Warum ist die Lücke zwischen Technik und Text so gefährlich?

Weil sie sich von außen beweisen lässt. Für den Vorwurf „Ihre Datenschutzerklärung ist zu knapp" braucht es eine juristische Bewertung. Für den Vorwurf „Ihre Seite lädt den Meta-Pixel, und Ihre Erklärung erwähnt ihn mit keinem Wort" genügen zwei Screenshots. Diese Kombination ist deshalb der Ausgangspunkt vieler Abmahnungen und Beschwerden bei Aufsichtsbehörden — sie kostet den Absender fast keine Arbeit.

Muss jeder eingebundene Dienst namentlich in der Erklärung stehen?

Art. 13 DSGVO verlangt Angaben zu den Empfängern oder Kategorien von Empfängern personenbezogener Daten. Die Aufsichtsbehörden und die Rechtsprechung verlangen bei Drittdiensten in aller Regel die konkrete Nennung: welcher Dienst, welcher Anbieter, welche Daten, auf welcher Rechtsgrundlage, wohin übermittelt und wie lange gespeichert. Ein Sammelsatz über „technisch notwendige Dienstleister" genügt dafür nicht.

Reicht es, wenn die Dienste erst nach der Einwilligung laden?

Für die Frage des § 25 TDDDG ja — dann feuert nichts vor der Einwilligung, und das ist der entscheidende Punkt. Die Informationspflicht bleibt davon aber unberührt: Auch ein Dienst, der erst nach dem Klick auf „Akzeptieren" lädt, muss in der Datenschutzerklärung beschrieben sein, damit die Einwilligung überhaupt informiert ist. Dieser Test sieht solche Dienste übrigens nicht — er liest den Quelltext vor jeder Einwilligung.

Was gehört außer den Diensten noch in eine Datenschutzerklärung?

Der Verantwortliche mit Kontaktdaten, gegebenenfalls der Datenschutzbeauftragte, Zweck und Rechtsgrundlage jeder Verarbeitung, berechtigte Interessen wo darauf gestützt wird, Empfänger, Übermittlungen in Drittländer samt Garantien, Speicherdauer oder deren Kriterien, die Betroffenenrechte einschließlich Widerruf und Widerspruch, das Beschwerderecht bei einer Aufsichtsbehörde und Angaben zu automatisierten Entscheidungen, falls es welche gibt.

Sind Generator-Texte ausreichend?

Als Gerüst sind sie brauchbar, als fertiger Text selten. Der typische Fehler ist nicht ein schlechter Baustein, sondern ein unvollständiger Satz von Bausteinen: Der Generator wurde einmal ausgefüllt, danach kam ein Chat-Widget, ein Buchungstool oder ein neues Theme mit eingebauten Schriften dazu — und der Text blieb stehen. Genau diese Abweichung findet dieser Abgleich.

Kostenloses Werkzeug

Datenschutz-Abgleich

Der Test macht zwei Dinge auf einmal: Er liest aus dem Quelltext, welche Fremddienste Ihre Seite beim Aufruf lädt, und er sucht Ihre Datenschutzerklärung. Dann vergleicht er beides — und zeigt jeden Dienst, der Daten überträgt, ohne in der Erklärung vorzukommen.

Warum der Abgleich und nicht nur eine Checkliste

Eine Datenschutzerklärung lässt sich schlecht automatisch bewerten. Ob ein Absatz zum Zweck der Verarbeitung „ausreichend" ist, entscheidet am Ende ein Gericht. Was sich dagegen sauber feststellen lässt, ist ein Widerspruch: Auf der Seite läuft ein Dienst, und im Text steht er nicht. Das ist kein Ermessensspielraum, das ist eine Lücke — und sie ist von außen belegbar, ohne Zugang zu Ihrer Website.

Deshalb ist dieser Befund derjenige, der in Beschwerden und Abmahnungen am häufigsten auftaucht. Er kostet den Absender nichts: Quelltext aufrufen, Datenschutzseite aufrufen, Strg+F.

