Eine Datenschutzerklärung ist für praktisch jede Website erforderlich, sobald personenbezogene Daten verarbeitet werden — und das beginnt bereits mit dem Aufruf einer Seite, weil dabei die IP-Adresse verarbeitet wird.
Die Pflicht ist damit die Regel, nicht die Ausnahme. Interessant ist nicht ob, sondern was drinstehen muss und woran die meisten Erklärungen scheitern.
Was hineingehört
Identität und Kontaktdaten des Verantwortlichen, gegebenenfalls des Datenschutzbeauftragten. Die Zwecke der Verarbeitung und die jeweilige Rechtsgrundlage. Bei berechtigten Interessen deren Benennung.
Die Empfänger oder Kategorien von Empfängern. Die Absicht einer Übermittlung in ein Drittland samt der Grundlage dafür. Die Speicherdauer oder die Kriterien für ihre Festlegung.
Die Rechte der betroffenen Person: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf einer Einwilligung und das Beschwerderecht bei einer Aufsichtsbehörde.
Und, sofern zutreffend, das Bestehen einer automatisierten Entscheidungsfindung mit aussagekräftigen Informationen über die Logik.
Das Schweizer Recht verlangt eine Information über die Beschaffung, die in den Grundzügen vergleichbar, im Detail aber anders ausgestaltet ist. Wer beide Rechtsräume bedient, folgt sinnvollerweise dem umfassenderen Katalog.
Wo sie stehen muss
Von jeder Seite aus erreichbar, mit einem klaren Namen, ohne Anmeldung und ohne mehrere Zwischenschritte. Ein Link im Fussbereich ist der etablierte Weg.
Die Datenschutzerklärung ist nicht dasselbe wie das Impressum. Beide sind erforderlich, beide haben unterschiedliche Inhalte, und sie sollten getrennt erreichbar sein.
Woran die meisten scheitern
Nicht am fehlenden Text, sondern an der fehlenden Übereinstimmung mit der Realität. Drei Stellen sind betroffen.
Die Empfänger: Neue Dienste werden eingebunden — ein Fehlerdienst, ein Chat-Werkzeug, eine Kartendarstellung, eine Schnittstelle zu einem Sprachmodell — und niemand ergänzt die Erklärung.
Die Speicherdauer: Sie wird beim Erstellen geschätzt und nie mit dem abgeglichen, was tatsächlich geschieht. Wenn Protokolle faktisch unbegrenzt liegen bleiben, ist die Angabe unzutreffend.
Die Drittlandübermittlung: Ein Wechsel des Anbieters oder das Aktivieren einer Funktion in bestehender Software kann eine Übermittlung auslösen, die vorher nicht stattfand.
Warum Generatoren nur ein Anfang sind
Werkzeuge, die eine Erklärung erzeugen, liefern Struktur und Pflichtkatalog. Was sie nicht wissen können, ist, was Ihre Website tatsächlich tut.
Das Ergebnis ist ein Text, der Dienste nennt, die nicht eingesetzt werden, und die entscheidenden weglässt. Beides ist ein Mangel; das zweite ist der schwerere, weil es eine Verarbeitung verschweigt.
Der sinnvolle Weg führt über das Verzeichnis: Wenn dort steht, was tatsächlich passiert, ist die Erklärung eine Ableitung statt einer eigenen Recherche.
Die Verbindung zum Einwilligungshinweis
Die Erklärung und der Cookie-Hinweis gehören zusammen, sind aber zwei verschiedene Dinge. Der Hinweis holt die Einwilligung für nicht unbedingt erforderliche Zugriffe ein; die Erklärung informiert über alle Verarbeitungen.
Ein häufiger Fehler ist, die Liste der Dienste nur im Einwilligungswerkzeug zu pflegen und nicht in der Erklärung. Beide sollten aus derselben Quelle stammen.
Was praktisch hilft
Ein Auslöser im Entwicklungsprozess: Wird ein neuer Drittdienst eingebunden oder ein neues Datenfeld erhoben, wird die Erklärung geprüft. Das ist die einzige Massnahme, die dauerhaft wirkt.
Und eine Fassung mit Datum, wobei ältere Fassungen aufbewahrt werden. Bei Rückfragen zu einem zurückliegenden Zeitpunkt ist damit nachweisbar, worüber damals informiert wurde.