Datenschutzerklärung für die Website: was drinstehen muss
Art. 13 DSGVO gibt das Raster vor, deine Technik füllt es aus. Welche Angaben Pflicht sind, warum eine Seite ohne Cookies mit fünf Abschnitten auskommt und was Generatoren nicht wissen können.
Die Datenschutzerklärung deiner Website muss das enthalten, was Art. 13 DSGVO aufzählt: wer verantwortlich ist, welche Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet werden, wer sie bekommt, wie lange sie bleiben und welche Rechte der Besucher hat. Klingt nach viel. Für eine kleine Website ohne Cookies und ohne fremde Dienste sind es fünf Abschnitte, und jeder davon beschreibt nur, was die Seite technisch ohnehin tut.
Eine Datenschutzerklärung ist kein Text, den man sich besorgt. Sie ist eine Beschreibung deiner Technik. Wer nicht weiß, was seine Seite beim Aufruf lädt, kann sie nicht richtig schreiben, egal mit welchem Generator. Dieser Beitrag geht deshalb von der Technik aus. Die Übersicht über alle drei Rechtsbausteine einer Website, also Impressum, Datenschutzerklärung und Cookie-Banner, steht im Beitrag Datenschutz und Impressum auf der Website. Hier geht es nur um den Text mit der Überschrift „Datenschutzerklärung“. Und vorweg: Das ist die Rechtslage mit Stand September 2026, keine Rechtsberatung.
„Ich erhebe doch gar keine Daten“
Der häufigste Einwand, und er stimmt nie. Beim ersten Aufruf schreibt der Server eine Zeile in sein Protokoll: IP-Adresse, Uhrzeit, aufgerufene Seite, Browser. Die IP-Adresse ist ein personenbezogenes Datum, also verarbeitet jede Website Daten, bevor irgendjemand ein Formular ausfüllt. Das Bayerische Landesamt für Datenschutzaufsicht formuliert es in seinen FAQ so: Jede Website, die für eine unbestimmte Zielgruppe erreichbar ist, braucht eine Datenschutzerklärung. Selbst eine Seite mit nichts als Name und Telefonnummer muss über den Verantwortlichen und die Betroffenenrechte informieren.
Was Art. 13 DSGVO verlangt
Art. 13 hat zwei Absätze mit Pflichtangaben. Der erste gilt immer:
Verantwortlicher
Name und Kontaktdaten, dazu der Datenschutzbeauftragte, falls einer benannt ist. Pflicht ist der nach § 38 BDSG erst, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Datenverarbeitung beschäftigt sind.
Zwecke und Rechtsgrundlage
Wofür werden die Daten verarbeitet, und worauf stützt sich das: Vertrag, berechtigtes Interesse, Einwilligung. Beim berechtigten Interesse muss das Interesse selbst genannt werden.
Empfänger
Wer die Daten außerdem sieht, etwa der Hoster oder ein Newsletter-Dienst.
Drittland
Ob Daten außerhalb der EU landen und auf welcher Grundlage.
Der zweite Absatz ergänzt, was für eine faire Verarbeitung nötig ist:
Speicherdauer
oder, wenn sie sich nicht beziffern lässt, die Kriterien dafür.
Rechte
Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit, dazu das Beschwerderecht bei einer Aufsichtsbehörde und bei Einwilligungen das Recht auf Widerruf.
Pflicht zur Angabe
Ob der Besucher die Daten geben muss und was passiert, wenn nicht. Bei einem Formular heißt das: welche Felder freiwillig sind.
Automatisierte Entscheidungen
samt Profiling, falls es sie gibt. Auf den meisten Firmenseiten gibt es sie nicht, dann entfällt die Angabe.
Zwei Formvorgaben kommen dazu. Art. 12 verlangt die Informationen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“. Leicht zugänglich heißt in der Praxis: von jeder Seite aus mit einem Klick erreichbar. Und Art. 21 Abs. 4 will den Hinweis auf das Widerspruchsrecht „in einer verständlichen und von anderen Informationen getrennten Form“. In der Praxis ist das ein eigener, abgesetzter Abschnitt, so macht es auch das Muster der NRW-Datenschutzaufsicht.
