Blog

Welche Pflichtangaben dürfen in keiner Datenschutzerklärung fehlen?

Herausgegeben von Decareto

4 Minuten lesen

Oktober 5, 2026

Eine Datenschutzerklärung muss nach Art. 13 und 14 DSGVO bestimmte Pflichtangaben enthalten, ohne die sie rechtlich unvollständig ist. Dazu gehören vor allem Angaben zur verantwortlichen Stelle, zu den Verarbeitungszwecken, zu den Rechtsgrundlagen sowie zu den Rechten der betroffenen Personen. Welche konkreten Informationen in keiner Datenschutzerklärung fehlen dürfen und worauf Website-Betreiber besonders achten sollten, zeigt dieser Artikel.

Welche Angaben schreibt die DSGVO konkret vor?

Die DSGVO schreibt in Art. 13 und 14 vor, dass Betroffene über Name und Kontaktdaten des Verantwortlichen, die Verarbeitungszwecke und deren Rechtsgrundlagen, etwaige Empfänger der Daten, geplante Drittlandübermittlungen sowie die Speicherdauer informiert werden müssen. Diese Angaben bilden den unverzichtbaren Kern jeder Datenschutzerklärung.

Im Einzelnen sind folgende Pflichtinformationen nach DSGVO erforderlich:

Identität und Kontaktdaten des Verantwortlichen: Name, Anschrift und ggf. E-Mail-Adresse der natürlichen oder juristischen Person, die über Zwecke und Mittel der Verarbeitung entscheidet.
Kontaktdaten des Datenschutzbeauftragten: Sofern ein Datenschutzbeauftragter (DSB) benannt wurde oder gesetzlich benannt werden muss, sind dessen Kontaktdaten anzugeben.
Verarbeitungszwecke und Rechtsgrundlagen: Für jeden Verarbeitungsvorgang muss klar sein, zu welchem Zweck Daten verarbeitet werden und auf welcher Rechtsgrundlage nach Art. 6 DSGVO dies geschieht (z. B. Einwilligung, berechtigtes Interesse oder Vertragserfüllung).
Berechtigte Interessen: Wenn die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) gestützt wird, müssen diese Interessen konkret benannt werden.
Empfänger oder Kategorien von Empfängern: Werden Daten an Dritte weitergegeben, ist dies offenzulegen, einschließlich externer Dienstleister und Auftragsverarbeiter.
Drittlandübermittlungen: Werden Daten in Länder außerhalb des EWR übermittelt, müssen die Garantien oder Ausnahmetatbestände benannt werden, auf die sich die Übermittlung stützt.
Speicherdauer: Entweder die konkrete Dauer oder die Kriterien, nach denen die Speicherdauer festgelegt wird.

Besonders der Punkt der externen Dienste wird in der Praxis häufig unterschätzt. Jeder auf einer Website eingebundene Drittanbieter, etwa ein Analyse-Tool, ein Zahlungsdienstleister oder ein eingebettetes Video, stellt eine Datenverarbeitung dar und muss in der Datenschutzerklärung beschrieben werden. Bereits das bloße Einbinden eines Dienstes überträgt in der Regel die IP-Adresse des Nutzers an den Anbieter.

Welche Betroffenenrechte müssen in der Datenschutzerklärung genannt werden?

Die Datenschutzerklärung muss auf alle Rechte hinweisen, die betroffenen Personen nach der DSGVO zustehen. Dazu zählen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde.

Im Einzelnen umfassen die zu nennenden Betroffenenrechte:

Auskunftsrecht (Art. 15 DSGVO): Betroffene können Auskunft darüber verlangen, ob und welche personenbezogenen Daten verarbeitet werden.
Recht auf Berichtigung (Art. 16 DSGVO): Unrichtige Daten müssen auf Anfrage korrigiert werden.
Recht auf Löschung (Art. 17 DSGVO): Unter bestimmten Voraussetzungen können Betroffene die Löschung ihrer Daten verlangen.
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): In bestimmten Situationen kann die Verarbeitung vorübergehend eingeschränkt werden.
Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sofern die Verarbeitung auf Einwilligung oder Vertragserfüllung basiert und automatisiert erfolgt, können Betroffene ihre Daten in einem strukturierten Format erhalten.
Widerspruchsrecht (Art. 21 DSGVO): Gegen Verarbeitungen auf Basis berechtigten Interesses oder für Direktmarketingzwecke kann Widerspruch eingelegt werden. Dieses Recht muss in der Datenschutzerklärung besonders hervorgehoben werden.
Widerrufsrecht bei Einwilligungen (Art. 7 Abs. 3 DSGVO): Wurde die Verarbeitung auf eine Einwilligung gestützt, muss auf das Recht hingewiesen werden, diese jederzeit zu widerrufen.
Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO): Betroffene haben das Recht, sich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren.

