Datenschutz in der Praxis: 5 hartnäckige Irrtümer (auch im Jahr 2026)

Die Einhaltung der zahlreichen rechtlichen Vorgaben in Deutschland stellt viele Organisationen weiterhin vor erhebliche Herausforderungen. Dies gilt insbesondere auch für den Datenschutz. In der Praxis lassen sich nach wie vor zahlreiche Mängel bei der Umsetzung datenschutzrechtlicher Anforderungen beobachten, insbesondere im Hinblick auf die Vorgaben der Datenschutz-Grundverordnung (DSGVO).

Ursache hierfür ist vielfach ein unzureichendes Datenschutz-Compliance-Management. Hinzu kommt, dass Verantwortliche häufig auf Informationen aus unzutreffenden, irreführenden oder unvollständigen Quellen zurückgreifen – oftmals auf Internetbeiträge, deren rechtliche Aussagen nicht ausreichend geprüft oder veraltet sind. Dies führt dazu, dass sich Fehlannahmen und datenschutzrechtliche Irrtümer hartnäckig halten und wiederholt zu fehlerhaften Umsetzungen in der Praxis führen.

Der folgende Beitrag soll diesem Problem entgegenwirken und die – nach Meinung der Autor*innen – häufig auftretenden, vermeidbaren Irrtümer und Fehler bei der Realisierung des Datenschutzes aufzeigen und wie diese am besten behoben werden können.

Akzeptanz von Datenschutzinformationen 

Wer Produkte, Dienstleistungen oder Abonnements über das Internet bestellt, muss oftmals vor Abschluss dieser Bestellung noch alle möglichen Häkchen setzen, um Bestimmungen zu akzeptieren, bevor das damit verbundene Rechtsgeschäft in Kraft treten kann. Überraschenderweise sind davon oftmals auch die Datenschutzinformationen (gemäß Art. 13, 14 DSGVO) betroffen, obwohl es sich dabei um reine Informationen handelt. Gerne werden sie in diesem Rahmen – trotz ihres rein informativen Charakters – auch fälschlicherweise „Datenschutzbestimmungen“ oder sogar „Datenschutzrichtlinie“ genannt.

Handlungsempfehlungen für Organisationen: 

• Nennen Sie „das Kind beim Namen“: Die Begriffe „Datenschutzhinweise“ oder „Datenschutzerklärung“ sind gängig und können für die (sehr juristische Bezeichnung) Datenschutzinformationen (nach Art. 13, 14 DSGVO) synonym angewendet werden. Begriffe wie „Datenschutzbestimmungen“ oder „Datenschutzrichtlinie“ sind allerdings irreführend und können den Eindruck erwecken, dass es sich dabei um zusätzliche Vertragsdokumente handelt. 
• Verzichten Sie darauf, die Informationen „akzeptieren“ zu lassen. Dies ist durch die Art 12-14 DSGVO in keiner Weise vorgesehen. Grundsätzlich ist es – aus oben genannten Gründen – auch nicht transparent oder sinnvoll, wenn die Informationen zu einem späteren Zeitpunkt geändert werden müssen.

Zu den weiteren Anforderungen nach Art. 13 DSGVO lesen Sie gerne diesen Beitrag.

Auftragsverarbeitungsvertrag „für alles“ 

Sobald der Einsatz eines neuen Dienstleisters in Betracht gezogen wird, wird in vielen Organisationen häufig unmittelbar ein Auftragsverarbeitungsvertrag (AVV) gefordert. Grundsätzlich ist es natürlich zu begrüßen, dass das Konstrukt der Auftragsverarbeitung bekannt ist und dass dieses den Abschluss eines entsprechenden Vertrags zur Auftragsverarbeitung erfordert. Allerdings muss nicht mit jedem Dienstleister, der bei der eigenen Geschäftstätigkeit eingebunden wird, ein AVV abgeschlossen werden. Grundsätzlich gilt, dass der Schwerpunkt der Beauftragung auch in der (streng weisungsgebundenen) Verarbeitung personenbezogener Daten liegen muss. Kommt es zum Abschluss eines AVVs, obwohl überhaupt keine Auftragsverarbeitung vorliegt, dürfte einer Organisation dies spätestens bei Auftreten einer Datenschutzverletzung „auf die Füße fallen“. Vertraglich liegt die Meldepflicht dann nämlich bei dem Auftraggeber. 

