Was muss eine Datenschutzerklärung nach DSGVO enthalten?

Namen, Kontaktdaten, Käufe und Angaben zu Interessenten gelangen nicht immer auf demselben Weg in ein Unternehmen. Manche Daten gibt die Person selbst an, andere stammen von einem Veranstalter, Lieferanten oder aus einer öffentlich zugänglichen Quelle. Die Antwort auf die Frage, was muss eine Datenschutzerklärung nach DSGVO enthalten, beginnt deshalb bei der Datenherkunft. Sie entscheidet zwischen Artikel 13 und Artikel 14; Artikel 12 bestimmt dagegen für beide Wege die Form der Information.

Am 19. März 2026 leitete der EDSA seine fünfte koordinierte Durchsetzungsmaßnahme ein. 25 Aufsichtsbehörden beteiligten sich, Ergebnisse wurden für die zweite Jahreshälfte 2026 erwartet. Der Start ist ein Anlass, die eigenen Informationswege zu prüfen, aber kein Beleg für ein Ergebnis der Maßnahme ^1,2.

Kurzantwort Was muss eine Datenschutzerklärung nach DSGVO enthalten? Erforderlich sind unter anderem Verantwortlicher, Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und Rechte. Bei indirekter Erhebung kommen Datenkategorien und tatsächliche Quelle hinzu. Die Angaben müssen verständlich, leicht zugänglich und zum richtigen Zeitpunkt bereitgestellt werden; entscheidend ist stets die konkrete Verarbeitungstätigkeit ³.

Zuletzt aktualisiert: 22. September 2026

Die Datenherkunft steht am Anfang

Der verlässlichste Ausgangspunkt ist keine universelle Textvorlage, sondern eine reale Verarbeitungstätigkeit. Benennen Sie die Daten, ihre Quelle, den Zweck und die Empfänger. Erst dann lässt sich der richtige Informationsweg bestimmen. Artikel 13 gilt bei Erhebung bei der betroffenen Person, Artikel 14 bei einer anderen Quelle, und Artikel 12 erfasst beide Wege ³.

Ein Unternehmen kann beispielsweise eine E-Mail-Adresse über ein Anmeldeformular erhalten und den Datensatz später um eine Funktion aus der Teilnehmerliste einer Messe ergänzen. Das ist kein einheitlicher Herkunftsweg mehr. Das Formular löst den direkten Zweig aus; Import und Abgleich der Liste bilden einen indirekten Zweig. Die betroffene Person muss beide Quellen und den jeweiligen Verwendungszweck erkennen können.

Die breite Bezeichnung „Marketing“ beseitigt diesen Unterschied nicht. Sie kann verschiedene Zwecke, Empfänger und Zeitpunkte verdecken. Dann wirkt das Dokument vollständig, erklärt aber die tatsächliche Verarbeitung nicht. Eine tragfähige Bestandsaufnahme beginnt daher mit einer Tätigkeit und zeigt erst anschließend, welche gemeinsamen Angaben sich mit anderen Tätigkeiten sinnvoll zusammenführen lassen.

Der Befund lässt sich in einer Registerzeile festhalten: „Adresse aus dem Formular“, „Funktion aus der Veranstaltungsliste“, „Kontakt zu einer bezeichneten Leistung“ und „Versanddienstleister“. Diese Genauigkeit ist kein zusätzlicher Selbstzweck. Sie zeigt, dass für dieselbe Person zwei Informationszeitpunkte gelten können, obwohl beide Datenströme später in einem gemeinsamen CRM-Datensatz enden.

Artikel 12 setzt den Maßstab für die Bereitstellung

Vollständige Angaben genügen nicht, wenn eine Person sie nicht findet oder versteht. Die Information muss präzise, transparent, verständlich, leicht zugänglich und in klarer, einfacher Sprache erteilt werden. Üblicherweise geschieht dies schriftlich, auch elektronisch ³. Maßstab ist die Sicht eines Lesers, der weder das System kennt noch am Text mitgearbeitet hat.

