Kurze Antwort: Es gibt keine Frist. Eine Datenschutzerklärung veraltet nicht, weil ein Jahr vergangen ist, sondern weil sich etwas geändert hat: an deiner Seite, an deinen Werkzeugen oder am Recht. Wer nur das Datum unter „Stand“ hochsetzt, hat nichts aktualisiert.
Die gute Nachricht: die meisten Punkte prüfst du selbst in fünf Minuten.
Wann eine Aktualisierung fällig ist
Immer dann, wenn eines davon zutrifft:
- Du hast eine neue App oder ein neues Werkzeug eingebaut, auch versuchsweise.
- Du hast ein neues Zahlungsmittel aufgeschaltet.
- Du hast den Newsletter-Anbieter gewechselt oder überhaupt einen eingeführt.
- Du hast einen Dienst entfernt, und dein Text nennt ihn noch.
- Du bist auf ein neues Theme oder eine neue Plattform umgezogen.
- Es hat sich am Recht etwas geändert, wie beim Wechsel zum revDSG im September 2023.
Am gefährlichsten ist der erste Punkt, weil er im Alltag passiert und niemand dabei an den Rechtstext denkt.
Die sieben Punkte zum Selberprüfen
Öffne deine Datenschutzerklärung und geh sie einmal durch.
1. Steht dort noch „Privacy Shield“ oder „Safe Harbor“?
Beide Abkommen sind seit 2020 ungültig. Für Übermittlungen in die USA gilt heute das Swiss-US Data Privacy Framework. In meiner Erhebung über Schweizer Websites stützten vier Erklärungen ihre Datenübermittlung noch auf eines der beiden.
2. Steht dort „wir übermitteln keine Daten ins Ausland“?
Dann prüfe, ob das stimmt. Wenn Google Analytics, ein Meta-Pixel oder ein US-Newsletter-Werkzeug läuft, widerspricht der Satz deiner eigenen Seite.
3. Wird die DSGVO als Grundlage genannt, obwohl du nur in die Schweiz verkaufst?
Dann stammt der Text vermutlich aus einer deutschen Vorlage. Das ist kein Beinbruch, aber die Schweizer Pflichten sind andere, und die Auslandbekanntgabe fehlt in solchen Vorlagen meistens ganz.
4. Findest du „ß“ im Text?
Ein sicheres Zeichen für eine übernommene Vorlage. Schweizer Rechtschreibung kennt kein ß.
5. Sind alle Dienste genannt, die heute laufen?
Das ist der schwierigste Punkt, weil du dafür wissen musst, was läuft. Genau dafür gibt es den Scan.
6. Stehen Zahlung, Versand und Newsletter drin?
Diese Dienste sieht kein Scanner. Sie fallen deshalb besonders oft unter den Tisch.
7. Stimmen Firma, Adresse und Kontakt noch?
Umzüge, Rechtsformwechsel und neue E-Mail-Adressen werden im Impressum nachgeführt und in der Datenschutzerklärung vergessen.
Was „Stand“ wirklich bedeutet
Das Datum am Ende deiner Erklärung ist keine Formalität und auch keine Garantie. Es sagt einer betroffenen Person, auf welchen Zeitpunkt sich die Angaben beziehen. Ein Datum von letzter Woche unter einem Text, der drei Werkzeuge nicht kennt, ist deshalb schlimmer als ein altes Datum: es behauptet Aktualität, die nicht da ist.
Setz das Datum also erst hoch, wenn du wirklich etwas geprüft hast.
Was ich bei 206 Schweizer Websites gefunden habe
141 davon hatten eine Datenschutzerklärung. Trotzdem lief bei 103 von ihnen mindestens ein Dienst, den ihr Text nicht nannte.
Das ist kein Zeichen von Nachlässigkeit. Es ist die normale Folge davon, dass Websites sich verändern und Rechtstexte nicht. Wer einmal etwas Ordentliches aufgesetzt hat und danach zwei Apps installiert, hat schon eine veraltete Erklärung, ohne je etwas falsch gemacht zu haben.
Und dann?
Zwei Wege, und beide sind besser als der jetzige Zustand.
Selbst nachführen. Für jeden fehlenden Dienst brauchst du: Zweck, die Gesellschaft, die die Daten als Vertragspartnerin erhält, ihren Sitz, den Staat, in den die Daten gehen, und die Grundlage dafür. Das Nachschlagen ist die eigentliche Arbeit.
Korrigieren lassen. Dann bleibt dein Text stehen und es wird nur geändert, was nicht mehr stimmt.