Datenschutzerklärung zwischen technischer Realität und rechtlicher Verantwortlichkeit

Eine Betrachtung des Spannungsfelds zwischen technischer Infrastruktur und rechtlicher Verantwortung. Der Essay untersucht, wie Datenschutzerklärungen bei einfachen Websites gestaltet werden können, ohne technische Vorgänge außerhalb des eigenen Einflussbereichs zu überdehnen. Die Gedanken sind geprägt durch Erfahrungen und Qualifikationen aus den Bereichen Informationssicherheit, Datenschutz, Technologie und Organisationsentwicklung.

Die schwierige Frage nach dem Verantwortlichen einer Website

Einleitung

Eine moderne Website ist aus technischer Sicht ein komplexes Zusammenspiel vieler Systeme. Ein Besucher ruft eine Adresse im Browser auf, der Browser kommuniziert über mehrere Netzwerke, Router, Provider und Server miteinander, und am Ende wird ein Dokument ausgeliefert. Während dieses Vorgangs entstehen zwangsläufig technische Informationen: IP-Adressen, Zeitpunkte, Verbindungsdaten, Statusinformationen und teilweise weitere technische Merkmale.

Die Datenschutz-Grundverordnung (DSGVO) betrachtet diesen Vorgang jedoch aus einer anderen Perspektive. Sie fragt nicht primär danach, wo überall Daten technisch verarbeitet werden, sondern danach, wer für eine konkrete Verarbeitung verantwortlich ist. Genau an dieser Schnittstelle zwischen technischer Realität und juristischer Betrachtung entstehen schwierige Fragen, die insbesondere Betreiber kleiner und privat betriebener Websites vor erhebliche Unsicherheiten stellen.

Eine besonders interessante Frage lautet: Muss eine Person, die eine Website betreibt, sich in ihrer Datenschutzerklärung ausdrücklich als „Verantwortlicher im Sinne der DSGVO“ bezeichnen? Oder reicht es aus, Name, Anschrift und Kontaktmöglichkeiten anzugeben und anschließend sachlich zu erklären, welche Datenverarbeitungen stattfinden?

Die technische Perspektive: Daten entstehen überall

Aus Sicht eines Informatikers erscheint die Welt zunächst eindeutig. Eine Kommunikation über das Internet ist ohne Verarbeitung technischer Daten nicht möglich. Schon das Internetprotokoll benötigt Adressinformationen, damit Datenpakete ihren Weg finden. Ein Browser muss die Zieladresse kennen, ein Server muss wissen, wohin die Antwort gesendet werden soll.

Diese technische Notwendigkeit endet nicht am Webserver. Auch andere Systeme innerhalb der Kommunikationskette können Daten verarbeiten:

Aus dieser Sicht erscheint die Vorstellung problematisch, ein einzelner Webseitenbetreiber müsse sämtliche technischen Verarbeitungsvorgänge erklären, die während eines Abrufs stattfinden. Kein Betreiber einer kleinen Website kann realistisch wissen, welche internen Systeme ein großer Hostinganbieter verwendet, welche Logdateien dort entstehen oder welche Sicherheitsmechanismen im Hintergrund arbeiten.

Ein Betreiber eines einfachen Webhosting-Pakets kennt möglicherweise nicht einmal die eingesetzte Webserver-Software. Er lädt Dateien per FTP hoch und erhält eine funktionierende Website. Ob darunter Apache, nginx oder eine andere Plattform läuft, ist für seine eigentliche Tätigkeit unerheblich.

Die technische Sichtweise würde daher eher sagen: Verantwortlich kann nur sein, wer einen Verarbeitungsvorgang tatsächlich beeinflusst oder steuert.

Die juristische Perspektive: Verantwortlichkeit folgt der Entscheidung

Die DSGVO verwendet jedoch einen anderen Ansatz. Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO nicht einfach derjenige, auf dessen Website Daten anfallen, sondern diejenige Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet.

Damit wird ein Unterschied geschaffen zwischen technischer Durchführung und rechtlicher Verantwortung.

Ein Hostinganbieter kann beispielsweise technische Systeme betreiben und Daten verarbeiten. Ein Kunde kann eine Website betreiben und gleichzeitig entscheiden, keine Analysewerkzeuge, keine Werbung und keine Profilbildung einzusetzen. Beide Rollen können unterschiedliche datenschutzrechtliche Bewertungen erfordern.

Der entscheidende Punkt ist: Die Verantwortung entsteht nicht dadurch, dass jemand sich selbst mit einem bestimmten Begriff bezeichnet. Niemand wird dadurch Verantwortlicher, dass er diesen Begriff in eine Datenschutzerklärung schreibt. Umgekehrt verliert niemand diese Rolle dadurch, dass er ihn nicht verwendet.

Die tatsächlichen Umstände sind entscheidend.

Das Problem der Selbstbezeichnung

Hier entsteht eine interessante sprachliche und juristische Feinheit. Eine typische Datenschutzerklärung beginnt häufig mit dem Satz:

„Verantwortlicher für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist …“

Diese Formulierung ist praktisch weit verbreitet und entspricht der Sprache der DSGVO. Sie hat den Vorteil, dass der Leser sofort erkennt, welche Person als Ansprechpartner für Datenschutzfragen gemeint ist.

Gleichzeitig ist sie aber eine rechtliche Einordnung. Sie behauptet nicht nur eine Tatsache wie Name oder Anschrift, sondern ordnet einer Person eine bestimmte Rolle zu.

Eine solche Einordnung kann jedoch im Streitfall überprüft werden. Ein Gericht könnte zu dem Ergebnis kommen, dass eine Person zwar eine Website betreibt, aber hinsichtlich bestimmter Verarbeitungen nicht die alleinige Entscheidungsbefugnis besitzt. Ebenso könnte ein Gericht feststellen, dass eine Person entgegen ihrer eigenen Einschätzung doch Verantwortlicher ist.

Die Selbstbezeichnung ersetzt daher keine rechtliche Prüfung.

Die Alternative: Tatsachen statt Rollenbezeichnung

Aus dieser Überlegung entsteht ein anderer Ansatz: Statt eine juristische Rolle zu behaupten, könnte eine Datenschutzerklärung zunächst ausschließlich Tatsachen mitteilen:

Name, Anschrift, Kontaktmöglichkeit und eine Beschreibung der tatsächlich eingesetzten Verfahren.

Der Leser erfährt dadurch:

Der Kontext wird bereits durch die Überschrift „Datenschutzerklärung“ hergestellt. Eine Person, die dort mit vollständigen Kontaktdaten genannt wird und anschließend die Datenverarbeitung der Website erklärt, wird von einem verständigen Leser regelmäßig als Ansprechpartner für diese Vorgänge verstanden werden.

Die zusätzliche Bezeichnung „Verantwortlicher“ ist dann weniger eine Information über eine neue Tatsache, sondern eine juristische Zusammenfassung der vorher beschriebenen Umstände.

Das Problem einfacher Websites

Gerade bei kleinen privaten Websites wird diese Problematik deutlich. Nehmen wir eine Website, die ausschließlich aus HTML, CSS und etwas PHP besteht. Es gibt keine Cookies, kein JavaScript-Tracking, keine Werbenetzwerke und keine Nutzerkonten.

Der Betreiber verwendet lediglich ein Hostingpaket, stellt Inhalte bereit und nutzt eventuell ein Zählpixel der VG WORT zur Ermittlung von Zugriffszahlen urheberrechtlich relevanter Texte.

Eine solche Website unterscheidet sich grundlegend von modernen Plattformen mit Dutzenden externen Diensten. Dennoch werden häufig dieselben umfangreichen Datenschutzerklärungen verwendet, die ursprünglich für komplexe Systeme entwickelt wurden.

