Homestory: Wie Dr. Web die DSGVO umsetzte

Die Umsetzung der DSGVO ist ein ganzer Haufen Arbeit. Speziell dann, wenn du es für eine Seite erledigst, von der du weißt, dass sie unter Beobachtung steht. So bin ich dabei vorgegangen.

Im folgenden Beitrag erläutere ich dir einige der Entscheidungen, die ich im Rahmen der Umsetzung der DSGVO für Dr. Web getroffen habe. Ich werde allerdings nicht die komplette Datenschutzerklärung erläutern, denn die ist natürlich zu großen Teilen auch Fleißarbeit, besonders wenn es die juristisch korrekte Beschreibung eigentlich bislang selbstverständlicher Dienste betrifft.

Wenn du ein privater Seitenbetreiber bist, dann empfehle ich dir den Datenschutz-Generator des in der Branche bekannten Anwalts Dr. Thomas Schwenke. Dessen Texte erscheinen mir nach vielen Recherchen am durchdachtesten und praktikabelsten. Wenn du ein gewerblicher Seitenbetreiber bist, dann empfehle ich dir den gleichen Datenschutz-Generator, weise dich aber darauf hin, dass Dr. Schwenke dir für die Nutzung 99 Euro plus Mehrwertsteuer in Rechnung stellen wird, was natürlich angesichts der Leistung, die du dafür bekommst, absolut ein Schnäppchen ist.

Was du allerdings nicht tun solltest, ist, den Datenschutz-Generator starten, die überschaubare Zahl an Fragen beantworten, den Text generieren, ihn einbauen und glauben, dass du damit fertig bist. Das ist der falsche Ansatz.

Erst die Abläufe prüfen und definieren, dann dokumentieren

Ich bin genau umgekehrt vorgegangen. Ich habe zunächst die Prozesse auf der Seite analysiert und, soweit nötig oder sinnvoll, verändert. So bin ich zu einem neuen Rahmen gekommen, der über Datenschutzhinweise abgedeckt werden musste. Und den habe ich dann zu einem Teil mit den teils abgewandelten Texten des Dr. Schwenke beschrieben.

Du musst zuerst die Abläufe definieren und sie danach erst beschreiben. Du wirst im Verlaufe des Beitrags sehen, dass ich verschiedene bisherige Verarbeitungsvorgänge, um die ich mir (und du dir wahrscheinlich auch nicht) bis dato keine Gedanken gemacht hatte, darunter das Thema Gravatar, komplett beseitigt habe.

So bin ich ganz grundsätzlich so vorgegangen, dass ich alles, was an Drittverarbeitung nicht unbedingt nötig war, beseitigt habe. Je weniger Connections zu externen Servern, desto geringer das Risiko im Betrieb, war mein Credo.

Dann lass uns mal einsteigen in die Umsetzung der DSGVO auf Dr. Web.

Spam-Abwehr in Zeiten der DSGVO

Akismet ist praktisch, keine Frage. Aber du kannst einen Dienst, der jeden einzelnen Kommentar durch das Netz in die Staaten schickt, ihn dort nach allen Regeln der Kunst validiert und zu dir zurückschickt, nicht mehr verwenden. Genau genommen, konntest du das schon bisher nicht. Jedenfalls nicht guten Gewissens.

Wir setzen daher statt Akismet auf Antispam Bee. Antispam Bee wickelt die gesamte Spam-Erkennung mit den richtigen Einstellungen lokal ab und verwendet dabei (fast) keine Dienste Dritter.

Um auf der ganz sicheren Seite zu sein, solltest du von folgenden Einstellungen in Antispam Bee die Finger lassen:

Kommentaren mit Gravatar vertrauen: Hier wird Automattics Dienst Gravatar kontaktiert, wenn auch nur unter Verwendung der MD5-verschlüsselten E-Mail-Adresse. Der Nutzen ist mir zu gering, als dass ich da ein Risiko eingehen will.

Kommentare aus bestimmten Ländern blockieren oder zulassen: Diese Prüfung erfolgt auf der Basis der IP des Kommentierenden. Sie wird zwar verkürzt, aber immerhin ins Netz geschickt.

