Datenschutzerklärung von 2022 — die stille Zeitbombe

Würdigung — die DSE als Spiegel der echten Technik#

Eine Datenschutzerklärung ist juristisch eine Pflicht (Art. 13 DSGVO), praktisch aber etwas Konkreteres: eine Auskunft darüber, was die Website wirklich tut — welche Dienste sie lädt, welche Daten dabei wohin gehen, auf welcher Rechtsgrundlage. Damit ist sie nur so belastbar wie der Abgleich zwischen Text und tatsächlicher Technik. Driftet das auseinander, wird aus dem Pflichttext ein eigenes Risiko: Eine DSE, die „keine Tracking-Cookies" behauptet, während im Browser nachweisbar ein Pixel feuert, ist nicht nur unvollständig — sie ist nachweisbar falsch.

Auf vielen Kanzlei-Sites stammt der DSE-Text aus 2021 oder 2022, generiert mit einem Generator-Tool und seitdem nicht mehr angefasst. In der Zwischenzeit wurde die Website mehrfach geändert, ein Plugin getauscht, ein Termin-Tool eingebunden, eine Karte ersetzt — die DSE hat das nicht mitbekommen. Das ist nicht böse Absicht; es ist Pflegelast, die niemand priorisiert hat. Genau hier setzt der Soll-Ist-Abgleich an.

Soll-Ist-Abgleich: was lädt die Seite wirklich#

Der Abgleich ist konzeptionell simpel: zwei Listen nebeneinander legen.

Ist-Liste (was die Seite real tut): Aus den Browser-DevTools oder einem Drittanbieter-Inventar jede externe Quelle ausziehen — Schriften, Karten, Tracker, Chat, Captcha, Embed-Videos, Analytics, Mail- und Newsletter-Tools. Pro Eintrag: Anbieter, Datenkategorie, Drittland ja/nein, AVVAVV · zum GlossarAuftragsverarbeitungsvertrag nach Art. 28 DSGVO — Pflicht zwischen Verantwortlichem und Dienstleister. ja/nein, Cookies ja/nein.

Soll-Liste (was die DSE nennt): Den DSE-Text durchgehen und dieselbe Tabelle daraus extrahieren. Welche Dienste nennt der Text? Welche Datenkategorien? Welche Rechtsgrundlage je Dienst?

Die Differenz ist der eigentliche Befund. Drei Muster treten regelmäßig auf:

• Phantom-Dienste: Die DSE nennt einen Dienst, der seit dem letzten Umbau gar nicht mehr läuft. Unschön, aber juristisch eher harmlos (man beschreibt mehr, als passiert).
• Vergessene Tracker: Die Seite lädt etwas, das die DSE nicht nennt. Das ist die ernste Lücke — die Pflicht aus Art. 13 DSGVO ist verletzt, und beim Tracker oft zugleich § 25 TDDDG.
• Falscher Anbieter genannt: Der Newsletter wurde von Anbieter A auf B gewechselt; die DSE nennt noch A. Wenn die Rechtsgrundlage gleich bleibt, ist es Kosmetik; bei Drittland-Wechsel (etwa von EU-Anbieter zu US-Anbieter) wird daraus ein Drittland-Befund, der in der DSE neu abgebildet werden muss.

Praktisch reicht ein A4-Blatt im Querformat: links Ist, rechts Soll, in der Mitte Spalten für Anbieter, Daten, Drittland, AVV, DSE-Fundstelle. Was nicht zusammenpasst, wird sortiert: DSE-Text anpassen oder Dienst entfernen.

Die Umzugs-Falle — Adresse, Verantwortlicher, Kontakt#

Eine besondere Form der DSE-Drift entsteht bei einem Kanzlei-Umzug oder Personal-Wechsel. Im Impressum (§ 5 DDG) wird die neue Adresse meist aktualisiert — die DSE wird oft übersehen. Konsequenz: zwei sich widersprechende Auskünfte über den Verantwortlichen auf derselben Seite.

Das ist nicht nur ein Stil-Problem. Art. 13 DSGVO verlangt am Anfang jeder Verarbeitung die korrekte Identität des Verantwortlichen. Steht dort die alte Anschrift, ist die Information falsch. Beim Wechsel der Berufsträger-Aufstellung (eine Gesellschafterin tritt aus, eine neue ein) wandert die Drift in den Datenschutz-Verantwortlich-Block und in die Kammer-Angabe.

Pflegehinweis: Bei jedem Umzug oder Personal-Wechsel eine kurze Drei-Punkt-Checkliste durchgehen — Impressum, Datenschutzerklärung, Footer der Seite. Alle drei müssen dieselbe Anschrift und denselben Verantwortlichen nennen.