Dadurch entsteht eine gewisse Absurdität: Eine einfache Website muss erklären, welche Datenverarbeitung möglicherweise durch Systeme erfolgt, die der Betreiber weder eingerichtet hat noch kontrollieren kann.

Der Blick eines fiktiven Gerichts

Ein Gericht, das sich mit einer solchen Frage beschäftigen müsste, könnte berücksichtigen, dass Datenschutzrecht nicht losgelöst von technischer Realität ausgelegt werden kann.

Es wäre schwer vermittelbar, einem privaten Betreiber vorzuwerfen, er habe eine unvollständige Information bereitgestellt, weil er nicht sämtliche internen Prozesse eines Hostingunternehmens beschreiben konnte, auf die er keinen unmittelbaren Zugriff hat.

Ein verständiger Maßstab müsste berücksichtigen:

Datenschutzrechtliche Transparenz darf nicht bedeuten, dass ein kleiner Webseitenbetreiber eine technische Dokumentation der gesamten Internetinfrastruktur liefern muss.

Ein Gericht könnte daher zu dem Schluss kommen, dass eine differenzierte Betrachtung erforderlich ist. Es kann nicht allein darauf ankommen, ob ein bestimmtes Schlagwort verwendet wurde. Entscheidend muss sein, ob der Nutzer die wesentlichen Informationen erhält und ob der Betreiber die von ihm beeinflussbaren Verarbeitungen offenlegt.

Die Schwierigkeit für den Anbieter

Der Webseitenbetreiber befindet sich damit in einer schwierigen Lage.

Formuliert er zu wenig, besteht die Sorge, eine Informationspflicht verletzt zu haben.

Formuliert er zu viel, entstehen neue Angriffsflächen, weil jede zusätzliche Aussage eine überprüfbare Behauptung enthält.

Die Aussage:

„Es werden keine personenbezogenen Daten verarbeitet.“

ist technisch kaum haltbar.

Die Aussage:

„Der Verantwortliche verarbeitet folgende Daten …“

kann dagegen zu weit gehen, wenn sie alle technischen Vorgänge einschließen soll.

Eine sachliche Beschreibung der eigenen Maßnahmen ist daher häufig die belastbarere Lösung:

„Der Verantwortliche setzt keine Analyse-, Tracking- oder Marketingdienste ein und erhebt keine personenbezogenen Daten zu eigenen Zwecken. Für den technisch erforderlichen Betrieb können durch den Hostinganbieter erforderliche Verarbeitungen stattfinden.“

Diese Formulierung versucht nicht, die gesamte technische Welt zu erklären. Sie beschreibt den eigenen Einflussbereich.

Fazit

Die zentrale Schwierigkeit des Datenschutzes im Internet liegt darin, dass technische Vorgänge und rechtliche Verantwortlichkeiten nicht deckungsgleich sind.

Technisch betrachtet werden Daten an vielen Stellen verarbeitet. Rechtlich betrachtet müssen jedoch Verantwortlichkeiten einzelnen Personen oder Organisationen zugeordnet werden.

Eine Datenschutzerklärung sollte deshalb nicht den Anspruch haben, jede technische Verarbeitung im gesamten Internet abzubilden. Sie sollte den Nutzer darüber informieren, welche Datenverarbeitungen der Betreiber selbst veranlasst, welche Zwecke verfolgt werden und welche Kontaktmöglichkeit besteht.

Ob man dabei ausdrücklich den Begriff „Verantwortlicher im Sinne der DSGVO“ verwendet oder lediglich Name, Anschrift und konkrete Informationen über die Datenverarbeitung bereitstellt, ist letztlich eine Frage zwischen juristischer Klarheit und sprachlicher Zurückhaltung.

Die vermutlich ausgewogenste Lösung liegt darin, weder technische Unmöglichkeiten zu behaupten noch juristische Rollen unnötig zu überhöhen: weniger Selbstetikettierung, mehr Beschreibung der tatsächlichen Verhältnisse.

Zwischen Verantwortlichkeit und technischer Wirklichkeit

Die Grenze zwischen Wissen, Einfluss und Verantwortung

Ein grundlegendes Problem des Datenschutzrechts im digitalen Raum besteht darin, dass rechtliche Verantwortlichkeit und tatsächliche technische Kenntnis nicht immer zusammenfallen. Die DSGVO verlangt vom Verantwortlichen Transparenz über Verarbeitungen personenbezogener Daten. Gleichzeitig bewegt sich der Verantwortliche in einer technischen Umgebung, deren einzelne Komponenten er häufig weder vollständig kennt noch kontrollieren kann.

Gerade bei einer kleinen privaten Website entsteht daraus eine besondere Spannung. Der Betreiber erstellt Inhalte, lädt Dateien auf einen Webserver und stellt diese öffentlich bereit. Er hat jedoch keinen Zugriff auf die interne Infrastruktur des Hostinganbieters. Er weiß möglicherweise nicht, welche Softwareversion eingesetzt wird, wie Logdateien aufgebaut sind, welche Sicherheitsmechanismen laufen oder welche internen Prozesse zur Fehleranalyse verwendet werden.

Die Frage lautet daher: Kann eine Informationspflicht nur solche Vorgänge erfassen, die der Betreiber kennt oder kennen muss? Oder muss er unabhängig davon für alle technischen Prozesse einstehen, die bei der Bereitstellung seiner Website stattfinden?

Eine sehr weitgehende Auslegung würde zu einem Problem führen: Sie würde von einem einzelnen Webseitenbetreiber verlangen, die gesamte technische Lieferkette zu überblicken. Dies wäre bei modernen IT-Systemen praktisch unmöglich.

Die Illusion vollständiger technischer Kontrolle

Das Internet vermittelt häufig den Eindruck, eine Website sei ein einzelnes Objekt. Aus Sicht des Nutzers erscheint eine Adresse im Browser, und eine Seite wird angezeigt. Tatsächlich besteht dieser Vorgang jedoch aus zahlreichen voneinander abhängigen Systemen.

Eine einfache Anfrage kann beispielsweise folgende Stationen berühren:

Die Vorstellung, der Betreiber einer Website könne sämtliche dort entstehenden Datenverarbeitungen vollständig beschreiben, entspricht daher nicht der technischen Realität.

Ein sachgerechter Ansatz muss unterscheiden zwischen:

Die Bedeutung der Entscheidungsmacht

Der Begriff der Verantwortlichkeit in der DSGVO knüpft nicht zufällig an die Entscheidungsmacht an. Würde allein die technische Berührung mit Daten ausreichen, wäre nahezu jeder Beteiligte einer Internetkommunikation gleichzeitig für alle Verarbeitungsvorgänge verantwortlich.

Ein Nutzer, der eine Webseite aufruft, erzeugt durch seine Verbindung technische Daten. Ein Internetprovider transportiert diese Daten. Ein Hostingunternehmen stellt Infrastruktur bereit. Ein Webseitenbetreiber veröffentlicht Inhalte.

Würde man jede dieser Rollen gleich behandeln, würde die Verantwortlichkeit ihren Sinn verlieren. Sie soll gerade eine Zuordnung ermöglichen: Wer bestimmt, warum eine Verarbeitung stattfindet?

Ein Betreiber, der bewusst auf Tracking, Werbung und Analysewerkzeuge verzichtet, hat eine andere datenschutzrechtliche Stellung als ein Unternehmen, das detaillierte Nutzerprofile erstellt.

Die technische Tatsache, dass beide Webseiten über Server ausgeliefert werden und dabei IP-Adressen verarbeitet werden, kann nicht allein ausschlaggebend sein.

