DSGVO-Datenschutzerklärung für die Website: Was sie 2026 enthalten muss (korrektes Muster)
Konkreter Leitfaden mit den Pflichtabschnitten einer DSGVO-konformen Datenschutzerklärung für eine kleine Firmenwebsite – ohne fehlerhafte Vorlagen.
Fast jede Website eines kleinen Unternehmens sammelt personenbezogene Daten: ein Kontaktformular, ein Newsletter-Abo, Online-Bestellungen oder auch nur Google Analytics. Sobald Sie das tun, brauchen Sie eine echte Datenschutzerklärung – keinen von einer anderen Website kopierten Text, mit dem Namen einer anderen Firma, der irgendwo im dritten Absatz vergessen wurde.
Das Problem ist, dass die meisten kostenlosen Vorlagen entweder generisch und ohne nützlichen Inhalt sind, oder Übersetzungen amerikanischer Modelle, die der DSGVO nicht entsprechen. Und eine falsche Seite ist manchmal riskanter als deren Fehlen, weil sie eine trügerische Sicherheit vermittelt. Im Folgenden finden Sie, nach Abschnitten gegliedert, genau das, was eine korrekte Datenschutzerklärung 2026 enthalten muss, und wie Sie sie an Ihre Firma anpassen – nicht umgekehrt.
Wer Sie sind, der Verantwortliche für die Datenverarbeitung
Der erste Abschnitt identifiziert eindeutig die Firma, die entscheidet, was mit den Daten geschieht – also den Verantwortlichen, in der Sprache der DSGVO. Ein Markenname allein reicht nicht.
Es muss erscheinen:
- die vollständige rechtliche Bezeichnung (PFA, SRL usw.) und die Rechtsform
- Steuernummer / Handelsregisternummer, sofern zutreffend
- der Firmensitz oder die Zustelladresse
- eine echte, überwachte Kontakt-E-Mail für Anfragen zu den Daten
Wenn Sie einen Datenschutzbeauftragten (DSB) benannt haben, geben Sie hier seine Kontaktdaten an. Die meisten kleinen Firmen sind nicht zur Benennung eines DSB verpflichtet, also erfinden Sie keinen nur, um seriös zu wirken. Wichtig ist, dass ein Besucher weiß, an wen er sich wendet und wen er für seine Daten zur Verantwortung ziehen kann.
Welche Daten Sie sammeln und woher
Hier neigen die Leute dazu, sich zu beeilen und vage zu schreiben. Die DSGVO verlangt Transparenz, seien Sie also konkret und beziehen Sie sich auf das, was Ihre Website tatsächlich tut.
Zählen Sie die tatsächlichen Kategorien auf:
- Daten aus Formularen (Name, E-Mail, Telefon, die vom Besucher geschriebene Nachricht)
- Bestell- und Rechnungsdaten, falls Sie verkaufen
- automatisch erfasste technische Daten (IP, Browsertyp, besuchte Seiten) über Analytics
- Cookies und ähnliche Technologien
Geben Sie auch die Quelle an: direkt vom Besucher (Formular) oder automatisch (Navigation). Die goldene Regel: Wenn ein Feld oder ein Tool hier nicht auftaucht, sollten Sie es auf der Website nicht haben. Viele Datenschutzerklärungen listen Daten auf, die die Firma gar nicht sammelt – ein klares Zeichen, dass der Text kopiert wurde. Machen Sie es umgekehrt: Gehen Sie von dem aus, was tatsächlich auf Ihrer Website vorhanden ist, und beschreiben Sie nur diese Dinge.
Warum Sie sie sammeln (Zweck) und auf welcher Rechtsgrundlage
Dies ist der Abschnitt, den Vorlagen am häufigsten verfehlen, obwohl er das Herzstück der DSGVO ist. Jede Art der Verarbeitung hat einen Zweck und eine Rechtsgrundlage. Ohne Rechtsgrundlage ist die Verarbeitung unrechtmäßig, egal wie schön der Rest der Seite klingt.
Verknüpfen Sie jeden Zweck mit einer Rechtsgrundlage:
- Antwort auf eine Nachricht aus dem Formular – berechtigtes Interesse oder vorvertragliche Maßnahmen
- Versand des Newsletters – die Einwilligung, die Sie nachweisen können müssen
- Rechnungsstellung und Buchhaltung – die gesetzliche Verpflichtung
- Ausführung einer Bestellung – der Vertrag
Schreiben Sie nicht reflexartig überall "Einwilligung". Wenn Sie eine Rechnung ausstellen, ist die Rechtsgrundlage die gesetzliche Verpflichtung, nicht die Zustimmung des Kunden – und der Kunde kann keine Einwilligung widerrufen, die es eigentlich nie gab. Korrektheit hier bewahrt Sie vor den meisten echten Problemen.
Wie lange Sie die Daten aufbewahren und wem Sie sie weitergeben
Zwei Informationen, die der Besucher zu wissen berechtigt ist: Wie lange Sie seine Daten behalten und wer sie außer Ihnen noch berührt.
Schreiben Sie bei der Dauer nicht nur "solange erforderlich". Geben Sie konkrete Anhaltspunkte: Nachrichten aus dem Formular können Sie eine angemessene Zeit nach Erledigung der Anfrage aufbewahren, Rechnungsdaten werden gemäß den gesetzlichen Aufbewahrungsfristen für die Buchhaltung archiviert, und beim Newsletter – bis zur Abmeldung.
