MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Sie erstellen eine Datenschutzerklärung, indem Sie für jede Verarbeitungstätigkeit festhalten, welche personenbezogenen Daten Sie zu welchem Zweck und auf welcher Rechtsgrundlage verwenden und wie lange Sie diese speichern – ergänzt durch die Rechte der betroffenen Personen und derjenigen, an die Sie Daten weitergeben. Die DSGVO (Art. 13/14) legt den Mindestinhalt fest. Die Schwierigkeit liegt nicht in der Form, sondern in der Ehrlichkeit: Die Erklärung muss Ihre tatsächliche Praxis beschreiben, nicht einen übernommenen Mustertext.
Die kurze Antwort
- Erstellen Sie eine Liste der von Ihnen verarbeiteten personenbezogenen Daten und deren Zweck.
- Ermitteln Sie die Rechtsgrundlage für jeden Zweck (Vereinbarung, gesetzliche Verpflichtung, berechtigtes Interesse oder Einwilligung).
- Legen Sie Aufbewahrungsfristen für jeden Datentyp fest.
- Geben Sie Auftragsverarbeiter und Empfänger sowie jegliche Übermittlung außerhalb der EU an.
- Beschreiben Sie die Rechte der betroffenen Personen und wie diese ihre Rechte ausüben.
- Veröffentlichen und aktualisieren Sie den Text in verständlicher Form auf Ihrer Website.
Die Erstellung einer Datenschutzerklärung beginnt mit einer Bestandsaufnahme
Bevor Sie mit dem Schreiben beginnen, erstellen Sie eine Übersicht Ihrer Datenverarbeitungsaktivitäten. Überprüfen Sie Ihre Prozesse: Kundenverwaltung, Angebotserstellung, Rechnungsstellung, Personalwesen, Newsletter, Website-Analyse, Bewerbungen. Notieren Sie für jeden Prozess, welche Daten Sie zu welchem Zweck, von wem und wo diese Daten gespeichert werden. Diese Bestandsaufnahme ist die Grundlage. Ohne diese Übersicht verfassen Sie einen Text, der nicht der Realität entspricht – und genau das missbilligt die niederländische Datenschutzbehörde.
Die obligatorischen Komponenten
Ihre Erklärung enthält mindestens Folgendes:
- Ihre Identität als Datenverantwortlicher, einschließlich Kontaktdaten.
- Zwecke der Verarbeitung.
- Grundlage pro Ziel.
- Kategorien der von Ihnen verarbeiteten Daten
- Empfänger und Auftragsverarbeiter: Lieferanten, die Daten in Ihrem Auftrag verarbeiten.
- Aufbewahrungsfristen oder die Kriterien dafür.
- Rechte: Auskunftsrecht, Recht auf Berichtigung, Recht auf Löschung, Recht auf Einschränkung der Verarbeitung, Widerspruchsrecht, Recht auf Datenübertragbarkeit und das Recht, eine Beschwerde bei der AP einzureichen.
- Übermittlung außerhalb der EUunter Anwendung der Schutzmaßnahmen.
Grundlage pro Ziel festlegen
Dies ist inhaltlich der schwierigste Teil. Jeder Verarbeitungsvorgang erfordert genau eine Rechtsgrundlage. Ein Beispiel aus der Praxis:
- Lieferauftrag: erforderlich für die Vereinbarung.
- Aufbewahrung von Rechnungen: gesetzliche Verpflichtung (steuerliche Aufbewahrungspflicht, sieben Jahre).
- Lohn- und Gehaltsabrechnung: Rechtliche Verpflichtung und Vereinbarung.
- Newsletter an Nichtkunden: Einwilligung.
- Betrugsprävention oder Sicherheitskamera: berechtigtes Interesse nach Abwägung der Interessen.
Wählen Sie Ihre Rechtsgrundlage sorgfältig und geben Sie diese explizit an. Die Verwendung von „Einwilligung“ als Allheilmittel ist falsch: Wenn Sie eine Bestellung ohne die Daten nicht ausliefern können, ist die Einwilligung nicht die korrekte Rechtsgrundlage.
Konkretisierung der Aufbewahrungsfristen
„Wir speichern Daten nicht länger als nötig“ ist zu vage. Machen Sie es konkret: Rechnungen sieben Jahre (aus steuerlichen Gründen), Bewerbungsdaten vier Wochen nach Ablehnung (oder ein Jahr mit Einwilligung), Personalakten in der Regel zwei Jahre nach Beendigung des Arbeitsverhältnisses, Videoaufnahmen vier Wochen. Wo keine genaue Frist festgelegt ist, geben Sie das Kriterium an. Konkrete Fristen zeigen, dass Sie die Datenverarbeitung tatsächlich kontrollieren.
Prozessoren und die Grenze zu anderen Dokumenten
In der Erklärung nennen Sie die Kategorien von Empfängern: Hosting-Anbieter, Buchhaltungssoftware, E-Mail-Marketing-Tool, Zahlungsdienstleister. Mit jedem dieser Auftragsverarbeiter schließen Sie eine separate Vereinbarung zur Auftragsverarbeitung ab (Art. 28 DSGVO) – dies ist ein Vertrag und nicht Bestandteil Ihrer Erklärung. Verwechseln Sie dies auch nicht mit der Cookie-Erklärung: Diese beschreibt die Tracking-Technologie auf Ihrer Website und ist Teil Ihres Cookie-Banners. Drei Dokumente, drei Funktionen.