Handlungsempfehlungen für Organisationen: 

• Prüfen Sie im ersten Schritt, inwiefern der Dienstleister überhaupt mit personenbezogenen Daten in Berührung kommt. Im zweiten Schritt sollte dann geprüft werden, ob die Datenverarbeitung wirklich schwerpunktmäßig und streng weisungsgebunden vorgenommen wird. Binden Sie hierbei Ihren Datenschutzbeauftragten ein.
• Verlassen Sie sich auch nicht darauf, dass – wenn der Dienstleister von selbst einen AVV mitschickt – tatsächlich eine Auftragsverarbeitung durch diesen Dienstleister vorliegt.

Unzureichende Hinweisschilder zur Videoüberwachung 

Wird eine Videoüberwachung in einer Organisation eingesetzt, bedarf es eines Hinweisschildes. Leider entsprechen viele der eingesetzten (und öffentlich zugänglichen) Hinweisschilder nicht den datenschutzrechtlichen Anforderungen – obwohl es seit Jahren Musterentwürfe der Datenschutzaufsichtsbehörden gibt (siehe DSK, OH Videoüberwachung, Anlage 1). Das Hinweisschild dient letztlich der Umsetzung der Informationspflichten (aus Art. 13, 14 DSGVO). Wie sollen diese Informationen umgesetzt werden, wenn auf dem Hinweisschild z. B. nur ein Kamerasymbol zu sehen ist? Ein weiteres Defizit stellt oftmals die unzureichende Platzierung von Hinweisschildern dar. Dadurch besteht die Gefahr, dass betroffenen Personen gar nicht oder zu spät bewusst wird, dass sie sich in einem videoüberwachten Bereich befinden. 

Handlungsempfehlungen für Organisationen: 

• Sehen Sie sich – sofern eine Videoüberwachung eingesetzt wird – das Hinweisschild an und gleichen Sie dieses mit dem Muster der Datenschutzaufsichtsbehörden ab. 
• Wenn das Hinweisschild nicht den (gesetzlichen) Anforderungen entspricht, sollte es ausgetauscht werden. 
• Prüfen Sie regelmäßig die physischen Gegebenheiten im Bereich der Videoüberwachung, um sicherzustellen, dass betroffene Personen sich der Videoüberwachung bewusst sind, bevor der Bereich betreten wird.  

Einwilligung „in alles“ 

Das Thema Einwilligung stellt Organisationen in der praktischen Umsetzung weiterhin vor erhebliche Herausforderungen. Gerade wenn es um die Erstellung und Veröffentlichung von Mitarbeiterfotos geht, wünschen sich viele Unternehmen oftmals eine Einwilligung in „alles“. Das bedeutet, dass keine separaten Zustimmungen für die jeweiligen Verarbeitungszwecke und Veröffentlichungskanäle eingeholt werden, sondern eine einzige Zustimmung, die sämtliche Szenarien abdeckt (bspw. Einstellung auf der Homepage zur Vorstellung der Mitarbeiter, auf Social-Media-Accounts zur Darstellung der Firma, Verwendung in Newslettern, Prospekten zu Werbezwecken, etc.). An dieser Stelle ist auf die Ansicht des Europäischen Datenschutzausschusses zu verweisen: „Wenn der Verantwortliche verschiedene Zwecke für die Verarbeitung zusammengefasst hat und nicht versucht, gesonderte Einwilligungen für jeden Zweck einzuholen, fehlt die Freiheit. […] Werden mit der Datenverarbeitung mehrere Zwecke verfolgt, liegt die Lösung für die Einhaltung der Bedingungen für eine gültige Einwilligung in der Granularität, d. h. in der Trennung dieser Zwecke und dem Einholen der Einwilligung für jeden Zweck.“ (vgl. hier, Rn. 44).