Erst die Technik, dann der Text
Die Pflichtangaben oben sind das Raster. Ausgefüllt wird es pro Stelle, an der Daten fließen. Deshalb hat eine Datenschutzerklärung so viele Abschnitte, wie die Website Bausteine hat, und keinen mehr. Die üblichen, mit der Rechtsgrundlage, die dafür in der Regel herangezogen wird:
Hosting und Server-Logs.
Immer vorhanden. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f: Auslieferung und Sicherheit der Seite), der Hoster ist Auftragsverarbeiter nach Art. 28 und wird als Empfänger genannt. Für die Speicherdauer gibt es keine gesetzliche Frist; das Muster der Datenschutzaufsicht NRW arbeitet mit höchstens vier Wochen. Entscheidend ist, was dein Hoster tatsächlich einstellt, und das steht in seinem Vertrag zur Auftragsverarbeitung.
Kontaktformular und E-Mail.
Vertragliche Anbahnung (lit. b) oder berechtigtes Interesse (lit. f), gespeichert, bis die Anfrage erledigt ist, länger nur, wenn daraus ein Auftrag mit Aufbewahrungspflichten wird. Hier gehört auch hin, welche Felder freiwillig sind.
Schriften, Karten, Videos von fremden Servern.
Die Datenschutzkonferenz stellt in ihrer Orientierungshilfe für digitale Dienste klar, dass jede Einbindung fremder Inhalte Daten an den fremden Server offenlegt und eine eigene Rechtsgrundlage braucht. Liegen die Schriften auf dem eigenen Server, entfällt der Abschnitt komplett, wie das geht, steht hier.
Statistik.
Zählt das Werkzeug ohne Cookies und ohne Profile, wird der Abschnitt in der Regel auf berechtigtes Interesse gestützt; die Datenschutzkonferenz legt sich in ihrer Orientierungshilfe bewusst nicht fest, ob Reichweitenmessung ohne Einwilligung auskommt. Setzt es Cookies, braucht es nach § 25 TDDDG eine Einwilligung, und Banner und Erklärung müssen dasselbe sagen. Was cookiefreie Website-Statistik ohne Cookies voraussetzt, habe ich separat beschrieben.
Newsletter.
Einwilligung, denn § 7 UWG lässt Werbe-Mails grundsätzlich nur mit vorheriger ausdrücklicher Einwilligung zu, Ausnahme sind Bestandskunden nach § 7 Abs. 3. Der Versanddienst ist Empfänger, der Widerruf muss genannt sein, und der Nachweis der Anmeldung bleibt gespeichert. Der BGH hat am 10. Februar 2011 (I ZR 164/09) entschieden, dass der Werbende die Einwilligung jedes Empfängers dokumentieren muss; für E-Mail-Werbung hat er das Double-Opt-in-Verfahren dafür als geeignet angesehen, für Telefonwerbung nicht.
Dienste aus den USA.
Dann verlangt Art. 13 Abs. 1 lit. f den Hinweis auf die Übermittlung und ihre Grundlage. Aktuell ist das meist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework vom 10. Juli 2023. Das Gericht der EU hat die Klage dagegen am 3. September 2025 abgewiesen (T-553/23), das Rechtsmittel liegt seit Oktober 2025 beim Gerichtshof (C-703/25 P) und ist im September 2026 noch nicht entschieden.
Bei Heilberufen kommt ein weiterer Baustein dazu, weil ein Freitextfeld schnell Gesundheitsdaten enthält. Was dann gilt, steht im Beitrag zur Praxis-Website und DSGVO.
Die kürzeste ehrliche Datenschutzerklärung
Nimm eine Website, die keine Cookies setzt, keine fremden Schriften oder Karten lädt, deren Hoster in der EU sitzt und die ein Kontaktformular hat. Dann bleiben von der langen Liste fünf Abschnitte übrig:
- Verantwortlicher: Name, Anschrift, E-Mail-Adresse.
