Seit März 2026 prüfen die europäischen Datenschutzbehörden ein einziges Dokument koordiniert: die Datenschutzerklärung. Im fünften Coordinated Enforcement Framework (CEF) stehen die Informationspflichten nach Art. 12 bis 14 DSGVO im Fokus, 25 Aufsichtsbehörden beteiligen sich, deutsche Landesbehörden inklusive. Und der häufigste Mangel, den sie finden, ist nicht ein vergessener Paragraf, sondern eine Erklärung, die nicht zur Realität der Website passt.
Das macht die Sache aktuell, aber die Pflicht ist alt. Wer eine Website oder einen Onlineshop betreibt, verarbeitet personenbezogene Daten ab dem ersten Seitenaufruf: Spätestens die IP-Adresse und der Server-Logeintrag sind personenbezogen. Daraus folgt nach Art. 13 DSGVO eine Informationspflicht, und die Datenschutzerklärung ist das Dokument, mit dem du sie erfüllst.
Dieser Beitrag klärt eine eng umrissene Frage: Was muss inhaltlich in eine Datenschutzerklärung für eine Website und einen Onlineshop hinein, und was hat sich am Rahmen geändert? Es geht um das Dokument selbst, nicht um den Cookie-Banner. Die Mechanik der Einwilligung, also wann du nach § 25 TDDDG ein Opt-in brauchst und wie ein Banner aussehen muss, behandeln wir getrennt unter rechtssicheres Tracking und Cookie-Einwilligung. Beide Themen greifen ineinander, sind rechtlich aber zwei Paar Schuhe. Und vorweg: Das hier ist eine fachliche Orientierung, keine Rechtsberatung im Einzelfall.
Was die Datenschutzerklärung rechtlich ist, und was nicht
Zuerst die Abgrenzung, weil hier viel durcheinandergeht. Die Datenschutzerklärung ist eine Informationspflicht, kein Einwilligungsinstrument. Sie informiert die betroffene Person darüber, welche Daten du zu welchem Zweck verarbeitest. Sie holt keine Zustimmung ein. Niemand „akzeptiert" eine Datenschutzerklärung. Das ist der Unterschied zum Cookie-Banner, das eine aktive Einwilligung einsammelt.
Auch vom Impressum und von den AGB ist sie zu trennen. Das Impressum regelt die Anbieterkennzeichnung nach dem Digitale-Dienste-Gesetz, die AGB regeln das Vertragsverhältnis. Die Datenschutzerklärung regelt ausschließlich den Umgang mit personenbezogenen Daten. Drei Dokumente, drei Rechtsgrundlagen, drei Zwecke. Sie gehören nicht zusammengelegt.
Rechtlich stützt sie sich auf zwei Normen. Art. 13 DSGVO greift, wenn du die Daten direkt bei der Person erhebst, was im Web der Normalfall ist: jemand ruft die Seite auf, füllt ein Formular aus, bestellt etwas. Art. 14 DSGVO greift, wenn du Daten über eine Person aus einer anderen Quelle bekommst, etwa über eine Bonitätsauskunft. Für die meisten Websites ist Art. 13 die zentrale Norm; Shops berühren regelmäßig auch Art. 14.
Die Pflichtangaben nach Art. 13 DSGVO
Art. 13 listet die Mindestinhalte abschließend auf. Fehlt einer dieser Punkte, ist die Datenschutzerklärung unvollständig. Das ist kein Formfehler, sondern ein Verstoß gegen die Informationspflicht, der nach Art. 83 Abs. 5 lit. b DSGVO unter den oberen Bußgeldrahmen fällt: theoretisch bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Diesen Maximalrahmen trifft ein Mittelständler in der Praxis selten. Relevanter ist das niederschwelligere Risiko: Abmahnungen und Schadensersatzforderungen, die schon bei kleineren Mängeln greifen.
