Best Practices und gesetzliche Anforderungen für Datenschutzrichtlinien

Datenschutz ist ein zentrales Vertrauenselement für Nutzer von Websites und Apps. Ein aktuelles Beispiel zeigt, dass ein Hinweis 1.578 Partner nennt, Daten für personalisierte Werbung, Content-Messung und Zielgruppen-Insights verarbeitet und die Einwilligung für 13 Monate speichert. Durch die Einbindung von Google-Diensten und Drittanbieter-Tags wird die Komplexität weiter erhöht. Um solche Hinweise rechtskonform und vertrauenswürdig zu gestalten, müssen Unternehmen die Vorgaben internationaler Datenschutzgesetze berücksichtigen.

Rechtliche Rahmenbedingungen für Datenschutzoffenlegungen

Mehrere internationale Regelwerke bestimmen, welche Informationen in einer Datenschutzerklärung enthalten sein müssen:

• GDPR (EU) – gilt seit 2018 für alle Websites, die Daten von EU-Residenten verarbeiten.
• CCPA/CPRA (Kalifornien) – gilt seit 2020 für kalifornische Einwohner und Unternehmen mit einem Jahresumsatz von über 25 Mio. USD oder Daten von mehr als 100.000 Einwohnern; 2023 aktualisiert durch den California Privacy Rights Act.
• COPPA (USA) – seit 2013 müssen Unternehmen die Einwilligung von Eltern einholen, wenn sie Daten von Kindern unter 13 Jahren sammeln.

Verstöße gegen diese Vorgaben können zu hohen Geldstrafen und rechtlicher Haftung führen.

Essenzielle Elemente einer konformen Datenschutzerklärung

Basierend auf den genannten Rechtsgrundlagen sollten mindestens die folgenden 8-13 Kernabschnitte enthalten sein (2020-2026):

• Welche Daten erhoben werden (z. B. eindeutige Kennungen, Browser-Daten)
• Erhebungs- und Verarbeitungmethoden
• Rechtsgrundlage der Verarbeitung (Einwilligung, berechtigtes Interesse)
• Zwecke der Verarbeitung (personalisierte Werbung, Messung, Audience-Insights)
• Angaben zu Dritt-Partnern (Name, Rolle, Zweck)
• Rechte der Nutzer (Auskunft, Berichtigung, Löschung, Datenportabilität, Widerspruch)
• Speicherdauer bzw. Aufbewahrungsfristen (z. B. 13 Monate für Präferenz-Speicherung)
• Sicherheitsmaßnahmen
• Kontaktinformationen für Anfragen
• Informationen zu internationalen Datenübermittlungen (Standardvertragsklauseln, SCCs)

Die New-York-Times wird häufig als Vorbild genannt, weil sie klare Sprache und einen speziellen Abschnitt für den Kinderschutz enthält.

Dritt-Partner-Offenlegung und Nutzer-Einwilligung

Wenn ein Dienst über Partner wie Werbenetzwerke oder Analyseplattformen arbeitet, muss die Datenschutzerklärung:

• Die Namen bzw. Kategorien der Partner nennen (z. B. „Analytics-Partner: Google Analytics“).
• Den jeweiligen Verarbeitungszweck erläutern (z. B. personalisierte Werbung).
• Granulare Einwilligungsoptionen anbieten – Nutzer können jede Kategorie separat akzeptieren oder ablehnen (seit 2020-2026 gefordert).
• Ein „Do-Not-Sell or Share My Personal Information“-Formular bereitstellen (CCPA).

Der Hinweis auf 1.578 Partner verdeutlicht die Notwendigkeit, die Liste zu strukturieren, da eine reine Aufzählung für Nutzer kaum nachvollziehbar ist.

Datenaufbewahrung und Nutzerkontrollmechanismen

Die Angabe einer Aufbewahrungsdauer von 13 Monaten für Präferenz-Daten entspricht typischen Praxiswerten (13-26 Monate für Analytik). Wichtig ist, dass Nutzer jederzeit das Recht haben,:

• auf ihre Daten zuzugreifen, sie zu korrigieren oder zu löschen.
• ihre Einwilligung zu widerrufen oder zu ändern – dies muss über leicht zugängliche „Privacy Settings“ möglich sein.
• ein „Recht auf Widerspruch“ bei Verarbeitungen auf Basis berechtigten Interesses auszuüben können.

Die Speicherung von Einwilligungen für 13 Monate bedeutet nicht, dass die Einwilligung nach Ablauf automatisch erlischt; Nutzer sollten jedoch rechtzeitig über mögliche Neuanfragen informiert werden.

Google-Dienste und tag-basierte Datenverarbeitung

Die Einbindung von Google-Services erfordert zusätzliche Offenlegungen:

• Google wird als Datenverarbeiter bzw. Partner genannt.
• Die Nutzung von Cookies und Drittanbieter-Tags muss explizit erklärt werden.
• Für EU-Nutzer ist ein Hinweis auf internationale Datenübermittlungen nötig; hier kommen Standardvertragsklauseln (SCCs) zum Einsatz, insbesondere nach dem Schrems-II-Urteil (2020).
• Einwilligung für Google-Tracking muss separat eingeholt werden, da sowohl GDPR als auch CCPA ein Opt-Out-Verfahren verlangen.