Wichtig ist, dass diese Rechte nicht nur aufgezählt, sondern in verständlicher Sprache erklärt werden. Betroffene sollen nachvollziehen können, wie sie diese Rechte konkret ausüben können, also an wen sie sich wenden müssen und auf welchem Weg.

Welche Angaben sind je nach Website-Typ zusätzlich erforderlich?

Neben den allgemeinen Pflichtangaben können je nach Art der Website und den eingesetzten Diensten zusätzliche Informationen erforderlich sein. Wer ein Kontaktformular betreibt, Cookies einsetzt, einen Online-Shop führt oder Nutzerkonten anbietet, muss diese Verarbeitungsvorgänge gesondert beschreiben.

Kontaktformulare und Newsletter

Wenn Besucher über ein Formular Kontakt aufnehmen können, muss erklärt werden, welche Daten dabei erhoben werden, zu welchem Zweck und wie lange sie gespeichert bleiben. Gleiches gilt für Newsletter-Anmeldungen: Hier sind zusätzlich das Double-Opt-in-Verfahren und das Widerrufsrecht bei Einwilligung zu beschreiben.

Cookies, Tracking und Analyse-Tools

Setzt eine Website Cookies oder Tracking-Technologien ein, müssen diese in der Datenschutzerklärung aufgeführt werden. Dabei ist zwischen technisch notwendigen Cookies, die keiner Einwilligung bedürfen, und nicht notwendigen Cookies zu unterscheiden, für die eine aktive Einwilligung über ein Consent-Banner eingeholt werden muss. Für jeden eingesetzten externen Dienst, etwa Google Analytics, sind Zweck, Rechtsgrundlage und ggf. die Datenübermittlung in Drittstaaten anzugeben. Ein DSGVO-Website-Check kann dabei helfen, eingesetzte externe Dienste systematisch zu identifizieren.

Online-Shops und Nutzerkonten

Wer Waren oder Dienstleistungen online verkauft, verarbeitet in der Regel sensiblere Datenkategorien wie Zahlungs- und Lieferdaten. Diese Verarbeitungsvorgänge müssen ebenso beschrieben werden wie die Weitergabe an Zahlungsdienstleister oder Versandunternehmen. Für Nutzerkonten sind zudem Angaben zur Speicherdauer und zu den Löschfristen nach Kontoauflösung erforderlich.

Welche formalen Anforderungen gelten für eine gültige Datenschutzerklärung?

Eine Datenschutzerklärung muss nach Art. 12 DSGVO in präziser, transparenter, verständlicher und leicht zugänglicher Form bereitgestellt werden. Sie muss in klarer und einfacher Sprache verfasst sein und darf nicht in allgemeinen Geschäftsbedingungen oder anderen Dokumenten versteckt werden.

Konkret bedeutet das für die Praxis:

Leichte Auffindbarkeit: Die Datenschutzerklärung muss von jeder Seite der Website aus erreichbar sein, in der Regel über einen Link im Footer. Sie darf nicht mehr als einen Klick entfernt sein.
Verständliche Sprache: Juristische Fachbegriffe sind zu erläutern oder zu vermeiden. Die Erklärung richtet sich an durchschnittliche Nutzer, nicht an Rechtsexperten.
Sprachliche Übereinstimmung: Die Datenschutzerklärung sollte in der Sprache der Website verfasst sein. Richtet sich eine Website an mehrere Sprachgruppen, sind entsprechende Sprachversionen bereitzustellen.
Aktualität: Die Datenschutzerklärung muss stets den tatsächlichen Verarbeitungsvorgängen entsprechen. Ändert sich die technische Infrastruktur der Website, etwa durch den Einsatz neuer Tools oder Dienste, muss die Erklärung zeitnah aktualisiert werden.
Kein Ersatz durch Einwilligung: Eine Datenschutzerklärung ist keine Einwilligungserklärung. Beide Dokumente erfüllen unterschiedliche rechtliche Funktionen und dürfen nicht miteinander vermischt werden.

