Datenschutzerklärung als PDF erstellen DSGVO-konform 2026 — Website, Praxis, Verein in 5 Minuten

Öffne iFillPDF, wähle den Anwendungsfall (Website / Praxis-Verein / Arbeitgeber). KI prefüllt aus Impressum-Foto oder Webseiten-URL: Verantwortlicher (Name + Anschrift Art. 4 Nr. 7 DSGVO), Datenschutzbeauftragter (DPO-Pflicht ab 20 Beschäftigte § 38 BDSG automatisch geprüft), Zwecke und Rechtsgrundlagen Art. 6 DSGVO, alle verwendeten Tools (GA4, Plausible, Stripe, Mailchimp, Cloudflare etc.) mit korrekter Klausel und Drittlandtransfer-Hinweis Art. 44-49. Cookie-Banner-Konfiguration im TCF v2.2-Format als Bonus. Lade als PDF herunter und veröffentliche im Footer Deiner Website oder hänge sie Patienten/Mitgliedern aus. 3 Datenschutzerklärungen/Monat kostenlos, danach Einmalzahlung 4,99 € — lebenslanger Zugang ohne Abonnement mit Auto-Update bei BGH/EuGH-Entscheidungen, Mehrsprachigkeit DE/EN/FR/ES und 3-Jahres-Beweisarchiv.

Pflichtangaben Art. 13 Abs. 1 DSGVO bei DIREKTerhebung (Daten werden direkt beim Betroffenen erhoben — Webseiten-Besucher, Kunden im Geschäft, Patienten in der Praxis, Mitglieder bei Vereinseintritt): (a) Name und Kontaktdaten des Verantwortlichen Art. 4 Nr. 7 DSGVO (vollständiger Name oder Firmenname mit Rechtsform GmbH/UG/AG/eingetragener Verein, Anschrift Straße/PLZ/Ort, Telefon, E-Mail), gegebenenfalls Vertretungsberechtigter (Geschäftsführer, Vorstand, Inhaber); (b) Kontaktdaten des Datenschutzbeauftragten (DPO) falls bestellt — Pflicht nach § 38 BDSG ab 20 Beschäftigte mit automatisierter Verarbeitung oder Art. 37 DSGVO bei besonderen Kategorien; (c) Zwecke der Verarbeitung und Rechtsgrundlagen Art. 6 DSGVO (lit. a Einwilligung mit Widerrufsrecht Art. 7 Abs. 3, lit. b Vertrag oder vorvertragliche Maßnahmen, lit. c gesetzliche Pflicht z.B. § 257 HGB Aufbewahrung, lit. d lebenswichtige Interessen, lit. e öffentliche Aufgabe, lit. f berechtigtes Interesse mit Interessenabwägung); (d) bei Art. 6 Abs. 1 lit. f auch das berechtigte Interesse konkret benennen (Direktwerbung an Bestandskunden, Reichweitenmessung, IT-Sicherheit, Betrugsprävention); (e) Empfänger oder Kategorien von Empfängern (z.B. „Hosting-Provider Hetzner Online GmbH Gunzenhausen, Newsletter-Versanddienstleister Brevo SAS Paris, Zahlungsabwickler Stripe Payments Europe Ltd. Dublin"); (f) Drittlandtransfer mit Garantien Art. 44-49 — Standardvertragsklauseln SCC neue EU-Kommissions-Fassung 4.6.2021, Trans-Atlantic Data Privacy Framework TADPF seit 10.7.2023 für USA, Angemessenheitsbeschluss für UK/CH/IL/JP/CA, Binding Corporate Rules BCR. Pflichtangaben Art. 13 Abs. 2 DSGVO: Speicherdauer (für jede Kategorie konkret oder Kriterien zur Festlegung — Bewerbungsdaten 6 Monate nach Absage BAG 8 AZR 351/12, Personalakten 10 Jahre § 257 HGB, Newsletter-Daten bis Widerruf, Server-Logs 7-14 Tage IT-Sicherheit), Betroffenenrechte Art. 15 Auskunft / Art. 16 Berichtigung / Art. 17 Löschung „Recht auf Vergessenwerden" / Art. 18 Einschränkung / Art. 20 Datenportabilität / Art. 21 Widerspruch (gegen Direktwerbung absolut, sonst mit Begründung), Widerrufsrecht einer Einwilligung Art. 7 Abs. 3 jederzeit für die Zukunft, Beschwerderecht Art. 77 bei der Aufsichtsbehörde (BfDI Bonn für Telekommunikation/Post/Bundesbehörden, Landes-DSB nach Sitz: BlnBDI Berlin, HmbBfDI Hamburg, LfDI BW Stuttgart, BayLDA Ansbach Privatwirtschaft, BayBfDI München öffentliche Stellen, LDI NRW Düsseldorf etc. — 16 Bundesländer-Behörden), Pflichtangabe der Datenherkunft (bei Art. 14 DSGVO Dritterhebung), Bestehen einer automatisierten Entscheidungsfindung Art. 22 inkl. Profiling/Scoring (z.B. SCHUFA-Score, Bonitätsprüfung) mit Anspruch auf menschliches Eingreifen. iFillPDF prüft live, ob alle Pflichtangaben enthalten sind, validiert die Vollständigkeit pro Kategorie und blockiert den Export, wenn etwas fehlt — anders als statische IHK/LDBV/RAK-Vorlagen, die der Nutzer selbst manuell durchchecken muss.

