Muss eine EU-Datenschutzerklärung auf Englisch sein?

Nein. Entscheidend sind präzise, transparente, verständliche und leicht zugängliche Informationen in klarer Sprache für die angesprochenen Personen. Die passende Sprache folgt Zielgruppe und Kontext.

Reicht die Nennung von Google Analytics aus?

Nein. Je nach Verarbeitung müssen Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer, Transfers und Rechte erklärt werden. Der Werkzeugname ist nur ein Teil der Transparenz.

Recht & Compliance

DSGVO-Anforderungen an Datenschutzhinweise auf Websites

Ein Footer-Link allein erfüllt die Transparenzpflicht nicht. Betroffene sollen die tatsächliche Verarbeitung zum Zeitpunkt der Datenerhebung verstehen können.

Angaben nach Art. 13 DSGVO

Je nach Sachverhalt gehören dazu Verantwortlicher und Kontakt, Datenschutzbeauftragter, Zwecke und Rechtsgrundlagen, berechtigte Interessen, Empfänger, Drittlandtransfers und Garantien, Speicherdauer, Betroffenenrechte, Widerruf, Beschwerderecht, Pflicht zur Bereitstellung und automatisierte Entscheidungen.

Art. 12 verlangt präzise, transparente, verständliche, leicht zugängliche Informationen in klarer und einfacher Sprache. Deshalb sucht AllyProof sprachübergreifend semantisch und verlangt nicht wörtlich „Datenschutzerklärung“.

Was AllyProof prüft

Die Profile für Deutschland und EU/EWR verwenden im kostenlosen und im authentifizierten Scan dieselbe DSGVO-Evidence-Engine. Sie:

prüft, ob von jeder geprüften Seite ein Datenschutzhinweis erreichbar ist;
sucht Formulierungen zu sieben ausgewählten Themen aus Art. 13: Verantwortlicher/Kontakt, Zwecke und Rechtsgrundlagen, etwaige Empfänger oder Empfängerkategorien, Speicherdauer, anwendbare Betroffenenrechte, Beschwerderecht sowie Pflicht oder Freiwilligkeit der Bereitstellung und die Folgen einer Nichtbereitstellung;
sucht getrennt nach Verarbeitungshinweisen und Angaben zu Einwilligung, berechtigten Interessen, internationalen Übermittlungen und Entscheidungen nach Art. 22 mit rechtlicher oder ähnlich erheblicher Wirkung; gewöhnliches Profiling allein belegt diese letzte Bedingung nicht;
vergleicht im Browser beobachtete Drittanbieter mit den im Hinweis beschriebenen Empfängern;
prüft, ob eine beobachtete Einwilligungsentscheidung später widerrufen werden kann; und
erfasst HTTPS, Mixed Content und ausgewähltes Drittanbieterverhalten vor der Einwilligung als getrennte Nachweise.

Für deutsche und englische Formulierungen gibt es einen deterministischen Schnellpfad. Ein begrenzter semantischer Extraktor kann andere Sprachen lesen; jeder Auszug muss wortgetreu im Quelltext vorkommen. Inhaltsbefunde bleiben Prüfung nötig, auch wenn alle Themenmuster passen: Eine Formulierung bestätigt weder Vollständigkeit noch Richtigkeit oder Anwendbarkeit je Verarbeitungszweck. Ist die KI nicht verfügbar oder der Eingabetext gekürzt, nennt das Ergebnis diese Grenze. Eine nicht beobachtete Bedingung bedeutet unbekannt, nicht unanwendbar.

Eine fehlende Namensnennung kann auf eine Abweichung zwischen Text und Laufzeit hinweisen; Marken- oder Kategorienamen können aber menschliche Prüfung nötig machen.

Was der Scan nicht feststellen kann

Ein öffentlicher Browser kann Verarbeitungsverzeichnisse, Auftragsverarbeitungsverträge, DSFA, Reaktion auf Datenschutzverletzungen, tatsächliche Löschfristen, die Bearbeitung von Betroffenenanfragen, Backend-Sicherheit oder rein interne Verarbeitung nicht verifizieren. Er kann außerdem nicht allein aus der öffentlichen Website bestimmen, ob ein Datenschutzbeauftragter oder EU-Vertreter gesetzlich erforderlich ist oder ob Art. 14 gilt, weil Daten nicht bei der betroffenen Person erhoben wurden.

Mehrstufige Hinweise, bereits erteilte Informationen (Art. 13 Abs. 4) und zusätzliche Angaben nach Art. 14 erfordern Kontext. Eine auf einer abgerufenen Seite nicht gefundene Angabe belegt keinen Rechtsverstoß. Deshalb meldet das Produkt konkrete Beobachtungen statt eines Scores „DSGVO-konform“.

Offizielle Quellen

Automatisierung prüft Erreichbarkeit und ausgewählte Textevidenz. Nicht sichtbare Verarbeitung in internen Systemen kann sie nicht auf Vollständigkeit abgleichen.

Häufige Fragen

Muss eine EU-Datenschutzerklärung auf Englisch sein?: Nein. Entscheidend sind präzise, transparente, verständliche und leicht zugängliche Informationen in klarer Sprache für die angesprochenen Personen. Die passende Sprache folgt Zielgruppe und Kontext.
Reicht die Nennung von Google Analytics aus?: Nein. Je nach Verarbeitung müssen Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer, Transfers und Rechte erklärt werden. Der Werkzeugname ist nur ein Teil der Transparenz.