Was muss in meine Datenschutzerklärung?

Hinweis: Das ist ein praktischer Überblick mit Stand Oktober 2026 und keine Rechtsberatung. Für deinen konkreten Fall, besonders bei Gesundheitsdaten oder vielen Tools, frag eine Anwältin, einen Anwalt oder eine Datenschutzberatung.

Worum es geht und wen es betrifft

Die Datenschutzerklärung erklärt Besuchern, was deine Website mit ihren Daten macht. Die Pflicht dazu steht in Artikel 13 der Datenschutz-Grundverordnung (DSGVO): Wer personenbezogene Daten erhebt, muss die Betroffenen dabei informieren. Personenbezogen ist alles, was sich einer Person zuordnen lässt, auch eine IP-Adresse.

Weil schon jeder Seitenaufruf eine IP-Adresse an den Server übermittelt, braucht praktisch jede geschäftliche Website eine Datenschutzerklärung. Das gilt für die Coachin mit fünf Unterseiten genauso wie für die Kanzlei mit Bewerbungsformular. Die Datenschutzerklärung ist eine eigene Seite, getrennt vom Impressum, und von jeder Seite aus verlinkt.

Fehlt sie oder ist sie falsch, drohen drei Dinge: Prüfungen durch die Datenschutzaufsicht mit Bußgeldern nach Art. 83 DSGVO, Abmahnungen und Schadensersatzforderungen von Betroffenen nach Art. 82 DSGVO. Für die meisten kleinen Unternehmen ist das Risiko einer Abmahnung oder Beschwerde realistischer als ein hohes Bußgeld. Ernst nehmen solltest du alle drei.

1 Bestandsaufnahme: welche Daten fließen

Die beste Datenschutzerklärung beschreibt genau das, was auf deiner Website passiert. Nicht mehr und nicht weniger. Deshalb beginnst du nicht mit dem Text, sondern mit einer Liste aller Dienste.

1. Notiere alles, was Daten aufnimmt: Kontaktformular, Terminbuchung, Newsletter-Anmeldung, Chat, Bewerbungsformular.
2. Notiere alles, was von außen geladen wird: Schriften, Karten, Videos, Analyse, Werbe-Pixel, Bewertungs-Widgets.
3. Öffne deine Website im privaten Browserfenster, drück F12 und wechsle in den Entwicklertools auf den Reiter „Netzwerk“. Lade die Seite neu. Jede fremde Domain in der Liste, etwa fonts.googleapis.com oder youtube.com, ist ein Dienst, der in die Erklärung gehört.
4. Frag bei deinem Webdesigner nach Plugins und Einbindungen, die du nicht sofort siehst.
5. Kläre für jeden Dienst, wo der Anbieter sitzt und ob du einen Vertrag zur Auftragsverarbeitung brauchst.

Die Tabelle zeigt typische Bausteine einer Dienstleister-Website. Die Rechtsgrundlagen sind die üblichen Einordnungen, im Einzelfall kann es anders liegen.

Dienst	Typische Daten	Übliche Rechtsgrundlage	Worauf du achtest
Hosting und Server-Logfiles	IP-Adresse, Zeitpunkt, Browser	berechtigtes Interesse, Art. 6 Abs. 1 lit. f	AVV mit dem Hoster, Speicherdauer der Logs
Kontaktformular	Name, E-Mail, Nachricht	Vertragsanbahnung, lit. b, sonst lit. f	AVV mit Hoster oder Formulardienst
Newsletter	E-Mail, Anmeldezeitpunkt	Einwilligung, lit. a	Double-Opt-in, AVV mit dem Tool
Online-Terminbuchung	Name, E-Mail, Termin	Vertrag, lit. b	AVV, Serverstandort
Google Analytics, Werbe-Pixel	Online-Kennungen, Nutzungsdaten	Einwilligung, lit. a, und § 25 TDDDG	Cookie-Banner, Drittlandübermittlung
YouTube, Google Maps	IP-Adresse, Cookies	Einwilligung, lit. a	erst nach Klick laden

Zu den Begriffen: Eine Rechtsgrundlage ist der Grund, aus dem du Daten verarbeiten darfst. Art. 6 DSGVO kennt dafür unter anderem die Einwilligung (lit. a), die Erfüllung oder Anbahnung eines Vertrags (lit. b), eine rechtliche Pflicht (lit. c) und ein berechtigtes Interesse, das die Interessen der Besucher nicht überwiegt (lit. f).

