Eine Datenschutzerklärung gehört zu den Seiten, die viele Kleinunternehmer überspringen, bis ein Kontaktformular, eine eingebettete Karte oder ein Analyse-Tag sie unbemerkt zur Rechtspflicht macht. In dem Moment, in dem Ihre Website irgendetwas über ihre Besucher erfasst, haben Sie die Grenze von nette Ergänzung zu das brauchen Sie vermutlich überschritten.
Die gute Nachricht: Sie brauchen keinen Juristenjargon, um herauszufinden, wo Sie stehen. Sie müssen wissen, was Ihre Website tatsächlich erfasst, und das dann klar benennen. Nachstehend finden Sie einen Check, den Sie noch heute für Ihre eigene Website durchführen können. Ich nenne ihn die Fünf Erfassungspunkte, denn eine Datenschutzerklärung ist letztlich nichts anderes als eine ehrliche Beschreibung der Punkte, an denen Ihre Website Daten über einen Besucher erfasst.
Was leistet eine Datenschutzerklärung eigentlich?
Lässt man die juristische Sprache beiseite, beantwortet eine Datenschutzerklärung dem Lesenden ein paar einfache Fragen: Was erfassen Sie, warum, wer hat sonst noch Zugriff darauf, und wie kann man sich dazu an Sie wenden? Das sind die Fragen, die einem Leser meist am wichtigsten sind, auch wenn eine Erklärung, die einem Gesetz wie der DSGVO genügen muss, in der Regel weiter geht und etwa Ihre Rechtsgrundlage für die Erfassung, die Dauer der Speicherung, die Rechte der Menschen an ihren eigenen Daten, die Frage, ob die Daten ins Ausland gelangen, und den Weg zur Beschwerde abdeckt. Im Kern ist sie eine schlichte Aussage darüber, was mit den Daten eines Besuchers geschieht, wenn er Ihre Website nutzt.
Zwei Dinge machen sie wichtig. Erstens schreiben Datenschutzgesetze sie an vielen Orten vor, sobald Sie personenbezogene Daten erfassen, und personenbezogene Daten sind eine weite Kategorie, die etwas so Alltägliches wie eine E-Mail-Adresse oder eine IP-Adresse umfassen kann. Regelungen wie die DSGVO in Europa sind das bekannte Beispiel, doch viele Regionen haben eigene, deshalb lohnt es sich zu prüfen, was dort gilt, wo Ihre Kunden sind. Zweitens beruhigt eine klare Erklärung den Menschen am anderen Ende in der Regel. Wer überlegt, ob er Ihnen eine Anfrage schickt, kann den Unterschied zwischen einer Website, die sich erklärt, und einer, die schweigt, spüren.
So funktioniert der Fünf-Erfassungspunkte-Check
Gehen Sie die fünf Punkte unten durch und fragen Sie sich bei jedem: Trifft das auf meine Website zu? Jedes Ja ist ein Grund, warum Sie vermutlich eine Datenschutzerklärung brauchen, und etwas, das diese Erklärung beschreiben muss. Sie müssen keine juristischen Formulierungen erraten. Sie müssen wissen, welche dieser fünf Punkte auf Sie zutreffen, denn diese Liste macht den größten Teil dessen aus, was eine gute Erklärung abdeckt.
1. Haben Sie ein Kontaktformular?
Wenn ein Besucher seinen Namen, seine E-Mail-Adresse oder seine Telefonnummer auf Ihrer Website eingeben und auf Senden klicken kann, erfassen Sie personenbezogene Daten. Das ist ein häufiger Auslöser bei einer Website für Kleinunternehmen. Ein Kontaktformular, eine Angebotsanfrage, ein Rückrufkästchen: Jedes davon sammelt Informationen, die eine Person Ihnen bewusst gegeben hat.
- Prüfen Sie die Formularfelder: Name, E-Mail, Telefon, Nachricht. Notieren Sie, wonach Sie tatsächlich fragen.
- Prüfen Sie, wohin es geht: Die Einsendungen landen in der Regel in einem Postfach oder einem Tool, und Ihre Erklärung sollte festhalten, dass Sie die Angaben zum Antworten nutzen und nicht für etwas, das der Besucher nicht erwartet hat.
2. Messen Sie Ihre Besucher mit Analyse-Tools?
Wenn Sie jemals einen Code-Schnipsel eingebunden haben, um zu sehen, wie viele Menschen Ihre Website besuchen, woher sie kommen oder welche Seiten sie lesen, betreiben Sie Webanalyse. Analyse-Tools erfassen in der Regel Daten über jeden Besucher, oft im Auftrag eines anderen Unternehmens.
- Prüfen Sie auf einen Tracking-Schnipsel: Alles, was Sie oder ein Entwickler eingebunden haben, um Besuche zu zählen oder Verhalten zu verfolgen, zählt hierzu.
