Die europäischen Datenschutzbehörden haben sich für das Jahr 2026 ein konkretes Ziel gesetzt: Sie werden die Umsetzung der Informationspflichten gemäß Art. 12-14 DSGVO überprüfen. Im Rahmen des Coordinated Enforcement Framework (CEF) führt der Europäische Datenschutzausschuss (EDSA) koordinierte Prüfaktionen durch. Nationale Aufsichtsbehörden können freiwillig an diesen Aktionen teilnehmen und in diesem Zuge Unternehmen und Organisationen anlasslos prüfen.
Diese Ankündigung betrifft praktisch jedes Unternehmen, das personenbezogene Daten verarbeitet. Wir zeigen Ihnen, was Sie jetzt wissen müssen und wie Sie sich vorbereiten können.
Die Art. 12 bis 14 DSGVO regeln verschiedene Transparenz- und Informationspflichten, die Ihr Unternehmen erfüllen muss. In der Praxis bedeutet das: Sie müssen verständliche Datenschutzerklärungen bereitstellen, zum Beispiel auf Ihrer Website.
Datenschutzinformationen müssen grundsätzlich wie folgt gestaltet sein:
In der DSGVO werden zwei Fälle unterschieden:
Wenn Sie Daten direkt bei einer Person erheben, etwa über ein Kontaktformular auf Ihrer Website, greift Art. 13 DSGVO.
Wenn Sie Daten nicht direkt bei der Person erheben, sondern von anderen Stellen erhalten, greift hingegen Art. 14 DSGVO.
Typische Anwendungsfälle für eine Erhebung aus anderen Quellen sind:
In diesen Fällen müssen Sie den betroffenen Personen trotzdem Datenschutzinformationen zur Verfügung stellen.
Die DSGVO schreibt genau vor, welche Informationen Sie in Ihre Datenschutzerklärung aufnehmen müssen. Den Standard regelt Art. 13 DSGVO. Zu den Pflichtangaben gehören:
Bei der Erhebung aus anderen Quellen nach Art. 14 DSGVO muss zusätzlich darüber informiert werden, aus welcher Quelle die Daten stammen.
In den meisten Unternehmen werden personenbezogene Daten von vielen verschiedenen betroffenen Personen verarbeitet. Informationspflichten entstehen daher in den verschiedensten Situationen, zum Beispiel bei:
Unser Tipp: Sammeln Sie die Informationen für möglichst viele Betroffenengruppen an einem zentralen Ort. In der Praxis bietet sich hierfür die Website-Datenschutzerklärung an, in der die Informationen modular aufbereitet werden können.
Die Website-Datenschutzerklärung kann dann an den verschiedenen Stellen verlinkt werden, an denen eine Erhebung personenbezogener Daten oder ein Erstkontakt mit Betroffenen stattfindet:
In bestimmten Situationen ist ein mehrstufiger Ansatz sinnvoll. Hier können Sie zunächst die wichtigsten Informationen in kompakter Form bereitstellen und für weiterführende Details auf Ihre ausführliche Datenschutzerklärung verweisen. Dieses Vorgehen ist beispielsweise sinnvoll für:
Für besondere Betroffenengruppen wie Patienten oder Klienten kann es sinnvoll sein, separate Datenschutzhinweise zu erstellen, die speziell auf diese Gruppen zugeschnitten sind. Das erhöht die Transparenz und sorgt dafür, dass die Datenverarbeitungen insbesondere bei umfangreichen und sensiblen Datenverarbeitungen gut nachvollziehbar sind.
Es gibt Situationen, in denen Sie die Informationspflicht nicht erfüllen müssen. So entfällt die Informationspflicht beispielsweise, wenn die betroffene Person nachweislich bereits über die Informationen verfügt. Der Nachweis liegt hierbei allerdings bei Ihnen.
Eine besondere Regelung gibt es zudem für Zweckänderungen: Wenn Sie einmal erhobene Daten für einen anderen Zweck weiterverarbeiten möchten, müssen Sie die betroffene Person über diese Zweckänderung gesondert informieren. Die ursprüngliche Information reicht in diesem Fall nicht aus.
In unserer Beratungspraxis begegnen uns immer wieder die gleichen Irrtümer rund um Datenschutzerklärungen. Die wichtigsten klären wir nachfolgend auf.
