Eines der übergeordneten Themen der EU-Datenschutzgrundverordnung (DSGVO) ist der Grundsatz der Transparenz. Personen, die eine Website besuchen, müssen demnach umfassend darüber informiert werden, wie der jeweilige Verantwortliche (also der Websitebetreiber) ihre personenbezogenen Daten verarbeitet.

Das Telemediengesetz (TMG) forderte bisher in § 13 Abs. 1 S. 1 TMG, dass jeder Websitebetreiber den Websitebesucher „zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten […] in allgemein verständlicher Form unterrichtet“. Das TMG basiert auf der ePrivacy-Richtlinie, die durch die ePrivacy-Verordnung abgelöst werden soll. Letztere lässt derzeit noch auf sich warten und es ist auch unklar, ob diese neue ePrivacy-Verordnung konkrete Regelungen zu den Informationspflichten für Websites enthalten wird.

Daher müssen jetzt und wohl auch in Zukunft die Regelungen in Art. 12 ff. DSGVO in der Datenschutzerklärung berücksichtigt werden, um dem Grundsatz der Transparenz gerecht zu werden. Durch den Erwägungsgrund 58 zur DSGVO, welcher ausdrücklich eine Veröffentlichung der Informationen nach Art. 13, 14 DSGVO im Internet als Option ausweist, wird dies bestätigt.

Nach Art. 12 DSGVO sollen die Informationen in präziser, verständlicher und leicht zugänglicher Form sowie in klarer und einfacher Sprache erteilt werden. Ein reines Abschreiben des Gesetzes ist demnach nicht gewünscht. Damit die Datenschutzerklärung einer Website leicht auffindbar ist, sollte diese von der Startseite aus und auch von jeder Unterseite mit höchstens zwei Klicks unter einem Link mit eineindeutiger Bezeichnung, also „Datenschutz“,  „Datenschutzerklärung“ oder „Datenschutzhinweise“ abrufbar sein.

Damit ein Websitebetreiber eine faire und transparente Verarbeitung gewährleisten kann, muss nicht nur über die eigene Verarbeitung der personenbezogenen Daten (z. B. Kontaktformular und Newsletter) informiert werden, sondern auch über die Verarbeitung von personenbezogenen Daten, die durch Dritte veranlasst werden, d. h. die Verarbeitung von in die Website integrierte Dienste oder Dienstleistungen (z. B. Social-Sharing, Social-Sign-In, Website-Nutzungsanalysen oder Retargeting).

Weitere Details zur Verarbeitung in datenschutz-kritischen Staaten (z. B. den USA) dürfen dabei ebenso wenig fehlen, wie die Möglichkeit einer rechtskonformen Widerspruchsmöglichkeit. Hierfür sollten Verantwortliche nicht nur die nach Art. 13 DSGVO erforderlichen Informationen, sondern gegebenenfalls auch die nach Art. 14 DSGVO nötigen Angaben zur Verfügung stellen.