Kurz: Ja, das darfst du. Niemand schreibt dir vor, wer deine Datenschutzerklärung verfasst. Schwierig ist nicht das Schreiben, sondern das Wissen davor: welche Daten deine Seite tatsächlich bearbeitet und wohin sie gehen. Wer das sauber zusammenträgt, schreibt den Rest in ein, zwei Stunden.
Was mindestens hinein muss
Art. 19 revDSG verlangt bei der Beschaffung von Personendaten mindestens:
- wer verantwortlich ist, mit Name und Kontaktadresse,
- wozu du die Daten bearbeitest,
- wer sie sonst noch bekommt, mit Namen oder als Kategorie (Hoster, Newsletter-Dienst, Buchhaltung),
- in welche Staaten sie gehen, wenn sie die Schweiz verlassen, und auf welcher Grundlage.
Die ganze Liste mit allem, was dazugehört, steht in der revDSG-Checkliste.
Schritt 1: Zusammentragen, was läuft
Hier passieren die meisten Fehler. Geh deinen Alltag durch: Wo liegt deine Seite, womit verschickst du Newsletter, womit machst du die Buchhaltung, was ist auf der Seite eingebettet? Eine Liste mit Alltagsfragen findest du unter Welche Dienste gehören in die Datenschutzerklärung?. Dazu kommt, was im Code deiner Seite steckt, ohne dass du es bewusst eingebaut hast, etwa Schriften von Google über dein Theme.
Schritt 2: Der Aufbau in sechs Teilen
1. Verantwortliche Stelle: Name, Adresse, E-Mail.
2. Welche Daten du bearbeitest: beim Besuch der Seite, über das Kontaktformular, beim Kauf, beim Newsletter.
3. Wozu: je Bearbeitung ein Satz.
4. Wer sie bekommt: jeder Dienst mit Anbieter und Zweck.
5. Ausland: welche Dienste Daten ins Ausland schicken, in welchen Staat und auf welcher Grundlage. Bei den USA ist das der heikelste Teil.
6. Deine Rechte: Auskunft, Berichtigung, Löschung, und an wen man sich wendet.
Wie du es formulierst
Schreib so, wie du mit deiner Kundschaft sprichst. „Wenn du mir über das Formular schreibst, erhalte ich deinen Namen, deine E-Mail-Adresse und deine Nachricht und nutze sie nur, um dir zu antworten" ist eine bessere Erklärung als ein Absatz Juristendeutsch. Das Gesetz verlangt eine angemessene Information, keine Fachsprache.
Die häufigsten Fehler
- Eine deutsche DSGVO-Vorlage übernehmen. Sie zitiert das falsche Gesetz und behandelt die Auslandbekanntgabe nach EU- statt nach Schweizer Massstab.
- Dienste vergessen. In meiner Erhebung nannten 103 von 141 Seiten mit Erklärung mindestens einen Dienst nicht, der auf der Seite läuft.
- Fremde Erklärungen kopieren. Warum das rechtlich und praktisch schiefgeht, steht unter Datenschutzerklärung kopieren.
Wer lieber nicht selbst zusammentragen will, nimmt einen Generator oder lässt sie schreiben. Was die Wege kosten, vergleiche ich unter Was kostet eine Datenschutzerklärung?.