Jede Website verarbeitet personenbezogene Daten – spätestens, wenn der Server die IP-Adresse eines Besuchers entgegennimmt. Deshalb braucht praktisch jede geschäftliche Website eine Datenschutzerklärung nach Art. 13 DSGVO. Anders als beim Impressum reicht hier kein Dreizeiler: Die Erklärung muss beschreiben, was deine konkrete Website tatsächlich tut. Die gute Nachricht: Bei einer typischen Betriebs-Website ist das überschaubar – wenn man weiß, worauf es ankommt.
Diese Inhalte gehören in jede Datenschutzerklärung
- Verantwortlicher – wer die Website betreibt, mit Name und Kontaktdaten (deckt sich meist mit dem Impressum).
- Hosting – wo die Seite liegt und dass der Hoster dabei technisch notwendige Daten (etwa IP-Adressen in Server-Logs) verarbeitet, inklusive Rechtsgrundlage.
- Kontaktaufnahme – was mit Daten aus Kontaktformular, E-Mail oder Telefonanfrage passiert und wie lange sie gespeichert werden.
- Eingebundene Dienste – jeder externe Dienst einzeln: Karten (Google Maps), Analyse-Tools, eingebettete Videos, Web-Fonts von fremden Servern, Buchungs-Widgets. Für jeden: Zweck, Anbieter, Rechtsgrundlage.
- Betroffenenrechte – Auskunft, Berichtigung, Löschung, Widerspruch, Beschwerderecht bei der Aufsichtsbehörde.
Die Faustregel: Die Erklärung muss zu deiner Website passen wie der Beipackzettel zum Medikament. Eine kopierte Erklärung, die Dienste beschreibt, die du gar nicht nutzt – oder deine echten Dienste verschweigt – ist keine Formalie, sondern ein Mangel.
Cookie-Banner: wann Pflicht, wann überflüssig
Das ewige Missverständnis zuerst: Nicht jede Website braucht ein Cookie-Banner. Nach § 25 TDDDG brauchst du eine Einwilligung, bevor du auf dem Gerät des Besuchers Informationen speicherst oder ausliest, die nicht technisch notwendig sind – klassisch: Tracking- und Marketing-Cookies, Analyse-Tools, Werbe-Pixel. Was technisch notwendig ist (etwa ein Session-Cookie für ein Login oder den Warenkorb), braucht keine Einwilligung.
Das heißt praktisch: Eine schlanke Betriebs-Website ohne Tracking kommt ohne Banner aus – und ist damit auch für Besucher angenehmer. Sobald du Statistik-Tools, eingebettete Inhalte mit Tracking oder Werbe-Pixel einsetzt, brauchst du ein echtes Einwilligungs-Banner: „Ablehnen“ muss so einfach sein wie „Akzeptieren“, und vor der Einwilligung darf das jeweilige Tool nicht laden.
Die häufigsten Fehler auf Betriebs-Websites
- Kopierte Erklärung – von der Konkurrenz oder aus einem alten Projekt übernommen; beschreibt Dienste, die es auf deiner Seite gar nicht gibt, und vergisst die echten.
- Google-Fonts vom Google-Server – Schriften, die beim Seitenaufruf von fremden Servern laden, übertragen die IP-Adresse des Besuchers dorthin. Der sichere Weg: Schriften lokal einbinden (deutsche Gerichte haben das bereits beanstandet).
- Banner ohne Wirkung – ein Cookie-Hinweis, der nur informiert, während die Tracking-Skripte längst laufen, ist rechtlich wertlos.
- Kein SSL – eine Website mit Kontaktformular ohne HTTPS-Verschlüsselung ist ein Datenschutzproblem und schreckt zusätzlich Besucher ab.
- Veralteter Stand – neue Dienste eingebaut (Chat-Widget, Buchungstool), Erklärung nie nachgezogen.
Generator, Anwalt oder automatisch?
Für Standard-Websites leisten seriöse Datenschutz-Generatoren gute Arbeit – solange du ehrlich ankreuzt, was deine Seite wirklich tut, und die Erklärung bei jeder Änderung aktualisierst. Der Anwalt lohnt sich bei Besonderheiten: Gesundheitsdaten, Newsletter-Marketing, Shops, Kundenkonten. Der dritte Weg: Systeme, die die Erklärung direkt aus der tatsächlichen Website-Konfiguration erzeugen. Bei Pageblitz entstehen Datenschutzerklärung und Impressum automatisch aus deinen Angaben und den tatsächlich aktiven Funktionen deiner Website – und ändern sich mit, wenn du etwa das Kontaktformular aktivierst.
Dieser Artikel ist eine sorgfältig recherchierte Orientierung, aber keine Rechtsberatung. Bei besonderen Datenverarbeitungen – Gesundheitsdaten, Newsletter, Online-Shop – lohnt die Prüfung durch eine spezialisierte Kanzlei.