Datenschutzerklärung für Websites

Eine Datenschutzerklärung für Websites, die seit 2018 unverändert steht, ist kein kleines Versäumnis mehr. Die europäischen Aufsichtsbehörden prüfen die Informationspflichten 2026 koordiniert – und zwar genau dort, wo Text und tatsächliche Datenverarbeitung auseinanderlaufen.

Website prüfen lassen

Warum 2026 genauer hingesehen wird

Für 2026 liegt der gemeinsame Schwerpunkt der europäischen Aufsichtsbehörden auf Art. 12 bis 14 DSGVO – also auf Information und Transparenz. Festgelegt hat ihn der Europäische Datenschutzausschuss (EDPB); abgestimmt geprüft wird im Coordinated Enforcement Framework (CEF).

Ein Blick auf die bisherigen Runden zeigt, was daraus folgt:

Warum 2026 genauer hingesehen wird
JahrPrüfschwerpunkt
2023Cloud-Dienste bei Behörden und öffentlichen Stellen
2024Rolle und Ausstattung der Datenschutzbeauftragten
2025Löschanspruch aus Art. 17 DSGVO in der betrieblichen Praxis
2026Information und Transparenz nach Art. 12–14 DSGVO

Auf diese Prüfungen folgen regelmäßig Bußgeldverfahren und Anordnungen. Das Risiko ist damit nicht theoretisch.

Drei Mängel, die bei Prüfungen auffallen

Veraltete Inhalte. Der Text bildet einen Stand ab, den die Seite vor Jahren hatte. Inzwischen sind KI-Anwendungen hinzugekommen, Dienstleister gewechselt, Zwecke verschoben, Übermittlungen in die USA neu entstanden – in der Erklärung steht davon nichts.

Versteckte Platzierung. Wer die Erklärung erst nach mehreren Klicks durch Untermenüs erreichbar macht oder sie kontrastarm im Fußbereich versteckt, verletzt das Gebot der leichten Zugänglichkeit aus Art. 12 DSGVO. Behörden erfassen solche Gestaltungsmuster inzwischen gesondert als Dark Patterns – Gestaltungen, die Betroffene davon abhalten, ihre Rechte wahrzunehmen. Maßstab sind die EDPB Guidelines 03/2022.

Widerspruch zwischen Text und Praxis. Wer „minimale Datenerhebung” verspricht, dahinter aber eine ausgebaute Marketing-Automatisierung mit vielen eingebundenen Anbietern laufen lässt, zieht die Aufmerksamkeit der Aufsicht auf sich. Eine Erklärung, die die tatsächliche Verarbeitung nicht mehr abbildet, ist kein Formfehler, sondern ein inhaltlicher Mangel mit Haftungsfolgen.

Was rechtlich dahintersteht

Grundlage ist Art. 13 DSGVO – die Informationspflicht bei der Erhebung unmittelbar bei der betroffenen Person. Stammen die Daten aus anderer Quelle, tritt Art. 14 DSGVO hinzu.

Der Umfang ergibt sich dabei nicht aus dem Gesetz allein, sondern aus Ihrer Website. Und personenbezogen ist mehr, als viele annehmen: Neben Namen und E-Mail-Adressen zählen auch IP-Adressen, Cookie-IDs und Nutzungsdaten dazu, sobald sich daraus eine Person identifizieren lässt. Selbst als anonym bezeichnete Auswertungen gehören in die Erklärung, solange sich einzelne Personen darüber theoretisch noch zuordnen lassen. Betroffen ist damit nahezu jeder Analyse-, Tracking- und Werbedienst.

Die zehn Pflichtabschnitte der Datenschutzerklärung für Websites

  1. Verantwortlicher und Datenschutzbeauftragter – Name, Anschrift, Kontaktdaten
  2. Zwecke und Rechtsgrundlagen – je Verarbeitung der Zweck und die Grundlage nach Art. 6 DSGVO
  3. Empfänger und Auftragsverarbeiter – Dienstleister, Subunternehmer, Empfängerkategorien; bei Übermittlung in die USA die Rechtsgrundlage
  4. Speicherdauern – Fristen je Kategorie oder die Kriterien, nach denen sie bestimmt werden
  5. Betroffenenrechte – Art. 15 bis 22 DSGVO vollständig, das Widerspruchsrecht nach Art. 21 optisch hervorgehoben
  6. Analyse und Tracking – je Dienst ein eigener Abschnitt mit Hinweis auf den Widerspruch
  7. Social-Media-Einbindungen – Pixel, Share-Buttons, eingebettete Inhalte
  8. Kontakt und Kommunikation – Formulare, E-Mail, Chatfunktionen
  9. Cookies und Einwilligungsverwaltung – Cookie-Typen, Verweis auf das Banner, § 25 TDDDG
  10. KI-Einsatz und automatisierte Entscheidungen – Chatbots, Scoring, Personalisierung nach Art. 22 DSGVO und AI Act

Punkt 10 ist der jüngste und in bestehenden Erklärungen am häufigsten der fehlende.

Warum Vorlagen nicht genügen

Eine Mustererklärung liefert die Gliederung – mehr nicht. Der Inhalt hängt davon ab, welche Werkzeuge auf Ihrer Seite tatsächlich laufen.

Eine generische Vorlage kann dabei sogar schaden. Führt sie Dienste auf, die Sie gar nicht einsetzen, beschreiben Sie eine Verarbeitung, die nicht stattfindet. Fehlen umgekehrt Dienste, die im Einsatz sind, fehlt die Information, auf die Betroffene Anspruch haben. Beides fällt bei einer Prüfung auf.

Deshalb gehört die Erklärung an den tatsächlichen Bestand gekoppelt und mit ihm aktualisiert – das leistet unser Website-Monitoring.

Kontakt

Sie wissen nicht, ob Ihre Erklärung noch zu Ihrer Website passt? Ein Scan zeigt es in wenigen Minuten.