Diese Angaben sind verpflichtend:
| Pflichtangabe | Was konkret reingehört |
|---|---|
| Verantwortlicher | Name und vollständige Kontaktdaten der Stelle, die über die Verarbeitung entscheidet |
| Datenschutzbeauftragter | Kontaktdaten, sofern ein DSB benannt werden muss oder freiwillig benannt wurde |
| Zwecke und Rechtsgrundlage | Jede Verarbeitung mit ihrem Zweck und der zugehörigen Rechtsgrundlage nach Art. 6 DSGVO |
| Berechtigtes Interesse | Wenn du dich auf Art. 6 Abs. 1 lit. f stützt, musst du das konkrete Interesse benennen |
| Empfänger | Empfänger oder Kategorien von Empfängern, an die Daten weitergegeben werden |
| Drittlandtransfer | Übermittlungen in Länder außerhalb der EU/des EWR samt Rechtsgrundlage für den Transfer |
| Speicherdauer | Die Dauer oder, wenn das nicht möglich ist, die Kriterien für die Festlegung der Dauer |
| Betroffenenrechte | Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch |
| Widerruf | Recht, eine erteilte Einwilligung jederzeit zu widerrufen |
| Beschwerderecht | Recht auf Beschwerde bei einer Aufsichtsbehörde |
| Bereitstellungspflicht | Ob die Datenangabe vorgeschrieben oder für einen Vertrag nötig ist und was bei Nichtangabe passiert |
| Automatisierte Entscheidung | Hinweis auf automatisierte Entscheidungen einschließlich Profiling, sofern vorhanden |
Der häufigste Fehler ist nicht ein vergessener Punkt aus dieser Liste, sondern eine Erklärung, die etwas anderes beschreibt als das, was die Seite tatsächlich tut. Eine aus einem Generator gezogene Vorlage listet Tools auf, die du gar nicht einsetzt, und schweigt zu den drei, die wirklich laufen. Genau das fällt auf, sobald jemand mit Prüfungsabsicht hinsieht, sei es eine Aufsichtsbehörde im laufenden CEF, ein Wettbewerber oder ein Abmahnverein: ein gelistetes Tool, das nirgends eingebunden ist, oder ein eingebundenes Tool, das in der Erklärung fehlt. Beides ist von außen sichtbar.
Warum die Behörden 2026 genau hier hinsehen
Der Grund, warum die Datenschutzerklärung gerade jetzt Aufmerksamkeit verdient, liegt nicht in einem neuen Gesetz, sondern in der Aufsichtspraxis. Das eingangs genannte CEF ist eine abgestimmte Prüfaktion: Die beteiligten Behörden gehen mit demselben Fragenkatalog durch die Datenschutzerklärungen in ihrem Zuständigkeitsbereich. Geprüft wird nicht, ob eine Erklärung überhaupt existiert, sondern ob sie etwas taugt.
Drei Kriterien stehen im Vordergrund. Ist sie vollständig, enthält sie also alle Pflichtangaben? Ist sie verständlich, also in klarer, einfacher Sprache nach dem Transparenzgebot des Art. 12, statt in einer Juristenwand? Und ist sie transparent bei Datenflüssen von Dritten, gerade in komplexen Modellen wie Plattformen, Online-Marketing oder datengetriebenen KI-Anwendungen? Letzteres ist ein deutlicher Wink: Wer auf der Website KI-Funktionen einsetzt, etwa einen Chatbot, der Nutzereingaben verarbeitet, muss das in der Datenschutzerklärung sauber abbilden, von der Verarbeitung der Eingaben bis zum Anbieter. Wie sich das praktisch lösen lässt, ohne in die typischen Fallen zu laufen, beschreiben wir gesondert dazu, wie man KI-Tools datenschutzkonform einsetzt.
Neben dem Inhalt zählt die Erreichbarkeit. Die Datenschutzerklärung muss von jeder Unterseite mit ein bis zwei Klicks erreichbar sein, üblicherweise über einen klar mit „Datenschutz" oder „Datenschutzerklärung" beschrifteten Link im Footer. Eine versteckte oder kreativ benannte Verlinkung birgt ein Abmahnrisiko, analog zur etablierten Rechtsprechung über die Erreichbarkeit des Impressums. Und sie muss zugänglich sein: Seit dem 28. Juni 2025 greift das Barrierefreiheitsstärkungsgesetz (BFSG) für viele Onlineangebote, und eine Datenschutzerklärung, die niemand mit Screenreader erfassen kann, erfüllt das Transparenzgebot nicht. Was das technisch bedeutet, haben wir entlang der Barrierefreiheit nach dem BFSG durchgespielt.
