Was muss meine Datenschutzerklärung als Kleinunternehmer enthalten?
Was Artikel 13 DSGVO verlangt: wer verantwortlich ist, welche Daten Sie wofür und auf welcher Rechtsgrundlage verarbeiten, wer sie bekommt, wie lange Sie sie speichern, welche Rechte die Besucher haben und wo sie sich beschweren können.
Wie lang das wird, entscheidet Ihre Website. Jeder eingebundene fremde Dienst ist ein weiterer Absatz.
Wo steht, was in die Datenschutzerklärung gehört?
In Artikel 13 der Datenschutz-Grundverordnung (DSGVO). Er gilt, sobald Sie personenbezogene Daten bei der Person selbst erheben, und das tut jede Website mit einem Kontaktformular. Eine Ausnahme für kleine Betriebe steht in dem Artikel nicht. Die einzige Ausnahme, die er nennt: Die Person hat die Informationen schon.
Das Wort „Datenschutzerklärung“ kommt in Artikel 13 übrigens nicht vor. Die Überschrift lautet „Informationspflicht“. Die Seite, die im Web jeder Datenschutzerklärung nennt, ist der übliche Weg, diese Pflicht zu erfüllen.
Artikel 12 sagt, wie der Text sein muss: präzise, transparent, verständlich und leicht zugänglich, in einer klaren und einfachen Sprache. Juristendeutsch verlangt die Verordnung also nicht.
Ich bin Webdesigner und kein Jurist. Die Artikel habe ich am 8. Oktober 2026 auf EUR-Lex nachgelesen, den österreichischen Paragrafen zu Cookies im Rechtsinformationssystem des Bundes (RIS). Der Artikel ersetzt keine Rechtsberatung.
Quelle: Verordnung (EU) 2016/679 (DSGVO), Artikel 12 und 13, abgerufen am 8. Oktober 2026.
Welche Angaben verlangt Artikel 13 DSGVO?
Das ist die Liste aus der Verordnung, in ihrer Reihenfolge. Die Nummern sind von mir, die Verordnung verwendet Buchstaben. Legen Sie Ihre Erklärung daneben und haken Sie ab.
- Wer verantwortlich ist Name und Kontaktdaten. Bei einem Einzelunternehmen sind das Sie selbst.
- Wofür und auf welcher Rechtsgrundlage Für jede Verarbeitung der Zweck und die Rechtsgrundlage. Bei einem Kontaktformular ist der Zweck, die Anfrage zu beantworten.
- Das berechtigte Interesse Nur, wenn Sie sich auf Art. 6 Abs. 1 lit. f stützen. Dann müssen Sie das Interesse beim Namen nennen.
- Wer die Daten bekommt Gegebenenfalls die Empfänger oder Kategorien von Empfängern. In meiner Erklärung steht hier der Hosting-Anbieter.
- Übermittlung in ein Drittland Gegebenenfalls. Wer Daten in ein Land außerhalb der EU schickt, sagt das und nennt, worauf er sich dabei stützt.
- Wie lange gespeichert wird Die Dauer oder, falls sich die nicht angeben lässt, die Kriterien dafür.
- Die Rechte der Besucher Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit.
- Der Widerruf Nur, wenn eine Verarbeitung auf einer Einwilligung beruht: dass man sie jederzeit widerrufen kann.
- Die Beschwerde Das Recht, sich bei einer Aufsichtsbehörde zu beschweren. In meiner Erklärung steht die Österreichische Datenschutzbehörde mit Anschrift.
Drei weitere Punkte nennt der Artikel: die Kontaktdaten eines Datenschutzbeauftragten, falls es einen gibt, den Hinweis, ob jemand gesetzlich oder vertraglich verpflichtet ist, die Daten anzugeben, und automatisierte Entscheidungen einschließlich Profiling. Prüfen Sie, ob einer davon auf Sie zutrifft.
Für diese Liste brauchen Sie mich nicht. Die Verordnung steht kostenlos auf EUR-Lex, und Artikel 13 ist eine Bildschirmseite lang.
Wie sieht das an einer echten Erklärung aus?
