13 Abs. 2 lit. e |
| 14 | Profiling und automatisierte Entscheidungsfindung | Art. 13 Abs. 2 lit. f |
| 15 | Herkunft der Daten (bei indirekter Erhebung) | Art. 14 Abs. 2 lit. f |
Die 4 Rechtsgrundlagen: Copy-paste-Formulierungen für Ihre Datenschutzerklärung
Nach Art. 6 DSGVO brauchen Sie für jede Verarbeitung eine Rechtsgrundlage. Hier die vier häufigsten mit praxistauglicher Formulierung:
Art. 6 Abs. 1 lit. a — Einwilligung:
„Die Verarbeitung erfolgt auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen."
Wann verwenden: Newsletter-Anmeldungen, nicht-notwendige Cookies, Marketing-Tracking
Art. 6 Abs. 1 lit. b — Vertragserfüllung:
„Die Verarbeitung ist zur Erfüllung eines Vertrags mit Ihnen bzw. zur Durchführung vorvertraglicher Maßnahmen erforderlich (Art. 6 Abs. 1 lit. b DSGVO)."
Wann verwenden: Online-Shop-Bestellungen, Kontoanmeldungen, Anfragen über Kontaktformulare
Art. 6 Abs. 1 lit. c — Rechtliche Verpflichtung:
„Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der wir unterliegen (Art. 6 Abs. 1 lit. c DSGVO)."
Wann verwenden: Aufbewahrungspflichten nach HGB/AO, gesetzlich vorgeschriebene Meldepflichten
Art. 6 Abs. 1 lit. f — Berechtigte Interessen:
„Die Verarbeitung erfolgt zur Wahrung unserer berechtigten Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in [konkretes Interesse einfügen, z.B. 'der Sicherheit unserer IT-Systeme und der Erkennung von Missbrauch']. Diese Interessen überwiegen die Interessen der betroffenen Personen, da [Begründung]."
Wann verwenden: Server-Logs, berechtigtes Sicherheitsinteresse, B2B-Marketing
Speicherfristen: Die wichtigsten Aufbewahrungsfristen im Überblick
| Datenkategorie | Empfohlene Speicherfrist | Rechtsgrundlage |
|---|---|---|
| Server-Log-Dateien | 7–14 Tage | Sicherheitsinteressen (Art. 6 Abs. 1 lit. f) |
| Kontaktformular-Anfragen | Bis Bearbeitung abgeschlossen, max. 1 Jahr | Vertragserfüllung / berechtigte Interessen |
| E-Mail-Marketing-Adressen | Bis Widerruf der Einwilligung | Art. 6 Abs. 1 lit. a |
| Bestell- und Vertragsdaten | 10 Jahre | §147 AO, §257 HGB |
| Bewerbungsunterlagen (abgelehnt) | 6 Monate | AGG-Fristen |
| Kunden-Account-Daten | Bis Kündigung + gesetzliche Aufbewahrung | Vertragserfüllung |
Cookie-Einwilligung: Wann ist sie notwendig?
Nicht alle Cookies erfordern eine Einwilligung. Die DSGVO unterscheidet:
Einwilligung notwendig (opt-in):
- Analyse-Cookies (Google Analytics, Matomo mit vollständiger IP-Speicherung)
- Marketing- und Tracking-Cookies (Facebook Pixel, Google Ads)
- Personalisierungs-Cookies
- Social-Media-Einbindungen (Like-Buttons etc.)
Keine Einwilligung notwendig (technisch notwendig):
- Session-Cookies für die Warenkorb-Funktion
- Login-Cookies
- Cookie-Präferenz-Cookies des Consent-Banners selbst
- Load-Balancing-Cookies
Wichtig für die Praxis: Der EuGH hat in mehreren Urteilen klargestellt, dass vorangekreuzte Kästchen, sogenannte „Cookie-Walls" oder das bloße Weiterklicken keine gültige Einwilligung darstellen. Die Einwilligung muss freiwillig, informiert und eindeutig erfolgen.
Auftragsverarbeitungsvertrag (AVV): Wann ist er Pflicht?
Immer wenn ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, ist nach Art. 28 DSGVO ein Auftragsverarbeitungsvertrag (AVV) abzuschließen. Typische Fälle:
- Hosting-Anbieter (Hetzner, IONOS, AWS etc.)
- E-Mail-Marketing-Tools (Mailchimp, CleverReach, brevo)
- CRM-Systeme (HubSpot, Salesforce)
- Newsletter-Dienste und Analyse-Tools
- Cloud-Speicher mit Kundendaten
Die meisten professionellen Anbieter stellen AVV-Vorlagen bereit, die Sie online abschließen können. Fehlt ein AVV, kann dies bei einer Prüfung als Datenschutzverstoß gewertet werden.
DSGVO-Compliance-Checkliste: 10 Punkte für Website-Betreiber
Gehen Sie diese Liste einmal pro Jahr durch:
- ✓ Datenschutzerklärung von jeder Seite aus erreichbar (Footer-Link)
- ✓ Alle eingesetzten Tools und Dienste vollständig aufgeführt
- ✓ Rechtsgrundlage für jede Verarbeitung angegeben
- ✓ Cookie-Banner bei nicht notwendigen Cookies implementiert
- ✓ AVV mit allen Auftragsverarbeitern abgeschlossen
- ✓ Speicherfristen für alle Datenkategorien definiert
- ✓ Betroffenenrechte klar kommuniziert (Auskunft, Löschung etc.)
- ✓ Kontaktdaten des Verantwortlichen aktuell
- ✓ Hinweis auf Beschwerderecht bei der Aufsichtsbehörde
- ✓ Datenschutzbeauftragter benannt (falls erforderlich — ab 20 Personen mit regelmäßiger Datenverarbeitung)
Erstellen Sie jetzt Ihre rechtskonforme Datenschutzerklärung mit unserem kostenlosen Datenschutzerklärung Generator — zugeschnitten auf Ihre Website und die von Ihnen genutzten Dienste.