Datenschutzerklärung

Was die Datenschutzerklärung leisten muss

Die Datenschutzerklärung informiert Besucher und Kunden darüber, welche personenbezogenen Daten erhoben werden, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange sie gespeichert bleiben und an wen sie weitergegeben werden. Sie ist damit eine Bringschuld des Betreibers, keine Bitte um Erlaubnis.

Der entscheidende Maßstab ist die Übereinstimmung mit dem tatsächlichen Betrieb. Eine Erklärung, die den Einsatz von Werkzeugen nicht nennt, die im Shop laufen, ist nicht unvollständig, sondern unrichtig. Und eine unrichtige Erklärung ist angreifbar, auch wenn niemand einen Schaden hat.

Welche Angaben hineingehören

Notwendig sind der Verantwortliche mit Kontaktdaten und, sofern benannt, die Datenschutzbeauftragte Person. Es folgen die Verarbeitungen selbst, geordnet nach Zweck: Bestellung, Zahlung, Versand, Kundenkonto, Newsletter, Analyse, Werbung, Kontaktformular, Bewertungen und Kundenbewertungen. Je Verarbeitung gehören Zweck, die betroffenen Daten, die Rechtsgrundlage, die Empfänger und die Speicherdauer angegeben.

Dazu kommen die Rechte der Betroffenen, also Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, sowie ein Hinweis auf das Beschwerderecht bei einer Aufsichtsbehörde. Bei Übermittlungen außerhalb der EU braucht es zusätzlich die Angabe der Grundlage für diese Übermittlung.

Warum Vorlagen aus Portalen nicht reichen

• Sie kennen den Betrieb nicht: Eine Vorlage weiß nicht, welcher Newsletter-Dienst, welches Zahlungswerkzeug und welches Analyseprogramm im Einsatz sind.
• Sie veralten still: Wird ein Werkzeug gewechselt und die Erklärung nicht nachgezogen, nennt sie einen Anbieter, der nicht mehr läuft.
• Sie nennen Empfänger falsch: Neben dem Anbieter müssen auch Drittempfänger und Auftragsverarbeiter stimmen.
• Sie sind zu allgemein: Ein Absatz über Sicherheit mit drei Standardsätzen ersetzt keine Angabe zur Speicherdauer.

Wie sie aktuell bleibt

Drei Maßnahmen genügen. Erstens die Pflege der Werkzeugliste, aus der die Erklärung entsteht. Sie ist die eigentliche Quelle, und die Erklärung ist nur ihr Text gewordenes Abbild. Zweitens ein Prüftermin im festen Rhythmus, etwa jährlich, und zusätzlich bei jeder Änderung an Zahlungsarten, Analysetools oder Marketingkanälen. Drittens eine Versionsangabe mit Datum und eine kurze Notiz, was sich geändert hat. Sie hilft nicht nur dem Nachweis, sondern auch dem Besucher, der die Erklärung nach einem Hinweis erneut liest.

Die Angaben, die am häufigsten fehlen

Vier Punkte tauchen regelmäßig nicht auf. Die konkrete Speicherdauer je Verarbeitung, ersetzt durch die schwammige Formulierung, man speichere so lange wie nötig. Die Empfänger von Daten außerhalb der EU einschließlich des Grundes für die Übermittlung. Die Rechtsgrundlage je Zweck, oft nur als Hinweis, es gelte das berechtigte Interesse. Und die Einwilligung als eigene Grundlage, obwohl sie anders widerruflich ist als eine gesetzliche Erlaubnis.

Häufige Fragen

• Reicht eine verlinkte Erklärung im Footer? Ja, der Link gehört dauerhaft erreichbar auf jede Seite.
• Wie oft prüfen? Jährlich und bei jeder Änderung an Werkzeugen.
• Muss sie übersetzt sein? Bei einem mehrsprachigen Shop ja, jede Sprache braucht ihre eigene Version.