Datenschutzerklärung: Einmal geschrieben, nie wieder angeschaut?

Die Datenschutzerklärung dürfte einer der umfangreichsten und ausgefeiltesten, aber gleichzeitig am wenigsten gelesenen Texte einer jeden Webseite sein – gleich hinter den Nutzungsbestimmungen. Und doch ist sie eine der tragenden Säulen des Datenschutzes, da sie Webseitenbesuchende, Kunden und andere betroffene Personen über die (mögliche) Verarbeitung ihrer personenbezogenen Daten informiert und ihnen so ermöglicht, ihre Rechte auf informationelle Selbstbestimmung wahrzunehmen. Die europäischen Datenschutzaufsichtsbehörden sehen dies ebenso und haben sich deshalb für ihre diesjährige EU-weit angelegte Prüfung Datenschutzerklärungen vorgenommen. Ein guter Grund also, sich mal wieder mit der (eigenen) Datenschutzerklärung zu befassen – und mit ihren Schwachstellen.  

Was eine Datenschutzerklärung leisten muss, findet sich in Art. 13 DSGVO und in verschiedenen Auslegungen von Aufsichtsbehörden und Gerichten. Kurz gesagt muss sie: 

• darüber informieren, wer für die Verarbeitung der Daten verantwortlich ist und wie man diese (juristische) Person kontaktieren kann, 
• für alle verständlich und vollständig darüber informieren, welche Daten für welche Zwecke und wie lange tatsächlich verarbeitet werden – angefangen beim Kontaktformular über Analyse-Tools, Newsletter-Tool über den Online-Shop hin zu eingebetteten Diensten wie Google Maps, YouTube-Videos und Plugins, 
• auf die Betroffenenrechte hinweisen (Auskunft, Widerspruch, Widerruf, Löschung etc.), und wie diese wahrgenommen werden können, 
• niedrigschwellig auffindbar sein, also klar als Datenschutzerklärung erkennbar und von jeder (Unter-)Seite aus mit wenigen Klicks erreichbar sein. 

Eine Datenschutzerklärung sollte also wie ein Spiegel klar abbilden, was auf der Webseite tatsächlich und aktuell mit den Daten passiert.  

Doch genau hier scheitern die Datenschutzerklärungen in der Praxis häufig: 

• einmal mit dem Generator erstellt, nie wieder aktualisiert: Datenschutzerklärungen sind oft nicht aktuell oder vollständig, denn sie werden vergessen, wenn neue Analyse-Tools Chatbots oder Plugins auf der Webseite ausprobiert oder eingeführt werden, sich darin genannte rechtliche Umstände oder Adressen ändern, etc.; 
• wenig verständlich: die Texte sind für juristische Laien in der Regel unverständlich und unübersichtlich, sodass nicht wenige Menschen nach dem Lesen verwirrter und nicht informierter sind; 
• unvollständig: immer wieder fehlen relevante Informationen oder sind wenig aussagekräftig, etwa die Zwecke der Datenverarbeitung, die Speicherdauer der Daten oder Datenübermittlungen in Drittländer wie die USA; 
• nicht kohärent: inhaltlich stimmen Datenschutzerklärungen regelmäßig nicht mit dem überein, was im Cookie-Banner bezüglich Datenverarbeitungen steht. 

In solchen Fällen sind Datenschutzerklärungen nicht rechtskonform und eine offensichtliche Schwachstelle in der Umsetzung des Datenschutzes, die man leicht schließen kann. 

Sich bewusst zu sein, dass die Datenschutzerklärung keine einmalige Aufgabe ist, sondern ein lebendiges Dokument, das regelmäßig überprüft und angepasst werden muss, ist bereits die halbe Miete. Die zweite Hälfte lässt sich mit folgenden Fragen auch erreichen: 

1. Wann wurde die Datenschutzerklärung zuletzt aktualisiert – und was hat sich seitdem an den eingesetzten Tools und den Datenverarbeitungen geändert? 
2. Sind alle Pflichtinformationen verständlich und vollständig enthalten? 
3. Stimmen Datenschutzerklärung und Cookie-Banner inhaltlich überein? 
4. Wie wird sichergestellt, dass die Datenschutzerklärung regelmäßig überprüft und bei relevanten Änderungen der Tools, Datenverarbeitungen etc. zeitnah angepasst wird? 
5. Wie auffindbar ist die Datenschutzerklärung, gerade auch bei neuen Online-Formularen oder Landingpages im neuen Look? 

So offensichtlich die aufgeworfenen Punkte auch erscheinen – im Arbeitsalltag gehen sie doch schnell wieder unter. Automatisierte Updates können hier in Zeiten der Digitalisierung und der KI leicht Abhilfe schaffen: mithilfe geeigneter und von Fachexperten bereitgestellten Tools können Datenschutzerklärungen regelmäßig überprüft und angepasst werden. So können sichtbare Schwachstelle mit wenig Aufwand fast vollständig geschlossen werden. Nur die letzte Frage lässt sich kaum automatisch beantworten, hier braucht es Sensibilität für das Thema und ein aktives Mitdenken von den Gestaltenden der Webseiten. Schulungen und Checklisten können dabei hilfreiche Werkzeuge sein. 

Für alle Fragen rund um Ihre Datenschutzerklärung stehen wir Ihnen zur Verfügung, sprechen Sie uns an. 

Autorin: Esther Sheldrick Weiß