Abmahn-Infos · Stand Oktober 2026

Datenschutzerklärung für die Website: Pflicht, typische Lücken — der häufigste Abmahngrund überhaupt

Die Datenschutzerklärung muss jeden Dienst nennen, den die Seite tatsächlich nutzt — und genau daran scheitern die meisten. Warum Generator-Texte veralten und wie Sie selbst prüfen.

Eine Datenschutzerklärung schützt vor einer Abmahnung nur, wenn sie zu dem passt, was Ihre Seite tatsächlich tut: Jeder Dienst, der Besucherdaten verarbeitet, muss darin stehen, und jeder genannte Dienst muss auch laufen. Ob das stimmt, finden Sie in wenigen Schritten selbst heraus: Netzwerk-Reiter öffnen, fremde Domains notieren, mit dem Text abgleichen. Die Formulierung selbst ist Sache einer Anwältin oder eines Anwalts. Die technische Bestandsaufnahme aller Seitentypen übernimmt das Abmahnsicher-Komplettpaket.

Worum es geht

Art. 13 und 14 DSGVO verpflichten jeden Website-Betreiber, Besucher darüber zu informieren, welche personenbezogenen Daten die Seite verarbeitet, zu welchem Zweck und an wen sie fließen. Das klingt nach Formalie, ist aber der häufigste Abmahngrund in der Praxis — aus einem einfachen Grund: Ob die Datenschutzerklärung zur Seite passt, kann jeder von außen prüfen. Man öffnet den Netzwerk-Tab des Browsers, sieht, wohin die Seite Daten schickt, und vergleicht mit dem Text. Jede Abweichung ist dokumentiert und abmahnfähig — und auch Mitbewerber können Datenschutzverstöße abmahnen, wenn die Voraussetzungen des UWG vorliegen.

Das Tückische: Eine Datenschutzerklärung ist nie „fertig”. Sie beschreibt einen Zustand — und der ändert sich mit jedem Plugin, jedem Theme-Wechsel, jedem neuen Formular.

Was hinein muss

Vollständig ist die Erklärung erst, wenn sie jeden tatsächlich eingesetzten Dienst benennt. Die typische Liste einer WordPress-Seite:

  • Hosting — wer der Hoster ist und dass Server-Logfiles anfallen
  • Kontakt- und Kommentarformulare — was mit den eingegebenen Daten passiert
  • Eingebettete Inhalte — YouTube, Google Maps, Vimeo, Social-Media-Widgets
  • Schriften und CDNs — Google Fonts, Font Awesome, jQuery von fremden Servern
  • Tracking und Statistik — Google Analytics, Matomo, Meta-Pixel
  • Newsletter-Dienste — Mailchimp, Brevo, CleverReach samt Double-Opt-in
  • Sicherheits- und Spam-Plugins — reCAPTCHA, Cloudflare, Wordfence
  • Shop- und Zahlungsdienste — falls vorhanden: Stripe, PayPal, WooCommerce

Fehlt einer dieser Punkte, obwohl der Dienst nachweislich läuft, ist die Erklärung fehlerhaft — egal wie professionell der Rest klingt.

Wortlaut: Art. 13 Abs. 1 und Art. 12 Abs. 1 DSGVO (abgerufen am 11.10.2026)

Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit: den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters; […] die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung; […] gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten […]

— Art. 13 Abs. 1 DSGVO, dsgvo-gesetz.de

Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 […] in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln […]

— Art. 12 Abs. 1 DSGVO, dsgvo-gesetz.de

Warum Generator-Texte veralten

Die meisten Datenschutzerklärungen stammen aus einem Generator, und am Tag ihrer Erstellung stimmen sie oft sogar. Das Problem ist WordPress selbst: Jedes neue Plugin kann neue Datenflüsse mitbringen. Ein Formular-Plugin lädt reCAPTCHA nach, ein Slider zieht Schriften von Google, ein Statistik-Plugin setzt Cookies — und die Erklärung von vor zwei Jahren weiß von alledem nichts. Der Generator kann nicht wissen, was Sie seither installiert haben. Die Erklärung veraltet nicht durch Rechtsänderungen (auch, aber seltener), sondern durch Ihre eigene Seite.

Selbst prüfen: die Abhak-Liste

  1. Netzwerk-Tab öffnen: F12 drücken, Reiter Netzwerk, Seite neu laden. Notieren Sie alle fremden Domains, zu denen Verbindungen aufgebaut werden. Schneller geht es mit unserem kostenlosen Website-Check, der Drittanbieter automatisch auflistet.
  2. Plugin-Liste durchgehen: Welche Plugins verarbeiten Besucherdaten (Formulare, Kommentare, Statistik, Sicherheit)? Steht jedes in der Erklärung?
  3. Abgleich: Kommt jede gefundene Domain und jeder Dienst im Text vor? Umgekehrt: Nennt der Text Dienste, die es gar nicht mehr gibt? Auch das wirkt nachlässig und lädt zu genauerem Hinsehen ein.
  4. Erreichbarkeit: Ist die Erklärung von jeder Seite aus mit maximal zwei Klicks erreichbar (üblich: Footer-Link auf jeder Seite — auch auf Landingpages ohne Menü)?
  5. Alle Seitentypen prüfen: Startseite, Beitrag, Kontaktseite, Shop — Dienste laden oft nur dort, wo das jeweilige Plugin aktiv ist.