Die Drittdienste, die fast jede Seite betreffen
Den Großteil einer realen Datenschutzerklärung machen nicht die abstrakten Pflichtangaben aus, sondern die konkreten Dienste, die auf der Seite laufen. Jeder eingebundene Drittdienst, der Daten verarbeitet, braucht einen eigenen Abschnitt mit Zweck, Rechtsgrundlage, Empfänger und gegebenenfalls Drittlandtransfer. Diese Bausteine betreffen nahezu jede Seite:
- Hosting und Server-Logfiles. Schon der Aufruf erzeugt Logdaten mit IP-Adresse. Rechtsgrundlage ist in der Regel das berechtigte Interesse am sicheren Betrieb.
- Webfonts. Bindest du Schriften dynamisch von einem externen Server ein, etwa Google Fonts über die Google-CDN, wird bei jedem Aufruf die IP-Adresse in die USA übertragen, ohne Einwilligung. Das LG München I sprach dafür 2022 einem Betroffenen 100 Euro Schadensersatz zu (Az. 3 O 17493/20), gefolgt von einer Abmahnwelle. Die saubere Lösung ist, die Schriften lokal zu hosten. Dann entfällt der Transfer, und die Datenschutzerklärung wird an dieser Stelle kurz.
- Reichweitenmessung und Analytics. Google Analytics 4 und vergleichbare Tools sind einwilligungspflichtig und gehören in die Erklärung mit Tool, Anbieter, Zweck und Transfer. Die Einwilligung dafür holt der Banner ein, nicht die Erklärung.
- Newsletter. Verfahren benennen, insbesondere das Double-Opt-in, plus Versanddienstleister und Speicherdauer der Anmeldedaten.
- Kontaktformulare. Welche Felder erhoben werden, zu welchem Zweck, wie lange die Anfrage gespeichert bleibt.
- Eingebettete Inhalte. Maps, Videos, Social-Media-Plugins, Schriftbibliotheken und reCAPTCHA laden externe Ressourcen und übertragen dabei Daten. Jede Einbindung ist ein eigener Verarbeitungsvorgang.
Die rote Linie bei allen Bausteinen heißt Konkretheit. Eine wirksame Information benennt das tatsächlich eingesetzte Tool und seinen Anbieter, nicht „Dienste zur Webanalyse" im Ungefähren. Was läuft, kommt rein; was nicht läuft, hat nichts in der Erklärung verloren.
Drittlandübermittlung in die USA: der wackelige Teil
Sobald ein Dienst Daten in die USA überträgt, was bei US-Tools die Regel ist, braucht die Datenschutzerklärung eine Angabe zur Rechtsgrundlage des Transfers. Hier ist der aktuelle Stand wichtig, weil er sich bewegt.
Das EU-US Data Privacy Framework (DPF) ist seit dem Angemessenheitsbeschluss vom Juli 2023 die Grundlage für Datenübermittlungen an Unternehmen, die sich unter dem Framework zertifiziert haben. Eine Klage gegen diesen Beschluss hat das Gericht der Europäischen Union am 3. September 2025 abgewiesen (Rechtssache T-553/23, Latombe). Der Beschluss gilt damit weiter. Allerdings wurde Ende Oktober 2025 Rechtsmittel zum Europäischen Gerichtshof eingelegt (C-703/25 P), und der politische Unterbau des Frameworks, eine US-Executive-Order, steht unter Beobachtung. Ein „Schrems III"-Szenario, also ein Kippen des Beschlusses durch das Höchstgericht, ist nicht ausgeschlossen.
Für deine Datenschutzerklärung heißt das zweierlei. Erstens, die Prüfung: Stelle fest, ob der jeweilige US-Anbieter tatsächlich DPF-zertifiziert ist, und benenne diese Grundlage. Ist er es nicht, brauchst du Standardvertragsklauseln (SCC) plus eine Risikoabschätzung als Transfergrundlage. Zweitens, die Formulierung: Schreibe die Transfergrundlage so, dass sie eine Änderung der Rechtslage übersteht. Wer „der Transfer erfolgt rechtssicher auf Basis des DPF" hinschreibt und der Beschluss fällt, hat von einem Tag auf den anderen ein falsches Dokument. Wer die konkrete Grundlage benennt und sie bei einer Änderung nachzieht, bleibt auf der sicheren Seite. Drittlandtransfers sind der wackeligste Teil jeder Datenschutzerklärung und gehören regelmäßig überprüft.