- Hosting und Server-Logs: welche Daten der Server protokolliert, wozu, wie lange, wer der Hoster ist.
- Kontaktformular: welche Felder, wozu, wie lange, welche freiwillig sind.
- Deine Rechte: Auskunft bis Datenübertragbarkeit, dazu das Beschwerderecht bei der Aufsichtsbehörde.
- Widerspruch: als eigener Abschnitt, wegen Art. 21 Abs. 4.
Kein Cookie-Abschnitt, kein Drittland, kein Einwilligungs-Widerruf, weil es nichts gibt, in das eingewilligt wurde. So eine Erklärung passt auf eine Bildschirmseite. Mehr Abschnitte braucht nur eine Seite, die mehr tut. Das Muster, das die Datenschutzaufsicht NRW seit 2019 für „einfache“ Websites veröffentlicht, ist im Kern genau dieser Aufbau. Meine eigene Erklärung hat zehn Abschnitte, aber nur, weil auf dieser Seite ein Kundenlogin, ein Zahlungsdienst, ein Bot-Schutz und eine cookiefreie Statistik laufen. Jeder dieser Abschnitte steht dort, weil es das Werkzeug auf der Seite gibt, nicht umgekehrt.
Was Generatoren können und was nicht
Die bekannten Generatoren sind gut in dem, was sie tun: aus Bausteinen einen sauberen Text zusammensetzen. eRecht24 bietet die Grundversion kostenlos an, das Premium-Paket mit Aktualisierungs-Hinweisen kostet 30 Euro im Monat, 15 Euro bei Jahreszahlung. Der Generator von Rechtsanwalt Thomas Schwenke ist bis 5.000 Euro Jahresumsatz kostenlos, darüber einmalig 99,90 Euro netto. activeMind stellt seinen Generator kostenlos zur Verfügung, verlangt dafür aber einen Quellenhinweis mit Link im Text. Die Datenschutzaufsicht Baden-Württemberg bietet mit DS-GVO.clever ein eigenes kostenloses Werkzeug für kleine Betriebe an (alle Angaben Stand 7. September 2026).
Alle vier stellen dieselbe Art von Fragen: Nutzt du Google Analytics? Bindest du Google Fonts ein? Hast du ein Kontaktformular? Und an dieser Stelle liegt das Problem, denn der Generator kennt deine Website nicht. Er weiß nicht, ob dein Theme heimlich Schriften von Google nachlädt, ob das Karten-Plugin schon beim Seitenaufruf Daten schickt oder welche Log-Frist dein Hoster eingestellt hat. Er formuliert, was du ankreuzt. Kreuzt du falsch an, ist der Text falsch, und zwar juristisch sauber formuliert falsch. Das bayerische Landesamt schreibt deshalb, es gebe kein allgemein gültiges Muster, weil jede Website andere Funktionen hat.
Die Antwort auf die Generator-Fragen steht in deinem Browser. Öffne deine Startseite, dann die Entwicklerwerkzeuge (in Chrome und Firefox mit F12, am Mac mit Cmd + Option + I), dort den Reiter „Netzwerk“, und lade die Seite neu. Jede Zeile ist eine Anfrage; jede Domain, die nicht deine eigene ist, ist ein Empfänger, der in die Erklärung gehört oder von der Seite verschwinden sollte. Eine Viertelstunde mit dieser Liste macht aus dem Generator ein Werkzeug statt einer Wette.