Handlungsempfehlungen für Organisationen: 

• Einwilligungserklärungen sollten zunächst alle Verarbeitungszwecke und Veröffentlichungskanäle umfassen – fehlt ein Zweck/Kanal, ist er auch nicht abgedeckt. 
• Verschiedene Verarbeitungszwecke sollten nicht von einer Einwilligung umfasst sein (z. B. verschieden Checkboxen/Ankreuzoptionen wählen für die jeweiligen Zwecke). 

Einwilligungsbanner als Marketinginstrument

Der wohl häufigste Kontakt mit den Bestimmungen der DSGVO entsteht beim Aufruf von Websites und den dabei aufpoppenden Einwilligungsbannern (oftmals auch „Cookie-Banner“ genannt). Eine Vielzahl solcher Banner erfüllt nicht vollständig die Anforderungen des Datenschutzes. Dies beginnt bereits bei der Gestaltung, wodurch Websitebesucher*innen dahingehend manipuliert werden sollen (sog. „Nudging“), in bestimmte Datenverarbeitungen einzuwilligen bspw. durch die Verwendung von Schriftfarben (Grün für die Einwilligung, Rot für die Ablehnung) oder entsprechende Voreinstellungen bei der Abgabe von Einwilligungen. So ist es bspw. nicht unüblich, dass alle einwilligungserforderlichen Speicherungen im Endgerät (wie Cookies) und (Dritt-)Dienste mit nur einem Klick „akzeptiert“ werden können, während mehrere Häkchen gesetzt werden müssen, um sie insgesamt abzulehnen. Ursächlich für solche Maßnahmen ist wohl häufig der Wunsch das Verhalten der Websitebesucher*innen durch Trackingmaßnahmen auszuwerten. 

Weiterhin verstehen viele Organisationen bereits das Einwilligungsbanner als relevant für die eigene Außendarstellung. So wird zu Lasten der Datenschutz-Compliance auf vollumfängliche Informationen verzichtet um die Websitebesucher*innen nicht bereits beim Aufruf abzuschrecken. 

Handlungsempfehlungen für Organisationen:

• Verstehen Sie Einwilligungsbanner nicht als Steuerungsinstrument: Verzichten Sie auf Farbspiele, Voreinstellungen, um ein bestimmtes Verhalten zu erwirken und das Weglassen und Verkürzen von notwendigen Informationen für eine wirksame Einwilligung.
• Folgende Mindestinhalte sollte ein Einwilligungsbanner abdecken: informierter Einwilligungstext mit den Verarbeitungszwecken, Hinweis auf die Möglichkeit eines Widerrufs bei einwilligungspflichtigen Diensten, grundlegende Informationen (z. B. Name, Speicherdauer und Zweck) zu den eingesetzten Speicherungen im Endgerät und einwilligungspflichtigen (Dritt-)Diensten, einen Link zu der Datenschutzerklärung mit weitergehenden Datenschutzinformationen.

Fazit

Die in diesem Bericht zusammengetragenen Irrtümer und Fehler aus den unterschiedlichen Bereichen der Datenschutz-Compliance verdeutlichen, dass bei der Erfüllung datenschutzrechtlicher Pflichten noch erhebliche Rechtsunsicherheiten bestehen und vielerorts Nachholbedarf vorhanden ist. In der Praxis führen solche Fehlannahmen sogar häufig zu unnötiger Bürokratie, einer fehlerhaften Information betroffener Personen und nicht zuletzt zu einem erhöhten Risiko aufsichtsbehördlicher Prüfungen. 

Dabei zeigt sich auch im Datenschutz: Die meisten Fehler und Irrtümer sind vermeidbar. Wer die gesetzlichen Anforderungen korrekt einordnet und praxisgerecht umsetzt, kann Risiken reduzieren, Prozesse effizienter gestalten und die Einhaltung der Datenschutzvorgaben nachhaltig verbessern.