Ein häufiger Fehler in der Praxis: Die Datenschutzerklärung wird einmalig erstellt und dann nicht mehr aktualisiert, obwohl auf der Website neue Dienste eingebunden werden. Dies kann zu Abmahnungen und rechtlichen Risiken führen, da die Erklärung nicht mehr dem tatsächlichen Stand der Datenverarbeitung entspricht.

Wie lassen sich Lücken in der Datenschutzerklärung zuverlässig erkennen?

Lücken in einer Datenschutzerklärung lassen sich am zuverlässigsten durch den systematischen Abgleich der tatsächlich eingesetzten Dienste und Verarbeitungsvorgänge mit den Inhalten der Erklärung erkennen. Manuelle Prüfungen sind dabei fehleranfällig, weil externe Dienste oft dynamisch nachgeladen werden und nicht immer auf den ersten Blick sichtbar sind.

Folgende Ansätze haben sich in der Praxis bewährt:

Technische Analyse der Website: Mit Entwickler-Tools im Browser oder spezialisierten Scan-Tools lässt sich ermitteln, welche Cookies gesetzt und welche externen Dienste aufgerufen werden. Dieser technische Befund wird dann mit den Inhalten der Datenschutzerklärung verglichen.
Regelmäßige Überprüfung nach Änderungen: Jedes Mal, wenn an der Website Änderungen vorgenommen werden, etwa durch neue Plugins, Themes oder Marketing-Tools, sollte die Datenschutzerklärung auf Vollständigkeit geprüft werden.
Strukturierter Textvergleich: Alle identifizierten externen Dienste sollten systematisch mit den Einträgen in der Datenschutzerklärung abgeglichen werden. Fehlt ein Dienst in der Erklärung, stellt das eine potenzielle Lücke dar.
Einbeziehung von Unterseiten: Die Analyse sollte sich nicht auf die Startseite beschränken. Auf Unterseiten, etwa im Shop-Bereich oder auf Formularseiten, können zusätzliche Dienste eingebunden sein, die auf der Startseite nicht erscheinen.

Gerade bei größeren Websites oder bei der Betreuung mehrerer Projekte wird diese Aufgabe schnell zeitintensiv. Ein Datenschutzgenerator kann dabei unterstützen, die Erklärung strukturiert aufzubauen und auf dem aktuellen Stand zu halten.

Wie decareto bei der Prüfung Ihrer Datenschutzerklärung unterstützt

Wir haben decareto entwickelt, um genau die Herausforderungen zu adressieren, die bei der manuellen Prüfung von Datenschutzerklärungen entstehen. Unsere SaaS-Plattform scannt Websites automatisiert auf Datenschutz-Schwachstellen und hilft dabei, Lücken zwischen den tatsächlich eingesetzten Diensten und den Inhalten der Datenschutzerklärung zu identifizieren.

Das leistet decareto konkret für Sie:

Automatisierter DSGVO-Website-Scan: Wir analysieren Ihre Website in Minuten auf Cookies, Tracker, externe Dienste und Consent-Banner, einschließlich Unterseiten und passwortgeschützter Bereiche.
Abgleich mit der Datenschutzerklärung: Unser Scanner erkennt, welche externen Dienste auf Ihrer Website aktiv sind, und prüft, ob diese in der Datenschutzerklärung erwähnt werden. Fehlende Einträge werden als Warnung im Report angezeigt.
Integrierter Datenschutzgenerator: Mit unserem Datenschutzgenerator können Sie DSGVO-konforme Datenschutzerklärungen aus anpassbaren Textbausteinen zusammenstellen, in 24 Sprachen und stets auf Basis der aktuellen Scan-Ergebnisse.
Dauerhaftes Monitoring: Wir überwachen Hunderte von Websites kontinuierlich und benachrichtigen Sie automatisch, wenn sich relevante Änderungen ergeben, damit Ihre Datenschutzerklärung stets dem aktuellen Stand entspricht.
Strukturierte Reports mit Handlungsempfehlungen: Unsere Berichte priorisieren identifizierte Schwachstellen nach Risiko und liefern konkrete Hinweise, welche Maßnahmen ergriffen werden sollten.

decareto ersetzt keine rechtliche Beratung und keinen qualifizierten Datenschutzbeauftragten, unterstützt aber dabei, den Aufwand für Web-Audits erheblich zu reduzieren und Lücken frühzeitig zu erkennen. Testen Sie decareto jetzt und verschaffen Sie sich einen strukturierten Überblick über den Datenschutzstatus Ihrer Website: Jetzt kostenlos starten.

Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.