Die folgenden drei Beispiele sind anonymisiert und typisch zusammengesetzt aus wiederkehrenden Mustern, die in der Praxis immer wieder auftauchen. Sie zeigen, wie aus einer kleinen Lücke ein größeres Problem werden kann.
Beispiel 1: Der Onlineshop mit dem vergessenen Zahlungsanbieter
Ein Onlineshop wechselte den Zahlungsdienstleister, weil der alte Anbieter höhere Gebühren verlangte. Die Datenschutzerklärung wurde dabei nicht angepasst und nannte weiterhin den alten Anbieter. Ein aufmerksamer Kunde meldete die Diskrepanz, was zunächst zu einer Abmahnung führte. Die Lehre: Ein Wechsel eines Dienstleisters gehört sofort in die Erklärung übernommen, nicht erst bei der nächsten großen Überarbeitung.
Beispiel 2: Der Blog mit dem nicht erwähnten Chat-Tool
Ein Blog führte einen Live-Chat für Leserfragen ein, ohne die Datenschutzerklärung zu ergänzen. Das Chat-Tool speicherte Name, E-Mail-Adresse und den Gesprächsverlauf bei einem externen Anbieter außerhalb der EU. Da weder der Anbieter noch der Drittlandtransfer erwähnt wurden, fehlte die Erklärung an gleich zwei Stellen: Datenverarbeitung und Drittlandtransfer. Die Lehre: Jedes neue eingebundene Tool verdient einen kurzen Check, bevor es live geht.
Beispiel 3: Der Freelancer mit widersprüchlicher Speicherdauer
Ein Freelancer nannte in der Datenschutzerklärung eine Speicherdauer von sechs Monaten für Kontaktanfragen, bewahrte E-Mails aber tatsächlich unbegrenzt in seinem Posteingang auf. Bei einer Auskunftsanfrage fiel die Diskrepanz auf. Die Lehre: Eine genannte Frist muss auch tatsächlich technisch umgesetzt werden, sonst wird aus einer gut gemeinten Angabe ein zusätzliches Problem.
Beispiel 4: Das Vergleichsportal mit dem stillen Formular-Leak
Ein Vergleichsportal band ein Analyse-Skript ein, das versehentlich auch Eingaben aus dem Vergleichsrechner protokollierte, obwohl die Datenschutzerklärung nur von einer datenschutzfreundlichen Statistik ohne Personenbezug sprach. Ein Nutzer entdeckte die Diskrepanz über die Entwicklertools des Browsers. Die Lehre: Prüfe technisch, was ein eingebundenes Skript tatsächlich überträgt, nicht nur, was der Anbieter in seiner Dokumentation verspricht.
Was diese Fälle gemeinsam haben
In allen vier Fällen war die ursprüngliche Datenschutzerklärung nicht grundsätzlich falsch aufgebaut, sie wurde nur nicht an eine spätere Änderung angepasst. Genau das ist der häufigste Grund für eine Abmahnung oder eine Beschwerde bei der Aufsichtsbehörde: nicht ein grundlegend fehlerhaftes Muster, sondern eine veraltete Fassung.
Wie du solche Lücken selbst findest
Ein regelmäßiger Abgleich zwischen den tatsächlich eingesetzten Werkzeugen und dem Text der Datenschutzerklärung deckt die meisten dieser Fälle frühzeitig auf. Notiere bei jeder Änderung an der Webseite kurz, ob ein neues Tool, ein neuer Dienstleister oder eine geänderte Speicherfrist betroffen ist, und aktualisiere die Erklärung direkt im selben Arbeitsschritt statt später.
Warum kleine Webseiten genauso betroffen sind
Alle vier Beispiele stammen von kleinen bis mittleren Webseiten, nicht von großen Konzernen. Genau diese Betreiber unterschätzen häufig ihr eigenes Risiko, weil sie annehmen, eine Abmahnung treffe nur große Unternehmen. Tatsächlich reicht oft ein einzelner aufmerksamer Besucher, Mitbewerber oder Verbraucherverband, um eine Lücke aufzudecken.
So vermeidest du diese Fehler
Trage jede neue Verarbeitung, jeden neuen Dienstleister und jede geänderte Speicherfrist sofort in die Erklärung ein, statt eine große jährliche Überarbeitung abzuwarten. Ein vollständiges, aktuelles Muster findest du für jeden Webseitentyp unter Muster nach Webseitentyp.