Eine Datenschutzerklärung brauchen Unternehmen in mehreren Hinsichten. Grundsätzlich wird eine Datenschutzerklärung benötigt, wenn personenbezogene Daten verarbeitet werden. So werden personenbezogene Daten regelmäßig im Rahmen von Verträgen mit Ihren Kunden verarbeitet, wenn Sie die Daten der Kunden in einem CRM oder eine Kundendatenbank eintragen. Aber auch, wenn Sie z.B. im Rahmen Ihrer beruflichen Tätigkeit Videokonferenzsysteme einsetzen kann die Vorhaltung einer Datenschutzerklärung notwendig sein.

Die DSGVO dient dem „Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten“ (Art. 1 Abs. 1 DSGVO) und greift demnach immer dann, wenn personenbezogene Daten verarbeitet werden (Art. 2 DSGVO). Personenbezogene Daten sind gem. Art. 4 Nr. 1 DSGVO „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. Verantwortliche, also natürliche oder juristische Personen, die Daten verarbeiten, müssen immer dann eine Datenschutzerklärung vorlegen, wenn sie Daten erheben (Art. 13 DSGVO). Das gilt zum Beispiel bei einem Vertragsschluss. Die betroffenen Personen sollen wissen, welche Daten von ihnen warum und wie lange gespeichert werden. Dieser Informationspflicht kann man mit einer Datenschutzerklärung nachkommen, die dem Betroffenen präzise, transparent, verständlich und leicht zugänglich (Art. 12 DSGVO) über die Datenverarbeitung aufklärt. Durch die DSGVO sind zusätzliche Belehrungspflichten hinzugekommen, über welche man Kunden in jedem Fall informieren muss, so dass eine Datenschutzerklärung heute in nahezu jedem Fall vorgehalten werden muss.

Auch, und vielleicht sogar, insbesondere beim Betrieb einer Internetseite oder einem Social Media Kanal, wie z.B. einer Facebook Fanpage, muss eine Datenschutzerklärung auf der Internetseite vorgehalten werden. Denn beim Besuch einer Internetseite werden Datenspuren hinterlassen, welche es dem Internetseitenbetreiber ermöglichen, diese durch Analysetools auszuwerten, um z.B. das Angebot zu verbessern oder aber auch für die Werbung. Die Datenschutzerklärung dient deshalb auf einer Internetseite auch dazu, die Verarbeitung der Daten für den Besucher der Internetseite transparent zu machen. Die Herausforderung seit der Umstellung auf die DSGVO ist, dass diese Erklärung in einem leicht erreichbaren und möglichst verständlichen Text über Art und Umfang der Datenerhebung aufklären muss. Dazu muss erläutert werden, ob und welche Daten gespeichert werden und inwiefern Dritte in diese Vorgänge eingebunden sind.

Durch die Datenschutzerklärung wird der rechtskonforme Umgang mit den verarbeiteten Daten in einer rechtskonformen Information der Besucher erklärt. Ohne Relevanz ist, ob der Besucher der Internetseite die Datenschutzerklärung auch wirklich liest. Auch ist nicht von Bedeutung, ob der Internetseitenbesucher die Datenschutzerklärung und ihre Folgen in der gesamten Komplexität versteht. Wichtig ist jedoch, dass eine Datenschutzerklärung auf der eigenen Internetseite verfügbar ist, um hierdurch die gesetzlichen Informationspflichten zu erfüllen. Von besonderer Bedeutung ist die Datenschutzerklärung dann, wenn bestimmte personenbezogene Daten erhoben werden sollen, z.B. im Rahmen eines auf der Internetseite angebotenen Newsletters. In diesem Fall muss der Besucher der Internetseite aktiv in die Verarbeitung seiner personenbezogenen Daten einwilligen. Zwar ist die Einwilligung des Betroffenen hierbei ausdrücklich zu erklären, z.B. durch eine Checkbox, aber die Information über die Verarbeitung der personenbezogenen Daten beim Newsletter können dann in der Datenschutzerklärung vorgehalten werden.

Folgen einer fehlenden oder fehlerhaften Datenschutzerklärung
Fehlt eine Datenschutzerklärung insgesamt oder weist eine vorhandene Datenschutzerklärung inhaltliche oder formale Fehler auf, kann ein solcher Verstoß zu einem Verfahren der jeweils zuständigen Aufsichtsbehörde führen. Die DSGVO sieht bei Verstößen ein Bußgeld von theoretisch bis zu 20 Millionen EUR bzw. bis zu 4 % des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist.

Ob darüber hinaus auch wettbewerbsrechtliche Abmahnungen möglich sind, ist bisher noch nicht abschließend geklärt. Einige Gerichte haben wettbewerbsrechtliche Abmahnungen wegen einer fehlerhaften Datenschutzerklärung schon anerkannt und es gibt in der Rechtsprechung verschiedene Argumente, welche dafür sprechen, dass die Rechtsprechung letztlich auch dazu tendieren wird, dass eine wettbewerbsrechtliche Abmahnung möglich sein wird.

Was gehört in eine Datenschutzerklärung?
In Artikel 13 DSGVO findet sich eine Liste der Informationen, die nach der DSGVO zwingend in einer Datenschutzerklärung stehen müssen. Generell muss in der Datenschutzerklärung über die konkrete Art und Weise der Verarbeitung personenbezogener Daten aufgeklärt werden. Hierzu gehört beispielsweise die Verarbeitung der IP-Adresse, von Browser-Daten, Cookies, Webanalyse-Tools wie Google Analytics sowie Social Media Plugins.

Neben der Erläuterung Datenverarbeitung und der Darlegung des Zwecks der Datenverarbeitung, muss auch die konkret anwendbare Rechtsgrundlage genannt werden. Denn die Datenschutzgrundverordnung verlangt in Art. 13 Abs. 1 c) DSGVO neben der Angabe des Zwecks der Datennutzung auch deren Rechtsgrundlage.

In Betracht kommende Rechtsgrundlagen finden sich in Art 6 Abs. 1 DSGVO. Von Bedeutung sind insbesondere eine vom Betroffenen erteilte Einwilligung (z.B.: Eintragung in einen Newsletter-Verteiler für Erhebung der E-Mail-Adresse) und die Notwendigkeit der Vertragserfüllung. Für jede einzelne in der Datenschutzerklärung aufgelistete Datenverarbeitung sollte deshalb die entsprechende Rechtsgrundlage nach der DSGVO genannt werden.