Was geprüft wird

Erhoben werden Tracking-Dienste (Google Analytics, Tag Manager, Meta-Pixel, TikTok, Hotjar, LinkedIn), einwilligungspflichtige Einbettungen (YouTube, Google Maps, reCAPTCHA, Vimeo, Facebook- und Instagram-Widgets), Google Fonts — auch wenn sie erst über ein Stylesheet nachgeladen werden — und Font Awesome vom CDN. Anschließend wird die Datenschutzerklärung auf die Pflichtangaben aus Art. 13 DSGVO abgeklopft: Verantwortlicher, Rechtsgrundlagen, Betroffenenrechte, Beschwerderecht, Speicherdauer, Hosting und Drittlandübermittlung.

Was er nicht sieht

Der Test liest den statischen Quelltext, den Ihr Server ausliefert. Dienste, die erst ein Consent-Tool nach dem Klick auf „Akzeptieren" nachlädt, tauchen darin nicht auf — das ist für die Frage nach § 25 TDDDG sogar das gewünschte Verhalten, heißt aber, dass Ihre Erklärung mehr Dienste beschreiben muss, als dieser Test findet. Umgekehrt gilt: Was hier als „erwähnt" durchgeht, ist damit noch nicht vollständig und korrekt beschrieben — geprüft wird nur, ob der Name überhaupt vorkommt.

Ob ein Tracker vor der Einwilligung feuert, klärt der Tracker-Check zusammen mit dem Netzwerk-Tab Ihres Browsers. Die Pflichtangaben der anderen Rechtstextseite prüft der Impressum-Check. Den Hintergrund haben wir im Ratgeber Datenschutzerklärung für die Website aufgeschrieben.

Warum ist die Lücke zwischen Technik und Text so gefährlich?: Weil sie sich von außen beweisen lässt. Für den Vorwurf „Ihre Datenschutzerklärung ist zu knapp" braucht es eine juristische Bewertung. Für den Vorwurf „Ihre Seite lädt den Meta-Pixel, und Ihre Erklärung erwähnt ihn mit keinem Wort" genügen zwei Screenshots. Diese Kombination ist deshalb der Ausgangspunkt vieler Abmahnungen und Beschwerden bei Aufsichtsbehörden — sie kostet den Absender fast keine Arbeit.
Muss jeder eingebundene Dienst namentlich in der Erklärung stehen?: Art. 13 DSGVO verlangt Angaben zu den Empfängern oder Kategorien von Empfängern personenbezogener Daten. Die Aufsichtsbehörden und die Rechtsprechung verlangen bei Drittdiensten in aller Regel die konkrete Nennung: welcher Dienst, welcher Anbieter, welche Daten, auf welcher Rechtsgrundlage, wohin übermittelt und wie lange gespeichert. Ein Sammelsatz über „technisch notwendige Dienstleister" genügt dafür nicht.
Reicht es, wenn die Dienste erst nach der Einwilligung laden?: Für die Frage des § 25 TDDDG ja — dann feuert nichts vor der Einwilligung, und das ist der entscheidende Punkt. Die Informationspflicht bleibt davon aber unberührt: Auch ein Dienst, der erst nach dem Klick auf „Akzeptieren" lädt, muss in der Datenschutzerklärung beschrieben sein, damit die Einwilligung überhaupt informiert ist. Dieser Test sieht solche Dienste übrigens nicht — er liest den Quelltext vor jeder Einwilligung.
Was gehört außer den Diensten noch in eine Datenschutzerklärung?: Der Verantwortliche mit Kontaktdaten, gegebenenfalls der Datenschutzbeauftragte, Zweck und Rechtsgrundlage jeder Verarbeitung, berechtigte Interessen wo darauf gestützt wird, Empfänger, Übermittlungen in Drittländer samt Garantien, Speicherdauer oder deren Kriterien, die Betroffenenrechte einschließlich Widerruf und Widerspruch, das Beschwerderecht bei einer Aufsichtsbehörde und Angaben zu automatisierten Entscheidungen, falls es welche gibt.
Sind Generator-Texte ausreichend?: Als Gerüst sind sie brauchbar, als fertiger Text selten. Der typische Fehler ist nicht ein schlechter Baustein, sondern ein unvollständiger Satz von Bausteinen: Der Generator wurde einmal ausgefüllt, danach kam ein Chat-Widget, ein Buchungstool oder ein neues Theme mit eingebauten Schriften dazu — und der Text blieb stehen. Genau diese Abweichung findet dieser Abgleich.