Was ein Onlineshop zusätzlich braucht
Ein Shop verarbeitet deutlich mehr als eine reine Informationsseite, und das schlägt sich in der Datenschutzerklärung nieder. Die zusätzlichen Bausteine drehen sich um die Bestellung und ihre Abwicklung.
Die Bestellabwicklung selbst stützt sich auf Art. 6 Abs. 1 lit. b DSGVO, die Vertragserfüllung. Das umfasst die Daten, die für Kaufabschluss, Lieferung und Rechnung nötig sind. Beim Kundenkonto ist sauber zu trennen: Ein dauerhaftes Konto braucht eine eigene Grundlage und eine Aussage zur Speicherdauer. Und du musst eine Gastbestellung anbieten. Kunden zur Kontoanlage zu zwingen, kollidiert mit dem Grundsatz der Datenminimierung, und die Aufsichtsbehörden sehen das kritisch. Das ist der eine Shop-Punkt, an dem sich am ehesten ein Mangel findet.
Dazu kommen die Dienstleister in der Kette, und jeder gehört namentlich benannt. Zahlungsdienstleister wie PayPal, Klarna oder Stripe erhalten Bestell- und Zahlungsdaten; jeder eingesetzte Anbieter ist mit Zweck und Verweis auf dessen eigene Datenschutzinformationen zu nennen. Dasselbe gilt für Versand- und Logistikdienstleister, etwa DHL für die Zustellung samt Sendungsverfolgung, die Adress- und teils Kontaktdaten bekommen. Wer eine Bonitätsprüfung vornimmt, etwa beim Kauf auf Rechnung, berührt Art. 14 DSGVO und muss den Vorgang samt Auskunftei und Rechtsgrundlage transparent machen. Hinzu kommen je nach Setup Betrugsprävention, Bewertungsdienste wie Trusted Shops, Merkzettel und Personalisierung sowie Retargeting über den Meta-Pixel oder Google Ads, das wie jedes Marketing-Tracking einwilligungspflichtig ist. Solche Themen früh in die E-Commerce-Entwicklung mit Sicherheits- und Compliance-Konzeption einzuplanen ist günstiger, als sie später nachzudokumentieren.
Der Minimal-Check vor dem Live-Gang
Bevor eine Website oder ein Shop online geht, lässt sich der Stand mit wenigen Punkten prüfen:
- Sind alle Pflichtangaben aus Art. 13 vorhanden, inklusive Betroffenenrechten und Beschwerderecht?
- Bildet die Erklärung die tatsächlich eingesetzten Tools ab, keine fremden, keine fehlenden?
- Werden US-Transfers benannt und auf eine konkrete, aktuelle Grundlage (DPF-Zertifizierung oder SCC) gestützt?
- Werden Schriften lokal gehostet, statt dynamisch von externen Servern geladen?
- Sind beim Shop Zahlungs-, Versand- und etwaige Bonitätsdienstleister einzeln genannt und ist die Gastbestellung möglich?
- Ist die Erklärung von jeder Unterseite mit ein bis zwei Klicks erreichbar, klar beschriftet und barrierefrei?
Fazit
Eine Datenschutzerklärung, die trägt, ist keine Vorlage, die man einmal generiert und vergisst, sondern ein gepflegtes Abbild der eigenen Datenverarbeitung. Die Pflichtangaben aus Art. 13 sind die Pflicht; die konkrete, ehrliche Beschreibung der eingesetzten Dienste ist die Kür, an der die meisten scheitern. Zwei Stellen verdienen 2026 besondere Aufmerksamkeit, weil sie in Bewegung sind: die Drittlandtransfers in die USA, deren Grundlage juristisch umkämpft bleibt, und die Erwartung der Behörden an echte Transparenz, die in diesem Jahr koordiniert geprüft wird.
Die rechtssichere Bewertung deines konkreten Setups gehört am Ende in die Hand von Datenschutz- und Rechtsexpertise, denn ob eine Verarbeitung wirklich auf der richtigen Grundlage steht, entscheidet sich am Einzelfall, nicht an einer Checkliste. Das meiste Risiko liegt aber nicht im Feinen, sondern im Banalen. Vier Fehler tauchen immer wieder auf, und alle vier sind in einer Stunde behoben: remote eingebundene Google Fonts, eine kopierte Mustervorlage, die nicht zur Seite passt, ein versteckter Datenschutz-Link, ein unerwähnter US-Transfer. Wer die ausräumt, hat das meiste hinter sich.