Häufige Gegenargumente und Risiken

Vage Angabe von „1.578 Partnern“

Die reine Zahl lässt Nutzer nicht erkennen, welche konkreten Unternehmen Zugriff haben. GDPR und CCPA verlangen Transparenz; eine Kategorisierung (z. B. Werbepartner, Analyse-Partner) oder ein durchsuchbares Verzeichnis erhöht das Vertrauen.

Verarbeitung auf Basis berechtigten Interesses

Wenn ein Partner Daten ohne explizite Einwilligung verarbeitet, muss das Unternehmen ein Legitimate-Interest-Assessment (LIA) vorweisen und den Nutzern ein klares Widerspruchsrecht einräumen. CCPA erkennt dieses Prinzip nicht an, sodass ein Opt-Out erforderlich ist.

13-Monatige Präferenz-Speicherung

Einwilligungen gelten bis zum Widerruf; das automatische Zurücksetzen nach 13 Monaten kann Nutzer überraschen. Die Richtlinie sollte klar kommunizieren, dass die Frist nur die technische Speicherung betrifft, nicht die Gültigkeit der Einwilligung.

Site-spezifisches vs. cross-site Tracking

Der Hinweis, dass Entscheidungen nur für diese Seite gelten, kann irreführend sein, wenn Partner Daten über mehrere Domains hinweg zusammenführen. GDPR verlangt eine explizite Offenlegung von Cross-Site-Tracking-Praktiken.

Fazit

Eine rechtskonforme und vertrauenswürdige Datenschutzerklärung muss die Vorgaben von GDPR, CCPA/CPRA und COPPA berücksichtigen, klare Angaben zu Datenarten, Verarbeitungszwecken, Aufbewahrungsfristen und Dritt-Partnern enthalten sowie nutzerfreundliche Kontrollmechanismen bereitstellen. Die im Beispiel genannten 1.578 Partner, die 13-monatige Präferenz-Speicherung und die Integration von Google-Tags zeigen, dass die meisten gesetzlichen Mindestanforderungen bereits adressiert werden. Durch strukturierte Partner-Kategorien, transparente Legitimate-Interest-Erklärungen und klare Hinweise zu internationalen Datenübermittlungen lässt sich die Offenlegung weiter optimieren und das Nutzer-vertrauen nachhaltig stärken.

FAQ

Welche Informationen muss eine Datenschutzerklärung offenlegen?

Eine Datenschutzerklärung muss angeben, welche personenbezogenen Daten gesammelt werden, wie sie erhoben werden, zu welchen Zwecken sie verarbeitet werden, wie lange sie gespeichert werden, wer Zugriff hat (einschließlich Dritt-Partner), welche Sicherheitsmaßnahmen bestehen, welche Rechte Nutzer haben (Auskunft, Löschung, Portabilität, Widerspruch) und wie sie Kontakt aufnehmen können. Zusätzlich können je nach Region Angaben zu internationalen Datenübermittlungen oder elterlicher Einwilligung erforderlich sein.

Was bedeutet „berechtigtes Interesse“ und wie unterscheidet es sich von Einwilligung?

Nach GDPR erlaubt das berechtigte Interesse die Datenverarbeitung ohne ausdrückliche Einwilligung, wenn das Interesse des Unternehmens die Grundrechte der Nutzer nicht überwiegt (z. B. Betrugsprävention). CCPA erkennt dieses Konzept nicht an; dort muss ein Opt-Out-Mechanismus bereitgestellt werden. Wenn beide Grundlagen verwendet werden, muss klar gekennzeichnet sein, welche Verarbeitung unter welchem Grund liegt.

Sind 1.578 Partner zu viele, um sie einzeln zu nennen?

Ja. Die Praxis empfiehlt, Partner nach Kategorien zu gruppieren (z. B. Analyse-Partner, Werbepartner) oder ein durchsuchbares Register anzubieten. So bleibt die Transparenz erhalten, ohne die Nutzer zu überfordern.

Was ist COPPA und warum ist es relevant?

COPPA (Children’s Online Privacy Protection Act) verlangt die elterliche Einwilligung, bevor Daten von Kindern unter 13 Jahren erhoben werden. Unternehmen, die gezielt Kinder ansprechen oder wissentlich Daten von ihnen sammeln, müssen in ihrer Datenschutzerklärung einen speziellen Abschnitt für Eltern bereitstellen, z. B. einen direkten E-Mail-Link für Löschanfragen.

Kann ich die Einwilligung nach 13 Monaten zurücksetzen?

Unter GDPR und CCPA bleibt die Einwilligung gültig, bis sie vom Nutzer widerrufen wird. Die 13-Monats-Frist bezieht sich meist auf die technische Speicherung von Präferenzen (z. B. Cookies). Unternehmen sollten jedoch klar kommunizieren, dass Nutzer jederzeit ihre Entscheidung ändern können.

Welche rechtlichen Rahmenbedingungen gelten für meine Datenschutzerklärung?

Für EU-Nutzer gilt die GDPR, für kalifornische Einwohner die CCPA/CPRA, und für Kinder unter 13 Jahren in den USA gilt COPPA. Internationale Betreiber sollten zudem lokale Datenschutzgesetze prüfen und ggf. weitere Bestimmungen integrieren.