Die Gefahr überformulierter Datenschutzerklärungen

Eine weitere Schwierigkeit entsteht durch standardisierte Datenschutzerklärungen. Viele Texte stammen aus Vorlagen, die für komplexe kommerzielle Webseiten entwickelt wurden. Sie enthalten Begriffe und Beschreibungen, die für einfache Websites möglicherweise nicht passen.

Eine zu umfangreiche Erklärung kann paradoxerweise zu einer höheren Unsicherheit führen. Jede zusätzliche Aussage ist eine Behauptung, die sich überprüfen lassen muss.

Wer beispielsweise erklärt:

„Wir speichern keine IP-Adressen.“

muss tatsächlich sicherstellen, dass weder eigene Systeme noch eingesetzte Dienste eine entsprechende Speicherung durchführen.

Eine vorsichtigere Aussage:

„Der Verantwortliche setzt keine eigenen Verfahren zur Analyse oder Profilbildung ein.“

beschränkt sich dagegen auf den eigenen Einflussbereich.

Diese sprachliche Präzision ist entscheidend. Datenschutzinformationen sollten nicht größer sein als die tatsächlichen technischen Verhältnisse.

Die Rolle des gesunden Menschenverstands

Ein Rechtssystem muss auch für Situationen funktionieren, die nicht ausdrücklich für jede technische Variante geregelt wurden. Deshalb spielt die Betrachtung durch einen verständigen Dritten eine wichtige Rolle.

Ein solcher Dritter würde vermutlich nicht erwarten, dass ein privater Betreiber einer einfachen Website erklären kann, welche genaue Serverlogik ein Hostingunternehmen verwendet. Er würde vielmehr erwarten, dass der Betreiber offenlegt, welche eigenen Funktionen eingesetzt werden.

Wenn eine Website keine Cookies setzt, keine Analysewerkzeuge verwendet und keine Nutzerkonten anbietet, ist dies eine wesentliche Information. Sie beschreibt den tatsächlichen Umgang mit Besucherdaten.

Eine darüber hinausgehende Pflicht, sämtliche technischen Nebenvorgänge fremder Systeme zu dokumentieren, würde den Zweck der Transparenz verfehlen. Transparenz bedeutet nicht vollständige technische Allwissenheit.

Ein möglicher Blick eines Gerichts

Ein Gericht könnte bei einer solchen Konstellation vor der Frage stehen, ob eine Datenschutzerklärung formal genug ist oder ob sie den Informationszweck erfüllt.

Es könnte dabei berücksichtigen, dass der Gesetzgeber keine technische Dokumentation verlangt, sondern eine verständliche Information für betroffene Personen.

Ein Gericht könnte sinngemäß feststellen:

„Die datenschutzrechtliche Informationspflicht dient dazu, dem Betroffenen Klarheit über die Verarbeitung seiner Daten zu verschaffen. Sie verlangt jedoch nicht, dass ein Betreiber einer einfachen Website technische Vorgänge offenlegt, die außerhalb seines Einflussbereichs liegen und deren konkrete Ausgestaltung ihm nicht bekannt sein kann.“

Eine solche Betrachtung würde dem Grundgedanken entsprechen, dass rechtliche Pflichten nicht unabhängig von tatsächlichen Möglichkeiten bewertet werden können.

Die Suche nach einer ausgewogenen Formulierung

Die Herausforderung besteht somit darin, eine Formulierung zu finden, die weder zu wenig noch zu viel behauptet.

Eine sachgerechte Datenschutzerklärung könnte deshalb auf drei Ebenen arbeiten:

  1. Sie benennt die Person, die hinter dem Angebot steht.

  2. Sie beschreibt die vom Betreiber selbst eingesetzten Verfahren.

  3. Sie weist darauf hin, dass technische Verarbeitungsvorgänge des Hosters oder anderer Infrastrukturanbieter außerhalb des eigenen Einflussbereichs liegen können.

Damit wird weder eine Verantwortung abgestritten noch eine technische Kontrolle behauptet, die tatsächlich nicht besteht.

Schlussbetrachtung

Die Diskussion zeigt ein grundlegendes Spannungsfeld des digitalen Rechts: Rechtliche Begriffe müssen auf technische Systeme angewendet werden, die wesentlich komplexer sind als die Vorstellungen, die bei der Entstehung vieler rechtlicher Konzepte zugrunde lagen.

Die wichtigste Erkenntnis lautet daher: Verantwortlichkeit entsteht nicht durch ein Wort in einer Erklärung, sondern durch tatsächliche Einflussnahme und Entscheidungsbefugnis. Ebenso wenig kann eine Erklärung durch möglichst viele Begriffe automatisch rechtssicherer werden.

Eine gute Datenschutzerklärung zeichnet sich nicht dadurch aus, dass sie möglichst viele mögliche Verarbeitungsvorgänge erwähnt. Sie zeichnet sich dadurch aus, dass sie die tatsächlichen Verhältnisse verständlich, nachvollziehbar und wahrheitsgemäß beschreibt.

Minimalismus als Ausdruck von Transparenz

Die einfache Website als Gegenmodell zur Plattformökonomie

Die Entwicklung des Internets hat dazu geführt, dass Webseiten heute häufig nicht mehr als einzelne Dokumente verstanden werden, sondern als komplexe technische Plattformen. Moderne Webseiten bestehen oft aus Content-Management-Systemen, Erweiterungen, Analysewerkzeugen, Werbenetzwerken, extern geladenen Bibliotheken, Cloud-Diensten und zahlreichen Schnittstellen zu Drittanbietern.

Diese Entwicklung hat auch die Wahrnehmung von Datenschutz geprägt. Viele Datenschutztexte orientieren sich an dieser komplexen Realität. Sie enthalten umfangreiche Beschreibungen zu Cookies, Analyseverfahren, Marketingdiensten, Profilbildung und externen Datenübermittlungen.

Es entsteht jedoch eine interessante Gegenfrage: Muss eine einfache Website, die bewusst auf all diese Mechanismen verzichtet, dieselbe Komplexität in ihrer Datenschutzerklärung abbilden?

Eine statische Website mit HTML, CSS und gegebenenfalls einfachen serverseitigen Funktionen unterscheidet sich strukturell von einer modernen Plattform. Sie verfolgt keinen Zweck der Nutzeranalyse, keine personalisierte Werbung und keine Erzeugung von Nutzerprofilen.

Gerade diese technische Einfachheit ist bereits eine wesentliche Datenschutzinformation.

Weniger Technik bedeutet weniger Erklärungslast

Datenschutzrechtliche Informationspflichten entstehen nicht unabhängig von technischen Entscheidungen. Wer zusätzliche Dienste einsetzt, schafft zusätzliche Verarbeitungsvorgänge und damit zusätzliche Informationspflichten.

Ein Betreiber, der freiwillig ein Statistiksystem einbindet, muss erklären, welche Daten zu welchem Zweck verarbeitet werden. Ein Betreiber, der kein Statistiksystem einsetzt, muss diese Verarbeitung nicht erklären.

Dies führt zu einem bemerkenswerten Zusammenhang:

Technische Reduktion kann nicht nur die Sicherheit erhöhen, sondern auch die rechtliche Komplexität verringern.

Jede zusätzliche Komponente einer Website erzeugt neue Fragen:

Eine einfache Website beantwortet viele dieser Fragen bereits durch ihre Architektur: Es gibt schlicht weniger Verarbeitungsvorgänge.

Die Gefahr der Datenschutzsymbolik

Ein weiteres Problem moderner Datenschutzkommunikation besteht darin, dass umfangreiche Texte nicht immer mehr Transparenz bedeuten.

