Datenschutzerklärung · Art. 13 & 14 DSGVO · Österreich
Datenschutzerklärung für Unternehmen und Websites in Österreich
Eine Datenschutzerklärung soll betroffene Personen verständlich darüber informieren,
welche personenbezogenen Daten ein Unternehmen verarbeitet,
zu welchen Zwecken dies geschieht, auf welcher Rechtsgrundlage,
wie lange Daten gespeichert werden und welche Rechte bestehen.
Rechtsanwältin Dr. Nina Ollinger, LL.M. erstellt und prüft
Datenschutzerklärungen und Datenschutzinformationen rechtlich.
Dr. Thomas Ollinger ergänzt als zertifizierter Datenschutzbeauftragter
und Unternehmensberater die tatsächlichen Datenflüsse,
Systeme und organisatorischen Abläufe.
- Art. 13 · Art. 14 DSGVO · Informationspflichten
- Website, Kunden, Mitarbeiter und Bewerber
- rechtliche Prüfung plus tatsächliche Datenverarbeitung
Kurzantwort
Was muss in einer Datenschutzerklärung stehen?
Eine Datenschutzerklärung muss die betroffenen Personen transparent
über die jeweilige Datenverarbeitung informieren.
Dazu gehören insbesondere Verantwortlicher, Zwecke, Rechtsgrundlagen,
Datenkategorien, Empfänger, Speicherdauer,
mögliche Drittlandübermittlungen und die Rechte der betroffenen Personen.
Welche Angaben konkret erforderlich sind,
hängt davon ab, ob Daten direkt bei der betroffenen Person
oder aus anderen Quellen erhoben werden.
Entscheidend ist deshalb,
dass die Datenschutzerklärung zur tatsächlichen Verarbeitung passt
und nicht lediglich aus einer allgemeinen Vorlage übernommen wird.
Das Wichtigste in sechs Punkten
Datenschutzerklärung auf einen Blick
- Eine Datenschutzerklärung erfüllt Informationspflichten – sie ersetzt keine Rechtsgrundlage.
- Art. 13 DSGVO gilt bei Datenerhebung direkt bei der betroffenen Person.
- Art. 14 DSGVO gilt grundsätzlich bei Erhebung aus anderen Quellen.
- Die Erklärung muss verständlich, transparent und zur tatsächlichen Verarbeitung passend sein.
- Website, Mitarbeiter, Bewerber und Kunden können unterschiedliche Datenschutzinformationen benötigen.
- Neue Tools, Dienstleister und Tracking-Dienste müssen in der Datenschutzerklärung laufend berücksichtigt werden.
Informationspflichten
Warum braucht ein Unternehmen eine Datenschutzerklärung?
Die DSGVO verlangt Transparenz.
Betroffene Personen sollen verstehen können,
was mit ihren personenbezogenen Daten geschieht.
Diese Informationspflicht besteht nicht nur auf Websites.
Sie kann ebenso Kunden, Mitarbeiter, Bewerber,
Lieferanten oder andere Personengruppen betreffen.
In der Praxis ist „Datenschutzerklärung“ oft die Bezeichnung
für die Information auf einer Website.
Rechtlich geht es allgemeiner um Datenschutzinformationen,
die je nach Datenerhebung insbesondere Art. 13 oder Art. 14 DSGVO entsprechen müssen.
Eine Datenschutzerklärung macht eine Datenverarbeitung
nicht automatisch zulässig.
Sie informiert über die Verarbeitung;
zusätzlich braucht jede Verarbeitung eine passende Rechtsgrundlage.
Art. 13 DSGVO
Welche Informationen sind bei direkter Datenerhebung erforderlich?
Werden personenbezogene Daten direkt bei einer betroffenen Person erhoben,
muss sie grundsätzlich bereits zum Zeitpunkt der Erhebung informiert werden.
Verantwortlicher
Name und Kontaktdaten des Verantwortlichen
sowie gegebenenfalls seines Vertreters.
Datenschutzbeauftragter
Kontaktdaten des Datenschutzbeauftragten,
sofern ein solcher bestellt wurde.
Zwecke und Rechtsgrundlagen
Für welche Zwecke Daten verarbeitet werden
und auf welche Rechtsgrundlage sich die Verarbeitung stützt.
Berechtigte Interessen
Wird Art. 6 Abs. 1 lit. f DSGVO verwendet,
sind die verfolgten berechtigten Interessen anzugeben.
