Die Datenschutzerklärung ist der Teil des Datenschutzrechts, den jeder sieht und kaum jemand liest — bis eine Beschwerde eingeht oder ein Kunde einen Fragebogen schickt. Dann zeigt sich regelmässig dasselbe Bild: Der Text beschreibt ein Produkt, das es in dieser Form seit zwei Jahren nicht mehr gibt.
Das ist kein Sorgfaltsproblem einzelner Unternehmen, sondern ein strukturelles: Die Erklärung wird einmal erstellt und danach von keinem Prozess mehr berührt, während sich das Produkt weiterentwickelt.
Welche Angaben verlangt sind
Die DSGVO gibt die Informationspflichten vor, je nachdem ob die Daten bei der betroffenen Person selbst oder anderswo erhoben werden. Der Pflichtkatalog umfasst im Kern: Identität und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten; die Zwecke und die Rechtsgrundlage der Verarbeitung; bei Stützung auf berechtigte Interessen deren Benennung; die Empfänger oder Kategorien von Empfängern; die Absicht einer Übermittlung in ein Drittland samt Grundlage; die Speicherdauer oder die Kriterien für ihre Festlegung.
Hinzu kommen die Rechte der betroffenen Person: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, das Recht auf Widerruf einer Einwilligung und das Beschwerderecht bei einer Aufsichtsbehörde.
Ferner ist anzugeben, ob die Bereitstellung gesetzlich oder vertraglich vorgeschrieben ist und welche Folgen eine Nichtbereitstellung hat, sowie ob eine automatisierte Entscheidungsfindung stattfindet — im letzteren Fall mit aussagekräftigen Informationen über die involvierte Logik und die Tragweite.
Das Schweizer Recht verlangt eine Information über die Beschaffung, die in den Grundzügen vergleichbar, im Detail aber anders ausgestaltet ist. Wer beide Rechtsräume bedient, orientiert sich sinnvollerweise am umfassenderen Katalog.
Die Anforderung, die am häufigsten verfehlt wird
Die Informationen sind in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache zu übermitteln. Diese Anforderung ist keine Stilempfehlung, sondern Teil der Pflicht.
Eine Erklärung, die aus rechtlichen Textbausteinen besteht und den Rechtsakt paraphrasiert, erfüllt den Buchstaben und verfehlt den Zweck. Der Prüfstein ist einfach: Kann eine Person nach dem Lesen sagen, welche Daten von ihr wohin gehen und wie lange sie bleiben.
Richten sich die Informationen an Kinder, gilt die Anforderung verschärft. Für Produkte mit jungem Publikum ist eine eigene, sprachlich angepasste Fassung sinnvoll.
Die drei Stellen, an denen Erklärungen falsch werden
Erstens die Empfänger. Neue Dienstleister werden im Entwicklungsalltag eingebunden — ein Fehlerdienst, ein Chat-Werkzeug, eine Schnittstelle zu einem Sprachmodell — und niemand ergänzt die Erklärung. Damit stimmt die Angabe zu den Empfängern nicht mehr.
Zweitens die Speicherdauer. Sie wird zu Beginn geschätzt und selten mit dem abgeglichen, was tatsächlich passiert. Wenn Protokolldaten faktisch unbegrenzt liegen bleiben, ist die Angabe im Text unzutreffend.
Drittens die Drittlandübermittlung. Ein Wechsel des Hosting-Anbieters oder die Aktivierung einer Funktion in bestehender Software kann eine Übermittlung auslösen, die vorher nicht stattfand.
Warum Generatoren nur ein Ausgangspunkt sind
Werkzeuge, die eine Datenschutzerklärung erzeugen, liefern eine brauchbare Struktur und den Pflichtkatalog. Was sie nicht wissen können, ist, was Ihr Produkt tatsächlich tut.
Das Ergebnis ist ein Text, der Dienste aufführt, die nicht eingesetzt werden, und die entscheidenden weglässt. Beides ist ein Mangel, und das zweite ist der schwerere.
Der sinnvolle Weg ist umgekehrt: Zuerst das Verzeichnis der Verarbeitungstätigkeiten pflegen, dann daraus die Erklärung ableiten. Wenn das Verzeichnis stimmt, ist die Erklärung ein Ableitungsschritt statt eine eigene Recherche.
Was jetzt sinnvoll ist
Erstens: Die Erklärung gegen die tatsächlich eingesetzten Dienste abgleichen. Ein Blick in die Konfiguration der Produktivumgebung und in die Netzwerkanfragen der Website liefert die reale Liste.
Zweitens: Einen Auslöser im Entwicklungsprozess verankern. Wenn ein neuer Drittdienst eingebunden oder ein neues Datenfeld erhoben wird, ist die Erklärung zu prüfen. Ohne diesen Auslöser veraltet sie zuverlässig.
Drittens: Eine Fassung mit Datum führen und ältere Fassungen aufbewahren. Bei Rückfragen zu einem zurückliegenden Zeitpunkt ist nachweisbar, worüber damals informiert wurde.
Was offen bleibt
Wie detailliert die Angaben zur Logik einer automatisierten Entscheidung ausfallen müssen, ist weiterhin umstritten, und mit dem Einsatz von KI-Systemen gewinnt die Frage an Gewicht. Eine Beschreibung, die die wesentlichen Kriterien nachvollziehbar macht, ohne Betriebsgeheimnisse preiszugeben, ist der derzeit gangbare Weg.