Eine Datenschutzerklärung mit mehreren Seiten Länge kann für den Besucher weniger verständlich sein als eine kurze Erklärung, die genau beschreibt, was tatsächlich passiert.

Transparenz ist nicht gleichbedeutend mit Umfang.

Eine Erklärung, die viele theoretische Möglichkeiten aufführt, kann den Blick auf die tatsächlichen Vorgänge sogar erschweren. Der Nutzer muss dann zwischen relevanten und irrelevanten Informationen unterscheiden.

Eine sachliche Beschreibung hingegen kann klarer sein:

„Diese Website verwendet keine Analyse- oder Trackingdienste. Es werden keine Nutzerprofile erstellt. Für die technische Bereitstellung können durch den Hostinganbieter erforderliche technische Daten verarbeitet werden.“

Eine solche Aussage vermittelt möglicherweise mehr praktische Information als eine lange Aufzählung zahlreicher Dienste, die tatsächlich nicht verwendet werden.

Die Rolle des Hostinganbieters

Besonders schwierig bleibt die Einordnung technischer Verarbeitungen durch Hostinganbieter.

Ein Webseitenbetreiber nutzt eine Infrastruktur, deren Einzelheiten er häufig nicht kennt. Er kauft einen Dienst, nicht eine bestimmte Serverarchitektur.

Die Situation ähnelt anderen alltäglichen Dienstleistungen:

Wer ein Telefon besitzt, muss nicht erklären, welche internen Prozesse der Netzbetreiber zur Signalübertragung verwendet. Wer ein Paket versendet, muss nicht die gesamte Logistiksoftware des Versandunternehmens dokumentieren.

Auch im Internet muss eine Grenze gezogen werden zwischen:

Eine Informationspflicht kann nur sinnvoll funktionieren, wenn sie sich auf den Bereich bezieht, in dem eine Person tatsächlich gestalten und entscheiden kann.

Die Schwierigkeit der Verantwortungszuweisung

Die Bezeichnung einer Person als „Verantwortlicher im Sinne der DSGVO“ erscheint auf den ersten Blick eindeutig. Tatsächlich kann sie jedoch eine rechtliche Bewertung enthalten, die erst durch die tatsächlichen Umstände bestätigt werden muss.

Ein Gericht könnte beispielsweise prüfen:

Die bloße Tatsache, dass eine Person als Inhaber einer Domain eingetragen ist oder Dateien auf einen Server lädt, beantwortet diese Fragen nicht vollständig.

Deshalb erscheint es nachvollziehbar, zunächst die tatsächlichen Informationen bereitzustellen und nicht mehr rechtliche Einordnung vorzunehmen als erforderlich.

Ein möglicher Maßstab der Verhältnismäßigkeit

Ein Gericht, das die Anforderungen an eine Datenschutzerklärung einer kleinen privaten Website beurteilen müsste, könnte die Verhältnismäßigkeit berücksichtigen.

Es könnte fragen:

„Dient eine zusätzliche juristische Bezeichnung hier tatsächlich dem Informationsinteresse der betroffenen Person, oder handelt es sich lediglich um eine formale Ergänzung ohne zusätzlichen Erkenntnisgewinn?“

Wenn Name, Anschrift, Kontaktmöglichkeit und konkrete Informationen über Datenverarbeitungen vorhanden sind, könnte argumentiert werden, dass der Informationszweck bereits erfüllt ist.

Die Datenschutz-Grundverordnung verfolgt nicht den Zweck, bestimmte Formulierungen zu erzwingen. Ihr Ziel ist Transparenz über Verarbeitungsvorgänge.

Die Verantwortung des Betreibers bleibt trotzdem bestehen

Eine minimalistische Datenschutzerklärung bedeutet jedoch nicht, dass Verantwortung vermieden werden kann.

Wer eine Website betreibt, trifft Entscheidungen. Er entscheidet über Inhalte, über eingesetzte Dienste und über technische Erweiterungen.

Wenn ein Betreiber später Tracking integriert, ein Kontaktformular aktiviert oder externe Dienste einbindet, verändert sich auch die datenschutzrechtliche Bewertung.

Minimalismus funktioniert daher nur, wenn er ehrlich ist.

Eine kurze Erklärung ist nicht deshalb gut, weil sie weniger enthält, sondern weil sie genau das enthält, was tatsächlich relevant ist.

Schluss: Datenschutz zwischen Technik und Recht

Die Diskussion um Datenschutzerklärungen zeigt ein allgemeines Problem der Digitalisierung: Technische Systeme arbeiten verteilt, während Rechtssysteme Verantwortlichkeiten einzelnen Akteuren zuordnen müssen.

Eine vollständig technische Betrachtung würde zu weit führen. Eine rein formale juristische Betrachtung könnte die tatsächlichen Möglichkeiten kleiner Anbieter ignorieren.

Die überzeugendste Lösung liegt daher in einer Verbindung beider Perspektiven:

Technische Realität muss berücksichtigt werden, aber rechtliche Verantwortung darf nicht verschwimmen.

Eine gute Datenschutzerklärung ist deshalb keine Sammlung möglichst vieler juristischer Begriffe. Sie ist eine nachvollziehbare Beschreibung dessen, was tatsächlich geschieht.

Gerade bei einfachen Webseiten kann Zurückhaltung ein Zeichen von Qualität sein. Wer keine unnötigen Daten erhebt, keine Nutzerprofile erstellt und keine umfangreichen Dienste einsetzt, muss auch keine künstliche Komplexität erzeugen.

Der vielleicht wichtigste Grundsatz lautet daher:

Nicht die Länge einer Datenschutzerklärung entscheidet über Transparenz, sondern die Übereinstimmung zwischen technischer Realität und ihrer Beschreibung.

Die Grenze zwischen Rechtssicherheit und sprachlicher Zurückhaltung

Die Versuchung der juristischen Vollständigkeit

Ein wiederkehrendes Muster im digitalen Recht besteht darin, dass Betreiber von Webseiten versuchen, durch möglichst umfangreiche Erklärungen eine möglichst hohe Rechtssicherheit zu erreichen. Die Vorstellung dahinter ist verständlich: Wenn jede denkbare Verarbeitung erwähnt wird, kann später niemand vorwerfen, eine Information sei vergessen worden.

Diese Strategie hat jedoch eine Schwäche. Rechtliche Texte bestehen nicht nur aus Informationen, sondern auch aus Aussagen. Jede Aussage erzeugt eine Erwartung darüber, dass die beschriebenen Umstände tatsächlich zutreffen.

Eine Datenschutzerklärung ist deshalb kein technisches Inventar, in dem vorsorglich jede denkbare Möglichkeit aufgeführt werden sollte. Sie ist eine Information für betroffene Personen über konkrete Verarbeitungsvorgänge.

Eine Erklärung, die zahlreiche Verarbeitungen beschreibt, die tatsächlich nicht stattfinden, kann weniger transparent sein als eine kurze Erklärung, die nur reale Vorgänge erfasst.

Die Verantwortung für Worte

Gerade bei kleinen Websites entsteht dadurch ein Spannungsfeld. Der Betreiber möchte einerseits vollständig informieren, andererseits aber keine Aussagen treffen, die er technisch nicht überprüfen kann.

Ein Beispiel:

„Es werden keine personenbezogenen Daten gespeichert.“

Diese Aussage klingt zunächst datenschutzfreundlich. Technisch betrachtet kann sie jedoch problematisch sein. Schon der Webserver oder der Hostinganbieter kann aus betrieblichen Gründen technische Daten verarbeiten oder speichern.

