Datenschutzerklärung für kleine Betriebe: Was rein muss

Warum braucht fast jede Website eine Datenschutzerklärung?

Sobald jemand Ihre Website aufruft, werden Daten übertragen. Der Server erhält mindestens die IP-Adresse des Besuchers, und in der Regel werden Zugriffe in Protokolldateien gespeichert. Kommen ein Kontaktformular, eine Karte, ein eingebettetes Video oder ein Buchungstool hinzu, werden es schnell mehr Daten und mehr beteiligte Anbieter.

Die Datenschutz-Grundverordnung (DSGVO) verlangt, dass Sie die Betroffenen darüber informieren. Für Daten, die direkt bei den Besuchern erhoben werden, regelt das Art. 13 DSGVO. Die Information muss zum Zeitpunkt der Erhebung zur Verfügung stehen. Auf einer Website geschieht das üblicherweise über eine eigene Seite „Datenschutz“ oder „Datenschutzerklärung“, die von jeder Unterseite aus verlinkt ist.

Die Datenschutzerklärung ersetzt dabei keine Einwilligung. Sie informiert. Ob Sie für bestimmte Dienste zusätzlich eine Einwilligung brauchen, ist eine eigene Frage, die etwa beim Cookie-Banner eine Rolle spielt.

Welche Angaben verlangt Art. 13 DSGVO?

Art. 13 Abs. 1 und 2 DSGVO zählen auf, worüber Sie informieren müssen. Übersetzt in die Praxis einer Firmenwebsite:

Wichtig ist, dass diese Angaben nicht nur allgemein, sondern für die tatsächlichen Vorgänge auf Ihrer Website gemacht werden.

Welche Dienste gehören typischerweise hinein?

Gehen Sie Ihre Website Funktion für Funktion durch. Bei kleinen Betrieben tauchen immer wieder dieselben Bausteine auf:

• Hosting und Server-Protokolle: Welcher Anbieter, welche Daten, wie lange gespeichert.
• Kontaktformular und E-Mail: Welche Felder, wozu, wie lange Anfragen aufbewahrt werden.
• Online-Terminbuchung: Welcher Anbieter, ob Gesundheitsdaten betroffen sein können, etwa bei Praxen.
• Karten: Eingebettete Kartendienste übertragen beim Laden Daten an den Anbieter.
• Videos: Eingebettete Videoplattformen ebenso.
• Schriftarten: Werden Schriften von einem fremden Server geladen, geht dorthin die IP-Adresse.
• Statistik und Analyse: Welches Werkzeug, welche Daten, mit oder ohne Einwilligung.
• Bewertungs-Widgets und Social-Media-Einbindungen.
• Cookie- oder Einwilligungs-Tool: Auch dieses verarbeitet Daten.

Die Datenschutzkonferenz der Aufsichtsbehörden weist in ihrer Orientierungshilfe für digitale Dienste darauf hin, dass mit der Einbindung von Drittinhalten wie Schriftarten, Stadtplänen oder Videos regelmäßig personenbezogene Daten an den jeweiligen Anbieter offengelegt werden. Dafür brauchen Sie eine Rechtsgrundlage, und es gehört in die Datenschutzerklärung.

Ein praktischer Weg, nichts zu übersehen: Rufen Sie Ihre Website in einem privaten Browserfenster auf und klicken Sie alle Seiten durch. Wo erscheint eine Karte, ein Video, ein Bewertungsfeld, ein Chatfenster? Jedes dieser Elemente sollte sich in der Datenschutzerklärung wiederfinden. Fragen Sie im Zweifel Ihren Webdienstleister nach einer Liste aller eingebundenen Dienste.

Brauche ich Verträge mit Dienstleistern oder einen Datenschutzbeauftragten?