Eine freundliche Formel wie „Ihre Privatsphäre ist uns wichtig“ ersetzt weder Zweck noch Rechtsgrundlage oder Empfänger. Umgekehrt kann eine lange Reihe rechtlicher Begriffe formal umfangreich, praktisch aber unverständlich sein. Ein sinnvoller Test fragt, ob ein neuer Kunde nach einmaligem Lesen erklären kann, wer seine Daten nutzt, wofür dies geschieht, wie lange es dauert und welche Handlungsmöglichkeiten bestehen.

Ein Bereitstellungsnachweis verbindet vier Elemente: Inhalt, Kanal, Fassung und auslösendes Ereignis. Bei einem Formular kann dies die vor dem Absenden sichtbare Seitenfassung sein. Beim ersten Schreiben an eine Person aus einer Veranstaltungsliste ist es die konkret beigefügte oder verlinkte Information. Das Genehmigungsdatum einer Vorlage allein belegt nicht, was der Empfänger tatsächlich sehen konnte.

Auch der reale Nutzerweg ist zu prüfen. Der Link sollte ohne Anmeldung funktionieren, zur richtigen Fassung führen und auf einem üblichen Gerät lesbar sein. Die genannte E-Mail-Adresse oder das Kontaktformular muss Anfragen tatsächlich entgegennehmen. Standardisierte Symbole können die Orientierung ergänzen, aber die erforderlichen Angaben nicht ersetzen.

Die Probe sollte auch einen weniger bequemen Kanal einschließen. Sind die Angaben auf der Website richtig, verweist aber ein Papierformular im Laden auf eine nicht mehr bestehende Adresse, ist gerade dieser Erhebungsweg mangelhaft. Der Nachweis gehört daher zum jeweiligen Kanal und Auslöseereignis, nicht nur zur zentral genehmigten Textdatei.

Bei direkter Erhebung sind die Angaben sofort fällig

Gibt eine Person ihre Daten selbst ein, ist der Zeitpunkt eindeutig: Die Informationen werden bei der Erhebung bereitgestellt ³. Verkaufsformular, Kontoregistrierung und Papierkarte nutzen unterschiedliche Kanäle, ändern jedoch nicht den Fälligkeitszeitpunkt. Die jeweilige Fassung enthält alle für die Tätigkeit einschlägigen Punkte:

• Name und Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
• Kontaktdaten des Datenschutzbeauftragten, soweit ein solcher benannt ist;
• Verarbeitungszwecke und die jeweils zugehörigen Rechtsgrundlagen;
• berechtigte Interessen des Verantwortlichen oder eines Dritten, wenn die Verarbeitung darauf beruht;
• Empfänger oder Kategorien von Empfängern personenbezogener Daten;
• beabsichtigte Übermittlungen und die dazugehörigen geeigneten Garantien;
• Speicherdauer oder, wenn eine feste Angabe nicht möglich ist, die Kriterien für ihre Festlegung;
• Betroffenenrechte wie Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit, soweit einschlägig;
• Widerrufsrecht bei Einwilligung ohne Auswirkung auf die frühere Rechtmäßigkeit der Verarbeitung;
• Beschwerderecht bei einer zuständigen nationalen Aufsichtsbehörde;
• Angabe, ob die Bereitstellung gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, sowie mögliche Folgen der Nichtbereitstellung;
• Informationen zu automatisierten Entscheidungen einschließlich Profiling sowie erforderliche Angaben zur Logik und zu den voraussichtlichen Folgen.

Nicht jeder Punkt gilt bei jeder Tätigkeit. Die Nichtanwendbarkeit sollte jedoch aus einer dokumentierten Prüfung folgen und nicht aus einem Versehen. Gibt es weder Übermittlung noch automatisierte Entscheidung, kann ein kurzer Eintrag festhalten, wer dies anhand welcher Systemkenntnis geprüft hat. Eine Speicherfrist braucht ein erkennbares Endereignis oder brauchbare Kriterien, nicht nur die Formel „solange erforderlich“ ³.

Soll ein neuer Zweck hinzukommen, müssen die Informationen über diesen weiteren Zweck und die maßgeblichen Angaben vor Beginn der neuen Verarbeitung bereitstehen ³. Artikel 13 kennt nur die Ausnahme, dass die Pflicht entfällt, soweit die Person die Information bereits besitzt. Die besonderen Ausnahmen des Artikels 14 dürfen nicht in den direkten Erhebungsweg übertragen werden.