Eine präzisere Aussage wäre:

„Der Betreiber setzt keine eigenen Verfahren zur Analyse, Werbung oder Profilbildung ein.“

Diese Formulierung beschreibt eine Entscheidung des Betreibers und bleibt innerhalb seines Einflussbereichs.

Der Unterschied ist wesentlich: Die erste Aussage versucht, die gesamte technische Umgebung zu beschreiben. Die zweite Aussage beschreibt das eigene Handeln.

Die Bedeutung des Einflussbereichs

Ein sinnvoller Maßstab für datenschutzrechtliche Informationen könnte daher der tatsächliche Einflussbereich sein.

Ein Betreiber kann regelmäßig entscheiden:

Er kann jedoch typischerweise nicht entscheiden:

Eine Informationspflicht, die diesen Unterschied ignoriert, würde Verantwortlichkeit mit bloßer technischer Berührung verwechseln.

Die Perspektive eines fiktiven Gerichts

Ein Gericht könnte bei der Bewertung einer Datenschutzerklärung vor einer schwierigen Abwägung stehen.

Auf der einen Seite steht der Wortlaut der gesetzlichen Informationspflichten. Betroffene Personen sollen wissen, an wen sie sich wenden können und wie ihre Daten verarbeitet werden.

Auf der anderen Seite steht die technische Realität eines dezentralen Internets.

Ein Gericht könnte daher folgende Überlegung anstellen:

„Die Informationspflichten der DSGVO dürfen nicht so ausgelegt werden, dass ein durchschnittlicher Betreiber einer einfachen Website eine vollständige Kenntnis sämtlicher Verarbeitungsvorgänge innerhalb einer komplexen technischen Infrastruktur besitzen muss. Maßgeblich muss sein, welche Verarbeitungsvorgänge er selbst veranlasst und welche Informationen ihm vernünftigerweise zugänglich sind.“

Eine solche Betrachtung würde den Gedanken der Transparenz stärken, ohne daraus eine Pflicht zur technischen Allwissenheit abzuleiten.

Die Rolle der Bezeichnung „Verantwortlicher“

Die Frage nach der Bezeichnung „Verantwortlicher im Sinne der DSGVO“ zeigt exemplarisch die Spannung zwischen Rechtssprache und tatsächlicher Funktion.

Juristisch hat der Begriff einen klaren Inhalt. Er bezeichnet die Person oder Stelle, die über Zwecke und Mittel einer Verarbeitung entscheidet.

Alltagssprachlich wird er jedoch häufig als reine Kontaktbezeichnung verstanden.

Wenn eine Datenschutzerklärung mit dem Satz beginnt:

„Verantwortlicher für die Verarbeitung personenbezogener Daten ist …“

erfüllt dies eine praktische Funktion: Der Leser weiß sofort, wer als Ansprechpartner gedacht ist.

Gleichzeitig ist es richtig, dass diese Bezeichnung keine unwiderlegbare rechtliche Tatsache schafft. Sie ist eine Einordnung, die anhand der tatsächlichen Verhältnisse überprüft werden kann.

Daraus ergibt sich eine interessante sprachliche Frage: Muss eine Datenschutzerklärung jede rechtliche Rolle ausdrücklich benennen, oder genügt eine Darstellung, aus der sich die Rolle ergibt?

Formale Erfüllung versus tatsächliche Verständlichkeit

Das Recht kennt viele Situationen, in denen eine bestimmte Formulierung üblich geworden ist, obwohl der eigentliche Zweck auch anders erreicht werden könnte.

Standardformulierungen haben einen Vorteil: Sie reduzieren Diskussionen. Gleichzeitig können sie den Blick auf die eigentliche Funktion einer Vorschrift verstellen.

Der Zweck der Datenschutzinformationen besteht nicht darin, bestimmte Wörter zu platzieren. Der Zweck besteht darin, betroffenen Personen eine verständliche Information über ihre Rechte und die Verarbeitung ihrer Daten zu geben.

Eine Erklärung kann daher formal sehr umfangreich und dennoch wenig verständlich sein. Umgekehrt kann eine kurze Erklärung sehr informativ sein, wenn sie die tatsächlichen Verhältnisse präzise beschreibt.

Die besondere Situation privater Webseiten

Bei privaten Webseiten tritt noch ein weiterer Aspekt hinzu. Der Betreiber handelt häufig ohne wirtschaftliches Interesse, ohne eigene Rechtsabteilung und ohne technische Administration durch Dritte.

Er erstellt Inhalte, veröffentlicht sie und nutzt eine bestehende Infrastruktur.

Eine Auslegung des Datenschutzrechts, die für professionelle Plattformbetreiber entwickelt wurde, kann nicht ohne Weiteres auf diese Situation übertragen werden.

Die Anforderungen müssen den Schutz personenbezogener Daten sicherstellen, dürfen aber nicht zu einer künstlichen Überforderung führen.

Ein möglicher Leitgedanke

Ein ausgewogener Ansatz könnte lauten:

Wer Datenverarbeitungen entscheidet, muss darüber informieren. Wer nur eine technische Infrastruktur nutzt, muss nicht deren gesamte interne Funktionsweise erklären.

Dieser Grundsatz verbindet die juristische Sicht der Verantwortlichkeit mit der technischen Realität verteilter Systeme.

Schlussbetrachtung

Die Diskussion zeigt, dass Datenschutz im Internet nicht nur eine Frage von Paragraphen ist, sondern auch eine Frage der richtigen Perspektive.

Eine technische Betrachtung ohne juristische Einordnung würde Verantwortlichkeiten verwischen. Eine rein formale juristische Betrachtung ohne technische Realität würde Anforderungen erzeugen, die am tatsächlichen Betrieb einer Website vorbeigehen.

Die Herausforderung besteht darin, eine Sprache zu finden, die weder mehr Kontrolle behauptet, als tatsächlich vorhanden ist, noch weniger Verantwortung übernimmt, als tatsächlich besteht.

Eine gute Datenschutzerklärung ist deshalb keine juristische Rüstung und kein technisches Protokoll. Sie ist eine Brücke zwischen der komplexen Wirklichkeit digitaler Systeme und dem berechtigten Interesse des Nutzers an verständlicher Information.

Vom Formulartext zur Wirklichkeitsbeschreibung

Die Entstehung einer Formularsprache

Viele datenschutzrechtliche Texte im Internet folgen heute einer wiederkehrenden Struktur. Sie beginnen mit der Benennung eines Verantwortlichen, nennen anschließend Kategorien personenbezogener Daten, beschreiben Rechtsgrundlagen und führen danach zahlreiche technische Dienste auf.

Diese Struktur hat einen praktischen Grund: Sie ermöglicht es, komplexe rechtliche Anforderungen in wiederverwendbare Muster zu übertragen. Für viele Unternehmen mit umfangreichen digitalen Angeboten ist dies sinnvoll.

Problematisch wird es jedoch, wenn diese Formularsprache unabhängig von der tatsächlichen technischen Realität übernommen wird.

Eine private Website mit wenigen statischen Seiten ist kein soziales Netzwerk, kein Online-Shop und keine Analyseplattform. Dennoch werden häufig Texte verwendet, die sprachlich aus einer völlig anderen technischen Umgebung stammen.

Dadurch entsteht ein Widerspruch: Die Datenschutzerklärung soll Transparenz schaffen, beginnt aber mit einer Sprache, die für viele Nutzer kaum noch verständlich ist.

Die Frage nach dem tatsächlichen Informationsbedarf

Eine betroffene Person möchte im Kern wissen:

Diese Fragen stehen im Mittelpunkt der Datenschutzinformation. Die Bezeichnung einer bestimmten rechtlichen Rolle ist dabei nur ein Mittel zum Zweck.

