Welche Dienste gehören in die Datenschutzerklärung?

Jeder eingebundene Drittdienst, der personenbezogene Daten verarbeitet — Analyse, Werbung, Schriften, Karten, Chat, CDN, Hosting — muss in der Datenschutzerklärung auftauchen.

Die Datenschutzerklärung und das Consent-Banner beantworten zwei verschiedene Fragen. Das Banner regelt, ob ein Dienst überhaupt laden darf (Einwilligung nach § 25 TDDDG). Die Datenschutzerklärung erfüllt die Informationspflicht nach Art. 13 DSGVO — sie muss auch die Dienste nennen, die auf einer anderen Grundlage als der Einwilligung laufen: Hosting, CDN, ein serverseitiger Spam-Filter, die Schriftauslieferung. Ein Dienst, der kein Banner braucht, kann trotzdem in die Datenschutzerklärung gehören.

Die Angaben je Dienst folgen einem festen Raster: Name und Anschrift des Anbieters, Zweck der Verarbeitung, Rechtsgrundlage (Einwilligung, Vertrag, berechtigtes Interesse), Kategorien der verarbeiteten Daten, Speicherdauer, ob und wohin Daten in ein Drittland übermittelt werden und auf welcher Grundlage, sowie die Betroffenenrechte inklusive Widerruf. Fehlt einer dieser Punkte, ist die Erklärung insoweit unvollständig — und das ist ein eigenständiger, bußgeldbewehrter Verstoß, unabhängig davon, ob die Einbindung selbst zulässig war.

Der häufigste Fehler ist die veraltete Liste. Dienste kommen über Plugins, den Tag Manager oder ein Theme-Update dazu, ohne dass die Datenschutzerklärung nachgezogen wird. Umgekehrt stehen dort oft noch Tools, die längst entfernt wurden. Ein pragmatischer Abgleich: die Seite im privaten Fenster laden, im Netzwerk-Tab alle Fremd-Hosts notieren und gegen die Datenschutzerklärung prüfen — mindestens nach jeder größeren Website-Änderung.

Ist das ein Risiko?

Art. 13 DSGVO verlangt Angaben zu Zweck, Rechtsgrundlage, Empfängern, Speicherdauer und Drittlandtransfer. Eine unvollständige Datenschutzerklärung ist ein eigenständiger Verstoß — unabhängig davon, ob die Einbindung selbst zulässig ist.

Was du tun kannst

• Eine vollständige Liste aller eingebundenen Dienste erstellen (auch die, die per Plugin oder Tag Manager kommen).
• Je Dienst: Anbieter, Zweck, Rechtsgrundlage, Speicherdauer, Empfängerland ergänzen.
• Bei jeder Änderung an der Website die Datenschutzerklärung mitpflegen.
• Regelmäßig abgleichen, ob die tatsächlich geladenen Dienste zur Datenschutzerklärung passen.

Häufige Fragen

Muss ich auch Hosting und CDN in die Datenschutzerklärung schreiben?

Ja. Hoster und CDN verarbeiten die IP-Adressen der Besucher und sind Empfänger im Sinne von Art. 13 DSGVO. Sie brauchen zwar kein Consent-Banner, gehören aber mit Zweck, Rechtsgrundlage und ggf. Drittlandtransfer in die Erklärung.

Reicht ein Datenschutz-Generator?

Als Ausgangspunkt ja. Die generierten Texte decken Standarddienste ab, müssen aber an die tatsächlich eingesetzten Tools angepasst und aktuell gehalten werden. Ein Generator ersetzt weder die Bestandsaufnahme noch die juristische Prüfung.

Was passiert bei einer unvollständigen Datenschutzerklärung?

Es ist ein eigenständiger DSGVO-Verstoß nach Art. 13, den Aufsichtsbehörden mit Bußgeld belegen können — auch wenn die Datenverarbeitung selbst rechtmäßig ist. In der Praxis stehen zunächst Hinweise und Aufforderungen im Vordergrund.

Wie oft muss ich die Datenschutzerklärung prüfen?

Nach jeder Änderung, die neue Dienste einbindet oder entfernt, und zusätzlich in einem festen Turnus (z. B. halbjährlich). Ein kurzer Abgleich der im Netzwerk-Tab geladenen Fremd-Hosts gegen die Erklärung genügt für den Routine-Check.

Wie consentglass hilft

Der kostenlose Scan prüft das ausgelieferte HTML und zeigt, welche Dienste eingebunden sind, ob ein Cookie-Banner erkannt wird und ob Datenschutz- und Impressum-Link vorhanden sind — mit Einordnung je Fund. Er ersetzt keine Rechtsberatung.