Empfänger
Empfänger oder Kategorien von Empfängern,
denen personenbezogene Daten offengelegt werden.
Speicherdauer
Dauer der Speicherung
oder zumindest die Kriterien,
nach denen diese Dauer festgelegt wird.
Weitere Pflichtangaben
Welche zusätzlichen Angaben verlangt Art. 13 DSGVO?
Neben den Grundinformationen verlangt Art. 13 DSGVO
weitere Angaben, damit die Verarbeitung
fair und transparent nachvollziehbar wird.
- Rechte auf Auskunft, Berichtigung, Löschung und Einschränkung
- gegebenenfalls Recht auf Datenübertragbarkeit
- gegebenenfalls Widerspruchsrecht
- Widerrufsrecht bei Einwilligungen
- Beschwerderecht bei einer Aufsichtsbehörde
- Angabe, ob Daten gesetzlich oder vertraglich bereitgestellt werden müssen
- Folgen einer Nichtbereitstellung, soweit relevant
- Informationen zu automatisierten Entscheidungen einschließlich Profiling, soweit einschlägig
- Informationen zu Drittlandübermittlungen und geeigneten Garantien, soweit einschlägig
Art. 14 DSGVO
Was gilt, wenn Daten nicht direkt bei der betroffenen Person erhoben werden?
Werden personenbezogene Daten nicht direkt bei der betroffenen Person erhoben,
greifen grundsätzlich die Informationspflichten des Art. 14 DSGVO.
Zusätzlich zu vielen Angaben aus Art. 13
muss insbesondere darüber informiert werden,
welche Kategorien personenbezogener Daten verarbeitet werden
und aus welcher Quelle die Daten stammen.
Gegebenenfalls ist auch anzugeben,
ob sie aus öffentlich zugänglichen Quellen stammen.
Für den Zeitpunkt der Information enthält Art. 14 eigene Regeln.
Je nach Konstellation muss die Information innerhalb einer angemessenen Frist,
spätestens innerhalb eines Monats,
bei erster Kommunikation oder vor erster Offenlegung erfolgen.
Daten aus Konzernunternehmen,
Adressdatenbanken, öffentlichen Registern,
Empfehlungen oder Geschäftspartnern können Art. 14 DSGVO auslösen.
Art. 13 oder Art. 14?
Welche Informationspflicht gilt in welcher Situation?
Der Ausgangspunkt ist die Frage,
woher die personenbezogenen Daten stammen.
Kontaktformular
Die betroffene Person gibt ihre Daten selbst ein:
typischerweise Art. 13 DSGVO.
Bewerbung
Bewerber übermittelt Unterlagen direkt:
typischerweise Art. 13 DSGVO.
Empfehlung durch Dritte
Kontaktdaten werden von einer anderen Person erhalten:
Art. 14 DSGVO kann relevant sein.
Öffentliche Quelle
Daten werden aus öffentlich zugänglichen Registern
oder Quellen übernommen:
grundsätzlich Art. 14 DSGVO prüfen.
Website-Datenschutz
Was gehört in eine Datenschutzerklärung für eine Website?
Eine Website-Datenschutzerklärung muss die tatsächlich
auf der Website stattfindenden Datenverarbeitungen abbilden.
Ein allgemeiner Standardtext reicht dafür häufig nicht aus.
Neben Server- und Hostingdaten können insbesondere
Kontaktformulare, Newsletter,
eingebettete Medien, Karten, Schriftarten,
Analyse- und Marketingdienste oder externe Plattformen relevant sein.
Wichtig ist auch,
welche Dienste technisch bereits beim Seitenaufruf aktiv werden
und welche erst nach einer Einwilligung gestartet werden.
Cookies und Tracking
Ist die Datenschutzerklärung dasselbe wie ein Cookie-Banner?
Nein. Datenschutzerklärung und Einwilligungsmanagement
erfüllen unterschiedliche Aufgaben.
Die Datenschutzerklärung informiert über Datenverarbeitungen.
Ein Cookie- oder Consent-Banner kann erforderlich sein,
um eine wirksame Einwilligung einzuholen,
bevor bestimmte nicht notwendige Technologien eingesetzt werden.
Eine ausführliche Beschreibung in der Datenschutzerklärung
ersetzt deshalb keine erforderliche Einwilligung.
Umgekehrt ersetzt ein Cookie-Banner
nicht die Informationspflichten der DSGVO.
