Neben dem bereits behandelten Impressum benötigt praktisch jede Website ein zweites, rechtlich eigenständiges Pflichtdokument: die Datenschutzerklärung. Schon das bloße Erfassen der IP-Adresse in einem Server-Logfile beim ersten Seitenaufruf reicht aus, um eine Informationspflicht nach der Datenschutz-Grundverordnung auszulösen.
Informationspflicht statt Einwilligung – eine wichtige Klarstellung
Ein häufig verwechseltes Begriffspaar: Die Datenschutzerklärung ist eine reine Informationspflicht nach Art. 13 beziehungsweise Art. 14 DSGVO – sie informiert Besucher darüber, welche personenbezogenen Daten zu welchem Zweck, auf welcher Rechtsgrundlage und durch wen verarbeitet werden. Eine Zustimmung holt sie dagegen nicht ein – das ist ausschließlich Aufgabe des separaten Cookie-Banners für nicht technisch notwendige Cookies. Niemand „akzeptiert" eine Datenschutzerklärung, man wird durch sie lediglich informiert.
Parallele Gesetzesänderung zum Impressum
Ähnlich wie bei der bereits behandelten Impressumspflicht hat sich auch hier zum 14. Mai 2024 die Rechtsgrundlage geändert: Das bisherige TTDSG heißt seitdem offiziell TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz). Inhaltlich bleiben die Cookie-Regeln nach § 25 TDDDG davon jedoch unberührt.
Getrennt vom Impressum, eigener Zugang erforderlich
Die Datenschutzerklärung muss von jeder Unterseite mit maximal ein bis zwei Klicks erreichbar sein – üblicherweise über einen eigenen, klar beschrifteten Link im Footer, getrennt vom Impressum. Beide Dokumente in einem einzigen Text zusammenzufassen, ist unzulässig: Es handelt sich um zwei eigenständige Pflichtangaben mit unterschiedlicher Rechtsgrundlage und unterschiedlichem Zweck.
Die wichtigsten Pflichtinhalte
Eine vollständige Datenschutzerklärung muss unter anderem folgende Angaben enthalten: den Namen und die Kontaktdaten des Verantwortlichen, die konkreten Zwecke der Datenverarbeitung, die jeweilige Rechtsgrundlage, die Speicherdauer, mögliche Empfänger der Daten sowie eine vollständige Auflistung der Betroffenenrechte – darunter das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch sowie Datenübertragbarkeit. Nach Art. 12 Abs. 1 DSGVO muss die gesamte Erklärung zudem in klarer, einfacher Sprache formuliert sein, ohne verschachtelte Juristenformulierungen.
Klassische Abmahnfallen in der Praxis
Zu den bekanntesten Stolperfallen zählt die externe Einbindung von Google Fonts ohne vorherige Einwilligung – das Landgericht München hat bereits 2022 entschieden, dass dies als Drittanbieter-Dienst einwilligungspflichtig ist. Ebenso häufig abgemahnt wird der Einsatz von Analyse-Tools wie Google Analytics, die bereits vor einer aktiven Einwilligung des Nutzers Daten erfassen, sowie eine veraltete Erklärung, die neu hinzugekommene Tools oder Dienste gar nicht erst erwähnt.
Verstärkte Kontrolle durch die Datenschutzbehörden
Im Jahr 2026 prüfen die europäischen Datenschutzbehörden im Rahmen des fünften koordinierten Durchsetzungsrahmens gezielt und länderübergreifend die Einhaltung der Informationspflichten nach Art. 12 bis 14 DSGVO – also genau jene Anforderungen, die eine Datenschutzerklärung erfüllen muss. Wer seine Erklärung seit der ursprünglichen Erstellung nie wieder aktualisiert hat, sollte sie vor diesem Hintergrund zeitnah überprüfen.
Der Sanktionsrahmen
Neben zivilrechtlichen Abmahnkosten von üblicherweise 500 bis 2.500 Euro können Aufsichtsbehörden bei dokumentierten Verstößen Bußgelder verhängen – die DSGVO sieht dafür einen Rahmen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor, wobei die tatsächlich verhängten Beträge bei kleineren und mittleren Unternehmen in der Praxis deutlich niedriger ausfallen.