Listen Sie bei den Empfängern die Kategorien der Dritten auf, die Daten in Ihrem Auftrag verarbeiten (Auftragsverarbeiter):
- der Hosting-Anbieter / die Infrastruktur der Website
- der E-Mail-Marketing-Dienst
- der Zahlungsdienstleister
- der Buchhalter oder das Buchhaltungsunternehmen
Wenn ein Anbieter Daten außerhalb der EU speichert, erwähnen Sie das und die Grundlage der Übermittlung. Sie müssen keine Markennamen nennen, aber die Kategorien müssen klar und wahrheitsgemäß sein.
Die Rechte des Besuchers und die Cookies
Die Datenschutzerklärung muss klar sagen, welche Rechte die Person hat und wie sie diese praktisch ausübt – nicht nur als dekorative Liste aufzählen.
Nennen Sie die Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch und Widerruf der Einwilligung, sowie das Recht, sich bei der ANSPDCP (der rumänischen Aufsichtsbehörde) zu beschweren. Am wichtigsten: Geben Sie einen echten Kanal an – eine E-Mail, auf die Sie tatsächlich antworten, und eine ungefähre Antwortfrist.
Cookies verdienen einen eigenen Abschnitt, mit den verwendeten Kategorien (unbedingt notwendig, Analytics, Marketing) und wie das Ablehnen von nicht Essentiellem möglich ist. Das Cookie-Banner muss die Ablehnung genauso einfach ermöglichen wie die Zustimmung – nicht nur einen großen "Alle akzeptieren"-Button.
Wenn Sie nicht sicher sind, ob Ihre Seite all das wirklich korrekt abdeckt, schreiben Sie uns auf WhatsApp bei MPO Web Studio. Wir bauen Websites für kleine Firmen aus dem ganzen Land, remote, und liefern ein fertiges Demo, bevor Sie irgendetwas bezahlen – inklusive einer von Anfang an korrekt aufgebauten Datenschutzstruktur.
Häufig gestellte Fragen
Kann ich eine kostenlose Vorlage für die Datenschutzerklärung verwenden?+
Ja, als Ausgangspunkt, aber niemals unverändert. Fast alle Vorlagen müssen an das angepasst werden, was Ihre Website tatsächlich sammelt, an die echten Rechtsgrundlagen und an Ihre Anbieter. Eine unverändert gelassene Vorlage listet meist Daten auf, die Sie nicht haben, und falsche Rechtsgrundlagen – was riskanter als nützlich ist. Gehen Sie von dem aus, was Ihre Website tut, und streichen Sie alles Unzutreffende.
Brauche ich eine Datenschutzerklärung, wenn ich nur ein Kontaktformular habe?+
Ja. Sobald Sie Name, E-Mail oder Telefon sammeln, verarbeiten Sie personenbezogene Daten und fallen unter die DSGVO. Schon ein einziges Formular löst die Informationspflicht aus. Es spielt keine Rolle, dass die Firma klein ist oder Sie nicht online verkaufen – die Sammlung selbst ist entscheidend.
Sind Cookie-Banner und ein Datenschutzbeauftragter Pflicht?+
Das Banner ist erforderlich, wenn Sie nicht-essentielle Cookies (Analytics, Marketing) verwenden, und muss die Ablehnung genauso einfach machen wie die Zustimmung. Der Datenschutzbeauftragte hingegen ist für die meisten kleinen Firmen nicht vorgeschrieben – er wird vor allem bei umfangreicher Verarbeitung oder sensiblen Daten zur Pflicht. Benennen Sie keinen DSB nur der Form halber.
Welches Risiko habe ich, wenn meine Datenschutzseite falsch ist oder fehlt?+
Sie können Beschwerden und in schweren Fällen Sanktionen von der ANSPDCP erhalten, aber das praktisch häufigste Risiko ist der Vertrauensverlust: Ein aufmerksamer Besucher erkennt sofort einen kopierten Text mit dem Namen einer anderen Firma darin. Eine falsche Seite gibt Ihnen eine trügerische Sicherheit, was manchmal gefährlicher ist, als zu wissen, dass Sie keine haben.
Wer sollte die Erklärung schreiben – ein Anwalt oder die Web-Agentur?+
Das hängt von der Komplexität ab. Für eine einfache Präsentationswebsite deckt eine von der Agentur angepasste korrekte Struktur den größten Teil der Anforderungen ab. Wenn Sie sensible Daten verarbeiten, Profiling betreiben oder in großem Maßstab arbeiten, lohnt sich die Beratung durch einen Datenschutzspezialisten. Ehrlich gesagt: Niemand kann Ihnen perfekte Konformität allein aus einer Seite garantieren – es kommt auch darauf an, wie Sie die Daten in der Praxis behandeln.
7 Fehler, die Kunden von Ihrer Website vertreiben
Geben Sie Ihre E-Mail-Adresse ein und Sie erhalten den Leitfaden sofort hier. Kein Spam.
Möchten Sie sehen, wie die Website Ihres Unternehmens aussehen könnte?
Schreiben Sie uns auf WhatsApp und wir erstellen Ihnen kostenlos eine Demo-Website mit dem Namen Ihres Unternehmens. Erst ansehen, dann entscheiden — völlig unverbindlich.