Datenschutzerklärung: die Liste der Dienste aktuell halten

Was die DSGVO verlangt

Erhebst du personenbezogene Daten bei einer Person, nennt Art. 13 Abs. 1 DSGVO, was du ihr zu diesem Zeitpunkt mitteilen musst. Buchstabe e lautet: „gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten“. Empfänger ist nach Art. 4 Nr. 9 eine Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich um einen Dritten handelt. Buchstabe f ergänzt gegebenenfalls Angaben zur Übermittlung in ein Drittland. Art. 12 Abs. 1 verlangt diese Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache.

Die DSGVO lässt Kategorien von Empfängern zu. Ob eine Kategorie wie „Analyse-Dienstleister“ in deinem Fall genügt oder ob du jeden Dienst nennen solltest, ist eine Rechtsfrage, die dieser Ratgeber nicht entscheidet. Nennt deine Datenschutzerklärung einzelne Dienste, muss diese Liste zur Website passen.

Warum die Liste auseinanderläuft

Die Website ändert sich öfter als die Datenschutzerklärung. Ein neues Plugin, ein neues Theme, ein Video in einem Blogartikel, der Wechsel zu einem anderen Newsletter-Werkzeug: Jedes davon kann einen Empfänger hinzufügen oder wegnehmen. Oft arbeiten mehrere Menschen an einer Website, und jede Änderung wirkt klein. Niemand passt die Erklärung an, weil die Änderung nicht nach Datenschutz aussah. Nach einem Jahr beschreibt die Erklärung dann vielleicht eine Website, die es so nicht mehr gibt.

Typische Lücken

• Ein Plugin oder Theme lädt eine Schrift, eine Karte oder ein Skript von einem fremden Server, und niemand hat es bemerkt.
• Ein Tag-Manager fügt ein neues Werkzeug hinzu, ohne dass sich der Code der Website ändert.
• Jemand bettet in einem einzelnen Artikel ein Video oder einen Beitrag aus einem sozialen Netzwerk ein.
• Ein Werkzeug wurde vor Monaten entfernt, steht aber noch in der Erklärung.
• Du hast den Anbieter gewechselt, etwa für den Newsletter oder den Chat, und die Erklärung nennt noch den alten.
• Eine Vorlage oder ein Textgenerator hat Dienste eingetragen, die deine Website nie genutzt hat.

So baust du die echte Liste

1. 1Prüfe, was die Website lädt: Öffne die wichtigsten Seiten in einem privaten Fenster mit den Entwicklertools deines Browsers oder nutze einen Scan. Notiere jeden fremden Server und den Dienst dahinter.
2. 2Prüfe, was installiert ist: die Plugins und Erweiterungen in deinem Content-Management-System, die Tags in deinem Tag-Manager und die Einbettungen in deinen Inhalten.
3. 3Prüfe, wer sonst Daten erhält: Geh die Verträge und Rechnungen deiner Dienstleister durch, auch derer, die nie auf der Website auftauchen.
4. 4Vergleiche diese Liste Dienst für Dienst mit der Datenschutzerklärung: Wird er genannt, mit dem richtigen Unternehmen, dem Zweck und, wo es zutrifft, der Übermittlung in ein Drittland?
5. 5Vergleiche sie auch mit deinem Cookie-Banner. Der Banner hat eine eigene Liste von Diensten, und sie sollte dieselbe Wirklichkeit beschreiben.

Der Cookie-Banner ist eine zweite Liste

Für das Speichern oder Auslesen von Informationen auf dem Gerät des Besuchers, etwa Cookies, verlangt § 25 TDDDG in Deutschland eine Einwilligung auf der Grundlage klarer und umfassender Informationen. In Polen verlangt Art. 399 des Gesetzes über elektronische Kommunikation, dass der Nutzer vorher unter anderem über den Zweck informiert wird und dann zustimmt. Beide Vorschriften haben Ausnahmen für das unbedingt Erforderliche bzw. für das, was ein gewünschter Dienst braucht. Fehlt ein Dienst im Banner, kann der Besucher über ihn nicht entscheiden. Steht ein entfernter Dienst noch darin, beschreibt der Banner etwas, das nicht passiert.

Eine feste Routine

Halte jede Prüfung kurz fest: das Datum, die geprüften Seiten, was du gefunden und was du in der Erklärung oder im Banner geändert hast. So siehst du später, was wann geprüft wurde. Leg eine Person fest, die für die Prüfung zuständig ist, damit sie nicht vom Zufall abhängt. Das ist eine Gewohnheit, die wir vorschlagen, keine Regel aus dem Gesetz.

Mit Do4U arbeiten

Das Werkzeug Datenschutzerklärung abgleichen vergleicht deine Datenschutzerklärung mit deiner Website. Du gibst die Startseite an, wenn du willst ein paar weitere Seiten derselben Website, und die Adresse oder den Text deiner Datenschutzerklärung. Do4U liest die Seiten und findet die Drittanbieter, die sie laden. Die Do4U-KI liest die Datenschutzerklärung und listet jeden Dienst und Empfänger, den sie nennt, jeweils mit einem Zitat. Der Code prüft, dass jedes Zitat wörtlich in der Erklärung steht, und macht den Abgleich selbst. Du bekommst drei Listen: eingebunden, aber nicht genannt; genannt, aber nicht gefunden; gefunden und genannt. Der Check ist statisch: Er führt kein JavaScript aus und liest nur die Seiten, die du angibst.

Do4U findet Hinweise, du prüfst und entscheidest. „Genannt, aber nicht gefunden“ kann heißen, dass ein Dienst später, auf anderen Seiten oder außerhalb der Website geladen wird. Das Ergebnis sagt nicht, ob deine Datenschutzerklärung vollständig oder richtig ist.