2 Die Pflichtangaben nach Art. 13 DSGVO

Aus der Bestandsaufnahme wird der Text. Art. 13 DSGVO legt fest, was mindestens drinstehen muss:

• Verantwortlicher: Name und Kontaktdaten, also dieselben Angaben wie im Impressum.
• Datenschutzbeauftragter: dessen Kontaktdaten, falls du einen hast. Pflicht ist ein Datenschutzbeauftragter nach § 38 BDSG in der Regel, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder bei besonders riskanten Verarbeitungen.
• Zwecke und Rechtsgrundlagen: für jeden Dienst, wofür die Daten genutzt werden und auf welcher Grundlage.
• Berechtigte Interessen: welche, wenn du dich auf lit. f stützt.
• Empfänger: wer die Daten bekommt, etwa Hoster, Newsletter-Anbieter oder Google.
• Drittlandübermittlung: ob Daten in Länder außerhalb der EU und des EWR gehen und auf welcher Grundlage.
• Speicherdauer: wie lange du Daten aufbewahrst oder nach welchen Kriterien du das entscheidest.
• Rechte der Besucher: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nach den Artikeln 15 bis 18, 20 und 21 DSGVO.
• Widerruf: dass eine Einwilligung jederzeit für die Zukunft widerrufen werden kann.
• Beschwerderecht: das Recht, sich bei einer Datenschutzaufsicht zu beschweren. Üblich ist, die zuständige Behörde zu nennen, in Köln etwa die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.
• Pflicht zur Angabe: ob Besucher Daten angeben müssen und was passiert, wenn sie es nicht tun.
• Automatisierte Entscheidungen: ob es Profiling oder automatisierte Einzelentscheidungen gibt. Bei den meisten Dienstleister-Websites lautet die Antwort nein.

Sonderfall USA

Viele Dienste kommen von US-Anbietern. Für Übermittlungen in die USA gibt es seit Juli 2023 einen Angemessenheitsbeschluss der EU-Kommission, das EU-US Data Privacy Framework. Er gilt für US-Unternehmen, die sich darunter zertifiziert haben. Das Gericht der EU hat eine Klage dagegen im September 2025 abgewiesen, ein Rechtsmittel beim Europäischen Gerichtshof ist Stand Oktober 2026 noch anhängig. Nenne in der Erklärung, worauf du dich stützt, und prüfe den Abschnitt, falls sich die Rechtslage ändert.

3 Klar schreiben und sinnvoll gliedern

Art. 12 DSGVO verlangt eine präzise, verständliche Sprache. Eine Datenschutzerklärung darf lang sein, sie muss aber auffindbar gegliedert sein. Ein bewährter Aufbau:

1. Verantwortlicher und Kontakt
2. Allgemeines: Hosting, Server-Logfiles, Verschlüsselung
3. Kontakt per Formular, E-Mail, Telefon oder WhatsApp
4. Einzelne Dienste, jeweils mit Zweck, Rechtsgrundlage, Empfänger, Drittland und Speicherdauer
5. Cookies und Einwilligung, mit Verweis auf die Cookie-Einstellungen
6. Rechte der Besucher und Beschwerderecht
7. Stand der Erklärung, etwa „Stand: Oktober 2026“

Schreib nur auf, was du wirklich nutzt. Eine Erklärung, die 40 Dienste aufzählt, von denen du drei verwendest, ist nicht vorsichtiger, sondern falsch. Sie zeigt außerdem, dass niemand sie geprüft hat.

4 Generator, Vorlage oder Kanzlei

Für die meisten kleinen Websites reicht ein seriöser Generator, wenn die Bestandsaufnahme vollständig ist. Je mehr Daten und je sensibler, desto eher lohnt sich eine Kanzlei.

Deine Situation	Sinnvoller Weg
Info-Website mit Kontaktformular, ohne Tracking	kostenloser Generator oder einfaches Abo, selbst geprüft
zusätzlich Analyse, Newsletter, Terminbuchung	Generator mit Aktualisierungsdienst, jährliche Durchsicht
Gesundheitsdaten, etwa in Praxen oder Therapie, Bewerbungsportal, Onlineshop	anwaltliche Erstellung oder Prüfung
viele Tools, Automationen, KI-Dienste	Datenschutzberatung mit Blick auf die Datenflüsse

Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonderen Kategorien. Wenn deine Website danach fragt, etwa „Worum geht es in deiner Therapie?“, gelten strengere Regeln. Hier ersetzt ein Generator keine Beratung.

5 Einbinden und aktuell halten

• Link „Datenschutz“ oder „Datenschutzerklärung“ im Footer jeder Seite, neben dem Impressum.
• Ein Hinweis mit Link direkt am Kontaktformular. Was dort sonst gilt, steht unter Kontaktformular und Datenschutz.
• Der Cookie-Banner darf Impressum und Datenschutzerklärung nicht verdecken und sollte beide verlinken. Mehr dazu unter Brauche ich einen Cookie-Banner.
• Die Erklärung als Text auf der Website, nicht als PDF-Download.

Aktualisieren musst du sie bei jeder Änderung an den Datenflüssen: neues Tool, neues Plugin, Wechsel des Hosters, neuer Newsletter-Anbieter, eingebettetes Video.

Beispiel: Ein Coach in Köln ergänzt seine Website um eine Online-Terminbuchung. Er schließt mit dem Buchungsanbieter einen Vertrag zur Auftragsverarbeitung, ergänzt in der Datenschutzerklärung einen Abschnitt mit Zweck, Rechtsgrundlage, Serverstandort und Speicherdauer und setzt das Datum auf den aktuellen Monat. Aufwand: etwa 30 Minuten.

