Datenschutzinformation – es geht um (viel!) mehr als nur um Cookies!
Es beginnt oft harmlos. Irgendwo zwischen Impressum und Cookie-Banner steht ein Link mit der Überschrift „Datenschutz“. Abgehakt. Erledigt. Datenschutz – check.
Zumindest fühlt es sich für viele Organisationen genau so an.
Und dann sitzt jemand im Büro und fragt:
„Sag mal, wo steht eigentlich, was wir mit den Daten unserer Mitarbeitenden machen?“
Oder eine Bewerberin möchte wissen, wie lange ihre Unterlagen gespeichert werden.
Oder ein Geschäftspartner fragt freundlich, aber bestimmt nach der Rechtsgrundlage für die Weitergabe seiner Kontaktdaten.
Spätestens dann wird klar: Die Datenschutzinformation auf der Website ist wichtig – aber sie ist nur ein Teil des Bildes. Ein ziemlich kleiner sogar.
Datenschutzinformation ist kein Webseiten-Feature
Die DSGVO spricht von Informationen für betroffene Personen. Nicht von „Webseitenbesuchern“. Das ist kein Zufall.
Denn Datenschutzinformation ist kein technisches Anhängsel der IT oder ein Pflichttext für den Footer. Sie ist Kommunikation. Und zwar mit Menschen, deren Daten verarbeitet werden – in ganz unterschiedlichen Situationen.
Die Website ist dabei nur ein Kontaktpunkt von vielen.
Wer sich auf sie beschränkt, erklärt im Grunde nur einem kleinen Teil der Betroffenen, was passiert. Allen anderen bleibt nur Rätselraten. Oder Misstrauen. Oder beides.
Und genau hier beginnt das eigentliche Problem.
Die Betroffenenperspektive: „Was passiert eigentlich mit mir?“
Aus Sicht der DSGVO ist Datenschutzinformation kein Selbstzweck. Sie soll Menschen in die Lage versetzen, zu verstehen:
- welche Daten über sie verarbeitet werden,
- zu welchem Zweck,
- wie lange,
- von wem,
- und welche Rechte sie haben.
Das klingt nüchtern, ist aber hochgradig persönlich.
Denn es geht nicht um abstrakte Datensätze, sondern um Bewerbungen, Leistungsbeurteilungen, Krankmeldungen, Kundenhistorien, Ansprechpartnerlisten oder Vertragsdaten.
Wer diese Informationen nicht oder nur unvollständig bereitstellt, nimmt Betroffenen die Möglichkeit, informierte Entscheidungen zu treffen – oder ihre Rechte wahrzunehmen. Datenschutz wird dann schnell als „etwas, das Unternehmen machen“ wahrgenommen, nicht als Schutzinstrument für Menschen.
Der Klassiker: Alles auf der Website – und sonst nichts
In der Praxis sieht man häufig folgendes Bild:
Es gibt eine umfangreiche Datenschutzerklärung auf der Website. Sie erklärt Cookies, Server-Logs, Tracking-Tools und Kontaktformulare. Vielleicht sogar sehr ordentlich.
Aber:
- Mitarbeitende erfahren bei Vertragsabschluss nichts oder nur sehr allgemein über die Datenverarbeitung im Arbeitsverhältnis.
- Bewerbende bekommen keine oder eine extrem verkürzte Information.
- Kunden sehen zwar einen Absatz zur Datenverarbeitung bei Bestellungen, aber nichts zu CRM-Systemen, Bonitätsprüfungen oder Support-Tickets.
- Geschäftspartner tauchen gar nicht auf – außer indirekt irgendwo zwischen „sonstige Kontakte“.
Das ist kein böser Wille. Oft ist es schlicht der Gedanke:
„Wir haben doch eine Datenschutzerklärung.“
Nur: Die falsche Zielgruppe zur falschen Zeit am falschen Ort.
Datenschutzinformation ist kontextabhängig
Ein zentraler Punkt, der gern übersehen wird: Datenschutzinformation funktioniert nur dann gut, wenn sie zur Situation passt.
Ein Webseitenbesucher möchte wissen, was beim Surfen passiert.
Eine Bewerberin interessiert sich für Auswahlverfahren, Aufbewahrungsfristen und ihre Chancen, wieder gelöscht zu werden.
Ein Mitarbeiter fragt sich, welche Daten zu welchen Zwecken im Unternehmen kursieren – und ob alles, was technisch möglich ist, auch erlaubt ist.
Eine einzige, allumfassende Datenschutzerklärung kann das kaum leisten, ohne unlesbar zu werden. Und unlesbare Datenschutzinformationen sind zwar formell vorhanden, aber praktisch wertlos.
Mitarbeitende: Datenschutz beginnt am ersten Arbeitstag – oder früher
Im Beschäftigtenkontext ist die Informationspflicht besonders sensibel. Hier geht es um Abhängigkeiten, Erwartungen und Vertrauen.
Wer neu anfängt, gibt viele persönliche Daten preis – von der Bankverbindung bis zur Sozialversicherungsnummer, von der Krankmeldung bis zur Leistungsbeurteilung. Aber auch während des Arbeitsverhältnisses wird eine Vielzahl von Daten verarbeitet. Die Arbeitszeitaufzeichnung, die Lohnverrechnung, eine Menge von IT-spezifischen Daten wie Benutzerberechtigungen und technische Protokolle, möglicherweise die Erstellung von GPS-Bewegungsprofilen von Firmenfahrzeugen bis zur vielleicht vorhandenen Videoüberwachung von besonders gefährdeten Bereichen.