Auch die Feststellung „bereits bekannt“ braucht einen genauen Umfang. Hat die frühere Fassung den Verkauf erklärt, aber keine neue Verhaltensanalyse, erstreckt sich die Ausnahme nicht auf diesen Zweck. Der Eintrag sollte die frühere Fassung, die tatsächlich bekannten Bestandteile und alle noch bereitzustellenden Angaben einzeln miteinander verbinden.

Indirekte Erhebung verlangt Kategorien und echte Quelle

Daten aus einer anderen Quelle verringern den Informationsumfang nicht. Artikel 14 übernimmt den gemeinsamen Kern zu Verantwortlichem, Zwecken, Rechtsgrundlagen, Empfängern, Übermittlungen, Speicherung und Rechten. Hinzu kommen die Kategorien personenbezogener Daten sowie die tatsächliche Quelle und die Angabe, ob diese öffentlich zugänglich war ³. „Von Dritten“ erklärt einer Person nicht, woher das Unternehmen ihre Angaben kennt.

Ein Beispiel: Ein Unternehmen erhält vom Veranstalter eine Teilnehmerliste mit geschäftlichen E-Mail-Adressen, Funktionen und ausgewählten Interessen. Danach gleicht es die Einträge mit seiner Kundendatenbank ab, um einen genau beschriebenen Kontakt zu einem Angebot herzustellen. Die Information sollte Veranstalter oder Ereignis als Quelle nennen, die Felder kategorisieren und Anreicherung, Abgleich sowie Zweck verständlich erklären.

Die Kontrollkette muss sichtbar bleiben: Herkunft und Kategorie führen zum Zweck, der Zweck zum richtigen Zeitpunkt, und der Zeitpunkt zum Bereitstellungsnachweis. So lässt sich feststellen, ob die erste Nachricht die passende Fassung enthielt. Entsteht nach dem Import ein neuer Zweck, muss die betreffende Information vor dieser späteren Verarbeitung bei der Person ankommen ³.

Die tatsächliche Quelle verlangt keine vollständige technische Chronik im sichtbaren Text. Eine Person benötigt den konkreten Anbieter oder das Ereignis und eine verständliche Beschreibung der Datenkategorien. Intern können zusätzlich Importdatei, technischer Dienst und Abgleichsregel stehen. Beide Ebenen müssen jedoch auf denselben Ursprung zeigen; eine Lieferkette darf die erste echte Quelle nicht verdecken.

Der früheste Nutzungsschritt bestimmt die Frist

Bei direkter Erhebung sind die Informationen sofort fällig. Bei indirekter Erhebung gilt eine angemessene Frist von höchstens einem Monat. Erfolgt vorher die erste Mitteilung an die Person oder die erste Offenlegung an einen anderen Empfänger, ist dieses frühere Ereignis maßgeblich ³.

Ohne Eingangsdatum lässt sich die Monatsgrenze nicht berechnen. Ohne Protokoll der Erstnutzung bleibt eine frühere Mitteilung oder Offenlegung unsichtbar. Die Textfassung zeigt außerdem, ob die Person die für ihre Tätigkeit richtige Information erhielt oder erst eine später korrigierte Vorlage ³.

Gemischte Lieferungen verlangen besondere Sorgfalt. Sind Datensätze über mehrere Tage eingegangen, kann ein gemeinsames Importdatum die Frist für die ältesten Einträge künstlich verlängern. Der Nachweis sollte deshalb einen einzelnen Datensatz oder eine eindeutig abgegrenzte Lieferung mit Erhalt, Erstnutzung und bereitgestellter Fassung verbinden.

Eine montags erhaltene Datei kann beispielsweise erst am Freitag mit einer zweiten Datei zusammengeführt werden. Das Freitagsdatum ersetzt nicht den früheren Erhalt. Geht die erste Nachricht bereits am Mittwoch hinaus, wird sie zum maßgeblichen Ereignis. Erforderlich sind daher getrennte Marken für Eingang, erste Nutzung und Zusammenführung, nicht lediglich ein Datum „Kampagne erstellt“.