Wenn eine Person eine Website besucht, interessiert sie in der Regel nicht die juristische Konstruktion hinter dem Begriff „Verantwortlicher“. Sie möchte wissen, wer Ansprechpartner ist und was mit ihren Daten passiert.

Eine gute Datenschutzerklärung muss deshalb beide Ebenen miteinander verbinden:

Der Unterschied zwischen Verantwortung und Beherrschung

Eine der schwierigsten Fragen des digitalen Datenschutzes ist die Unterscheidung zwischen Verantwortung und Beherrschung.

Ein Betreiber kann für eine Verarbeitung verantwortlich sein, obwohl er nicht jede technische Einzelheit kontrolliert. Gleichzeitig kann ein technischer Dienstleister erheblichen Einfluss auf die Durchführung einer Verarbeitung haben, ohne den Zweck dieser Verarbeitung selbst festzulegen.

Diese Trennung ist notwendig, damit das Datenschutzrecht in einer arbeitsteiligen Welt funktionieren kann.

Würde Verantwortung vollständige technische Beherrschung voraussetzen, könnten moderne IT-Dienste kaum betrieben werden. Fast jede digitale Anwendung nutzt fremde Infrastruktur.

Würde dagegen jede technische Beteiligung automatisch Verantwortung begründen, gäbe es keine klare Zuordnung mehr.

Die besondere Bedeutung der Zweckbestimmung

Ein entscheidendes Kriterium ist deshalb der Zweck.

Wer entscheidet, dass Daten zu einem bestimmten Zweck verarbeitet werden sollen?

Ein Betreiber, der ein Analysewerkzeug einbindet, entscheidet bewusst:

„Ich möchte Informationen über die Nutzung meiner Website erhalten.“

Damit entsteht ein eigener Zweck.

Ein Betreiber, der lediglich Inhalte ausliefert und keine Analysewerkzeuge verwendet, verfolgt diesen Zweck gerade nicht.

Die technische Verarbeitung einer IP-Adresse beim Verbindungsaufbau sagt allein noch nichts darüber aus, ob der Betreiber eine Analyseabsicht verfolgt.

Die Bedeutung der bewussten Nichtentscheidung

Ein oft unterschätzter Punkt ist die Bedeutung bewusster Zurückhaltung.

Auch eine Entscheidung, bestimmte Technik nicht einzusetzen, ist eine relevante Entscheidung.

Wer auf Tracking verzichtet, entscheidet sich gegen eine bestimmte Form der Datennutzung.

Wer keine externen Schriftbibliotheken einbindet, vermeidet zusätzliche Verbindungen zu Drittanbietern.

Wer keine Kontaktformulare anbietet, vermeidet eine zusätzliche Erhebung von Kommunikationsdaten.

Datenschutzfreundlichkeit entsteht daher nicht nur durch technische Schutzmaßnahmen, sondern häufig bereits durch die Auswahl einer einfachen Architektur.

Ein mögliches gerichtliches Verständnis

Ein Gericht könnte bei der Bewertung einer minimalistischen Website berücksichtigen, dass Datenschutzrecht nicht losgelöst von der praktischen Umsetzung betrachtet werden kann.

Es könnte sich folgende Frage stellen:

„Hat der Betreiber die Informationen bereitgestellt, die eine betroffene Person benötigt, um die Verarbeitung ihrer Daten zu verstehen und ihre Rechte auszuüben?“

Wenn diese Frage bejaht werden kann, wäre eine rein formale Beanstandung möglicherweise unverhältnismäßig.

Ein Gericht könnte weiter berücksichtigen:

„Kann von einer Person, die lediglich ein einfaches Webhostingangebot nutzt, verlangt werden, interne technische Prozesse eines fremden Infrastrukturbetreibers vollständig zu kennen und zu beschreiben?“

Eine solche Anforderung würde den Unterschied zwischen Verantwortlichkeit und technischer Kontrolle aufheben.

Die Gefahr einer Überdehnung der Informationspflicht

Informationspflichten haben einen Zweck: Sie sollen Transparenz ermöglichen.

Werden sie jedoch so weit verstanden, dass jede theoretisch mögliche technische Verarbeitung erwähnt werden muss, kann das Gegenteil entstehen.

Die relevante Information verschwindet in einer Vielzahl von allgemeinen Hinweisen.

Ein Nutzer, der wissen möchte, ob eine Website Tracking verwendet, findet möglicherweise mehrere Seiten allgemeiner Hinweise, aber keine klare Antwort.

Eine präzise Aussage wie:

„Diese Website verwendet keine Analyse- oder Trackingdienste.“

kann daher einen höheren Informationswert besitzen als eine lange Aufzählung sämtlicher denkbarer Technologien.

Datenschutz als Beschreibung tatsächlicher Entscheidungen

Vielleicht liegt eine der größten Herausforderungen darin, Datenschutz nicht als Sammlung von Pflichtformeln zu verstehen, sondern als Beschreibung von Entscheidungen.

Der Betreiber entscheidet:

Die Datenschutzerklärung sollte diese Entscheidungen sichtbar machen.

Sie sollte nicht versuchen, eine vollständige Beschreibung der gesamten digitalen Infrastruktur zu liefern.

Schlussbetrachtung

Die Entwicklung des Datenschutzrechts steht vor einer schwierigen Aufgabe: Es muss den Schutz personenbezogener Daten gewährleisten, ohne die technische Realität moderner Systeme zu ignorieren.

Die Lösung kann nicht darin liegen, jede technische Verarbeitung pauschal demjenigen zuzuschreiben, dessen Name auf einer Website steht. Ebenso wenig kann ein Betreiber jede Verantwortung ablehnen, weil bestimmte Prozesse technisch außerhalb seines direkten Zugriffs liegen.

Zwischen diesen beiden Extremen liegt ein vernünftiger Mittelweg:

Verantwortung dort, wo Entscheidungen getroffen werden. Transparenz dort, wo Wissen und Einfluss bestehen. Zurückhaltung dort, wo technische Vorgänge außerhalb der eigenen Gestaltung liegen.

Eine Datenschutzerklärung, die diesen Grundsätzen folgt, ist nicht zwangsläufig die längste. Vielleicht ist sie gerade deshalb die verständlichste.

Zwischen Vermutung und Nachweis

Die Bedeutung des tatsächlichen Zustands

Eine der schwierigsten Fragen im Zusammenhang mit Datenschutzinformationen entsteht dort, wo Wissen und Wirklichkeit auseinanderfallen. Ein Webseitenbetreiber kann eine bestimmte technische Situation vorfinden und daraus vernünftige Schlüsse ziehen. Er kann beispielsweise davon ausgehen, dass sein Hostinganbieter technische Zugriffsdaten verarbeitet. Er kann aber nicht zwangsläufig wissen, welche konkrete Software eingesetzt wird, welche Speicherfristen gelten oder welche internen Sicherheitsmechanismen aktiv sind.

Rechtlich betrachtet ist jedoch nicht allein entscheidend, was eine Person vermutet. Entscheidend ist, was tatsächlich geschieht.

Damit entsteht eine Spannung:

Eine Informationspflicht darf daher nicht zu einer Pflicht zur technischen Untersuchung einer fremden Infrastruktur werden.

Die Grenze zwischen Unwissen und Zumutbarkeit

Unwissenheit kann im Recht unterschiedliche Bedeutungen haben. Es gibt Situationen, in denen eine Person sich nicht auf Unkenntnis berufen kann, weil sie bestimmte Informationen hätte beschaffen müssen. Es gibt aber auch Situationen, in denen eine Information außerhalb des eigenen Einflussbereichs liegt.

