Eine oft zitierte Untersuchung kam zu dem Ergebnis, dass jemand mehrere Arbeitswochen im Jahr bräuchte, um alle Datenschutzerklärungen zu lesen, die ihm im Netz begegnen. Diese Rechnung ist alt und methodisch angreifbar, aber die Größenordnung stimmt bis heute. Das Ergebnis kennt jeder aus eigener Erfahrung: Niemand liest sie. Damit erfüllt ein juristisch einwandfreies Dokument seinen Zweck trotzdem nicht, und genau darauf zielt das erste Kriterium dieser Guideline. Es verlangt nicht Vollständigkeit, sondern verständliche Sprache und zugängliche Formate.
Die drei Erfolgskriterien von Guideline 5.18
Datenpraktiken: Halte öffentlich zugängliche Dokumente zu Datenschutz, Recht und Richtlinien in verständlicher Sprache und in zugänglichen Formaten vor. Wende starke Datenschutzpraktiken an, die sich an anerkannten internationalen Standards orientieren, sieh strengere Schutzmaßnahmen vor, wo die Risiken für Nutzer höher oder die vorhandenen Schutzvorkehrungen unzureichend sind, und unterstütze gute Praktiken in den Bereichen Datenschutz, Barrierefreiheit und Nachhaltigkeit durch transparente Datennutzung und Governance.
Datenhoheit: Respektiere die Datenrechte der Nutzer, einschließlich Auskunft, Berichtigung, Löschung, Widerspruch und Datenübertragbarkeit. Stelle klare Bedienelemente bereit, mit denen Nutzer Konten, Daten und Abonnements verwalten können. Erhebe und speichere personenbezogene Daten nur für einen festgelegten Zweck und nicht länger als nötig. Biete den Datenexport in offenen, gebräuchlichen Formaten an. Sorge dafür, dass Löschungen und Änderungen der Einwilligung innerhalb eines angemessenen Zeitraums in allen Systemen wirksam werden, einschließlich Datenbanken, abgeleiteter Datensätze, Backups und Caches.
Veraltete Inhalte: Archiviere und lösche veraltete oder abgelaufene Produktinhalte und -daten über automatische Ablaufdaten und geplante Produktprüfungen. Veröffentliche den Archivierungsplan und stelle sicher, dass eine leichtgewichtige, durchsuchbare Fassung der alten Inhalte für diejenigen erhalten bleibt, die sie benötigen.
Meine Einordnung
Der wichtigste Halbsatz des ganzen Kapitels steht im zweiten Kriterium: Löschungen müssen in allen Systemen wirksam werden, ausdrücklich einschließlich abgeleiteter Datensätze, Backups und Caches. Das ist die Stelle, an der die meisten Löschkonzepte scheitern. Ein Datensatz wird in der Datenbank entfernt und lebt in zwölf Monatsbackups weiter, in der Suchindexierung, im Cache des CDN und in der Kopie, die jemand für eine Auswertung gezogen hat. Wer Löschfristen ohne passende Backup-Rotation definiert, hat weder den Speicherbedarf gesenkt noch das Datenschutzversprechen eingelöst.
Das dritte Kriterium enthält einen Gedanken, der über das übliche Löschen hinausgeht: eine leichtgewichtige, durchsuchbare Fassung alter Inhalte erhalten. Das ist eine kluge Zwischenstufe zwischen „bleibt für immer online“ und „ist spurlos verschwunden“. Statische HTML-Seiten eignen sich dafür hervorragend, weil sie ohne Datenbank, ohne Anwendungslogik und ohne Wartung auskommen. Und der Archivierungsplan soll veröffentlicht werden, damit sich niemand wundert, warum eine Seite nicht mehr da ist.
Bei mir ist die Datenlage schnell beschrieben: Server-Logfiles und eine anonymisierte Auswertung mit selbst gehostetem Matomo, dokumentiert in der Datenschutzerklärung. Keine externen Dienste, keine einwilligungspflichtigen Cookies, kein Banner. Das ist die konsequente Umsetzung des Grundsatzes, dass die sicherste Datenverarbeitung die ist, die nicht stattfindet.
Wo ich weiter gehe
Genau bei dieser Beschreibung lohnt allerdings ein zweiter Blick, und ich mache ihn bewusst am eigenen Beispiel.
