Eine Datenschutzerklärung nach Artikel 13 DSGVO ist für praktisch jede Firmenwebsite Pflicht, sobald sie personenbezogene Daten verarbeitet, und das tut schon die IP-Adresse eines Besuchers. Ein Anwalt ist dafür nicht zwingend vorgeschrieben, ein sorgfältig ausgefüllter Generator reicht rechtlich meist aus. Entscheidend ist nicht die Herkunft des Textes, sondern ob er die tatsächlich eingesetzten Tools auf der eigenen Website korrekt abbildet, denn genau daran scheitern die meisten Generator-Texte von Handwerksbetrieben.
Welche Pflichtangaben Artikel 13 DSGVO vorschreibt
Artikel 13 DSGVO listet, was eine Datenschutzerklärung mindestens enthalten muss, wenn Daten direkt beim Besucher erhoben werden, etwa über ein Kontaktformular oder durch Tracking-Skripte. Dazu zählen Name und Kontaktdaten des Verantwortlichen, die Zwecke der Verarbeitung, die jeweilige Rechtsgrundlage nach Artikel 6, die Empfänger oder Kategorien von Empfängern, an die Daten weitergegeben werden, eine Angabe zur Speicherdauer oder zu den Kriterien für ihre Festlegung sowie die Betroffenenrechte auf Auskunft, Berichtigung, Löschung und Widerspruch samt dem Beschwerderecht bei der zuständigen Aufsichtsbehörde. Werden Drittlandtransfers, also die Übermittlung an Dienste außerhalb der EU, ausgelöst, gehört auch dazu ein Hinweis auf die verwendete Garantie, meist Standardvertragsklauseln oder das EU-US Data Privacy Framework. Fehlt einer dieser Punkte oder ist er zu allgemein formuliert, ist die Erklärung im rechtlichen Sinn unvollständig, unabhängig davon, ob sie von einem Anwalt, einem Generator oder in Eigenregie entstanden ist.
Anwalt oder Generator: Was rechtlich wirklich zählt
Eine gesetzliche Pflicht, dass ein Anwalt die Datenschutzerklärung verfasst, gibt es nicht. Die DSGVO verlangt einen inhaltlich vollständigen, zutreffenden Text, nicht eine bestimmte Herkunft. Generatoren wie Datenschutz-Generator.de, eRecht24 oder die IT-Recht Kanzlei fragen die eingesetzten Tools systematisch ab und setzen daraus einen Text zusammen, der die gängigen Pflichtpunkte abdeckt. Das funktioniert gut, solange die Abfrage sorgfältig und vollständig beantwortet wird. Ein Anwalt lohnt sich dagegen bei Sonderfällen, die ein Standardformular nicht vorsieht: Videoüberwachung am Betriebsgelände, Bewerbungsverfahren über die Website, Kundendaten aus mehreren Quellen oder eine Datenverarbeitung, die sich nicht sauber in die vorgegebenen Kategorien eines Generators einordnen lässt. Für die klassische Handwerker-Website mit Kontaktformular, Google Maps und vielleicht einem Analyse-Tool ist ein gut gepflegter Generator in aller Regel ausreichend.
Ein Punkt wird dabei oft übersehen: Die Datenschutzerklärung beschreibt, was mit den Daten passiert, sie ersetzt aber keinen Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO mit den eingesetzten Dienstleistern. Wer ein externes Formular-Tool, ein Buchungssystem oder ein Hosting-Paket mit erweiterten Funktionen nutzt, braucht zusätzlich zur Erklärung auf der Website einen AVV mit genau diesem Anbieter im Hintergrund. Die beiden Dokumente ergänzen sich: Der AVV regelt das Verhältnis zum Dienstleister, die Datenschutzerklärung informiert den Website-Besucher.
Was gängige Generatoren kosten
Die Preise unterscheiden sich vor allem danach, ob einmalig gezahlt wird oder ein Abo mit laufenden Updates gebucht wird. Bei einmaliger Zahlung fehlt der automatische Rechtsupdate-Service, Änderungen an Gesetzen oder Rechtsprechung müssen dann selbst nachgetragen werden.
| Anbieter | Modell | Preisrahmen |
|---|---|---|
| Datenschutz-Generator.de | Einmalzahlung, ein Jahr Updates inklusive | rund 100 Euro netto einmalig |
| eRecht24 | Mitgliedschaft, laufende Updates | rund 15 bis 25 Euro pro Monat bei Jahreszahlung |
| IT-Recht Kanzlei | Paket-Abo, laufende Updates | ab rund 6 Euro pro Monat |
Diese Werte schwanken je nach gebuchtem Leistungsumfang und ändern sich mit der Zeit, ein Preisvergleich direkt beim Anbieter vor dem Kauf lohnt sich deshalb immer. Wichtiger als der Preisunterschied ist ohnehin, ob ein Update-Service enthalten ist. Ändert sich die Rechtslage und die Erklärung wird nicht nachgezogen, bringt der günstigste Generator wenig.
