Eine Datenschutzerklärung kostet in der Grundversion nichts. Die DSGVO schreibt vor, was darin stehen muss, und mit einer kostenlosen Vorlage oder einem Generator kommen Sie schon weit: wer Sie sind, welche Daten Sie verarbeiten, warum, wie lange Sie diese aufbewahren und an wen sich jemand mit Fragen wenden kann. Erst wenn Sie jemanden einstellen, um den Text maßzuschneidern, prüfen oder an Ihre spezifische Situation anpassen zu lassen, entsteht eine Rechnung. Was diese Rechnung bestimmt, ist nicht die Länge des Textes, sondern der Umfang der Arbeit, die erforderlich ist, um Ihre Praxis korrekt zu beschreiben.
Drei Faktoren steuern den Preis, wenn Sie sich für maßgeschneiderte Arbeiten entscheiden: die Anzahl der Verarbeitungsvorgänge, die Ihr Unternehmen durchführt, die Sensibilität der Daten und die Frage, ob Daten außerhalb der EU verarbeitet werden. Ein Einzelunternehmen mit einem Kontaktformular und einer Buchhaltungssoftware hat eine einfachere Geschichte als ein Online-Shop mit Kundenprofilen, Marketing-Tools und einem Zahlungsdienstleister, der in den USA ansässig ist. Je mehr Verarbeitungsvorgänge, desto mehr Zeit ist erforderlich, um sie korrekt zu beschreiben — und Zeit ist bei rechtlicher Arbeit fast immer der Kostenfaktor.
Woher kommt der Betrag?
Eine Datenschutzerklärung ist kein eigenständiges Dokument, sondern die Außenseite dessen, was intern bereits vorhanden sein sollte: welche Systeme Sie nutzen, zu welchem Zweck und wie lange Sie Daten aufbewahren. Wenn dieser Überblick noch nicht vorhanden ist, zahlen Sie nicht für den Text selbst, sondern für die damit verbundene Recherche. Unternehmen, die bereits ein Verzeichnis der Verarbeitungstätigkeiten führen, haben diese Arbeit größtenteils bereits erledigt und können die Erklärung direkt daraus ableiten. Das ist auch der Grund, warum eine Datenschutzerklärung selten für sich allein steht: sie ist die externe Übersetzung von etwas, das intern bereits stimmig sein muss. Mehr dazu finden Sie in der Wissensdatenbank zum Aufbau eines Verzeichnisses der Verarbeitungstätigkeiten.
Was den Preis weiter bestimmt
Bei maßgeschneiderter Arbeit macht es einen Unterschied, ob es um einen einmaligen Text geht oder um etwas, das sich anpasst, sobald Sie ein neues Tool anschaffen oder mit einem neuen Datentyp arbeiten. Ein Online-Shop, der nächstes Jahr einen Chatbot hinzufügt oder zu einer anderen Marketing-Plattform wechselt, muss die Erklärung dann erneut korrekt gestalten. Einige Anbieter berechnen daher nicht für den Text selbst, sondern für dessen Verwaltung. Auch der Sektor spielt eine Rolle: Wer Gesundheitsdaten, biometrische Daten oder Daten über Strafverurteilungen verarbeitet, unterliegt einem strengeren Regime innerhalb der DSGVO, und das erfordert eine präzisere Formulierung als ein durchschnittliches Dienstleistungsunternehmen benötigt.
Kostenlos und kostenpflichtig nebeneinander
Es ist wichtig, deutlich zu machen, was kostenlos bleibt und was nicht. Das inhaltliche Wissen — was in einer Datenschutzerklärung stehen sollte und wo das im Gesetz steht — ist und bleibt frei zugänglich, auch ohne Konto. Was kostet, ist das System darum herum: die Verwaltung Ihres Verzeichnisses der Verarbeitungstätigkeiten, die automatische Anpassung der Erklärung an das, was Sie darin festlegen, und die Überwachung von Auftragsverarbeitungsverträgen mit den Tools, die Sie verwenden. Auf der Seite mit den Abos steht, was dafür bei gdpria.eu gilt; der kostenlose Generator selbst bleibt unverändert verfügbar.
Wann maßgeschneiderte Arbeit wirklich sinnvoll ist
Eine Vorlage reicht für viele Unternehmen aus, aber es gibt Situationen, in denen es ratsam ist, einen Juristen hinzuzuziehen: bei internationalen Datenübermittlungen, bei der Verarbeitung sensibler Kategorien oder wenn ein Kunde oder Versicherer explizit einen Kommentar bei einer Ausschreibung verlangt. In diesen Fällen wiegt der Preis einer Überprüfung in der Regel gegen die Zeit auf, die Sie für die eigenständige Ermittlung der richtigen Formulierung aufbringen würden. Die Autoriteit Persoonsgegevens veröffentlicht Richtlinien, die angeben, worauf Aufsichtsbehörden achten; diese Nachweise sind bei jedem Thema in der Wissensdatenbank vermerkt, so dass Sie selbst nachprüfen können, woher eine Aussage stammt.
Die Datenschutzerklärung steht nicht für sich allein
Ein Text, der stimmt, ist noch kein Beweis dafür, dass Sie auch das tun, was darin steht. Aufsichtsbehörden und in der Praxis auch Kunden und Versicherer schauen immer häufiger auf die Begründung dahinter: Gibt es ein Register, gibt es Datenverarbeitungsverträge mit den Tools, die Sie nennen, und gibt es ein Verfahren für den Fall, dass eine betroffene Person um Auskunft ersucht. Wie diese Komponenten zusammenhängen und woher welche Informationen kommen, lesen Sie auf der Seite, die erklärt, wie das System aufgebaut ist.
Möchten Sie zunächst wissen, wo Ihr Unternehmen genau steht, bevor Sie Geld für Maßanfertigungen ausgeben? Der kostenlose Quick-Check gibt in ein paar Fragen einen Anhaltspunkt, ohne dass Sie sich anmelden müssen. Für konkrete Zweifel an Ihrem eigenen Text bleiben ein Rechtsanwalt oder die Autoriteit Persoonsgegevens der richtige Ansprechpartner.