Kommentare nur in einer bestimmten Sprache zulassen: Um diese Einstellung durchzusetzen, nimmt die Bee Kontakt zum Google Übersetzer auf. Zwar werden ausschließlich die ersten zehn Worte des Kommentars übertragen, aber wer weiß schon, was der Kommentierende in diesen ersten zehn Worten geschrieben hat 😉

Ansonsten ist Antispam Bee ein zuverlässiger Kämpfer gegen die Verschmutzung eurer Websites und verdient sich eine uneingeschränkte Empfehlung. Kostenlos ist es außerdem noch.

Kommentare in WordPress

Kommentare in WordPress, also selbst die guten, sind in zweierlei Hinsicht problematisch. Da gilt es zum einen, die Speicherung der IP-Adressen zu verhindern. Zum anderen verarbeitest du natürlich die Kommentare innerhalb deines Systems, betreibst also Datenverarbeitung. Dazu benötigst du die Einwilligung der Nutzenden.

Das Problem mit den IP-Adressen

Die Kommentare in WordPress beinhalten im Normalfalle die IP-Adresse des Kommentierenden. Da es sich hierbei um personenbezogene Daten handelt, die du zudem für die Abwicklung der Kommentar-Administration nicht unbedingt benötigst, solltest du schlichtweg auf die Speicherung verzichten.

Der Verzicht ist relativ einfach erledigt. Wenn du vor Arbeiten am WordPress-Code zurückschreckst, verwendest du ganz einfach das Plugin „Remove IP”. Dies installierst und aktivierst du über das Backend. Weitere Einstellungen sind weder erforderlich, noch möglich. Fortan speichert WordPress die IP-Adressen deiner Kommentierenden nicht mehr.

Wenn du einfache Arbeiten am Code schnell selber erledigst, kannst du auf das Plugin verzichten und folgenden Code-Schnipsel in die functions.php deines Themes oder, wenn du damit arbeitest, was du solltest, Child-Themes eintragen.

 function  wpb_remove_commentsip( $comment_author_ip ) {
	return '';
	}
add_filter( 'pre_comment_user_ip', 'wpb_remove_commentsip' );

Nun speichert WordPress von Haus aus zwar keine IP-Adressen mehr, aber du kannst dennoch noch keinen Haken auf deiner DSGVO-Checkliste machen.

Denn du hast ja noch das Problem mit den bereits gespeicherten IP-Adressen aus den ganzen Jahrzehnten deiner erfolgreichen Seitenbetreiber-Tätigkeit. Hilft nix, hier musst du von Hand ran.

Das Löschen der bereits gespeicherten IP-Adressen aus der Datentabelle wp_comments deiner WordPress-Datenbank ist keine gefährliche Angelegenheit. Von daher bewahre die Ruhe.

Alles, was du brauchst, ist ein Zugang zu eben dieser Datenbank. Und der erfolgt, auch heutzutage noch, zumeist per phpMyAdmin aus dem Kunden-Interface deines Webhosters heraus. Schau dich da mal um, du wirst mit ziemlicher Sicherheit einen Menüpunkt namens Datenbanken finden. In der Regel kannst du dann direkt aus der Liste der Datenbanken phpMyAdmin aufrufen.

Hier findest du in der oberen Werkzeugleiste neben dem Punkt Struktur einen Menüeintrag namens SQL. Den klickst du an, woraufhin sich ein Editorfenster öffnet, in das du jetzt einen SQL-Befehl schreiben willst, nämlich diesen:

UPDATE wp_comments SET comment_author_IP = ' ';

Solltest du bei der Anlage der Datenbank unseren Tipps gefolgt sein, hast du möglicherweise ein anderes Tabellenprefix gewählt. Darauf musst du jetzt achten und statt etwa wp_comments dann meintollesprefix_comments eingeben. Sonst funktioniert die Sache nicht.

Bevor du den SQL-Befehl auf deine Datenbank los lässt, hast du für ein Backup selbiger gesorgt, weil du das natürlich sowieso immer tust.

Angst musst du indes nicht haben. Der Befehl geht lediglich an den Inhalt des Feldes comment_author_IP und sollte von daher keinen Schaden verursachen.