Wann so ein Vertrag nötig ist, erklärt Wann brauche ich einen Vertrag zur Auftragsverarbeitung.

Häufige Fehler und wie du sie vermeidest

• Kopierte Erklärung einer anderen Website: Sie beschreibt fremde Dienste und stimmt fast nie.
• Veraltete Gesetzesnamen: TTDSG heißt seit Mai 2024 TDDDG, das TMG wurde durch das DDG ersetzt. Ein alter Name ist kein Drama, zeigt aber, dass der Text lange nicht gepflegt wurde.
• Privacy Shield als Grundlage: Das alte Abkommen hat der EuGH 2020 gekippt. Wer sich noch darauf beruft, hat einen veralteten Text.
• Dienste fehlen: Häufig vergessen werden Google Fonts, eingebettete Karten, Chat-Widgets und Spam-Schutz wie reCAPTCHA. Wie du solche Einbindungen sauber löst, steht unter Darf ich Google Fonts, Maps und YouTube einbinden.
• Keine Speicherdauer: „So lange wie nötig“ allein ist zu vage. Nenne Fristen oder Kriterien.
• Erklärung nur auf Englisch: Für eine deutschsprachige Website gehört sie auf Deutsch dazu.

Kosten und Zeitaufwand

Die Bestandsaufnahme dauert für eine typische Dienstleister-Website ein bis zwei Stunden, mit Hilfe deines Webdesigners oft weniger. Mit einem Generator hast du danach in 30 bis 60 Minuten einen ersten Text, den du noch einmal gegen deine Liste liest.

Kostenlose Generatoren gibt es, oft mit Pflicht zur Quellenangabe. Abos mit Aktualisierung bei Gesetzesänderungen kosten Stand Oktober 2026 grob zwischen 15 und 80 Euro im Monat, je nach Umfang. Eine anwaltliche Erstellung oder Prüfung liegt je nach Komplexität im niedrigen bis mittleren dreistelligen Bereich, bei Praxen, Shops oder vielen Tools auch darüber. Plane danach etwa eine Stunde pro Jahr für die Durchsicht ein.

Woran du erkennst, dass deine Erklärung stimmt

• Jede fremde Domain aus dem Netzwerk-Reiter taucht in der Erklärung auf.
• Kein Dienst steht drin, den du nicht nutzt.
• Für jeden Dienst sind Zweck, Rechtsgrundlage, Empfänger und Speicherdauer genannt.
• US-Dienste haben eine Angabe zur Übermittlungsgrundlage, kein „Privacy Shield“.
• Für jeden Auftragsverarbeiter liegt ein AVV vor.
• Rechte, Widerruf und Beschwerderecht sind beschrieben.
• Der Link „Datenschutz“ ist auf jeder Seite und am Formular erreichbar.
• Ganz unten steht ein aktuelles Datum.

Stimmen alle Punkte, beschreibt deine Erklärung, was auf deiner Website tatsächlich passiert. Genau das ist ihr Zweck.

Häufige Folgefragen

Reicht ein Datenschutz-Generator?

Für eine einfache Website meistens ja, wenn du alle Dienste korrekt auswählst. Bei Gesundheitsdaten, Shops oder vielen Tools lass den Text anwaltlich prüfen.

Brauche ich einen Datenschutzbeauftragten?

In der Regel erst, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten zu tun haben, oder bei besonders riskanten Verarbeitungen. Die meisten Selbstständigen brauchen keinen.

Ersetzt der Cookie-Banner die Datenschutzerklärung?

Nein. Der Banner holt Einwilligungen ein, die Datenschutzerklärung erklärt alle Verarbeitungen. Du brauchst beides, wenn du einwilligungspflichtige Dienste nutzt.

Brauche ich für LinkedIn oder Instagram eine eigene Datenschutzerklärung?

Für geschäftliche Profile empfiehlt sich ein eigener Abschnitt in deiner Datenschutzerklärung, auf den du im Profil verlinkst. Bei Unternehmensseiten in sozialen Netzwerken kann eine gemeinsame Verantwortung mit dem Plattformbetreiber bestehen.

Wie oft muss ich sie aktualisieren?

Bei jeder Änderung an Tools oder Datenflüssen sofort, sonst mindestens einmal im Jahr zur Durchsicht.

Muss die Erklärung „Stand“ und Datum enthalten?

Vorgeschrieben ist das nicht, aber hilfreich. Ein Datum zeigt dir und Besuchern, wann zuletzt jemand geprüft hat.

Wie quik dabei hilft

Beim Bau einer Website wissen wir genau, welche Dienste wir einbinden, und dokumentieren das bei der Übergabe. Damit hast du die Bestandsaufnahme für deine Datenschutzerklärung schon in der Hand. Den Rechtstext selbst erstellst du mit einem Generator oder lässt ihn von einer Kanzlei prüfen, denn Rechtsberatung leisten wir nicht. Wenn du dazu Fragen hast, sprich uns über Kontakt an.