Wann müssen Informationen bereitstehen?
Wer Daten bei einer Person erhebt, muss die erforderlichen Angaben grundsätzlich zum Zeitpunkt der Erhebung bereitstellen. Werden Daten aus anderen Quellen bezogen, enthält Artikel 14 DSGVO eigene Fristen und Ausnahmen. Auch eine spätere Zweckänderung kann zusätzliche Informationen vor ihrer Durchführung erfordern. Ein allgemeiner Link im Impressum genügt nicht automatisch für jeden Erhebungsvorgang. Informationen müssen erreichbar und dem jeweiligen Zusammenhang zuzuordnen sein, beispielsweise beim Kontaktformular oder im Bewerbungsverfahren. Die konkrete Gestaltung hängt von Kanal und Verarbeitung ab.
Welche Angaben sind erforderlich?
Zu nennen sind insbesondere der Verantwortliche, gegebenenfalls sein Vertreter und die Kontaktdaten des Datenschutzbeauftragten. Erforderlich sind ferner Zwecke, Rechtsgrundlagen und einschlägige berechtigte Interessen. Hinzu kommen je nach Situation Empfänger, Drittlandübermittlungen, Speicherdauer oder nachvollziehbare Kriterien dafür. Betroffene müssen über ihre einschlägigen Rechte und das Beschwerderecht informiert werden. Weitere Angaben können etwa die Pflicht zur Datenbereitstellung und automatisierte Entscheidungen betreffen. Die Informationen sollten die tatsächlich eingesetzten Verfahren abdecken, ohne durch pauschale Aufzählungen ungenutzter Dienste Verwirrung zu schaffen.
Verständlichkeit statt bloßer Vollständigkeit
Die DSGVO verlangt präzise, transparente und leicht zugängliche Informationen in klarer Sprache. Ein langer Text ist nicht automatisch aussagekräftig. Formulierungen wie eine Speicherung für beliebige Geschäftszwecke helfen regelmäßig wenig, wenn konkrete Zwecke erkennbar wären. Mehrstufige Hinweise können sinnvoll sein, sofern wesentliche Informationen nicht verborgen werden. Bei Angeboten an Kinder ist deren Verständnis besonders zu berücksichtigen. Technische Produktnamen sollten erklärt werden, soweit sonst unklar bleibt, welche Daten wohin fließen und weshalb der Dienst eingesetzt wird.
EuGH-Urteil zur Information bei der Erhebung
Der Europäische Gerichtshof entschied am 4. September 2025, C‑413/23 P, zur Weitergabe pseudonymisierter Daten und zu Informationspflichten. Das Verfahren betraf unmittelbar die Verordnung 2018/1725 für EU-Organe. Für die Information bei der Erhebung stellte das Gericht auf die Perspektive des Verantwortlichen zu diesem Zeitpunkt ab. Eine spätere Pseudonymisierung gegenüber einem Empfänger beseitigt diese Pflicht nicht rückwirkend. Für die Praxis verdeutlicht die Entscheidung, warum Erhebung und anschließende Weitergabe zusammen betrachtet werden müssen. Sie ist keine pauschale Entscheidung über jede einzelne Klausel einer Website-Datenschutzerklärung.
Datenschutzhinweis und Einwilligung unterscheiden
Die Datenschutzerklärung informiert; eine Einwilligung erlaubt unter bestimmten Voraussetzungen eine konkrete Verarbeitung. Deshalb sollte eine reine Kenntnisnahme nicht irreführend als umfassende Zustimmung behandelt werden. Auch ein Pflichtkästchen macht eine Einwilligung nicht freiwillig. Bei Cookies und ähnlichen Technologien können zusätzlich die Regeln zum Zugriff auf Endgeräte gelten. Ein Cookie-Banner und die Datenschutzerklärung müssen inhaltlich zusammenpassen. Werden beispielsweise Dienste schon vor der Auswahl gestartet, lässt sich dieses technische Verhalten nicht durch einen anders formulierten Hinweis korrigieren.
Wie bleibt die Erklärung aktuell?
Neue Analysewerkzeuge, Kontaktwege, Dienstleister und Speicherverfahren können Anpassungen erforderlich machen. Ausgangspunkt sollte deshalb eine verlässliche Bestandsaufnahme sein. Verantwortliche sollten festhalten, welche Informationen wann bereitgestellt wurden und wer Änderungen überprüft. Ein fremder Mustertext ist nur dann hilfreich, wenn er an die eigenen Abläufe angepasst wird. Betroffene können unklare Angaben gezielt hinterfragen und Auskunft verlangen. Für die rechtliche Beurteilung sind dann die tatsächlich verarbeiteten Daten und die konkrete Antwort bedeutsamer als allein die Länge des veröffentlichten Hinweises.