Datenschutzerklärung erstellen: Pflichtinhalte + kostenlose Vorlage

Die Datenschutzerklärung ist das Dokument, das Ihre Kunden, Interessenten und Bewerber tatsächlich lesen, um zu verstehen, was mit ihren Daten passiert - und das eine Behörde zuerst prüft, weil es öffentlich ist. Eine Datenschutzerklärung zu erstellen ist weniger eine Frage juristischer Eleganz als der Vollständigkeit: alle verarbeiteten personenbezogenen Daten, jeder Zweck und jede Rechtsgrundlage müssen drin stehen. Dieser Leitfaden zeigt, was die DSGVO verlangt, wie Sie Schritt für Schritt vorgehen und woher Sie eine Vorlage bekommen, die Sie anpassen statt kopieren.

Welche Pflichtinhalte muss eine Datenschutzerklärung haben?

Welche Angaben sind nach der DSGVO verpflichtend?

Art. 13 und 14 DSGVO legen den Mindestinhalt fest. Eine konforme Datenschutzerklärung deckt alles Folgende ab:

• Name und Kontaktdaten des Verantwortlichen (Ihr Unternehmen).
• Kontaktdaten des Datenschutzbeauftragten, falls bestellt.
• Die Zwecke der Verarbeitung und die Rechtsgrundlage für jeden (Art. 6).
• Die Empfänger oder Kategorien von Empfängern - inklusive Ihrer Auftragsverarbeiter.
• Übermittlungen in Drittländer außerhalb der EU/des EWR und die Garantien dafür.
• Speicherfristen oder die Kriterien, nach denen sie festgelegt werden.
• Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Übertragbarkeit.
• Das Recht, eine Einwilligung zu widerrufen, wo die Verarbeitung darauf beruht.
• Das Recht auf Beschwerde bei einer Aufsichtsbehörde.
• Ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist.

Wenn Ihre Verarbeitung automatisierte Entscheidungen oder Profiling umfasst, müssen Sie das angeben und Logik sowie Folgen erläutern. Was hier fehlt, ist eine Lücke, die eine Behörde bemängelt - diese Liste ist damit zugleich Ihre Checkliste.

Datenschutzerklärung erstellen: Schritt für Schritt

Womit fange ich an - mit der Vorlage oder mit dem Inhalt?

Mit dem Inhalt, nicht mit der Vorlage. Eine Vorlage gibt die Struktur vor, kennt aber Ihre Tools nicht. Gehen Sie in dieser Reihenfolge vor:

1. Listen Sie jeden Verarbeitungszweck auf. Ziehen Sie die Zwecke direkt aus Ihrem Verzeichnis der Verarbeitungstätigkeiten (ROPA) - was im ROPA steht, gehört in die Erklärung. Ein Zweck kann mehrere Tools umfassen, und ein Tool kann mehreren Zwecken dienen.

2. Ordnen Sie jedem Zweck Rechtsgrundlage, Tools und Speicherdauer zu. „Newsletter-Versand - Einwilligung (Art. 6 Abs. 1 lit. a)“ ist konkret; „wir verarbeiten Daten zu Geschäftszwecken“ ist es nicht.

3. Nennen Sie Empfänger und Auftragsverarbeiter. HubSpot, Intercom, ein KI-Tool, Ihr Hoster - namentlich.

4. Geben Sie Speicherfristen und Übermittlungen an. Wie lange Sie welche Kategorie speichern und ob Daten die EU verlassen.

5. Schreiben Sie den Rechte-Teil verständlich, mit einem funktionierenden Weg, die Rechte auszuüben.

6. Veröffentlichen Sie sie dort, wo Daten erhoben werden - Website-Footer, Formulare, App-Onboarding.

Wie halte ich sie aktuell, wenn sich Tools ändern?

Bauen Sie eine einfache Regel: Wird ein neues Tool eingeführt, prüft eine benannte Person, ob es personenbezogene Daten verarbeitet - wenn ja, wird die Datenschutzerklärung binnen zwei Wochen aktualisiert. Kein Komitee, keine Freigabekette - eine Person, ein Prozess, eine Frist. Eine Erklärung, die heute stimmt und in drei Monaten veraltet ist, ist ein häufiger und vermeidbarer Fehler.

Häufige Fehler bei der Datenschutzerklärung

Wo gehen KMU meistens daneben?

• Standardtext aus dem Generator, unverändert veröffentlicht. Er kennt Ihre Verarbeitungszwecke und Tools nicht und beschreibt damit Ihre Verarbeitung nicht.
• Nur die Website ist abgedeckt. CRM, Newsletter-Plattform und Support-Chat verarbeiten ebenfalls Daten und gehören hinein.
• Falsche Rechtsgrundlage. „Berechtigtes Interesse“ ist kein Sammelposten - wo Einwilligung nötig ist, muss sie genannt und eingeholt sein.
• Nie aktualisiert. Jeder neue Dienstleister, jede neue Verarbeitung braucht eine Anpassung.
• Kein funktionierender Weg zur Ausübung der Rechte. Ein Rechte-Teil ohne erreichbaren Kontakt ist unvollständig.

Datenschutzerklärung-Generator vs. richtig gemacht

Kann ich einfach einen Datenschutzerklärung-Generator nutzen?

Als Ausgangspunkt ja - als Endprodukt nein. Ein Generator erstellt Standardtext, der Ihre konkreten Tools, Dienstleister und Rechtsgrundlagen nicht kennt. Behandeln Sie sein Ergebnis als Gerüst: jeden Zweck und jedes Tool ergänzen, jede Rechtsgrundlage prüfen, nicht zutreffende Klauseln streichen. Ein ohne diese Arbeit veröffentlichter Generatortext erfüllt die DSGVO nicht - und die Lücke ist für eine Behörde leicht zu erkennen.

Dasselbe gilt für die Vorlage unten - sie gibt Struktur und Hinweise, der Wert liegt in der Anpassung an Ihre tatsächliche Verarbeitung. Wer das nicht von Hand pflegen möchte: ETHYX erzeugt die Erklärung aus Ihrem ROPA und markiert sie zur Überprüfung, sobald ein neues Tool hinzukommt.

Quellen & weiterführende Links