Die Datenschutzerklärung ist nur die sichtbare Seite. Dahinter stehen weitere Pflichten, die oft vergessen werden:

• Auftragsverarbeitung: Verarbeitet ein Dienstleister Daten in Ihrem Auftrag, etwa Ihr Hosting-Anbieter oder ein Terminbuchungsdienst, verlangt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Viele Anbieter stellen ihn im Kundenbereich zum Abschluss bereit.
• Datenschutzbeauftragter: Nach § 38 BDSG müssen nicht-öffentliche Stellen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl kann die Pflicht in bestimmten Fällen bestehen, etwa wenn eine Datenschutz-Folgenabschätzung nötig ist. Haben Sie einen benannt, gehören seine Kontaktdaten in die Datenschutzerklärung.

Ein Beispiel: Eine Physiotherapiepraxis mit acht Mitarbeitenden nutzt ein Online-Buchungstool. Sie braucht einen Vertrag zur Auftragsverarbeitung mit dem Anbieter und muss das Tool in der Datenschutzerklärung beschreiben. Ob ein Datenschutzbeauftragter nötig ist, hängt von den Umständen ab und sollte geprüft werden.

Typische Fehler in Datenschutzerklärungen

1. Veraltete Gesetzesverweise: Seit dem 14. Mai 2024 heißt das TTDSG Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Verweise auf „§ 25 TTDSG“ oder auf das TMG sollten aktualisiert werden.
2. Generator-Text ohne Anpassung: Die Erklärung beschreibt Dienste, die gar nicht laufen, oder es fehlen Dienste, die eingebunden sind.
3. Fehlende Rechtsgrundlagen: Für jeden Vorgang muss erkennbar sein, worauf er sich stützt.
4. Keine Speicherdauer: „So lange wie nötig“ allein ist zu ungenau. Nennen Sie Fristen oder nachvollziehbare Kriterien.
5. Beschwerderecht vergessen: Der Hinweis auf die Aufsichtsbehörde ist Pflicht.
6. Datenschutzerklärung durch Banner verdeckt: Laut Datenschutzkonferenz darf ein Einwilligungsbanner den Zugriff auf Impressum und Datenschutzerklärung nicht behindern.
7. Kein Update nach Änderungen: Neues Buchungstool, neue Karte, neuer Hoster – aber die Erklärung bleibt, wie sie war.

Die meisten dieser Fehler lassen sich in einer Stunde beheben, wenn man weiß, wonach man sucht.

Wie halten Sie die Datenschutzerklärung aktuell?

Am einfachsten ist eine kurze Liste aller Dienste, die auf Ihrer Website laufen. Jedes Mal, wenn etwas dazukommt oder wegfällt, passen Sie Liste und Datenschutzerklärung gemeinsam an. Generatoren seriöser Anbieter oder Muster von Kammern und Verbänden können eine gute Grundlage sein, ersetzen aber nicht den Abgleich mit Ihrer tatsächlichen Website.

Schreiben Sie verständlich. Art. 12 DSGVO verlangt, dass die Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie in klarer und einfacher Sprache bereitgestellt werden. Zwischenüberschriften für jeden Dienst helfen Besuchern, das Gesuchte zu finden. Vermerken Sie am Ende der Seite, wann die Erklärung zuletzt geprüft wurde. Das hilft Ihnen selbst bei der nächsten Kontrolle.

Hinweis: Dieser Artikel gibt einen allgemeinen Überblick und ist keine Rechtsberatung. Bei Gesundheitsdaten, umfangreichen Analysewerkzeugen oder Unsicherheiten wenden Sie sich an eine Datenschutzfachkraft oder eine Rechtsanwältin bzw. einen Rechtsanwalt.

Bei Websites von ZEIGWERK gehört eine Datenschutzerklärung zum Umfang. Sie wird auf die tatsächlich eingebundenen Dienste abgestimmt und mit Ihnen geprüft.

Häufige Fragen

Allgemeine Information, keine Rechts- oder Steuerberatung. Stand 2026-10.