Was bei einer fehlenden oder fehlerhaften Erklärung droht
Eine unvollständige Datenschutzerklärung ist kein rein theoretisches Risiko. Neben dem Bußgeldrahmen nach Artikel 83 DSGVO, den die Aufsichtsbehörden bei Verstößen prüfen können, gilt die Informationspflicht aus Artikel 13 DSGVO in der Praxis auch als Marktverhaltensregel im Sinne des Wettbewerbsrechts. Das bedeutet: Mitbewerber oder Verbände können eine fehlende oder erkennbar unvollständige Erklärung unter Umständen wettbewerbsrechtlich abmahnen, unabhängig von einem behördlichen Bußgeldverfahren. Für kleine Betriebe liegt das praktische Risiko meist eher bei den Kosten einer solchen Abmahnung samt Unterlassungserklärung als bei einem hohen DSGVO-Bußgeld, eine Rechtsberatung im Einzelfall ersetzt diese allgemeine Einordnung aber nicht.
Die häufigsten Fehler bei Generator-Texten auf Handwerker-Websites
Ein Generator kann nur das abbilden, was in der Abfrage sorgfältig beantwortet wurde. In der Praxis fehlen auf vielen Handwerker-Websites genau die Dienste, die zuletzt dazugekommen sind:
- Google Maps oder OpenStreetMap als Anfahrtskarte, oft nachträglich eingebaut und in der Erklärung nie ergänzt.
- Analyse-Tools wie Google Analytics oder eine cookielose Alternative, samt Rechtsgrundlage und Speicherdauer.
- Kontaktformular-Dienstleister oder ein externes Formular-Plugin, das Daten an einen eigenen Server sendet.
- Buchungs- oder Terminvergabe-Tools, deren Kalendersync häufig über einen zusätzlichen Drittanbieter läuft.
- Eingebettete Videos, etwa von YouTube, deren Tracking-Verhalten sich vom Rest der Seite unterscheidet.
- Hosting- und E-Mail-Anbieter, die zwar keine sichtbare Funktion auf der Seite haben, aber Empfänger im Sinne von Artikel 13 sind.
Wer die Datenschutzerklärung einmal beim Website-Start ausfüllt und danach nie wieder anfasst, hat nach der ersten technischen Änderung fast immer eine Lücke. Ein kurzer Abgleich bei jeder Erweiterung der Website, welches Tool neu dazugekommen ist, verhindert das zuverlässiger als eine einmal perfekte Erstfassung.
Checkliste: Die eigene Erklärung in zehn Minuten prüfen
Wer nicht gleich einen neuen Generator-Durchlauf starten will, kommt mit einem kurzen Soll-Ist-Abgleich meist schon weit. Dazu die eigene Website einmal von vorne bis hinten öffnen und gegen die aktuelle Erklärung prüfen:
- Steht die Kontaktformular-Software mit korrektem Namen und Zweck in der Erklärung?
- Ist die Anfahrtskarte, ob Google Maps oder eine datenschutzfreundlichere Alternative, als eingebundener Dienst genannt?
- Taucht jedes Analyse- oder Tracking-Skript auf, das im Quellcode der Seite tatsächlich lädt?
- Ist ein Buchungs- oder Terminvergabe-Tool im Einsatz, und steht sein Anbieter samt Kalendersync in der Erklärung?
- Stimmt die genannte Speicherdauer noch mit der tatsächlichen Praxis im Betrieb überein?
- Ist die Erklärung von jeder Unterseite aus in einem Klick erreichbar, nicht nur von der Startseite?
Fällt bei einem dieser Punkte ein Widerspruch zwischen Website und Text auf, reicht meist eine kurze Ergänzung im Generator-Formular, ein kompletter Neuaufsatz ist selten nötig.
Wo die Erklärung stehen muss und wie sie erreichbar bleibt
Die Datenschutzerklärung gehört als eigene, klar beschriftete Seite in die Website, verlinkt aus dem Footer jeder Unterseite, damit sie von jedem Punkt der Seite aus in maximal einem Klick erreichbar ist. Ein reiner Verweis im Impressum reicht nicht, beide Pflichtangaben stehen nebeneinander, aber getrennt. Direkt am Kontaktformular sollte zusätzlich ein kurzer Hinweis stehen, welche Daten zu welchem Zweck erhoben werden, der ausführliche Rest folgt dann per Link in die vollständige Erklärung. Auf mobilen Seiten wird der Footer-Link erfahrungsgemäß leicht übersehen, wenn er im aufgeklappten Hauptmenü fehlt und nur ganz unten auf der Seite steht. Ein zusätzlicher Link im Menü oder im Kontaktbereich kostet wenig Aufwand und stellt sicher, dass die Erklärung tatsächlich in einem Klick erreichbar bleibt, nicht nur in der Theorie.
Wer die eigene Website ohnehin regelmäßig betreuen lässt, kann diesen Abgleich in die laufende Pflege einbauen, statt ihn separat im Kopf zu behalten. Mr.Site übernimmt genau diese Art von Detailarbeit für mehrere hundert Unternehmens-Websites im Rahmen der laufenden Website-Betreuung, inklusive eines Blicks auf neu eingebundene Tools bei jeder Änderung. Weiterführend zum Thema: Kontaktformular DSGVO-konform gestalten und Impressum und Datenschutz nach Rechtsform.