In einem Satz. Ein Datenschutzerklärung-Muster für Websites setzt die Informationspflichten aus Art. 13 DSGVO um und ergänzt sie um die Cookie- und Endgeräte-Regeln des TDDDG (§ 25) — es informiert Besucher verständlich über Verantwortlichen, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer und ihre Betroffenenrechte.
Wichtige Punkte
- Pflicht nach Art. 13 DSGVO (Direkterhebung).
- Cookies/Tracking: Einwilligung nach § 25 TDDDG, außer technisch notwendig.
- Muss zum Zeitpunkt der Erhebung leicht zugänglich sein.
- Verständliche Sprache, keine Rechtsfloskeln (Art. 12 Abs. 1).
- Bußgeld bis 20 Mio. € / 4 % (Art. 83 Abs. 5).
Das Muster (Grundgerüst)
DATENSCHUTZERKLÄRUNG
1. Verantwortlicher
[Firma, Anschrift, E-Mail, Telefon]
Datenschutzbeauftragter (falls bestellt): [Kontakt]
2. Zwecke und Rechtsgrundlagen
Wir verarbeiten personenbezogene Daten nach der DSGVO. Rechtsgrund-
lagen sind Art. 6 Abs. 1 lit. a (Einwilligung), lit. b (Vertrag),
lit. c (rechtliche Pflicht) und lit. f (berechtigtes Interesse).
3. Bereitstellung der Website / Server-Logfiles
Beim Aufruf erheben wir automatisch: IP-Adresse, Datum/Uhrzeit,
abgerufene Seite, Browser, Betriebssystem. Zweck: sicherer Betrieb,
Rechtsgrundlage Art. 6 Abs. 1 lit. f. Speicherdauer: [7–90 Tage].
4. Kontaktformular / E-Mail
Bei Kontaktaufnahme verarbeiten wir Ihre Angaben zur Bearbeitung der
Anfrage. Rechtsgrundlage Art. 6 Abs. 1 lit. b bzw. lit. f. Löschung
nach abschließender Bearbeitung, sofern keine Aufbewahrungspflicht.
5. Cookies und Reichweitenmessung (§ 25 TDDDG)
Technisch notwendige Cookies setzen wir ohne Einwilligung
(§ 25 Abs. 2 TDDDG). Alle anderen (Analyse, Marketing) erst nach
Ihrer Einwilligung über das Cookie-Banner (Art. 6 Abs. 1 lit. a,
§ 25 Abs. 1 TDDDG). Widerruf jederzeit möglich.
6. Newsletter
Versand nur nach Double-Opt-In-Einwilligung (Art. 6 Abs. 1 lit. a).
Abmeldung jederzeit über den Link in jeder E-Mail.
7. Empfänger / Auftragsverarbeiter
[Hosting-Anbieter, Newsletter-Tool, Analyse-Dienst] verarbeiten Daten
in unserem Auftrag auf Basis eines AVV (Art. 28).
8. Drittlandübermittlung
Bei Diensten mit US-Bezug erfolgt die Übermittlung auf Grundlage von
Standardvertragsklauseln (Art. 46) bzw. Angemessenheitsbeschluss.
9. Speicherdauer
Wir speichern Daten nur so lange, wie es für die genannten Zwecke
oder gesetzliche Aufbewahrungsfristen erforderlich ist.
10. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16),
Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit
(Art. 20) und Widerspruch (Art. 21). Einwilligungen können Sie
jederzeit widerrufen (Art. 7 Abs. 3). Beschwerderecht bei einer
Aufsichtsbehörde (Art. 77).
Stand: [Datum]
So passen Sie das Muster an
Cookie-Banner richtig gestalten
Der häufigste Streitpunkt bei Websites ist das Cookie-Banner. § 25 Abs. 1 TDDDG verlangt für das Speichern und Auslesen von Informationen auf dem Endgerät eine Einwilligung, sofern es nicht technisch unbedingt erforderlich ist (§ 25 Abs. 2). Diese Einwilligung muss den Anforderungen der DSGVO genügen: freiwillig, informiert, aktiv und ebenso leicht widerrufbar wie erteilbar. Praktisch heißt das: „Ablehnen" muss auf der ersten Ebene genauso leicht erreichbar sein wie „Akzeptieren". Vorausgewählte Häkchen, versteckte Ablehnen-Optionen oder ein „Weiter"-Button, der als Zustimmung gewertet wird, sind unzulässig — bestätigt durch EuGH Planet49 (C-673/17) und die Orientierungshilfe der Datenschutzkonferenz zu Telemedien.