Damit entsteht ein echter Zielkonflikt, den ich selbst habe. Für die Auswertung des tatsächlichen Datenverkehrs, etwa nach Dateitypen oder nach dem Anteil automatisierter Zugriffe, sind Logfiles die beste Quelle überhaupt. Nur brauche ich dafür keine Rohdaten über Monate. Die Lösung ist eine zweistufige Verarbeitung: täglich aggregieren, das Aggregat dauerhaft behalten, die Rohprotokolle nach kurzer Frist löschen. Das Aggregat enthält Summen und keine Personen, es ist winzig, und es erlaubt trotzdem Jahresvergleiche.
Beim ersten Kriterium gehe ich einen Schritt weiter als die übliche Praxis. Eine Datenschutzerklärung darf juristisch vollständig sein und trotzdem mit einer verständlichen Zusammenfassung beginnen: welche Daten, wie lange, wozu, an wen. Fünf Sätze vor dem Paragrafenteil. Und sie gehört als HTML-Seite ins Web, nicht als PDF, sonst verstößt man beim Dokument über Transparenz gleich gegen zwei andere Guidelines.
Und noch etwas, das aus dem Zusammenspiel mit anderen Regeln folgt: Der Export in offenen Formaten ist nicht nur ein Nutzerrecht, sondern eine Absicherung für Dich selbst. Was sich exportieren lässt, lässt sich auch migrieren, wenn ein Anbieter verschwindet oder die Preise ändert.
Bleibt der scheinbare Widerspruch zwischen Löschen und Bewahren. Es gibt gute Gründe, alte Inhalte zu erhalten: rechtliche Aufbewahrungspflichten, die eigene Chronik, wissenschaftliche oder journalistische Nachvollziehbarkeit und nicht zuletzt all die fremden Seiten, die darauf verlinken. Wer alles löscht, produziert tote Links im halben Netz.
Die Guideline denkt das in Stufen, und diese Staffelung finde ich hilfreicher als jede Entweder-oder-Entscheidung. Zwischen „bleibt vollständig online“ und „ist spurlos verschwunden“ liegen mehrere Zwischenschritte: online, aber als leichtgewichtige statische Fassung ohne Datenbank und ohne Anwendungslogik. Online, aber von der Indexierung ausgenommen. Oder eben offline und nur auf Anfrage verfügbar.
Die letzte Variante ist unter Nachhaltigkeitsgesichtspunkten interessanter, als sie klingt. Inhalte, die online bleiben, werden abgerufen, auch wenn kein Mensch sie liest. Crawler holen sie regelmäßig ab, Monitoring-Dienste prüfen sie, Archivdienste kopieren sie. Hundert alte Seiten, von zwei Dutzend Bots regelmäßig besucht, erzeugen Monat für Monat einige tausend Anfragen ohne jeden menschlichen Empfänger. Ein Archiv, das nur auf Anfrage herausgegeben wird, hat diese Grundlast nicht.
Damit das funktioniert, muss allerdings eines online bleiben: das Verzeichnis. Niemand kann anfordern, wovon er nichts weiß. Eine schlichte, durchsuchbare Liste dessen, was existiert, plus ein Weg zur Anfrage, erfüllt genau das, was die Guideline mit der leichtgewichtigen Fassung und dem veröffentlichten Archivierungsplan meint.
Und die Entscheidung zwischen den Stufen trifft man nicht nach Gefühl, sondern nach Zahlen. Schau in die Protokolle, wie oft alte Inhalte tatsächlich von Menschen abgerufen werden, nicht von Maschinen. Wird ein Bestand mehrmals pro Woche gebraucht, gehört er als statische Fassung online. Wird er dreimal im Jahr gebraucht, ist das Archiv auf Anfrage die sparsamere Lösung und für die drei Anfragenden kein spürbarer Nachteil.
Dein erster Schritt heute
Du brauchst kein Datenschutzkonzept. Du brauchst drei Fristen und fünf Sätze.
Die vierte Aufgabe ist die unangenehmste und die wichtigste: Prüfe, ob eine Löschung bei Dir tatsächlich überall ankommt.
Die sicherste Datenverarbeitung ist die, die nicht stattfindet. Die zweitsicherste ist die, deren Ende von Anfang an feststeht.
Quelle: W3C-Fassung von Guideline 5.18