Pflicht zur Bestellung eines DPO besteht nach § 38 BDSG bei: (1) mindestens 20 Beschäftigte ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst (alle Mitarbeiter mit PC-Arbeitsplatz oder Datenzugang zählen); ODER (2) Verarbeitung im Sinne Art. 35 DSGVO einer Datenschutz-Folgenabschätzung bedarf (umfangreich besondere Kategorien Art. 9 — Gesundheitsdaten, biometrische Daten — oder systematische Überwachung öffentlich zugänglicher Bereiche oder Profiling); ODER (3) geschäftsmäßige Datenverarbeitung zur Übermittlung (Adresshandel, Markt- und Meinungsforschung). Zusätzlich Art. 37 DSGVO: Pflicht für Behörden, für Kerntätigkeiten mit umfangreicher Überwachung oder besonderen Datenkategorien Art. 9/10. DPO kann INTERN (Mitarbeiter mit Datenschutz-Schulung TÜV/DEKRA) oder EXTERN (externe DPO ab ca. 150 €/Monat) sein. Schriftliche Bestellung, Kontaktdaten in Datenschutzerklärung Art. 13 Abs. 1 lit. b angeben. iFillPDF prüft Deine Mitarbeiterzahl automatisch.

Nur TECHNISCH NOTWENDIGE Cookies dürfen ohne Einwilligung gesetzt werden — z.B. Session-Cookies für Warenkorb, Login-Cookies, CSRF-Schutz-Token, Sprachauswahl. Alle anderen Cookies (Analytics, Marketing, Tracking, Profiling, Social Media Plugins) brauchen die AKTIVE EINWILLIGUNG des Nutzers (Opt-In) gemäß BGH I ZR 7/16 vom 28.5.2020 i.V.m. EuGH C-673/17 Planet49 vom 1.10.2019 — vorausgewählte Häkchen sind UNZULÄSSIG. Auch reines Weitersurfen oder Schließen des Banners reicht NICHT. Reichweitenmessung mit cookielosen Tools (Plausible, Matomo cookielos konfiguriert, Fathom) KANN unter Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) auch ohne Einwilligung zulässig sein, sofern keine Cookies oder Browser-Fingerprinting eingesetzt werden. Google Analytics 4 IMMER mit Einwilligung (BfDI-Stellungnahme Mai 2022 zur Unzulässigkeit ohne IP-Maskierung und Server-Side-Tagging).