Pflicht auch ohne Cookies
Häufige Fehler
- Generator-Text ungeprüft übernehmen. Muster beschreiben oft Dienste, die gar nicht im Einsatz sind, oder lassen tatsächlich genutzte weg. Beides ist ein Verstoß gegen Art. 13.
- Cookies vor Einwilligung laden. Der EuGH (C-673/17 Planet49) und der BGH haben klargestellt: nicht notwendige Cookies erst nach aktiver Einwilligung. Ein vorangekreuztes Kästchen genügt nicht.
- Impressum und Datenschutzerklärung vermischen. Es sind zwei getrennte Pflichtangaben mit unterschiedlicher Rechtsgrundlage.
- Keine Aktualisierung. Neue Tools ohne Anpassung der Erklärung führen zu Lücken. Google wurde 2019 von der CNIL mit 50 Mio. € sanktioniert — Kern war unter anderem intransparente Information; die Anforderung an Verständlichkeit gilt EU-weit.
- Unverständliche Sprache. Art. 12 Abs. 1 verlangt klare, einfache Sprache — verschachtelte Juristendeutsch-Sätze sind ein eigener Verstoß.
FAQ
Heißt es jetzt TTDSG oder TDDDG?
Seit dem 14. Mai 2024 lautet der offizielle Name TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz). Es handelt sich um dieselbe Regelung wie das frühere TTDSG; die Cookie-Vorschrift ist weiterhin § 25. Ältere Muster mit „TTDSG" sind inhaltlich nicht falsch, aber veraltet bezeichnet.
Brauche ich für rein technische Cookies eine Einwilligung?
Nein. § 25 Abs. 2 TDDDG erlaubt das Speichern und Auslesen ohne Einwilligung, wenn es für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich ist (z. B. Warenkorb, Login, Lastverteilung). Für Analyse und Marketing gilt dagegen die Einwilligungspflicht nach § 25 Abs. 1.
Muss die Datenschutzerklärung von jeder Seite erreichbar sein?
Ja. Sie muss ohne Umwege, in der Regel über einen ständig sichtbaren Link im Footer, von jeder Unterseite erreichbar sein. Die Information muss zum Zeitpunkt der Datenerhebung vorliegen (Art. 13 Abs. 1).
Darf ich Google Fonts oder Maps einfach einbinden?
Wie oft muss ich die Datenschutzerklärung aktualisieren?
Immer dann, wenn sich die zugrunde liegenden Verarbeitungen ändern — und mindestens einmal jährlich zur Kontrolle. Neue Tools (ein zusätzliches Analyse- oder Chat-Tool), geänderte Dienstleister, neue Zahlungsanbieter oder eine geänderte Rechtslage (wie die Umbenennung des TTDSG in TDDDG) erfordern eine Anpassung. Ein häufiger Fehler ist die „Set-and-forget"-Erklärung, die einmal erstellt und dann jahrelang nicht angefasst wird, während die Website längst neue Dienste einbindet. Koppeln Sie die Aktualisierung deshalb an Ihren Change-Prozess: Wer ein neues Tool auf der Website einbindet, muss zugleich Verarbeitungsverzeichnis, AVV und Datenschutzerklärung prüfen. Das Datum „Stand: …" am Ende der Erklärung sollte die letzte inhaltliche Prüfung widerspiegeln.
Fazit
Eine belastbare Datenschutzerklärung bildet exakt die Dienste ab, die Ihre Website wirklich nutzt — nicht mehr und nicht weniger. Nutzen Sie das Muster als Gerüst, benennen Sie jedes Tool konkret und trennen Sie sauber zwischen notwendigen und einwilligungspflichtigen Cookies. Den Normtext des TDDDG finden Sie unter gesetze-im-internet.de, die DSGVO bei EUR-Lex.