Was passiert, wenn sie fehlt oder nicht stimmt
Der Bundesgerichtshof hat am 27. März 2025 (I ZR 186/17 und weitere) entschieden, dass die Informationspflichten aus Art. 12 und 13 DSGVO, dort zu Zweck, Rechtsgrundlage und Empfängern, Marktverhaltensregeln sind. Damit können Mitbewerber und Verbraucherverbände eine fehlende oder unvollständige Datenschutzerklärung wettbewerbsrechtlich verfolgen; der Europäische Gerichtshof hatte das am 4. Oktober 2024 (C-21/23) für zulässig erklärt. Der Bußgeldrahmen der Aufsichtsbehörden liegt nach Art. 83 DSGVO für Verstöße gegen die Informationspflichten bei bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Und das Landgericht München I hat am 20. Januar 2022 (3 O 17493/20) einem Besucher 100 Euro Schadensersatz zugesprochen, weil eine Seite Google Fonts vom Google-Server geladen hatte. Das sind die Fakten. Was daraus im Einzelfall folgt, ist eine Frage für Anwalt oder Datenschutzbeauftragten, nicht für einen Webdesign-Blog.
Eine Änderung der Cookie-Regeln, die die EU-Kommission im November 2025 als Teil des „Digital Omnibus“ vorgeschlagen hat, ist im September 2026 nicht beschlossen: Die Abstimmung im Rat wurde am 26. Juni 2026 abgesagt, das Parlament hat noch nicht im Ausschuss abgestimmt. Es gilt weiter § 25 TDDDG.
Wie ich es halte
Wenn ich eine Website baue, entsteht die Datenschutzerklärung nicht am Ende, sondern aus der Bauweise. Schriften liegen auf dem eigenen Server, Statistik läuft ohne Cookies, Karten und Videos laden erst nach einem Klick, der Hoster sitzt in Deutschland. Das hält die Erklärung kurz, weil es wenig zu erklären gibt. Die Seite für den Text ist von Anfang an eingerichtet, die Abschnitte sind entlang der tatsächlichen Technik vorbereitet, und wenn später ein neues Formular oder Werkzeug dazukommt, sage ich Bescheid, dass ein Abschnitt fehlt. Die Formulierung und die inhaltliche Prüfung bleiben Sache von Anwalt oder Datenschutzbeauftragtem. Das Wissen, was die Seite lädt, liefere ich.
Häufige Fragen
Brauche ich eine Datenschutzerklärung, wenn meine Website keine Daten erhebt?
Ja. Schon der Server protokolliert beim Aufruf die IP-Adresse, und die ist ein personenbezogenes Datum. Nach der FAQ des Bayerischen Landesamts für Datenschutzaufsicht braucht jede öffentlich erreichbare Website eine Datenschutzerklärung, mindestens mit Verantwortlichem und Betroffenenrechten.
Was muss in die Datenschutzerklärung einer Website ohne Cookies?
Bei einer Seite ohne Cookies, ohne fremde Dienste und mit Hoster in der EU reichen fünf Abschnitte: Verantwortlicher, Hosting und Server-Logs, Kontaktformular, Betroffenenrechte samt Beschwerderecht und ein eigener Abschnitt zum Widerspruchsrecht nach Art. 21 Abs. 4 DSGVO.
Reicht eine Datenschutzerklärung aus dem Generator?
Der Generator formuliert korrekt, was du ankreuzt, kennt deine Website aber nicht. Ob der Text stimmt, hängt davon ab, ob du weißt, welche Dienste deine Seite tatsächlich lädt. Das lässt sich im Netzwerk-Reiter der Browser-Entwicklerwerkzeuge nachsehen. Die Aufsichtsbehörde Bayern weist darauf hin, dass es kein allgemein gültiges Muster gibt.
Wie lange dürfen Server-Logs gespeichert werden?
Eine gesetzliche Frist gibt es nicht; Art. 13 Abs. 2 DSGVO verlangt die Angabe der Dauer oder der Kriterien. Das Muster der Datenschutzaufsicht NRW für Website-Datenschutzhinweise arbeitet mit höchstens vier Wochen bis zur endgültigen Löschung. Maßgeblich ist die Einstellung des Hosters, die im Vertrag zur Auftragsverarbeitung steht.
Pappelbaum Design
Deine eigene Website — ab 49 €/Monat
Professionelles Webdesign, persönlich gebaut und ohne Agenturumweg — vom Onepager bis zum Relaunch. 549 € Einrichtungsgebühr, dann 49 €/Monat, monatlich kündbar. Der erste Schritt kostet nichts.