Rechtsgrundlagen
Welche Rechtsgrundlagen können in einer Datenschutzerklärung vorkommen?
Welche Rechtsgrundlage einschlägig ist,
hängt vom konkreten Zweck der jeweiligen Verarbeitung ab.
Vertrag
Verarbeitung kann erforderlich sein,
um einen Vertrag zu erfüllen
oder vorvertragliche Maßnahmen durchzuführen.
Rechtliche Verpflichtung
Gesetzliche Aufbewahrungs-
oder Dokumentationspflichten können eine Verarbeitung verlangen.
Berechtigtes Interesse
Bei Art. 6 Abs. 1 lit. f DSGVO
müssen auch die konkreten berechtigten Interessen benannt werden.
Einwilligung
Ist eine Einwilligung die Rechtsgrundlage,
muss sie freiwillig, informiert,
spezifisch und widerrufbar sein.
Die Rechtsgrundlage wird nicht deshalb gewählt,
weil sie sich im Text leichter formulieren lässt.
Sie muss zur tatsächlichen Verarbeitung passen.
Mitarbeiter und Bewerber
Braucht ein Unternehmen eigene Datenschutzinformationen für Beschäftigte?
Häufig ja.
Mitarbeiter- und Bewerberdaten unterscheiden sich
erheblich von Website- oder Kundendaten.
Deshalb ist eine einzige allgemeine Datenschutzerklärung
für sämtliche Personengruppen oft nicht sinnvoll.
Im Beschäftigtenbereich können unter anderem
Personalverwaltung, Lohnverrechnung,
Zeiterfassung, Krankenstände,
IT-Nutzung, Zugriffsrechte,
Videoüberwachung oder betriebliche Kommunikation relevant sein.
Bei Bewerbern kommen insbesondere
Bewerbungsunterlagen, Auswahlprozesse,
Weitergabe innerhalb des Unternehmens
und Aufbewahrungsfristen hinzu.
Datenschutzinformationen sollten nach Personengruppen
und tatsächlichen Verarbeitungssituationen strukturiert werden,
statt einen einzigen überlangen Universaltext zu verwenden.
Speicherdauer
Wie genau muss eine Datenschutzerklärung zur Speicherdauer sein?
Die DSGVO verlangt grundsätzlich,
die Speicherdauer anzugeben.
Ist eine konkrete Dauer nicht möglich,
sind zumindest nachvollziehbare Kriterien
für deren Festlegung zu nennen.
Gesetzliche Fristen
Aufbewahrung kann
durch steuer-, unternehmens-
oder andere gesetzliche Vorschriften beeinflusst werden.
Vertragsdauer
Manche Daten werden
für die Dauer einer Vertragsbeziehung benötigt.
Anspruchsfristen
Mögliche Rechtsansprüche
können die notwendige Aufbewahrungsdauer beeinflussen.
Zweckfortfall
Daten dürfen grundsätzlich
nicht unbegrenzt auf Vorrat gespeichert werden,
wenn ihr Zweck weggefallen ist.
Empfänger und Dienstleister
Müssen externe Dienstleister in der Datenschutzerklärung genannt werden?
Die Informationspflichten verlangen Angaben
zu Empfängern oder Kategorien von Empfängern.
Ob einzelne Dienstleister namentlich genannt werden sollten
oder eine Kategorie ausreicht,
hängt von der konkreten Verarbeitung und transparenten Darstellung ab.
Wichtig ist außerdem die richtige Rollenverteilung:
Ein Auftragsverarbeiter,
ein eigenständig Verantwortlicher
und ein gemeinsam Verantwortlicher
sind datenschutzrechtlich unterschiedlich einzuordnen.
Diese Rollen sollten in Datenschutzerklärung,
interner Dokumentation und Verträgen
konsistent abgebildet werden.
Drittlandübermittlung
Was muss bei Datenübermittlungen außerhalb des EWR stehen?
Werden personenbezogene Daten
in Staaten außerhalb des Europäischen Wirtschaftsraums übermittelt,
müssen betroffene Personen auch darüber informiert werden.
Je nach Konstellation sind Angaben
zu einem Angemessenheitsbeschluss
oder zu geeigneten Garantien erforderlich.
Auch Möglichkeiten,
eine Kopie solcher Garantien zu erhalten,
können Teil der Information sein.
