Die Datenschutzerklärung ist das sichtbarste Datenschutzdokument eines Unternehmens und zugleich das am häufigsten kopierte. Eine kopierte Erklärung beschreibt aber nicht die eigene Bearbeitung, sondern die eines anderen. Sie ist damit nicht nur wertlos, sondern kann falsch sein.
Mindestinhalt nach DSG
Nach Art. 19 des revidierten DSG informiert der Verantwortliche bei der Beschaffung von Personendaten mindestens über seine Identität und Kontaktdaten, den Bearbeitungszweck, die Empfänger oder Kategorien von Empfängern und, bei Bekanntgabe ins Ausland, den Staat sowie die Garantien oder die Ausnahme, auf die sich die Bekanntgabe stützt. Werden Daten nicht bei der betroffenen Person selbst beschafft, sind zusätzlich die Kategorien der bearbeiteten Daten zu nennen.
Zusätzliche Angaben nach DSGVO
Die DSGVO verlangt mehr: die Rechtsgrundlage jeder Verarbeitung, bei berechtigten Interessen deren Beschreibung, die Speicherdauer oder ihre Kriterien, die Rechte der Betroffenen einschliesslich Widerspruch und Widerruf, das Beschwerderecht bei einer Aufsichtsbehörde, ob die Bereitstellung der Daten vorgeschrieben ist, und das Bestehen automatisierter Einzelentscheidungen. Unternehmen, die beiden Regelwerken unterliegen, richten sich in der Regel am umfassenderen Massstab aus.
Was oft fehlt
Konkrete Angaben zu Auslandbekanntgaben statt „weltweit“. Eine vollständige Liste der eingesetzten Dienste wie Hosting, E-Mail-Versand, Analytics und KI-Werkzeuge. Speicherfristen. Und die Bearbeitungen ausserhalb der Website: Kundenbeziehung, Bewerbungen, Lieferanten. Die Datenschutzerklärung ist keine Website-Erklärung, sondern beschreibt alle Bearbeitungen, über die informiert werden muss.
Aus dem Bearbeitungsverzeichnis ableiten
Wer ein Bearbeitungsverzeichnis führt, hat die meisten Angaben bereits: Zwecke, Empfänger, Auslandbezüge, Fristen. Die Datenschutzerklärung wird dann aus dem Verzeichnis abgeleitet statt frei formuliert. Das hält sie richtig und macht Änderungen nachvollziehbar.
Aktuell halten
Jedes neue Werkzeug mit Personendaten, jeder neue Anbieter und jede neue Funktion kann die Erklärung verändern. Ein fester Schritt im Freigabeprozess — „betrifft das die Datenschutzerklärung?“ — verhindert, dass sie schleichend veraltet. Die Grundsätze für Auslandbekanntgaben beschreibt der Beitrag zu Datentransfers.