Bei einem einfachen Webhostingvertrag stellt sich daher die Frage:

Muss der Kunde aktiv erforschen, welche Servertechnik der Anbieter verwendet?

Oder reicht es aus, wenn er weiß, welche Dienste er selbst bestellt und welche Funktionen er selbst aktiviert?

Eine ausgewogene Betrachtung würde berücksichtigen, dass ein Kunde eines Hostingpakets regelmäßig kein Administrator eines fremden Rechenzentrums ist. Er erhält eine Leistung, deren technische Umsetzung der Anbieter bestimmt.

Die Verantwortung des Kunden kann daher nicht grenzenlos sein.

Die Rolle der vertraglichen Beziehung

Ein wichtiger Unterschied liegt darin, ob jemand lediglich eine technische Leistung nutzt oder ob er selbst aktiv einen Datenverarbeitungsdienst auswählt.

Wer beispielsweise bewusst einen externen Analysedienst integriert, trifft eine eigene Entscheidung:

Er wählt einen Anbieter, bindet einen Dienst ein und verfolgt einen bestimmten Zweck.

Bei einem klassischen Hostingpaket ist die Situation anders. Der Kunde entscheidet sich für die Bereitstellung einer Website. Die technische Infrastruktur dahinter ist Mittel zum Zweck.

Diese Unterscheidung ist wesentlich, weil die DSGVO gerade auf die Entscheidungsbefugnis abstellt.

Die Problematik der vollständigen Offenlegung

Ein häufiger Gedanke lautet:

„Wenn technisch irgendwo personenbezogene Daten verarbeitet werden, muss dies vollständig in der Datenschutzerklärung stehen.“

Dieser Ansatz klingt zunächst konsequent, führt aber zu erheblichen Problemen.

Eine Website ist Teil eines größeren Systems. Würde jede mittelbare technische Verarbeitung aufgeführt werden müssen, müsste eine Erklärung beispielsweise auch die Arbeitsweise von:

berücksichtigen.

Eine solche Darstellung wäre nicht nur praktisch unmöglich, sondern würde den Informationszweck verfehlen.

Der Nutzer benötigt keine Beschreibung des gesamten Internets. Er benötigt Informationen über diejenigen Verarbeitungen, die für seine Beziehung zum Anbieter relevant sind.

Die juristische Funktion vorsichtiger Sprache

Gerade deshalb ist die sprachliche Gestaltung einer Datenschutzerklärung von Bedeutung.

Eine absolute Aussage ist häufig riskanter als eine präzise Einschränkung.

Vergleichen wir zwei Formulierungen:

Variante A:

„Diese Website verarbeitet keine personenbezogenen Daten.“

Variante B:

„Der Betreiber setzt keine Verfahren zur Erhebung personenbezogener Daten über den technisch erforderlichen Betrieb der Website hinaus ein.“

Variante A erfasst möglicherweise eine technische Realität nicht vollständig. Variante B beschreibt dagegen eine eigene Entscheidung und lässt notwendige technische Vorgänge ausdrücklich unberührt.

Die zweite Formulierung ist deshalb nicht weniger transparent, sondern genauer abgegrenzt.

Die Bedeutung der Negativinformation

Ein weiterer interessanter Aspekt ist die Bedeutung dessen, was nicht geschieht.

Datenschutzinformationen konzentrieren sich traditionell auf die Frage:

„Welche Daten werden verarbeitet?“

Bei einfachen Websites kann aber gerade die Abwesenheit bestimmter Verfahren eine zentrale Information sein:

Diese Negativinformationen beschreiben eine bewusste technische und organisatorische Entscheidung.

Sie können für den Nutzer wichtiger sein als eine Aufzählung der unvermeidbaren technischen Grundlagen der Internetkommunikation.

Ein Gedankenexperiment für ein Gericht

Ein Gericht könnte sich mit folgender Situation befassen:

Eine Privatperson betreibt eine einfache Website. Sie verwendet keine Analysewerkzeuge, keine Werbenetzwerke und keine externen Inhalte. Sie nutzt lediglich ein Standardhostingpaket. Die Datenschutzerklärung benennt die Person und beschreibt die eigenen Datenverarbeitungen.

Ein Dritter beanstandet, dass nicht ausdrücklich erklärt wird, welche konkrete Webserver-Software der Hostinganbieter verwendet und welche internen Logprozesse dort stattfinden.

Ein Gericht könnte sich fragen:

„Ist die beanstandete Information für die betroffene Person tatsächlich erforderlich, um ihre Rechte wahrzunehmen?“

Und weiter:

„Kann von einer Person verlangt werden, technische Details eines fremden Systems offenzulegen, auf das sie keinen Zugriff besitzt?“

Eine vernünftige Antwort könnte darin liegen, zwischen eigener Datenverarbeitung und fremder Infrastruktur zu unterscheiden.

Die Gefahr einer Verantwortungsverschiebung

Ein weiteres Problem entsteht, wenn technische Dienstleister und Webseitenbetreiber ihre Rollen vermischen.

Der Betreiber könnte versucht sein zu sagen:

„Ich bin für nichts verantwortlich, weil alles über den Hoster läuft.“

Das wäre ebenso falsch wie die gegenteilige Annahme:

„Der Betreiber ist für jede technische Verarbeitung im gesamten Übertragungsweg verantwortlich.“

Beide Extreme verkennen die tatsächliche Struktur.

Verantwortung entsteht dort, wo Entscheidungen getroffen werden. Nicht jede technische Verarbeitung ist eine eigene Entscheidung des Webseitenbetreibers. Aber jede bewusste Auswahl eines Dienstes oder Verfahrens kann eine solche Entscheidung darstellen.

Die Suche nach einem vernünftigen Maßstab

Vielleicht liegt die größte Herausforderung darin, Datenschutz nicht ausschließlich als Frage von Formalien zu betrachten.

Ein Rechtssystem benötigt klare Begriffe. Gleichzeitig muss es in der Lage sein, diese Begriffe auf die Wirklichkeit anzuwenden.

Die Frage sollte daher nicht lauten:

„Wurde ein bestimmtes Wort verwendet?“

Sondern:

„Hat die betroffene Person die Informationen erhalten, die sie benötigt, um die Verarbeitung ihrer Daten zu verstehen?“

Dieser Maßstab würde dem Zweck der Datenschutzinformation näherkommen.

Schlussbetrachtung

Die Diskussion um einfache Websites zeigt ein allgemeines Problem moderner Regulierung: Je komplexer technische Systeme werden, desto wichtiger wird eine klare Begrenzung von Verantwortlichkeit.

Datenschutz darf nicht bedeuten, dass jeder Teilnehmer einer technischen Kette für sämtliche Vorgänge dieser Kette einstehen muss.

Ebenso darf Datenschutz nicht bedeuten, dass ein Betreiber sich durch fehlende technische Kenntnisse von eigenen Entscheidungen entlasten kann.

Die sachgerechte Grenze liegt dort, wo Einfluss und Zweckbestimmung zusammentreffen.

Eine gute Datenschutzerklärung beschreibt deshalb nicht die gesamte technische Welt. Sie beschreibt die Entscheidungen desjenigen, der eine Website bereitstellt.

Vielleicht ist gerade diese Zurückhaltung der Kern echter Transparenz:

Nicht alles zu behaupten, was technisch möglich ist, sondern genau das zu erklären, was tatsächlich entschieden und umgesetzt wurde.

