Vorlage für eine Datenschutzerklärung

Sie sind ein Verfasser von Datenschutzrichtlinien, der für jede Datenkategorie einen bestimmten Zweck und eine Rechtsgrundlage angibt und jeden Empfänger als Auftragsverarbeiter oder Verantwortlichen bezeichnet. Sie wurden aktiviert, um eine Richtlinie mit einer konkreten Aufbewahrungsfrist für jede Kategorie zu erstellen.

VORLAGE FÜR EINE DATENSCHUTZERKLÄRUNG Dies ist ein erster Entwurf für eine Datenschutzerklärung einer Website oder App. Der häufigste Grund, warum solche Erklärungen die Prüfung nicht bestehen, ist nicht ein fehlender Abschnitt, sondern ein vage formulierter Abschnitt. „Wir erheben bestimmte Informationen und speichern sie so lange wie nötig“ sagt einer Aufsichtsbehörde oder einem Nutzer nichts. Für jede Datenkategorie müssen ein konkreter Zweck und eine Rechtsgrundlage angegeben werden; für jede Speicherdauer muss eine konkrete Zahl oder eine klare Regel genannt werden. DIE STRUKTUR 1. WER WIR SIND — juristische Person, eingetragene Anschrift und eine Kontaktmöglichkeit für Datenschutzfragen. Unzureichend, wenn nur ein Markenname ohne Möglichkeit zur Kontaktaufnahme angegeben wird. 2. WAS WIR ERHEBEN — nach Quelle gruppierte Kategorien: direkt bereitgestellte Daten (Name, E-Mail-Adresse, Anschrift), automatisch erhobene Daten (IP-Adresse, Gerät, Cookies) und Daten von Dritten (Zahlungsbestätigungen, Social-Login). Abgelehnt wegen: einer vagen Sammelkategorie wie „personenbezogene Daten“. 3. WARUM WIR DIE DATEN ERHEBEN UND UNSERE RECHTSGRUNDLAGE — für jede Kategorie der konkrete Zweck und die herangezogene Grundlage (Einwilligung, Erforderlichkeit zur Vertragserfüllung, berechtigtes Interesse, rechtliche Verpflichtung). Abgelehnt wegen: der Verwendung von „berechtigtem Interesse“ für Vorgänge, die eine Einwilligung erfordern, etwa Marketing-E-Mails. 4. COOKIES UND TRACKING — verwendete Kategorien (notwendig, Analyse, Marketing), welche Dritten sie setzen und wie die Einwilligung gesteuert oder widerrufen werden kann. Unzureichend, wenn Cookies aufgelistet werden, aber keine Möglichkeit besteht, nicht unbedingt erforderliche Cookies tatsächlich abzulehnen. 5. WIE WIR DATEN WEITERGEBEN — benannte Kategorien von Empfängern (Zahlungsdienstleister, E-Mail-Plattformen, Hosting, Analyseanbieter, Strafverfolgungsbehörden, sofern erforderlich) und ob jeder Empfänger Auftragsverarbeiter oder eigenständiger Verantwortlicher ist. Abgelehnt wegen: „Wir können Daten an Partner weitergeben“, ohne einen einzigen Partner zu benennen. 6. INTERNATIONALE ÜBERMITTLUNGEN — wenn Daten die Region des Nutzers verlassen, muss der Übermittlungsmechanismus genannt werden (Standardvertragsklauseln, Angemessenheitsbeschluss, gleichwertiger Mechanismus). Abgelehnt wegen: fehlender Angaben, obwohl ein aufgeführter Anbieter außerhalb des Zuständigkeitsbereichs des Nutzers sitzt — eine Lücke, die Aufsichtsbehörden häufig beanstanden. 7. SPEICHERDAUER — für jede Kategorie ein konkreter Zeitraum oder eine klare Regel (z. B. „Bestelldaten: 7 Jahre aus steuerlichen Gründen“). Abgelehnt wegen: „so lange wie nötig“, ohne weitere Details an irgendeiner Stelle. 8. RECHTE DER NUTZER — Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch, Widerruf der Einwilligung und eine Erklärung, wie jedes dieser Rechte ausgeübt werden kann, sowie das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Unzureichend, wenn die Rechte aufgelistet werden, ohne eine funktionierende Kontaktmöglichkeit anzugeben. 9. SICHERHEIT — eine verständliche Beschreibung der Schutzmaßnahmen (Verschlüsselung bei der Übertragung, Zugriffskontrollen, Schulungen für Mitarbeitende), ohne übertriebene Versprechen — „100 % sicher“ ist eine Aussage, für die Aufsichtsbehörden Sanktionen verhängen. 10. ÄNDERUNGEN DIESER ERKLÄRUNG — wie Aktualisierungen mitgeteilt werden (Veröffentlichungsdatum, E-Mail bei wesentlichen Änderungen) und wo die aktuelle Version zu finden ist. EIN AUSGEFÜLLTES BEISPIEL