Ausnahmen bleiben eng begrenzt

Die normale Bereitstellung ist der Ausgangspunkt. Bei Artikel 13 entfällt sie nur, soweit die Person die konkrete Information bereits besitzt. Eine Vermutung wie „das wird sie schon wissen“ genügt nicht. Der Verantwortliche sollte eine frühere Mitteilung nennen und prüfen können, welche Inhalte weiterhin zutreffen ³.

Artikel 14 enthält genau vier Zweige. Erstens kann die Person bereits informiert sein. Zweitens kann die Bereitstellung im bezeichneten Kontext unmöglich sein oder einen unverhältnismäßigen Aufwand erfordern; dann sind geeignete Schutzmaßnahmen nötig. Drittens kann die Erhebung oder Offenlegung ausdrücklich durch Unionsrecht oder das Recht eines Mitgliedstaats mit Schutzmaßnahmen geregelt sein. Viertens können Daten einem gesetzlich geregelten Berufs- oder Amtsgeheimnis unterliegen ³.

Eine große Zahl von Datensätzen begründet noch keinen Ausnahmefall. Ebenso wenig reichen die Etiketten „Compliance“ oder „vertraulich“. Die Prüfung betrifft die einzelne Tätigkeit, den genauen Informationsumfang und das tatsächliche Hindernis. Erfasst ein Hindernis nur einen Teil, bleibt die gewöhnliche Bereitstellung für den übrigen Teil erforderlich.

Ein belastbarer Ausnahmeeintrag nennt Zweig, Umfang, Belege, Schutzmaßnahmen, Entscheidungsverantwortlichen und nächsten Prüftermin. Dadurch wird eine Ausnahme nicht zum dauerhaften Datenbankstatus. Ein anderer Herkunftsweg, ein neuer Kontaktkanal oder verfügbare technische Mittel können die Begründung entfallen lassen, obwohl der Prozessname unverändert bleibt.

Beim unverhältnismäßigen Aufwand sollte der Eintrag zudem zeigen, welche Bereitstellungswege geprüft wurden und weshalb sie nicht ausreichen. Die vorgesehenen Ersatzgarantien gehören in dieselbe Entscheidung. Eine hohe Datensatzanzahl beschreibt weder den tatsächlichen Aufwand noch die Folgen für die Personen; auch eine allgemeine Veröffentlichung löst nicht automatisch jedes Problem eines fehlenden direkten Kanals.

Eine Tätigkeit zeigt Lücken besser als die Vorlagenprüfung

Die Prüfung eines realen Ablaufs ist aussagekräftiger als das isolierte Lesen einer Datenschutzerklärung. Bei einer Veranstaltungsliste werden Quelle, konkreter Kontaktzweck, Versanddienstleister, Speicherkriterium, Zeitpunkt der ersten E-Mail und der funktionierende Rechte- sowie Beschwerdeweg nacheinander geprüft. Bei den ersten fünf Punkten bedeutet ein fehlender Beleg „halten und beheben“; nur der vollständig nachgewiesene letzte Weg besteht die Kontrolle ³.

Nach jeder Behebung ist der gesamte Weg aus Sicht der betroffenen Person erneut zu durchlaufen, nicht nur die geänderte Tabellenzeile. Der Text kann in der Ablage richtig sein, während ein alter Link in der Nachrichtenvorlage zur vorigen Fassung führt oder der Kontakt für Betroffenenrechte nicht reagiert. Die Kontrolle endet erst, wenn Quelle, Zweck, Kanal, Zeitpunkt, Inhalt, der generische Hinweis auf eine zuständige nationale Aufsichtsbehörde und das Ereignisprotokoll denselben belegten Ablauf zeigen.

Eine Korrektur kann weitere Angaben berühren. Ein neu festgestellter Empfänger ist in allen einschlägigen Ebenen nachzuführen; ein präzisiertes Speicherkriterium kann die Fassung der ersten Nachricht ändern. Die Tabelle ist deshalb eine Entscheidungsfolge und keine Sammlung unabhängiger Felder. Veröffentlicht wird nach einer vollständigen Probe mit einem frischen Testdatensatz.