EuGH C-311/18 Schrems II vom 16.7.2020 hat den EU-US Privacy Shield aufgehoben, weil US-Behörden (FISA 702, Executive Order 12333) zu weitgehenden Zugriff auf die Daten von EU-Bürgern haben. Folge: Datenübermittlung in die USA ist nur über Standardvertragsklauseln (SCC, neue EU-Kommissions-SCC vom 4.6.2021) plus zusätzlich ein Transfer Impact Assessment (TIA) zulässig — in dem geprüft wird, ob im konkreten Fall ein angemessenes Schutzniveau bestehen kann. Ergänzende Schutzmaßnahmen wie Verschlüsselung, Pseudonymisierung können erforderlich sein. Trans-Atlantic Data Privacy Framework (TADPF) vom 10.7.2023 ist neuer Angemessenheitsbeschluss — Übermittlung an zertifizierte US-Empfänger (Self-Certification) ohne SCC zulässig, ABER neue Schrems III-Klage NOYB anhängig. iFillPDF generiert für jeden US-Tool (GA4, AWS, Stripe, Mailchimp, Cloudflare) automatisch den korrekten Hinweis mit TADPF-Status, SCC-Verweis und Risiko-Hinweis.

Sieben Hauptrechte: Art. 15 AUSKUNFT (Bestätigung der Verarbeitung + Kopie der Daten + Pflichtangaben — Antwort innerhalb 1 Monat Art. 12 Abs. 3, kostenfrei für erste Anfrage); Art. 16 BERICHTIGUNG falscher Daten unverzüglich; Art. 17 LÖSCHUNG „Recht auf Vergessenwerden" (wenn Zweck entfallen, Einwilligung widerrufen, unrechtmäßige Verarbeitung, gesetzliche Pflicht); Art. 18 EINSCHRÄNKUNG der Verarbeitung als Alternative zur Löschung; Art. 20 DATENPORTABILITÄT in strukturiertem maschinenlesbarem Format (JSON, XML, CSV); Art. 21 WIDERSPRUCH gegen Verarbeitung — gegen Direktwerbung ABSOLUT (kein Interessenabwägung), sonst bei Art. 6 Abs. 1 lit. e und f mit Begründung; Art. 22 keine ausschließlich automatisierte EINZELENTSCHEIDUNG (Scoring, Profiling — Anspruch auf menschliches Eingreifen). Zusätzlich Art. 7 Abs. 3 WIDERRUF einer Einwilligung jederzeit für die Zukunft, Art. 77 BESCHWERDE bei der Aufsichtsbehörde. iFillPDF integriert alle 9 Rechte mit konkreten Kontaktdaten.

Beschwerderecht Art. 77 DSGVO bei der Aufsichtsbehörde des Mitgliedstaats des gewöhnlichen Aufenthalts, Arbeitsplatzes ODER Ortes des mutmaßlichen Verstoßes. In Deutschland gibt es 17 Aufsichtsbehörden: BfDI (Bundesbeauftragter für Datenschutz und Informationsfreiheit, Bonn) für Telekommunikation/Post-Bundesbehörden, sowie 16 Landes-Datenschutzbehörden für privatwirtschaftliche und landesbehördliche Verarbeitung: BlnBDI Berlin, HmbBfDI Hamburg, LfDI BW (Stuttgart), BayLDA (Bayern Privatwirtschaft Ansbach), BayBfDI (Bayern öffentliche Stellen München), LfD Niedersachsen (Hannover), LDI NRW (Düsseldorf), LfDI RLP (Mainz), LfD Hessen (Wiesbaden), LfDI Sachsen (Dresden), LfDI Sachsen-Anhalt (Magdeburg), LfDI Brandenburg (Kleinmachnow), LfDI MV (Schwerin), LfDI Schleswig-Holstein ULD (Kiel), LfDI Saarland (Saarbrücken), LfDI Bremen, LfDI Thüringen (Erfurt). iFillPDF generiert automatisch die zuständige Behörde nach Sitz des Verantwortlichen.

