Ratgeber Rechtliches ohne Angst
Datenschutzerklärung: was tatsächlich reingehört
Kurz gesagt
Eine Datenschutzerklärung muss zu Ihrer Website passen, nicht zu einer beliebigen. Kopierte Muster nennen Dienste, die Sie nicht nutzen, und verschweigen die, die Sie nutzen. Beides ist ein Problem. Der beste Weg ist andersherum gedacht: Bauen Sie die Seite so, dass wenig zu erklären ist. Wer Schriften selbst hostet und keine externen Dienste einbindet, hat eine kurze Erklärung und keine Sorgen.
Die Datenschutzerklärung ist der Teil der Website, den niemand liest und den fast jeder falsch macht. Das Grundproblem: Die meisten sind kopiert, und ein kopiertes Muster beschreibt eine andere Website als Ihre.
Warum kopierte Muster gefährlich sind
Ein Muster aus dem Internet enthält typischerweise Abschnitte zu Facebook-Pixel, Google Ads, Newsletter-Versand und Chat-Diensten. Nutzen Sie die nicht, erklären Sie Verarbeitungen, die nicht stattfinden. Das ist unsauber, aber harmlos.
Das echte Problem ist die andere Richtung: Ihre Seite lädt Schriften von Google nach, bindet eine Google-Karte ein oder betreibt ein Kontaktformular über einen externen Dienst. Wenn davon nichts in Ihrer Erklärung steht, fehlt genau die Angabe, auf die es ankommt.
Der bessere Ansatz: weniger zu erklären haben
Bevor Sie über die Erklärung nachdenken, reduzieren Sie das, was zu erklären ist:
| Statt | Besser | Effekt |
|---|---|---|
| Google Fonts nachladen | Schriften selbst hosten | ein Abschnitt weniger, kein Datenabfluss |
| Google Maps einbinden | Standortbild plus Link zur Karte | kein Drittanbieter, keine Einwilligung nötig |
| YouTube-Video einbetten | Vorschaubild mit Link | kein Tracking beim Seitenaufruf |
| Externer Formular-Dienst | Formular öffnet das Mailprogramm | keine Auftragsverarbeitung nötig |
| Analytics ohne Einwilligung | Analytics erst nach Zustimmung | rechtssicher statt riskant |
Jede Zeile spart Ihnen einen Abschnitt in der Erklärung und ein Risiko.
Die Abschnitte, die eine typische Betriebswebsite braucht
- Verantwortlicher. Name, Anschrift, Kontakt. Bei einem Handwerksbetrieb ist kein Datenschutzbeauftragter nötig, das können Sie kurz erwähnen.
- Server-Logfiles. Beim Aufruf werden technisch notwendige Daten gespeichert: IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser. Rechtsgrundlage ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Nennen Sie die Speicherdauer.
- Hosting. Wer betreibt den Server? Mit dem Hoster muss ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO bestehen. Den bekommen Sie beim Anbieter, meist per Klick im Kundenkonto.
- Verschlüsselung. Ein Satz zur TLS-Verschlüsselung.
- Kontaktaufnahme. Was passiert mit den Daten aus Formular, E-Mail und Telefon, wie lange werden sie aufbewahrt.
- Cookies und Speicherung im Browser. Was wird gespeichert und warum. Wenn nichts über technisch Notwendiges hinaus gespeichert wird, schreiben Sie genau das.
- Eingebundene Dienste. Je Dienst: Anbieter, Zweck, Rechtsgrundlage, Datenübermittlung in Drittländer, Widerrufsmöglichkeit.
- Ihre Rechte. Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch, Widerruf.
- Beschwerderecht. Mit Nennung der zuständigen Aufsichtsbehörde. Für niedersächsische Betriebe ist das die Landesbeauftragte für den Datenschutz Niedersachsen in Hannover.
Der häufigste konkrete Fehler
Analytics lädt, bevor jemand zugestimmt hat. Ein Cookie-Banner erscheint, aber das Tracking-Skript ist da längst gestartet. Damit ist der Banner kein Einwilligungsmanagement, sondern ein Beleg dafür, dass ohne Einwilligung verarbeitet wurde.
Prüfen Sie das selbst: Öffnen Sie Ihre Seite in einem privaten Fenster, klicken Sie nichts an, und schauen Sie in den Entwicklerwerkzeugen des Browsers unter Netzwerk nach, ob Anfragen an google-analytics.com oder googletagmanager.com gehen. Wenn ja, haben Sie ein Problem, unabhängig davon, was Ihr Banner anzeigt. Details unter Braucht meine Seite einen Cookie-Banner?.
Wo die Erklärung stehen muss
- Von jeder Seite erreichbar, üblicherweise über die Fußzeile
- Klar als "Datenschutz" oder "Datenschutzerklärung" bezeichnet
- Als Text, nicht als PDF oder Bild
- Verlinkt aus dem Kontaktformular, direkt bei der Zustimmung
Wie ich es handhabe
Bei meinen Projekten schreibe ich die Erklärung passend zu dem, was tatsächlich eingebaut ist, und halte die Zahl der externen Dienste so klein wie möglich. Schriften liegen immer auf dem eigenen Server. Wenn Statistik gewünscht ist, wird sie erst nach Einwilligung geladen, nicht vorher. Das ist in der Website enthalten und kostet nicht extra.
Hinweis: Ich bin Webdesigner, kein Anwalt. Dieser Beitrag gibt den Stand vom August 2026 wieder und ersetzt keine Rechtsberatung. Bei Unsicherheit fragen Sie Ihre Handwerkskammer, Ihre IHK oder einen Fachanwalt. Beide Kammern beraten Mitglieder zu diesen Fragen kostenlos.
Häufige Rückfragen
Reicht ein kostenloser Generator aus dem Internet?
Als Grundgerüst ja, als fertiges Ergebnis nein. Ein Generator kennt Ihre Website nicht. Sie müssen anschließend prüfen, ob jeder genannte Dienst wirklich eingesetzt wird und ob jeder eingesetzte Dienst genannt ist. Genau dieser Abgleich wird meistens übersprungen.
Brauche ich einen Auftragsverarbeitungsvertrag mit meinem Hoster?
Ja. Den stellen alle gängigen Hoster bereit, meist als Dokument im Kundenkonto, das Sie einmal bestätigen. Das kostet fünf Minuten und ist Pflicht.
Was ist, wenn ich gar keine Website habe, sondern nur einen Google-Eintrag?
Dann gelten für den Eintrag die Regeln von Google. Sobald Sie eine eigene Website betreiben, brauchen Sie Impressum und Datenschutzerklärung, unabhängig von deren Umfang.
Webdesigner aus Wildeshausen. Baut Websites für Handwerk, Maschinenbau und Mittelstand im Landkreis Oldenburg. Mehr über mich oder direkt eine Frage stellen.