Mehrstufige Informationen dürfen nichts Wesentliches verstecken

Die erste Ebene sollte Verantwortlichen, Zweck, Datenherkunft, wesentliche Folgen und einen klaren Weg zu den Einzelheiten zeigen. Auf einer tieferen Ebene stehen Rechtsgrundlagen, Empfänger, Übermittlungen, Speicherdauer, Rechte und tätigkeitsbezogene Fakten ³. Diese Struktur hilft auf kleinen Bildschirmen, verringert den Informationsumfang aber nicht.

Eine für das direkte Formular wichtige Tatsache darf nicht mehrere Klicks entfernt verborgen sein. Gleiches gilt beim ersten indirekten Kontakt: Die Person muss sofort erkennen können, woher ihre Daten stammen und weshalb sie angeschrieben wird. Die erste Ebene darf daher nicht nur aus einer allgemeinen Versicherung bestehen, man nehme Datenschutz ernst.

Alle Ebenen brauchen einen gemeinsamen Versionsverantwortlichen. Sonst nennt der kurze Hinweis bereits einen neuen Zweck, während die ausführliche Fassung alte Empfänger oder Speicherregeln enthält. Vor Veröffentlichung sollte eine Person testen, die den Text nicht verfasst hat. Findet sie zentrale Antworten nur mit Anleitung, ist die Information noch nicht leicht zugänglich.

Der Prüfer sollte konkrete Aufgaben erhalten statt einer Bitte um einen allgemeinen Eindruck. Er muss Herkunft, Löschkriterium und Kontaktweg ohne Vorwissen benennen können. Muss er den Namen eines aufklappbaren Menüs kennen oder erraten, dass ein Symbol anklickbar ist, trägt die erste Ebene den Zugang noch nicht zuverlässig.

Nachweise müssen Änderungen der Tätigkeit folgen

Ein neuer Zweck, eine andere Quelle oder Kategorie, ein weiterer Empfänger, eine Übermittlung, eine geänderte Speicherdauer, Automatisierung oder ein neuer Bereitstellungskanal lösen eine Prüfung aus. Ein kontrollierter Ordner oder ein Register genügt, wenn er Tätigkeit, genehmigten Text, Fassung, Bereitstellungsnachweis, Ausnahmen und Freigabe verbindet ³.

Der Eintrag sollte die Lage zu einem bestimmten Zeitpunkt rekonstruierbar machen. Wechselt der Versanddienstleister, muss erkennbar sein, ab welcher Fassung dieser als Empfänger erscheint. Zieht ein Formular auf eine andere Plattform um, sind Sichtbarkeit und Auslöseereignis erneut zu testen. Kontaktadresse und Weg für Betroffenenrechte benötigen ebenfalls regelmäßige Proben, denn ein unerreichbares Postfach macht einen korrekten Text praktisch wertlos.

Ein einfacher Prüfzyklus kann an Ereignisse statt an einen zufälligen Kalendertag anknüpfen. Der Prozessverantwortliche meldet eine Änderung an Feld, Empfänger oder Werkzeug; der Textverantwortliche bestimmt die betroffenen Ebenen; die Umsetzung dokumentiert Kanal und Fassung; ein unabhängiger Leser bestätigt den Weg. Aktualität folgt so aus dem Arbeitsablauf und nicht aus der Erinnerung des Verfassers.

• Veröffentlichen: Inhalt, Zeitpunkte und Kanäle entsprechen der tatsächlichen Tätigkeit und sind rekonstruierbar.
• Halten: Rechtsgrundlage, Entscheidungsverantwortung oder erforderlicher Beleg ist noch offen.
• Beheben und erneut testen: Text, Link, Frist oder Kontaktweg stimmt nicht mit der Praxis überein.

Eine wirksame Datenschutzinformation ist kein universeller Absatz. Sie gehört zu einer konkreten Tätigkeit, wählt den Zweig anhand der Datenherkunft, spricht verständlich und kommt rechtzeitig an. So kann die Person die Nutzung ihrer Daten nachvollziehen und das Unternehmen seine tatsächliche Bereitstellung belegen.