- Prüfen Sie, wer es betreibt: Wenn ein Drittanbieter-Tool Ihre Zugriffe misst, sollte Ihre Erklärung angeben, dass Sie ein solches nutzen und wofür es grob dient.
3. Betten Sie Karten, Videos oder Schriftarten anderer Unternehmen ein?
Diesen Punkt übersehen manche Inhaber, weil es sich nicht anfühlt, als würde man etwas erfassen. Eine eingebettete Karte, damit Menschen Ihr Geschäft finden, ein Video von einer Videoplattform, eine von woanders geladene Schriftart, ein Social-Media-Feed: Jedes davon kann Cookies setzen oder die Daten eines Besuchers an das anbietende Unternehmen weitergeben, oft bevor der Besucher überhaupt etwas tut.
Hier kommt die Cookie-Einwilligung ins Spiel. An vielen Orten benötigen nicht notwendige Cookies die Einwilligung des Besuchers, bevor sie geladen werden, weshalb Sie Einwilligungsbanner sehen. Wenn Ihre Website Inhalte von Drittanbietern einbettet, gehören in der Regel ein Cookie-Einwilligungshinweis und ein passender Abschnitt in Ihrer Datenschutzerklärung dazu, wenn Sie es richtig machen wollen.
- Prüfen Sie Ihre Einbettungen: Karten, Videos, Schriftarten, Chat-Widgets und Social-Media-Feeds sind die üblichen Verdächtigen.
- Prüfen Sie auf ein Einwilligungsbanner: Wenn Sie nicht notwendige Cookies setzen, müssen Besucher unter Umständen zustimmen, bevor diese geladen werden.
4. Ermöglichen Sie Buchungen, Zahlungen oder Konten?
Wenn ein Kunde einen Termin buchen, Sie bezahlen oder einen Login anlegen kann, verarbeitet Ihre Website sensiblere Informationen und gibt einen Teil davon in der Regel an einen Zahlungs- oder Buchungsanbieter weiter. Diese Beziehung gehört in Ihre Erklärung.
- Prüfen Sie, was Sie erheben: Buchungsdetails, Rechnungsinformationen oder Zugangsdaten gehen alle über eine einfache Anfrage hinaus.
- Prüfen Sie, wer sie verarbeitet: Ein Zahlungs- oder Buchungsdienst verarbeitet die Daten oft in Ihrem Auftrag, und Ihre Erklärung sollte angeben, dass ein Dritter beteiligt ist.
5. Betreiben Sie einen Newsletter oder eine Mailingliste?
Ein Anmeldefeld, das jemanden zu einer Mailingliste hinzufügt, erfasst eine E-Mail-Adresse für den laufenden Kontakt, was ein anderer Zweck ist als die Beantwortung einer einmaligen Anfrage. Ihre Erklärung sollte das abdecken, und die Anmeldung selbst sollte klarmachen, wozu die Person zustimmt.
- Prüfen Sie den Zweck: Eine Adresse zu behalten, um später zu mailen, ist nicht dasselbe wie das Beantworten einer Nachricht, beschreiben Sie es also gesondert.
- Prüfen Sie die Abmeldung: Menschen können einen klaren Weg erwarten, die Liste zu verlassen, und es hilft, zu erwähnen, wie das geht.
Ehrlichkeit bei den Daten ist der Teil, der dauerhaft wirkt
Zählen Sie Ihre Antworten zusammen. Wenn auch nur einer der fünf Punkte zutrifft, und bei vielen Websites für Kleinunternehmen tut das schon das Kontaktformular, haben Sie Ihre Antwort: Sie brauchen vermutlich eine Datenschutzerklärung, und diese fünf Punkte sind der größte Teil dessen, was sie beschreiben sollte.
Woran Menschen scheitern, ist nicht die erste Fassung. Schwierig ist, dafür zu sorgen, dass sie zutreffend bleibt. Fügen Sie ein neues Buchungstool hinzu, wechseln Sie Ihr Analyse-Tool, binden Sie ein Video ein, und die Website erfasst nun etwas, das die Erklärung nicht erwähnt. Eine Datenschutzerklärung ist nur so ehrlich wie ihre letzte Aktualisierung, deshalb lohnt es sich, sie immer dann zu überprüfen, wenn Sie ändern, was Ihre Website tut. Das ist einer der unscheinbaren Gründe, warum es hilft, wenn ein Mensch sich um die technische Seite Ihrer eigenen Website auf ihrer eigenen Domain kümmert, statt anzunehmen, dass eine einmal geschriebene Seite noch zu einer Website passt, die sich seitdem verändert hat. So behandelt, ist eine Datenschutzerklärung kein juristischer Standardtext mehr, sondern wird zu dem, was sie sein sollte: eine kurze, aktuelle, ehrliche Darstellung dessen, was mit den Daten eines Besuchers geschieht, und genau das kann einen vorsichtigen Erstbesucher so weit beruhigen, dass er Sie kontaktiert.