Bei Cloud- und Online-Diensten reicht es deshalb nicht,
nur den Sitz des unmittelbaren Vertragspartners zu betrachten.
Auch Unterauftragnehmer und mögliche Zugriffe
aus Drittländern können relevant sein.
Typische Fehler
Was läuft bei Datenschutzerklärungen häufig schief?
Probleme entstehen oft,
weil Texte einmal erstellt
und danach trotz technischer und organisatorischer Änderungen
nicht mehr aktualisiert werden.
Copy-and-paste-Texte
Die Erklärung nennt Dienste,
die gar nicht eingesetzt werden,
oder lässt tatsächlich genutzte Tools weg.
Falsche Rechtsgrundlagen
Rechtsgrundlagen werden pauschal genannt,
ohne sie einzelnen Verarbeitungen zuzuordnen.
Keine Speicherdauer
Es bleibt unklar,
wie lange Daten gespeichert werden
oder nach welchen Kriterien gelöscht wird.
Empfänger fehlen
Relevante Dienstleister
und Datenweitergaben werden nicht transparent dargestellt.
Cookie-Banner und Text widersprechen sich
Technisch aktive Dienste
stimmen nicht mit der Datenschutzerklärung
oder Consent-Konfiguration überein.
Ein Universaltext für alles
Website, Mitarbeiter,
Bewerber und Kunden
werden in einem unübersichtlichen Dokument vermischt.
Aktualisierung
Wann sollte eine Datenschutzerklärung aktualisiert werden?
Immer dann,
wenn sich relevante Datenverarbeitungen ändern.
Neues Tool
Neue Website-, Cloud-,
CRM- oder Marketingdienste können neue Informationen erfordern.
Neuer Zweck
Ändert sich,
warum Daten verarbeitet werden,
muss die Information überprüft werden.
Neue Empfänger
Neue Dienstleister
oder Datenweitergaben können Anpassungen erforderlich machen.
Neue Datenübermittlung
Änderungen bei Datenstandorten
oder internationalen Transfers
müssen berücksichtigt werden.
Erstellung und Prüfung
Wie erstellen wir eine Datenschutzerklärung?
Der Text entsteht aus der tatsächlichen Datenverarbeitung
und nicht umgekehrt.
Datenverarbeitung erfassen
Systeme, Formulare,
Dienstleister, Zwecke und Datenflüsse aufnehmen.
Rechtlich einordnen
Rechtsgrundlagen,
Empfänger, Speicherdauer
und Informationspflichten bestimmen.
Verständlich formulieren
Datenschutzinformation
vollständig, transparent
und passend zur Zielgruppe aufbereiten.
Recht und Datenschutzpraxis
Datenschutzerklärung mit Dr. Nina und Dr. Thomas Ollinger
Rechtsanwältin Dr. Nina Ollinger, LL.M.
übernimmt die rechtliche Einordnung
und Gestaltung von Datenschutzinformationen
nach Art. 13 und 14 DSGVO.
Dr. Thomas Ollinger ist zertifizierter Datenschutzbeauftragter
und Unternehmensberater.
Er ergänzt die rechtliche Prüfung
um die tatsächlichen Systeme,
Prozesse und Datenflüsse im Unternehmen.
So entsteht eine Datenschutzerklärung,
die nicht nur rechtlich formuliert ist,
sondern die reale Datenverarbeitung
nachvollziehbar und verständlich abbildet.
Art. 13 und 14 DSGVO
Systeme, Tools und Datenflüsse
Informationspflicht statt Juristentext ohne Praxisbezug
Persönlich, telefonisch oder per Videokonferenz
Passende Vertiefung
Weitere Themen rund um Datenschutzerklärungen
Informationspflichten einordnen
Datenschutzerklärung,
Verarbeitungsverzeichnis und interne Prozesse zusammenführen.
Tracking datenschutzrechtlich prüfen
Analytics,
Consent und Datenschutzerklärung technisch und rechtlich abstimmen.
Website und Informationen prüfen
Tatsächliche Datenverarbeitungen
mit bestehender Datenschutzerklärung abgleichen.
Empfänger und Dienstleister richtig einordnen
Auftragsverarbeitung
und weitere Datenschutzrollen vertraglich abbilden.
Informationspflichten in die Organisation integrieren
Datenschutzrecht,
Prozesse und Dokumentation gemeinsam strukturieren.