Viele glauben, dass Datenschutzerklärungen unterzeichnet werden müssen oder dass man in die Datenschutzerklärung einwilligen muss. Auch die Annahme, dass Datenschutzerklärungen aktiv von den Betroffenen zur Kenntnis genommen werden müssen und dass auf Website-Formularen immer eine Checkbox für die Datenschutzerklärung vorhanden sein muss, ist falsch.
Richtig ist: Datenschutzerklärungen sind einseitige Informationen. Sie müssen nicht aktiv bestätigt oder zur Kenntnis genommen werden. Es genügt vollkommen, die Informationen zum Abruf bereitzustellen. Die betroffene Person muss lediglich die Möglichkeit haben, die Datenschutzerklärung zu lesen.
Wann immer Sie also auf Websites Ihres Unternehmens über eine Checkbox stolpern, prüfen Sie den Text dieser Checkbox.
Falsch sind Aussagen, die eine aktive Bestätigung der Datenschutzerklärung fordern, wie zum Beispiel:
Richtig formuliert sind Texte, die lediglich auf die Datenschutzerklärung hinweisen, wie beispielsweise: „Hinweise zum Datenschutz finden Sie in unserer Datenschutzerklärung.” oder „Informationen dazu, wie wir Ihre personenbezogenen Daten verarbeiten, finden Sie hier.”
Irrtum 2: „Wenn ich die Datenschutzerklärung ändere, muss ich alle Betroffenen anschreiben und über die Änderungen informieren.”
Das ist grundsätzlich nicht erforderlich. Eine aktive Information über Änderungen ist nur selten nötig, zum Beispiel bei einer Zweckänderung.
Irrtum 3: „Eine Einwilligung kann in der Datenschutzerklärung eingeholt werden.”
Das ist falsch. Eine Einwilligung in eine Datenverarbeitung ist stets separat einzuholen und darf keinesfalls in der Datenschutzerklärung versteckt werden.
Irrtum 4: „Wenn ich die Datenschutzerklärung an die Verträge hänge, sind die in der Erklärung beschriebenen Verarbeitungen automatisch rechtmäßig.”
Das ist nicht korrekt. Die Datenschutzerklärung ist nur eine Information, keine Rechtsgrundlage. Die Informationspflicht (Art. 13, 14 DSGVO) ist klar von der Prüfung der Rechtmäßigkeit einer Datenverarbeitung (Art. 6, 9 DSGVO) zu trennen.
Irrtum 5: „Wenn jemand Auskunft verlangt, genügt die Zusendung der Datenschutzerklärung, um den Anspruch zu erfüllen.”
Das stimmt ebenfalls nicht. Das Auskunftsrecht nach Art. 15 DSGVO geht deutlich weiter und verlangt konkrete Informationen zu den tatsächlich verarbeiteten Daten der anfragenden Person. Die Zusendung der Datenschutzerklärung reicht nicht aus.
In der Praxis sehen wir immer wieder folgende Fehler:
Die Lösung: Implementieren Sie feste Prozesse für die Erstellung, Veröffentlichung und Aktualisierung von Datenschutzerklärungen. Vergeben Sie klare Zuständigkeiten, planen Sie regelmäßige Revisionszyklen ein und dokumentieren Sie alle Versionen mit Datum.
Angesichts der angekündigten Prüfaktionen empfehlen wir Ihnen folgende Schritte:
Die korrekte Umsetzung der Informationspflichten ist komplex und erfordert juristisches Fachwissen. Als externer Datenschutzbeauftragter unterstützen wir Sie bei der Erstellung und Pflege rechtssicherer Datenschutzerklärungen. Wir prüfen Ihre bestehenden Dokumente, identifizieren Lücken und erstellen für Sie verständliche, vollständige Datenschutzinformationen, die den Anforderungen der DSGVO entsprechen.
Vereinbaren Sie jetzt ein kostenloses Erstgespräch und stellen Sie Ihr Unternehmen rechtssicher auf, bevor die Aufsichtsbehörden mit ihren Kontrollen beginnen. Wir beraten Sie zu allen Fragen rund um Ihre Datenschutzerklärungen und die DSGVO-Compliance.
Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.
Input your search keywords and press Enter.
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Turnstile. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Vimeo. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen