Datenschutzerklärung-Generator: Reicht er für deine Website?

Ein paar Fragen anklicken, Text kopieren, einfügen, fertig. So einfach klingt es bei den Generatoren für die Datenschutzerklärung, die es kostenlos oder gegen Geld im Netz gibt. Reicht so ein Datenschutzerklärung-Generator wirklich, oder brauchst du dafür einen Anwalt?

Für eine typische kleine Firmenwebsite kann so ein Generator reichen. Aber nur, wenn deine Angaben genau zu dem passen, was die Website tatsächlich tut.

Der Generator formuliert den Text sauber. Welche Dienste auf deiner Seite Daten verarbeiten, weiß er aber nur von dir. Welchen Generator du nimmst, ist deshalb zweitrangig. Wichtiger ist, ob deine Eingaben stimmen.

Was in der Datenschutzerklärung für deine Website stehen muss

Sammelt deine Website Daten direkt bei Besuchern, etwa über ein Kontaktformular, gilt Art. 13 DSGVO. Laut der Bundesbeauftragten für den Datenschutz (BfDI) musst du Betroffene grundsätzlich zum Zeitpunkt der Erhebung informieren. Für Daten, die du nicht bei der Person selbst erhebst, gilt Art. 14.

Art. 13 verlangt diese Angaben. Hinter jeder steht eine Frage, die du über deine Website beantworten musst:

• Wer verantwortlich ist, wie man ihn erreicht und gegebenenfalls wer Datenschutzbeauftragter ist. Wer betreibt die Website?
• Zwecke und Rechtsgrundlage der Verarbeitung, bei berechtigtem Interesse auch dieses Interesse. Wofür nutzt du die Daten aus Formular, Statistik oder Karte?
• Empfänger oder Kategorien von Empfängern. Welche Anbieter bekommen Daten, vom Hoster bis zum Kartendienst?
• Übermittlung in Drittländer samt Garantien. Sitzt einer dieser Anbieter außerhalb der EU?
• Speicherdauer oder die Kriterien dafür. Wie lange bleiben Formularanfragen in deinem Postfach?
• Betroffenenrechte, Widerrufsrecht bei Einwilligungen und das Beschwerderecht bei einer Aufsichtsbehörde. Dazu kommen Angaben, ob die Bereitstellung der Daten vorgeschrieben ist und ob automatisierte Entscheidungen stattfinden.

Fast jeder Punkt beschreibt eine konkrete Verarbeitung auf deiner Website. Wer nicht weiß, welche Dienste da laufen, kann diese Angaben nicht richtig ausfüllen. Auch kein Generator.

Und dann die Form. Art. 12 Abs. 1 DSGVO verlangt die Informationen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“. Ein Text voller Bausteine für Dienste, die du gar nicht nutzt, ist das Gegenteil von präzise.

Die Datenschutzerklärung informiert, mehr nicht. Sie holt keine Einwilligung ein und ersetzt kein Impressum. Das Impressum nach § 5 DDG nennt, wer hinter der Website steht.

Die Einwilligung ist Sache des Cookie-Banners. Wer Informationen auf dem Gerät des Besuchers speichert oder darauf zugreift, etwa per Cookie, braucht nach § 25 TDDDG eine Einwilligung. Ausgenommen ist, was für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist.

Was ein Generator kann und wo er scheitert

Ein Generator liefert dir ein sauberes Grundgerüst. Die Abschnitte zu Betroffenenrechten, Widerruf und Beschwerderecht sehen bei den meisten Websites ähnlich aus. Bausteine für gängige Dienste klickst du in einer Liste an, statt sie selbst zu formulieren.

Seine Grenze ist deine Eingabe. Der Generator übernimmt genau das, was du anklickst. Vergisst du die eingebettete Karte, fehlt sie im Text. Klickst du vorsorglich alles an, beschreibt die Erklärung Verarbeitungen, die es gar nicht gibt.

In beiden Fällen passt der Text nicht mehr zu den tatsächlichen Abläufen auf deiner Website, und genau das muss er.

Auch die Anbieter selbst ziehen Grenzen, vor allem bei den kostenlosen Versionen. Ein Anbieter verlangt in der Gratisversion einen Link auf seinen Generator, bietet eine Haftungsabsicherung nur in der Premiumversion und weist darauf hin, dass du die Texte an deine Umstände anpassen musst. Bei einem anderen Anbieter sind Aktualisierungen, zusätzliche Dienste und Hinweise bei Rechtsänderungen an das Bezahlmodell gekoppelt.

Und jeder Text ist eine Momentaufnahme. Ein neues Plugin, ein eingebettetes Video oder ein Buchungstool können ihn am nächsten Tag falsch machen.

Sagen wir, eine Hundeschule erstellt ihre Datenschutzerklärung mit den Angaben Hosting und Kontaktformular. Später baut jemand eine Anfahrtskarte und ein externes Terminbuchungstool ein. Die Erklärung verschweigt nun zwei Anbieter, die Daten bekommen. Der Generator hat nichts falsch gemacht, er wurde nur nie wieder geöffnet.

So findest du raus, was deine Website wirklich einbindet

Für die Bestandsaufnahme brauchst du keinen Spezialscanner. Die Entwicklertools deines Browsers reichen. Sie zeigen dir, was eine Seite beim Laden alles abruft.