DSFA Art. 35 DSGVO ist Pflicht bei Verarbeitungen mit voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen — insbesondere bei: (1) systematischer und umfassender Bewertung mit automatisierten Entscheidungen (Scoring, Profiling); (2) umfangreicher Verarbeitung besonderer Kategorien Art. 9 (Gesundheitsdaten, ethnische Herkunft, religiöse Überzeugung, politische Meinung, biometrische Daten, sexuelle Orientierung) oder strafrechtlicher Daten Art. 10; (3) systematischer Überwachung öffentlich zugänglicher Bereiche (CCTV-Kameras Stadtgebiet). BfDI und LDB-Konferenz haben „Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist" veröffentlicht (DSK-Black-List). Inhalt DSFA: systematische Beschreibung der Verarbeitung, Bewertung von Notwendigkeit und Verhältnismäßigkeit, Bewertung der Risiken, geplante Abhilfemaßnahmen. Konsultation der Aufsichtsbehörde Art. 36 DSGVO bei Restrisiko trotz Maßnahmen. iFillPDF generiert auf Wunsch eine DSFA-Vorlage automatisch.

Art. 83 DSGVO regelt zwei Stufen: STUFE 1 — bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (höherer Wert) bei Verstoß gegen Art. 8 Einwilligung Minderjähriger, Art. 11 Datenverarbeitung ohne Identifizierung, Art. 25 Privacy by Design/Default, Art. 30 Verzeichnis Verarbeitungstätigkeiten, Art. 33 Meldepflicht Datenpannen, Art. 35 DSFA. STUFE 2 — bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes bei Verstoß gegen Art. 5 Grundsätze, Art. 6 Rechtsgrundlagen, Art. 7 Einwilligung, Art. 9 besondere Kategorien, Art. 12-22 Betroffenenrechte, Art. 44-49 Drittlandtransfer. Beispiele in Deutschland: 14,5 Mio. € Deutsche Wohnen (BlnBDI 2019), 10,4 Mio. € notebooksbilliger.de (LfDI Niedersachsen 2021), 35,3 Mio. € H&M (HmbBfDI 2020 Mitarbeiterüberwachung). EuGH C-21/23 Lindenapotheke vom 4.10.2024: Wettbewerbsklage durch Mitbewerber bei DSGVO-Verstößen ZULÄSSIG — zusätzliches finanzielles Risiko. iFillPDF DSGVO-konforme Vorlage = wirksamer Bußgeld-Schutz.

iFillPDF: 3 Anwendungsfälle (Website/Praxis-Verein/Arbeitgeber) mit KI-Prefill aus Impressum + URL-Crawler-Tool-Erkennung (GA4, Plausible, Stripe, Mailchimp etc.), Cookie-Banner-Konfiguration TCF v2.2, Auto-Update bei BGH/EuGH-Entscheidungen, Mehrsprachigkeit DE/EN/FR/ES, Frankfurt-Hosting, 3 Datenschutzerklärungen/Monat kostenlos oder einmalig 4,99 € für lebenslangen Zugang ohne Abonnement mit 3-Jahres-Archiv. eRecht24: SERP-Marktführer mit 7000+ Reviews 4.3, kostenloser Generator + Premium 5,90 €/Monat, deutsch sehr stark, KEIN PDF-Export-Fokus, englische Version Premium-Feature, kein KI-Prefill der Tools. Proliance.ai: Premium juristen-validiert, B2B-Fokus, ab ca. 99 €/Monat. Datenschutz-Generator.de (TwIT-Recht-Kanzlei Solmecke): kostenloser Generator, juristen-validiert, gut für Standard-Webseiten, kein KI-Prefill. Smartlaw: 29,90 €/Monat, gute Vorlagen ohne KI-Prefill. anwalt.org: freemium-Vorlagen ohne Cookie-Banner-Konfiguration. Trusted Shops: Datenschutz-Service Premium 49 €/Monat für Shops.