Selbsttest: Passt Ihre Datenschutzerklärung zur Seite?

Haken Sie nur an, was Sie tatsächlich nachgesehen haben, nicht, was Sie vermuten.

Stimmt der Inhalt mit der Seite überein?

Auswertung: Jedes fehlende Häkchen ist eine Abweichung zwischen Text und Seite. Notieren Sie sie, sie ist die Arbeitsliste für die Anpassung.

Ist sie auffindbar und aktuell?

Auswertung: Ist hier ein Haken offen, steht das Problem meist nicht im Text, sondern in der Pflege. Legen Sie den Abgleich als festen Schritt nach jeder Plugin-Installation fest.

Was Sie sofort selbst tun können

Den technischen Teil — welche Dienste laufen wirklich — können Sie mit der Liste oben selbst erheben. Danach die Erklärung aktualisieren: entweder den Generator mit dem aktuellen Stand neu durchlaufen lassen oder die fehlenden Abschnitte ergänzen. Und den Termin wiederholen: Nach jeder Plugin-Installation kurz prüfen, ob neue Datenflüsse dazugekommen sind.

Ob die fertige Formulierung dann rechtlich trägt, prüft im Zweifel eine Anwältin oder ein Anwalt — das ist Rechtsberatung, und die leisten wir ausdrücklich nicht. Was wir leisten: die technische Bestandsaufnahme, auf der jede korrekte Erklärung aufbaut.

Wo Selbermachen aufhört

Sie schaffen allein: die Dienste finden, den Abgleich machen und die Lücken notieren. Es hört auf, wenn eine Verbindung im Theme oder in einem Plugin fest eingebaut ist (zum Beispiel Schriften von Google): Dann lässt sich der Aufruf nur im Theme oder Plugin ändern, nicht im Text. Auch die Prüfung aller Seitentypen ist Fleißarbeit, die viele auslassen. Und ob eine Formulierung rechtlich trägt, beurteilt keine Technik, sondern eine Anwältin oder ein Anwalt. Die Anleitung zu allen weiteren Prüfpunkten steht im Blog Der 20-Punkte-Abmahncheck; zu Tracking-Diensten auf der Infoseite Google Analytics und Meta-Pixel.

Unser Angebot

Der Abmahnsicher-Komplettpaket für 349 € Festpreis erhebt vollständig, was Ihre Seite an Dritte überträgt — alle Seitentypen, alle Plugins, mit Netzwerkanalyse als Beleg —, behebt die technischen Funde (externe Schriften, Embeds, vorzeitiges Tracking) und liefert Ihnen die dokumentierte Dienste-Liste, mit der Ihre Datenschutzerklärung erstmals wieder zur Realität Ihrer Seite passt.

Häufige Fragen

Was muss in einer Datenschutzerklärung mindestens stehen?

Art. 13 Abs. 1 DSGVO verlangt unter anderem „den Namen und die Kontaktdaten des Verantwortlichen“, „die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung“ und „gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten“ (dsgvo-gesetz.de, abgerufen am 11.10.2026). Weitere Pflichtangaben, etwa zur Speicherdauer und zu den Betroffenenrechten, stehen in Absatz 2. Welche Formulierung im Einzelfall genügt, klärt eine Anwältin oder ein Anwalt.

Ab wann muss ein Besucher die Information bekommen?

Nach Art. 13 Abs. 1 DSGVO teilt der Verantwortliche die Angaben „zum Zeitpunkt der Erhebung dieser Daten“ mit (dsgvo-gesetz.de, abgerufen am 11.10.2026). Für eine Website heißt das: Die Erklärung muss erreichbar sein, wenn die Seite die Daten erhebt, also schon beim ersten Aufruf und nicht erst nach einem Klick im Banner.

Wie muss die Datenschutzerklärung geschrieben sein?

Art. 12 Abs. 1 DSGVO fordert die Übermittlung „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ (dsgvo-gesetz.de, abgerufen am 11.10.2026). Ein Text, den nur Juristen verstehen, oder ein Link, der erst nach langem Suchen auffindbar ist, passt also nicht zu dieser Vorgabe.

Im Netzwerk-Reiter steht eine Domain, die ich nicht kenne. Was tun?

Suchen Sie den Domainnamen im Netz und sehen Sie nach, zu welchem Dienst er gehört. Dann deaktivieren Sie probeweise Plugins, bis die Verbindung verschwindet, und laden die Seite neu. Das Plugin oder Theme, das sie auslöst, gehört dann in die Erklärung, oder der Dienst muss weg. Lässt sich die Herkunft nicht klären, ist das ein Fall für die technische Bestandsaufnahme.

Muss ich die Erklärung nach jedem Plugin-Update erneuern?

Nicht nach jedem Update, aber nach jeder Änderung, die Besucherdaten betrifft: neues Plugin, anderes Theme, neues Formular, neuer Einbettungsdienst. Das ist unsere Arbeitsregel aus der Praxis, keine gesetzliche Frist. Dann genügt ein erneuter Blick in den Netzwerk-Reiter und ein Abgleich mit dem Text.

Zum Weiterlesen

Technik und Erklärung jetzt abgleichen →kostenlos, ohne Anmeldung