Ich nehme meine. Ich bin Einzelunternehmer, so wie ein Tischler oder ein Wirt ohne GmbH. Die Datenschutzerklärung dieser Website hat neun Abschnitte. Hier steht, was in jedem steht und welchen Punkt der Liste er abdeckt.
| Abschnitt | Was dort steht | Deckt ab |
|---|---|---|
| 1. Verantwortlicher | Mein Name, die Marke, Anschrift, E-Mail und Telefon | Punkt 1 |
| 2. Kontakt- und Briefing-Formular | Welche Felder es gibt, wozu ich die Angaben brauche, die Rechtsgrundlage, und dass die Formulare auf meinem eigenen Server verarbeitet und mir als E-Mail zugestellt werden | Punkte 2 und 4 |
| 3. Server-Logs und Hosting | IP-Adresse, Browser und Zeitpunkt des Zugriffs, der Hosting-Anbieter mit Anschrift und der Vertrag zur Auftragsverarbeitung mit ihm | Punkte 2, 3 und 4 |
| 4. Schriftarten, Programmbibliotheken und Karten | Schriften und Skripte liegen auf meinem Server. Karten laden erst nach einem Klick auf „Karte laden“, und erst dann geht die IP-Adresse an den Kartenanbieter. | Punkt 4 |
| 5. Cookies und lokale Speicherung | Keine Cookies. Sprachwahl und Formular-Fortschritt bleiben im Browser, die Einträge sind beim Namen genannt. | § 165 Abs. 3 TKG 2021 |
| 6. Reichweitenmessung ohne Cookies | Was gezählt wird, dass die IP-Adresse nie gespeichert wird, wie lange die Datensätze bleiben und wie man widerspricht | Punkte 2, 3, 6 und 7 |
| 7. Speicherdauer | Anfragen so lange, wie die Bearbeitung es braucht, danach nur, soweit gesetzliche Aufbewahrungspflichten bestehen | Punkt 6 |
| 8. Ihre Rechte | Die sechs Rechte mit Artikelnummer und der Widerruf einer Einwilligung | Punkte 7 und 8 |
| 9. Beschwerderecht | Die Österreichische Datenschutzbehörde mit Anschrift | Punkt 9 |
Punkt 5 fehlt in der Tabelle. Einen eigenen Abschnitt zum Drittland hat meine Erklärung nicht: Formulare, Besucherzählung, Schriften und Skripte laufen auf einem Server in Österreich.
Der längste Abschnitt ist der sechste, obwohl dort kein fremder Dienst vorkommt. Ich beschreibe dort genau, was gezählt wird und was nicht. Das ist der Teil, den kein Mustertext für mich schreiben konnte.
Für den Kauf einer fertigen Website gibt es eine zweite Seite, weil dort Bestellung und Zahlung dazukommen. Ein Betrieb mit Online-Shop oder Buchung braucht diese Abschnitte ebenfalls.
Wird die Erklärung kürzer, wenn die Website weniger einbindet?
Ja. Jeder fremde Dienst, den eine Seite lädt, ist ein weiterer Empfänger und damit ein weiterer Absatz: wer er ist, was er bekommt, wozu und auf welcher Grundlage. Sitzt er außerhalb der EU, kommt Punkt 5 dazu.
Auf dieser Website habe ich deshalb weggelassen, was sich weglassen ließ. Die Schriften liegen als Dateien auf meinem Server, die Skripte auch. Karten laden erst nach einem Klick. Es gibt keine Cookies. Die Besucherzählung läuft auf dem eigenen Server und speichert nichts auf Ihrem Gerät. Darum hat die Seite auch kein Cookie-Banner.
Die Stelle im österreichischen Recht ist § 165 Abs. 3 Telekommunikationsgesetz 2021. Dort steht, dass der Anbieter informieren muss, welche Daten er verarbeitet, auf welcher Rechtsgrundlage, wofür und wie lange. Und dass die Ermittlung nur zulässig ist, wenn der Nutzer aktiv eingewilligt hat. Ausgenommen ist eine technische Speicherung, die „unbedingt erforderlich“ ist, damit ein Dienst funktioniert, den der Nutzer „ausdrücklich gewünscht“ hat. So lese ich den Absatz, und darauf stützt sich meine Erklärung. Ob Ihre Seite ein Banner braucht, hängt davon ab, was sie lädt und speichert.
So sauber war das bei mir nicht immer. Am 2. August 2026 habe ich alle Dateien dieser Website und ihrer Demoseiten durchsucht. Gefunden habe ich Google Fonts auf drei Seiten, Skripte von fremden Servern auf achtzehn, eine eingebettete Google-Maps-Karte und ein Stylesheet von einem Schriftendienst. Nichts davon war Absicht. Es war Stück für Stück hineinkopiert worden.