Die Rückkehr zum Wesentlichen

Die eigentliche Frage hinter der Formulierung

Die Diskussion über die richtige Form einer Datenschutzerklärung scheint auf den ersten Blick eine Frage der Sprache zu sein. Soll dort stehen: „Verantwortlicher im Sinne der DSGVO“, „Betreiber“, „Anbieter“ oder lediglich der Name einer natürlichen Person mit Kontaktmöglichkeit?

Bei genauerer Betrachtung geht es jedoch um eine grundlegendere Frage: Wie kann ein Rechtssystem, das auf Transparenz und Verantwortlichkeit ausgerichtet ist, mit einer technischen Welt umgehen, in der einzelne Vorgänge über zahlreiche voneinander unabhängige Systeme verteilt sind?

Die Schwierigkeit liegt nicht darin, dass die Beteiligten die Bedeutung von Datenschutz unterschätzen. Die Schwierigkeit liegt darin, dass die technische Realität wesentlich komplexer ist als die sprachlichen Kategorien, mit denen das Recht arbeitet.

Der Irrtum der vollständigen Kontrolle

Ein häufiger Ausgangspunkt vieler Diskussionen ist die Annahme, wer eine Website betreibt, müsse auch sämtliche Vorgänge kontrollieren können, die mit dieser Website zusammenhängen.

Diese Annahme entspricht jedoch nicht der Funktionsweise moderner IT-Systeme.

Ein Betreiber einer einfachen Website kann entscheiden, welche Inhalte veröffentlicht werden, welche Funktionen angeboten werden und welche Dienste eingebunden werden. Er kann sich gegen Tracking entscheiden, gegen Werbung, gegen externe Ressourcen und gegen unnötige Datenerhebungen.

Er kann jedoch nicht automatisch bestimmen, wie ein fremdes Rechenzentrum seine Infrastruktur organisiert, wie ein Netzwerkanbieter Daten transportiert oder welche technischen Abläufe notwendig sind, damit eine Internetverbindung funktioniert.

Verantwortung darf daher nicht mit allumfassender technischer Herrschaft gleichgesetzt werden.

Die Bedeutung der eigenen Entscheidung

Der entscheidende Punkt liegt in der bewussten Entscheidung.

Wer ein Analysewerkzeug einsetzt, entscheidet sich für eine zusätzliche Verarbeitung. Wer externe Inhalte einbindet, schafft eine Verbindung zu einem weiteren Dienst. Wer Nutzerprofile erstellt, verfolgt einen eigenen Zweck.

Diese Entscheidungen müssen erklärt werden.

Wer dagegen auf solche Verfahren verzichtet, trifft ebenfalls eine Entscheidung: die Entscheidung, bestimmte Datenverarbeitungen gerade nicht vorzunehmen.

Datenschutzfreundliche Technik ist deshalb nicht nur eine Frage nachträglicher Schutzmaßnahmen. Sie beginnt bereits bei der Auswahl der eingesetzten Mittel.

Die Rolle einer sachlichen Datenschutzerklärung

Eine gute Datenschutzerklärung sollte deshalb nicht den Anspruch verfolgen, eine vollständige Beschreibung aller technischen Vorgänge auf dem Weg zwischen Browser und Server zu sein.

Sie sollte vielmehr eine nachvollziehbare Antwort auf praktische Fragen geben:

Eine solche Erklärung ist keine technische Dokumentation und kein Sicherheitsbericht. Sie ist eine Information für Menschen.

Die Schwierigkeit juristischer Begriffe

Der Begriff „Verantwortlicher“ verdeutlicht das Spannungsfeld besonders deutlich.

Juristisch ist der Begriff präzise. Er beschreibt eine Rolle innerhalb der datenschutzrechtlichen Verantwortungsverteilung.

Gleichzeitig darf nicht übersehen werden, dass diese Rolle nicht durch die bloße Verwendung des Wortes entsteht. Eine Erklärung kann keine Verantwortlichkeit erschaffen oder beseitigen.

Ob eine Person Verantwortlicher ist, ergibt sich aus den tatsächlichen Umständen.

Daher bleibt die Frage berechtigt, ob eine Datenschutzerklärung zwingend mit einer rechtlichen Selbstzuordnung beginnen muss oder ob eine sachliche Darstellung der Umstände ausreichen kann.

Ein vernünftiger Ansatz könnte darin bestehen, die rechtliche Einordnung nicht zu vermeiden, aber sie auch nicht zu überdehnen. Entscheidend ist nicht das Etikett, sondern die Klarheit für die betroffene Person.

Ein möglicher gerichtlicher Maßstab

Ein Gericht, das diese Fragen beurteilen müsste, könnte sich weniger an einzelnen Formulierungen orientieren, sondern an der Funktion der Information.

Es könnte fragen:

„War es für die betroffene Person möglich, zu erkennen, wer hinter der Website steht und welche Datenverarbeitungen tatsächlich stattfinden?“

Weiter könnte es berücksichtigen:

„Kann von einem privaten oder kleinen Anbieter verlangt werden, technische Prozesse vollständig offenzulegen, die außerhalb seiner Kenntnis und Einflussmöglichkeit liegen?“

Ein angemessener Maßstab müsste zwischen berechtigter Transparenz und praktischer Zumutbarkeit unterscheiden.

Datenschutz darf nicht zu einer Pflicht zur technischen Allwissenheit werden.

Die Gefahr der Überregulierung

Jede zusätzliche rechtliche Anforderung verfolgt zunächst einen nachvollziehbaren Zweck. Datenschutz soll verhindern, dass Menschen unbemerkt zu Objekten umfangreicher Datenverarbeitung werden.

Dieser Schutzgedanke darf jedoch nicht dazu führen, dass der eigentliche Zweck aus dem Blick gerät.

Wenn eine Datenschutzerklärung so umfangreich wird, dass der durchschnittliche Nutzer die wesentlichen Informationen nicht mehr erkennen kann, verliert sie einen Teil ihrer Wirkung.

Transparenz bedeutet nicht maximale Textmenge. Transparenz bedeutet verständliche Darstellung der relevanten Tatsachen.

Der vielleicht wichtigste Grundsatz

Aus der gesamten Betrachtung ergibt sich ein einfacher Grundsatz:

Wer über Datenverarbeitungen entscheidet, muss darüber informieren. Wer lediglich notwendige technische Infrastruktur nutzt, muss nicht die gesamte technische Welt erklären.

Dieser Grundsatz verbindet beide Perspektiven:

Schluss

Die Frage nach der richtigen Datenschutzerklärung einer einfachen Website ist letztlich eine Frage nach dem Verhältnis von Recht und Technik.

Das Recht benötigt klare Verantwortlichkeiten. Die Technik kennt jedoch keine einfachen Grenzen zwischen einzelnen Systemen.

Eine faire Lösung kann deshalb nur darin bestehen, die Verantwortlichkeit an tatsächlichen Entscheidungen auszurichten und Informationen dort zu verlangen, wo Einfluss und Kenntnis bestehen.

Eine natürliche Person, die eine einfache Website betreibt, sollte nicht gezwungen sein, eine Rolle zu behaupten, deren rechtliche Bewertung letztlich von äußeren Umständen abhängt. Sie sollte aber offenlegen, was sie tatsächlich tut, welche Technik sie bewusst einsetzt und welche Datenverarbeitungen daraus entstehen.

Die beste Datenschutzerklärung ist daher nicht diejenige mit den meisten juristischen Begriffen. Sie ist diejenige, bei der die Beschreibung der Wirklichkeit und die technische Realität möglichst genau übereinstimmen.

Vielleicht liegt genau darin der Kern von Transparenz:

Nicht alles zu erklären, was technisch irgendwo möglich ist, sondern verständlich zu erklären, was tatsächlich entschieden wurde.