Falsche Rechtsgrundlage — wenn „berechtigtes Interesse" eine Einwilligung verdeckt#

Die häufigste materielle Lücke betrifft die Rechtsgrundlage pro Dienst (Art. 6 DSGVO). Generator-DSE-Texte fallen oft auf den Universal-Ausweis „berechtigtes Interesse" (Art. 6 Abs. 1 lit. f) zurück, weil der bequem klingt. Bei Tracker- und Marketing-Diensten ist das aber regelmäßig falsch: Sie verlangen eine Einwilligung nach § 25 TDDDG plus Art. 6 Abs. 1 lit. a — vor dem ersten Laden, nicht erst danach. Wer den Tracker als „berechtigtes Interesse" deklariert, kaschiert eine Einwilligungs-Lücke. Die einschlägige Linie ziehen das Cookie-Recht nach § 25 TDDDG und die Planet49-Urteile.

Praktisch heißt das: Pro Dienst die richtige Spalte ankreuzen. Technisch notwendige Cookies → § 25 Abs. 2 (keine Einwilligung). Funktional komfortable, aber nicht zwingende Dienste → Einwilligung. Marketing/Tracking → Einwilligung, ohne Ausnahme. „Berechtigtes Interesse" passt nur dort, wo es wirklich passt — etwa Server-Logs zur Abwehr von Angriffen.

Ein praktischer Pflege-Rhythmus für die DSE#

Eine DSE muss nicht ständig neu geschrieben werden. Aber sie braucht eine vorhersehbare Pflege-Routine:

• Bei jeder Technik-Änderung (neuer Dienst rein, alter raus, Anbieterwechsel, Drittland-Frage neu): DSE im selben Vorgang ändern, nicht „demnächst".
• Halbjährlicher Routine-Check: Den Soll-Ist-Abgleich machen, die Adress- und Verantwortlich-Konsistenz prüfen, die Rechtsgrundlagen pro Dienst gegenchecken.
• Bei Strukturänderungen (Umzug, Personal, Berufsträger-Aufstellung) eine Komplett-Lesung mit Anwaltsblick.

Der Aufwand ist überschaubar — wenige Stunden pro Jahr, wenn er turnusmäßig läuft. Was schmerzt, ist das Aufholen, wenn jahrelang nichts gemacht wurde.

Was wir auf fahoch2.de prüfen#

Auf der eigenen Seite halten wir das einfach: jeder eingebundene Drittanbieter (aktuell nur das cookielose Cloudflare-Analytics) ist in der DSE benannt, mit Anbieter, Datenkategorie, Drittland-Hinweis und Rechtsgrundlage. Wenn morgen ein zweiter Dienst dazukäme, ginge er nicht live, bevor die DSE-Zeile dazu steht. Das ist die einzige Disziplin, die DSE-Drift dauerhaft verhindert — die cookielose Architektur hält die Zahl der zu pflegenden Einträge klein.

Für eine vollständige Bestandsaufnahme — Drittanbieter-Inventar, DSE-Abgleich, Rechtsgrundlagen-Check — empfehlen wir den Hebel-Audit (890 €, bei Mandanten-Boost-Beauftragung innerhalb von 60 Tagen voll anrechenbar).

Zusammenfassung#

Eine Datenschutzerklärung ist nur so belastbar wie der Abgleich mit der echten Website-Technik. Generator-Texte aus 2021/2022 driften nach jedem Umbau weg vom Ist-Zustand — Phantom-Dienste bleiben stehen, neue Tracker fehlen, Anbieterwechsel sind nicht eingepflegt. Beim Kanzlei-Umzug entsteht die zweite Drift: alte Adresse oder Verantwortlicher bleiben in der DSE, während das Impressum längst aktualisiert ist. Die dritte typische Lücke ist die Rechtsgrundlage — „berechtigtes Interesse" wird oft als Universal-Ausweis verwendet, wo eigentlich eine Einwilligung nötig wäre. Der einfache Soll-Ist-Abgleich in zwei Spalten macht alle drei sichtbar; eine halbjährliche Routine plus Disziplin bei jeder Technik-Änderung hält die DSE belastbar.

Quellen#

• DSGVO Art. 5, 6, 13, 14 (VO EU 2016/679) — abgerufen 2026-05-31
• TDDDG § 25 — Schutz der Privatsphäre bei Endeinrichtungen — abgerufen 2026-05-31
• DDG § 5 — Allgemeine Informationspflichten (Impressum) — abgerufen 2026-05-31
• Datenschutzkonferenz (DSK) — Orientierungshilfen — abgerufen 2026-05-31

Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung — keine Rechtsberatung im Einzelfall. Eine konkrete Datenschutzerklärung gehört vor der Veröffentlichung in die anwaltliche Endprüfung.