Seitdem läuft vor jedem Hochladen ein Prüfskript. Findet es eine Adresse, die der Browser von selbst bei einem fremden Server holen würde, bricht das Hochladen ab.
Eine Datenschutzerklärung beschreibt eine Website so, wie sie an einem bestimmten Tag war. Dann kommt ein eingebettetes Video dazu oder eine Karte, und der Text stimmt nicht mehr. Lesen Sie Ihre Erklärung nach jeder Änderung an der Website gegen die Liste oben.
Quelle im RIS: § 165 TKG 2021, abgerufen am 8. Oktober 2026.
Was droht, wenn die Erklärung fehlt oder nicht stimmt?
Die Informationspflicht gehört zu den Rechten der betroffenen Person nach den Artikeln 12 bis 22. Für Verstöße dagegen nennt Art. 83 Abs. 5 DSGVO Geldbußen von bis zu 20 Millionen Euro oder, bei einem Unternehmen, bis zu 4 % des weltweiten Jahresumsatzes.
Das ist die Obergrenze, und sie gilt für den Konzern genauso wie für den Einzelunternehmer. Wie hoch Strafen für kleine Betriebe in Österreich tatsächlich ausfallen, weiß ich nicht, und ich schreibe deshalb keine Zahl dazu. Das ist eine Frage für eine Anwältin, einen Anwalt oder Ihre Kammer.
Bleibt die Frage, wo die Erklärung stehen muss. Artikel 13 sagt „zum Zeitpunkt der Erhebung“, Artikel 12 sagt „leicht zugänglich“. Eine Zahl von Klicks nennt keiner von beiden. Auf meinen Seiten steht der Link in der Fußzeile jeder Seite.
Die Datenschutzerklärung ersetzt das Impressum nicht. Was dort hineingehört, steht im Artikel Welche Angaben muss das Impressum meiner Website in Österreich haben? Und was eine Website insgesamt kostet, lesen Sie unter Was kostet eine Website in Tirol?
Häufige Fragen
Ja, sobald Ihre Website personenbezogene Daten bei den Besuchern erhebt, zum Beispiel über ein Kontaktformular. Artikel 13 DSGVO nennt keine Ausnahme für kleine Betriebe. Die einzige Ausnahme im Artikel: Die Person hat die Informationen bereits.
Das hängt davon ab, was Ihre Website lädt und speichert. Meine hat keines: Sie setzt keine Cookies, lädt Schriften und Skripte vom eigenen Server und speichert für die Besucherzählung nichts auf dem Gerät. Die Stelle im österreichischen Recht ist § 165 Abs. 3 Telekommunikationsgesetz 2021.
Artikel 13 DSGVO sagt nichts darüber, wie der Text entsteht. Er muss beschreiben, was Ihre Website tatsächlich tut. Bei der Prüfung meiner eigenen Website am 2. August 2026 habe ich Google Fonts auf drei Seiten und fremde Skripte auf achtzehn gefunden, die niemand bewusst eingebaut hatte. Ein Mustertext weiß von so etwas nichts.
Artikel 37 DSGVO nennt drei Fälle: Behörden, Betriebe, deren Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von Personen ist, und Betriebe, deren Kerntätigkeit die umfangreiche Verarbeitung besonderer Kategorien von Daten ist. In meiner Erklärung steht kein Datenschutzbeauftragter.
Art. 83 Abs. 5 DSGVO nennt Geldbußen von bis zu 20 Millionen Euro oder, bei einem Unternehmen, bis zu 4 % des weltweiten Jahresumsatzes. Das ist die Obergrenze aus dem Text der Verordnung. Wie hoch Strafen für kleine Betriebe in der Praxis ausfallen, steht dort nicht.
ÜBER DEN AUTOR
Ich baue Websites für Betriebe in Tirol, von Imst aus. Die Artikel der DSGVO habe ich auf EUR-Lex nachgelesen, und das Beispiel ist meine eigene Datenschutzerklärung. Jurist bin ich nicht.
Passt Ihre Erklärung noch zur Website?
Legen Sie die neun Punkte neben Ihre Datenschutzerklärung und haken Sie ab. Dafür brauchen Sie niemanden. Wenn Ihre Website ohnehin neu gebaut werden soll, schreiben Sie mir. Bei meinen fertigen Websites sind Impressum und Datenschutz im Preis.