Datenschutz angemessen gestalten
Verständliche und
praxistaugliche Datenschutzinformationen für kleinere Unternehmen.
Häufige Fragen
FAQ zur Datenschutzerklärung
Braucht jedes Unternehmen eine Datenschutzerklärung?
Unternehmen müssen betroffene Personen
über ihre Datenverarbeitungen informieren,
soweit die Informationspflichten der DSGVO greifen.
Welche Datenschutzinformationen konkret erforderlich sind,
hängt von den jeweiligen Verarbeitungssituationen ab.
Was ist der Unterschied zwischen Art. 13 und Art. 14 DSGVO?
Art. 13 DSGVO gilt grundsätzlich,
wenn Daten direkt bei der betroffenen Person erhoben werden.
Art. 14 DSGVO betrifft grundsätzlich Fälle,
in denen personenbezogene Daten aus anderen Quellen stammen.
Muss eine Datenschutzerklärung auf jeder Website vorhanden sein?
Wenn über eine Website personenbezogene Daten verarbeitet werden,
müssen die betroffenen Personen darüber transparent informiert werden.
In der Praxis erfolgt dies typischerweise über eine Website-Datenschutzerklärung.
Ist eine Datenschutzerklärung eine Einwilligung?
Nein. Eine Datenschutzerklärung informiert über Datenverarbeitungen.
Sie ersetzt keine erforderliche Einwilligung
und schafft auch nicht automatisch eine Rechtsgrundlage.
Reicht ein Cookie-Banner als Datenschutzerklärung?
Nein. Ein Consent-Banner und eine Datenschutzerklärung
erfüllen unterschiedliche Funktionen.
Je nach eingesetzten Technologien können beide erforderlich sein.
Müssen alle Dienstleister namentlich genannt werden?
Die DSGVO verlangt Angaben
zu Empfängern oder Kategorien von Empfängern.
Ob einzelne Dienstleister namentlich genannt werden sollten,
hängt von der konkreten Verarbeitung
und einer transparenten Darstellung ab.
Wie oft muss eine Datenschutzerklärung aktualisiert werden?
Immer dann,
wenn sich relevante Datenverarbeitungen ändern,
etwa durch neue Tools, Dienstleister,
Zwecke oder internationale Datenübermittlungen.
Zusätzlich sind regelmäßige Überprüfungen sinnvoll.
Kann man eine Datenschutzerklärung aus dem Internet kopieren?
Eine fremde oder allgemeine Vorlage
bildet häufig nicht die tatsächliche Datenverarbeitung des eigenen Unternehmens ab.
Vorlagen können eine Strukturhilfe sein,
müssen aber fachlich und rechtlich angepasst werden.
Brauchen Mitarbeiter eine eigene Datenschutzinformation?
Häufig ja.
Beschäftigtendaten unterscheiden sich deutlich
von Website- und Kundendaten,
weshalb eine eigene strukturierte Information sinnvoll sein kann.
Brauchen Bewerber eine Datenschutzinformation?
Ja, wenn personenbezogene Bewerberdaten verarbeitet werden,
müssen die einschlägigen Informationspflichten erfüllt werden.
Wer erstellt bei den Datenschutzprofis Datenschutzerklärungen?
Rechtsanwältin Dr. Nina Ollinger, LL.M.
übernimmt die rechtliche Gestaltung.
Dr. Thomas Ollinger ergänzt als zertifizierter Datenschutzbeauftragter
die praktische Erhebung und Einordnung der Datenverarbeitungen.
Offizielle Rechtsgrundlagen
Informationspflichten nach Art. 13 und 14 DSGVO
Die gesetzlichen Informationspflichten finden sich insbesondere in
Art. 13 DSGVO
und
Art. 14 DSGVO
.
Die allgemeinen Anforderungen an eine transparente Information
ergeben sich außerdem aus
Art. 12 DSGVO
.
Informationen zur Durchsetzung von Betroffenenrechten
und zur österreichischen Datenschutzpraxis stellt die
Österreichische Datenschutzbehörde
bereit.
Datenverarbeitung transparent erklären
Datenschutzerklärung prüfen oder erstellen lassen
Sie möchten Ihre Website-Datenschutzerklärung
oder andere Datenschutzinformationen neu erstellen,
aktualisieren oder mit der tatsächlichen Datenverarbeitung abgleichen?
Wir verbinden anwaltliche Prüfung mit Datenschutz- und Unternehmenspraxis.