Ohne Datenschutzerklärung fehlt auf Ihrer Website das Dokument, in dem Sie erklären, welche personenbezogenen Daten Sie erfassen, wofür und wie lange. Die DSGVO verpflichtet Organisationen, Besucher und Kunden darüber vorab zu informieren; das nennt sich Informationspflicht. Fehlt diese Information, können Sie also nicht nachweisen, dass Sie dieser Verpflichtung nachkommen.
Was konkret passiert, hängt davon ab, wer es bemerkt. Ein Besucher kann eine Beschwerde bei der Aufsichtsbehörde für Datenschutz einreichen, ein geschäftlicher Kunde kann während einer Ausschreibung danach fragen, und ein Zahlungsanbieter oder eine Werbeplattform können die Verbindung mit Ihrer Website ablehnen, solange keine Datenschutzerklärung vorhanden ist. Keine dieser Situationen ist fiktiv; sie ergeben sich aus Bedingungen, die Dritte selbst bereits stellen, unabhängig von dem, was eine Aufsichtsbehörde jemals tun würde.
Warum eine Datenschutzerklärung mehr ist als eine Formalität
Eine Datenschutzerklärung ist der sichtbare Nachweis für etwas, das Sie ohnehin wissen sollten: welche Daten Ihre Website erfasst, über welche Formulare, Cookies oder Analyse-Tools, und zu welchem Zweck. Fehlt die Erklärung, ist die Wahrscheinlichkeit groß, dass auch diese Erfassung selbst nicht durchgeführt wurde. Das betrifft nicht nur die Website, sondern auch das gesamtere Bild davon, wie Ihr Unternehmen mit personenbezogenen Daten umgeht — etwas, das auch zutage kommt, sobald Sie eine Antwort auf eine konkrete DSGVO-Frage suchen.
Die EDPB und die Aufsichtsbehörde für Datenschutz haben Richtlinien veröffentlicht, die festlegen, was eine Datenschutzerklärung mindestens enthalten muss, wie die Kontaktdaten des Verantwortlichen, die Aufbewahrungsdauer und die Rechte der betroffenen Personen. Diese Richtlinien sind kein Gesetz, aber Aufsichtsbehörden prüfen danach, wenn sie bewerten, ob die Informationspflicht erfüllt ist.
Was in der Praxis passiert, wenn die Erklärung fehlt
Die unmittelbarsten Folgen spielen sich selten bei einer Aufsichtsbehörde ab, sondern bei den Parteien, mit denen Sie Geschäfte tätigen. Ein Versicherer, der eine Cyberversicherung bewertet, fragt oft nach der Datenschutzerklärung als Teil der Akte. Eine Beschaffungsstelle kann dasselbe tun. Und ein Besucher, der sich fragt, was mit einem ausgefüllten Kontaktformular geschieht, kann beschließen, mit Ihnen keine Geschäfte zu tätigen, oder eine Beschwerde einreichen, wenn ihm eine Erklärung fehlt.
Darüber hinaus ist eine fehlende Datenschutzerklärung oft ein Signal dafür, dass auch andere Komponenten nicht in Ordnung sind: kein Überblick darüber, welche SaaS-Tools personenbezogene Daten verarbeiten, keine Datenverarbeitungsverträge mit Lieferanten, keine festgelegten Aufbewahrungsfristen. Das ist genau die Art von Zusammenhang, die eine Wissensdatenbank mit Erklärungen pro DSGVO-Thema deutlich macht: die Datenschutzerklärung steht selten für sich allein.
Die Rolle der Aufsichtsbehörde
Die Autoriteit Persoonsgegevens kann eingreifen, wenn die Informationspflicht nicht erfüllt wird, aber wie und wann das geschieht, hängt von den Umständen des Einzelfalls ab und lässt sich nicht im Voraus vorhersagen. Was jedoch feststeht, ist, dass das Fehlen einer Datenschutzerklärung keine Auslassung ist, die von selbst weniger sichtbar wird, je mehr Besucher eine Website anzieht — eher das Gegenteil.
Ob eine Beschwerde tatsächlich zu einer Untersuchung führt und welches Ergebnis diese hätte, lässt sich nicht allgemein beantworten. Für die Bewertung einer konkreten Situation ist ein Jurist oder die Autoriteit Persoonsgegevens selbst der richtige Ansprechpartner.
Wie Sie dies lösen
Das Verfassen einer Datenschutzerklärung erfordert einen klaren Überblick darüber, was Ihre Website tatsächlich erfasst: Kontaktformulare, Cookies, ein Webshop mit Bestelldaten, einen Newsletter. Sobald dieser Überblick vorhanden ist, lässt sich die Erklärung selbst meist schnell schreiben. Für die zugrundeliegende Frage, welche Daten Sie tatsächlich verarbeiten und über welche Tools, hilft es, sich anzusehen, wie dieser Überblick erstellt wird, beispielsweise über die Art und Weise, wie Daten und Systeme erfasst werden.
Eine Datenschutzerklärung ist zudem kein einmaliger Text. Neue Formulare, neue Tools oder ein neuer Newsletter-Dienst ändern, was erfasst wird, und somit auch, was in der Erklärung stehen muss. Wer diesen Überblick mit Änderungen auf der Website aktualisieren möchte, kann das in einem geschäftlichen Konto dokumentieren damit es nicht bei einer einmaligen Maßnahme bleibt.
Gdpria.eu bietet den Generator für eine Datenschutzerklärung kostenlos an, ebenso wie die Wissensdatenbank und die anderen grundlegenden Checks. Wenn Sie wissen möchten, wo sich Ihr Unternehmen derzeit befindet, ist der kostenlose Quick-Scan ein guter Ausgangspunkt, um zu sehen, welche Bereiche bereits in Ordnung sind und welche Aufmerksamkeit erfordern.