Wenn Mitarbeitende nicht wissen, wofür diese Daten genutzt werden, entsteht schnell ein Gefühl von Intransparenz. Und das ist der Nährboden für Konflikte, Gerüchte und Datenschutzbeschwerden.
Eine gute Datenschutzinformation für Mitarbeitende erklärt nicht nur, dass Daten verarbeitet werden, sondern warum, wie lange und wer Zugriff hat. Und sie gehört dorthin, wo Mitarbeitende sie auch tatsächlich finden: zum Beispiel ins Intranet, in die Onboarding-Unterlagen oder in ein Mitarbeiterhandbuch – nicht versteckt auf einer öffentlichen Website.
Bewerber: Kurzer Kontakt, hohe Erwartungen
Bewerbende sind oft nur kurz im System, aber besonders aufmerksam. Sie wissen: Hier entscheidet sich etwas Wichtiges.
Und sie wissen auch: Ihre Unterlagen enthalten hochsensible Informationen.
Eine Datenschutzinformation für Bewerber muss deshalb klar, verständlich und frühzeitig erfolgen – idealerweise direkt im Bewerbungsprozess. Nicht erst auf Nachfrage, nicht irgendwo verlinkt, sondern dort, wo Daten erhoben werden.
Wer hier schludert, riskiert nicht nur rechtliche Probleme, sondern auch einen Imageschaden. Denn Unternehmen, die mit Bewerbungsunterlagen (scheinbar) sorglos umgehen wirken unprofessionell.
Kunden: Mehr als Bestellung und Rechnung
Auch bei Kunden greift die reine Website-Datenschutzerklärung oft zu kurz.
Kundendaten leben nicht nur im Bestellformular, sondern wandern durch Vertrieb, Buchhaltung, Support, Marketing und manchmal auch externe Dienstleister.
Datenschutzinformation bedeutet hier, den gesamten Lebenszyklus im Blick zu behalten. Vom ersten Kontakt bis zur letzten Rechnung – und darüber hinaus.
Wer nur den Online-Shop erklärt, aber nichts zu Kundenbetreuung, Analyse oder langfristiger Speicherung sagt, lässt entscheidende Fragen offen. Und genau diese offenen Fragen sind es, die Betroffene zunehmend stellen.
Geschäftspartner: Die vergessene Gruppe
Geschäftspartner und deren Ansprechpartner fallen in vielen Datenschutzkonzepten durchs Raster. Dabei werden auch hier personenbezogene Daten verarbeitet – oft über Jahre.
Visitenkarten, E-Mail-Kommunikation, Vertragsunterlagen, Zugriffsrechte: All das betrifft natürliche Personen.
Eine Datenschutzinformation für Geschäftspartner schafft Klarheit und Professionalität. Sie zeigt: Wir wissen, was wir tun – und wir nehmen Transparenz ernst.
Auch hier gilt: Die Information sollte dort bereitgestellt werden, wo sie sinnvoll ist. Etwa im Rahmen der Vertragsunterlagen, als Link in der Signatur von geschäftlichen E-Mails oder in einem separaten, leicht zugänglichen Dokument.
Wo Datenschutzinformationen hingehören – und wo nicht
Die zentrale Frage lautet also nicht: Brauchen wir Datenschutzinformationen?
Sondern: Welche, für wen und wo?
Eine gute Praxis ist es, Datenschutzinformationen zielgruppenspezifisch aufzubereiten und kontextgerecht bereitzustellen. Nicht alles an einem Ort, sondern dort, wo der jeweilige Kontakt stattfindet.
Das bedeutet nicht mehr Bürokratie, sondern bessere Kommunikation.
Und ganz nebenbei auch weniger Rückfragen, weniger Unsicherheit und weniger Konfliktpotenzial.
Datenschutz ist eine Frage von Entscheidungen – nicht von Textbausteinen
Ein häufiger Irrtum: Datenschutzinformation sei vor allem eine redaktionelle Aufgabe.
In Wirklichkeit ist sie das Ergebnis von Entscheidungen.
Welche Daten verarbeiten wir wirklich? Wozu? Wie lange? Wer braucht Zugriff – und wer nicht?
Erst wenn diese Fragen ehrlich beantwortet sind, kann eine gute Datenschutzinformation entstehen. Und genau hier zeigt sich, ob Datenschutz im Unternehmen als Pflichtübung oder als gestaltbares Thema verstanden wird.
Erfahrene Datenschutzbeauftragte oder Berater können dabei helfen, diese Entscheidungen zu strukturieren und verständlich zu übersetzen – ohne juristische Bleiwüsten und ohne falsche Vereinfachungen.
Fazit: Transparenz ist kein Link, sondern eine Haltung
Die Datenschutzinformation im Website-Footer ist ein Anfang. Mehr nicht.
Wer glaubt, damit sei alles erledigt, unterschätzt die Vielfalt der Datenverarbeitungen – und die Erwartungen der Menschen, deren Daten betroffen sind.
Datenschutz lebt von Transparenz, Kontext und Verständlichkeit.
Und von der Bereitschaft, sich ehrlich zu fragen:
„Wenn ich selbst betroffen wäre – würde ich das verstehen?“
Am Ende ist Datenschutzinformation wie ein gutes Gespräch: Sie funktioniert nur, wenn man weiß, mit wem man spricht – und warum.