1. Öffne deine Website in einem privaten Fenster, damit keine alten Cookies oder Einwilligungen mitspielen. Drück F12, um die Entwicklertools zu öffnen.
2. Wechsle in den Tab Netzwerk und lade die Seite neu. Jede Zeile ist eine geladene Datei. Notier dir jede Domain, die nicht zu deiner Website gehört, etwa von Schrift-, Karten-, Video- oder Statistikdiensten.
3. Klick das Cookie-Banner dabei zuerst nicht an. Willige danach ein, lade neu und notier, was dazukommt.
4. Sieh im Tab Speicher oder Anwendung (je nach Browser) nach, welche Cookies und lokal gespeicherten Daten gesetzt werden.
5. Wiederhol das für die Kontaktseite, für Seiten mit Karte oder Video und für die Terminbuchung, nicht nur für die Startseite.

Wenn ein Dienst schon vor der Einwilligung lädt, ist das zugleich eine Frage an dein Banner. Die Antwort darauf findest du im Artikel, ob deine Website ein Cookie-Banner braucht. Typische Funde im Netzwerk-Tab sind Schriften, Videos und Karten von Google.

Der Browser zeigt aber nur, was beim Besucher passiert. Einiges läuft auf Servern und taucht im Netzwerk-Tab nie auf. Das betrifft dein Hosting mit seinen Server-Logs, den Versand der Formularmails und dein Postfach. Dazu kommen ein Newsletter-Tool, ein CRM und eine externe Terminbuchung.

Auch dein CMS oder Baukasten kann von sich aus Dienste mitbringen, etwa Statistik oder Schriften. Was du davon nicht selbst beantworten kannst, fragst du bei deinem Hoster oder Webdienstleister nach.

Wann ein Generator nicht mehr reicht

Für eine Website mit Kontaktformular, wenigen eingebetteten Diensten und einer schlichten Besucherstatistik ist ein Generator plus sorgfältige Bestandsaufnahme ein vertretbarer Weg.

Anders sieht es aus, wenn du Gesundheitsdaten oder andere besonders geschützte Daten verarbeitest. Ebenso bei einem Shop, bei umfangreichem Tracking oder Marketing-Tools und bei Bewerbungen über die Website. Genauso, wenn du einzelne Fragen im Generator nicht sicher beantworten kannst. Dann lass deinen konkreten Fall von einer Anwältin oder einem Datenschutzbeauftragten prüfen.

Bleibt das Risiko, wenn die Erklärung Fehler hat. Schau dir das nüchtern an. Der EuGH hat am 4. Oktober 2024 entschieden (C-21/23), dass die DSGVO nationalen Regeln nicht entgegensteht, nach denen Mitbewerber wegen DSGVO-Verstößen als unlauterer Praktik klagen können.

Der BGH hat im März 2025 daraufhin Art. 9 DSGVO zu Gesundheitsdaten als Marktverhaltensregel eingestuft, bei deren Verletzung Mitbewerber klagen können. Er prüft aber für jede Vorschrift einzeln, ob sie das Marktverhalten regelt. Dass jede fehlerhafte Datenschutzerklärung abmahnbar ist, folgt daraus nicht.

Für kleinere Firmen gibt es eine Entlastung. Bei Unternehmen mit in der Regel weniger als 250 Beschäftigten können Mitbewerber für „sonstige“ Verstöße gegen DSGVO und BDSG keinen Ersatz ihrer Abmahnkosten verlangen. Den Fehler musst du trotzdem beheben.

Verstöße gegen die Informationspflichten fallen nach Art. 83 Abs. 5 DSGVO in den Bußgeldrahmen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Das ist die Obergrenze, kein typischer Betrag.

So ist die Lage im September 2026. Die Rechtsprechung zur Abmahnfähigkeit entwickelt sich weiter.

Leg dir eine Dienste-Liste an

Leg eine Tabelle an, in Google Sheets, Excel oder auf Papier. Jeder Dienst bekommt eine Zeile. Die Beispielzeile ist erfunden:

Dienst	Zweck	Wo eingebunden	Anbieter und Sitz	Lädt vor Einwilligung	Notiz
Kartendienst (Beispiel)	Anfahrt zeigen	Seite „Kontakt“	Name und Land des Anbieters	ja	Einstellungen prüfen

Trag zuerst alles aus dem Browser-Check ein, danach die Verarbeitungen auf dem Server. Die Spalte zum Sitz beantwortet gleich die Frage nach Drittländern. Mit der fertigen Liste gehst du den Generator durch. Jeder Eintrag braucht einen Baustein in der Erklärung, und jeder Baustein ohne Eintrag fliegt raus.

Ab jetzt ist die Liste dein Prüfwerkzeug. Kommt ein Plugin, ein Embed oder ein Tool dazu, ergänzt du eine Zeile und passt die Erklärung an. Fällt ein Dienst weg, streichst du beides. Bei einem Relaunch gleichst du alles neu ab.

Wenn du deine Website bauen oder überarbeiten lässt, gehört diese Liste mit in die Übergabe. Frag deinen Dienstleister ausdrücklich danach.