Praktisches Beispiel
Ein Onlineshop verkauft Sportbekleidung. Bei der Erstellung der Datenschutzerklärung ergeben sich folgende Sachverhalte: Kundendaten für die Auftragsabwicklung (Vereinbarung, Aufbewahrungsfrist sieben Jahre über Rechnungen), ein Newsletter (Einwilligung, bis zum Widerruf), ein Retargeting-Pixel (Einwilligung über das Cookie-Banner) und ein Link zur Buchhaltung (Auftragsverarbeiter, mit einer Vereinbarung zur Auftragsverarbeitung). Vier Verarbeitungstätigkeiten, vier Rechtsgrundlagen, eine verständliche Erklärung, die all dies genau beschreibt.
Ehrliche Empfehlung
Wenn Sie ein unkompliziertes Unternehmen mit Standardverarbeitungstätigkeiten betreiben – Kundenverwaltung, ein Standard-Newsletter, keine besonderen Kategorien personenbezogener Daten – können Sie die Datenschutzerklärung anhand einer zuverlässigen Vorlage selbst erstellen, sofern Sie die Rechtsgrundlagen und Aufbewahrungsfristen sorgfältig angeben. In diesem Fall benötigen Sie keinen Anwalt. Sobald Sie jedoch besondere Kategorien personenbezogener Daten oder Profildaten verarbeiten, Daten außerhalb der EU weitergeben oder in großem Umfang Marketing betreiben, sollten Sie einen Anwalt hinzuziehen. Die eigentliche Herausforderung liegt in der Wahl der Rechtsgrundlage, und genau hier passieren oft Fehler, wenn man selbst daran herumexperimentiert.
Ausführlich: Was ist eine Datenschutzerklärung? Beispiele für Datenschutzerklärungen. Wie kann man eine Datenschutzerklärung erstellen lassen?
Häufig gestellte Fragen
Erstellen Sie zunächst eine Übersicht Ihrer Verarbeitungstätigkeiten. Ermitteln Sie die Rechtsgrundlage für jeden Zweck, legen Sie Aufbewahrungsfristen fest, benennen Sie Auftragsverarbeiter und Empfänger, beschreiben Sie die Rechte der betroffenen Personen und veröffentlichen Sie den Text gut sichtbar auf Ihrer Website. Die DSGVO (Art. 13/14) legt die Mindestinhalte fest.
Ihre Identität und Kontaktdaten, die Zwecke, die Rechtsgrundlage für jeden Zweck, die Kategorien der Daten, die Empfänger und Auftragsverarbeiter, die Aufbewahrungsfristen, die Rechte der betroffenen Personen und jede Übermittlung außerhalb der EU mit den angewandten Schutzmaßnahmen.
Wählen Sie für jede Verarbeitungstätigkeit eine der sechs Rechtsgrundlagen aus. Die Auslieferung einer Bestellung stellt einen „Vertrag“ dar, die Aufbewahrung von Rechnungen eine „rechtliche Verpflichtung“, der Versand eines Newsletters an Nichtkunden eine „Einwilligung“ und die Betrugsprävention nach Abwägung der Interessen ein „berechtigtes Interesse“. Geben Sie die Rechtsgrundlage explizit an.
Machen Sie die Fristen konkret: Rechnungen sieben Jahre (aus steuerlichen Gründen), Bewerbungsdaten vier Wochen nach Ablehnung, Personalakten in der Regel zwei Jahre nach Beendigung des Arbeitsverhältnisses, Videoaufnahmen vier Wochen. Falls keine genaue Frist festgelegt ist, geben Sie das Kriterium an, auf dem Sie die Frist bestimmen.
Eine Vorlage als Grundlage ist in Ordnung, sie muss aber an Ihre tatsächlichen Verarbeitungstätigkeiten angepasst werden. Übernommener Text, der nicht Ihrer Praxis entspricht, verstößt gegen die DSGVO und könnte sich bei der Durchsetzung sogar negativ auswirken. Geben Sie die Rechtsgrundlagen und Aufbewahrungsfristen wahrheitsgemäß an.
Nein. In Ihrer Erklärung nennen Sie lediglich die Kategorien von Empfängern und Auftragsverarbeitern. Mit jedem Auftragsverarbeiter schließen Sie eine separate Vereinbarung zur Auftragsverarbeitung ab (Art. 28 DSGVO). Dies ist ein Vertrag zwischen Ihnen und Ihrem Lieferanten und nicht Teil Ihrer öffentlichen Datenschutzerklärung.
Ja. Wenn Sie neue Verarbeitungstätigkeiten aufnehmen, andere Lieferanten nutzen oder Aufbewahrungsfristen ändern, müssen Sie die Datenschutzerklärung aktualisieren. Eine veraltete Datenschutzerklärung, die nicht mehr Ihren aktuellen Praktiken entspricht, erfüllt nicht die Transparenzanforderungen der DSGVO.