Nachdem nun die Felder mit den IP-Adressen deiner Kommentierenden leer sind, kannst du einen Haken auf deiner DSGVO-Checkliste machen.

Einwilligung der Kommentierenden ist erforderlich

So, das Problem mit den IP-Adressen ist gelöst. Bleibt noch die generelle Einwilligung zur Verarbeitung einzuholen. Zu diesem Zweck verwenden wir das kostenlose Plugin WP GDPR Compliance.

WP GDPR Compliance unterstützt neben den Kommentaren auch noch WooCommerce, Contact Form 7 und Gravity Forms. Es setzt jeweils ein Kontrollkästchen, dessen Text du frei gestalten kannst, damit es nicht nur zur DSGVO, sondern auch zu deiner Website passt.

Das Setzen des Hakens wird dann für Nutzende zur Pflichtaufgabe. Tun sie das nicht, können sie keinen Kommentar absetzen, ihre WooCommerce-Bestellung nicht zu Ende bringen, sowie keine Formulare aus CF7 oder Gravity Forms absenden.

Bei uns sehen die Einstellungen so aus:

Weitere „Kleinigkeiten”

Die Kommentare machen doch eine ganze Menge Arbeit, wie du schon bis hierher gesehen hast. Wo wir einmal dabei sind, entfernen wir direkt zwei weitere potenzielle Datenschutzrisiken aus unserem WordPress:

Emoticons und Emoji

Die grafischen Entsprechungen gängiger Tastenbildchen kann WordPress seit gut vier Jahren automatisiert umsetzen. Dazu greift es über ein Javascript auf ein Automattic CDN zu. Es findet also ein Datentransfer statt, den du nicht sauber kontrollieren kannst und den es sich wegen einer solchen Lappalie auch nicht sauber zu dokumentieren lohnt. Schmeißen wir den Risikofaktor für unsere DSGVO-Compliance deshalb einfach raus.

In den Schreiben-Einstellungen des WordPress-Backend findest du ganz oben unter dem Punkt „Formatierung” die Möglichkeit, gängige Emoticons, wie :-), in Grafiken umwandeln zu lassen. Die Umwandlung verursacht einen Zugriff auf einen externen Server, was wir unter Datenschutzgesichtspunkten für so eine Nichtigkeit wie ein Emoticon nicht riskieren wollen.

Wir nehmen den Haken also aus dem entsprechenden Kontrollkästchen:

Um den ganzen Script-Overhead auch noch aus unserer Seite zu entfernen, haben wir einen entsprechenden Eintrag in unserer functions.php vorgenommen. Wenn du es dir leichter machen willst, solltest du einfach Ryan Hellyers Plugin „Disable Emoji” installieren.

Wenn du es so machen willst wie wir, dann kopiere diesen Code in deine functions.php.

/**
 * Disable the emoji's
 */
function disable_emojis() {
 remove_action( 'wp_head', 'print_emoji_detection_script', 7 );
 remove_action( 'admin_print_scripts', 'print_emoji_detection_script' );
 remove_action( 'wp_print_styles', 'print_emoji_styles' );
 remove_action( 'admin_print_styles', 'print_emoji_styles' ); 
 remove_filter( 'the_content_feed', 'wp_staticize_emoji' );
 remove_filter( 'comment_text_rss', 'wp_staticize_emoji' ); 
 remove_filter( 'wp_mail', 'wp_staticize_emoji_for_email' );
 add_filter( 'tiny_mce_plugins', 'disable_emojis_tinymce' );
 add_filter( 'wp_resource_hints', 'disable_emojis_remove_dns_prefetch', 10, 2 );
}
add_action( 'init', 'disable_emojis' );

/**
 * Filter function used to remove the tinymce emoji plugin.
 * 
 * @param array $plugins 
 * @return array Difference betwen the two arrays
 */
function disable_emojis_tinymce( $plugins ) {
 if ( is_array( $plugins ) ) {
 return array_diff( $plugins, array( 'wpemoji' ) );
 } else {
 return array();
 }
}

/**
 * Remove emoji CDN hostname from DNS prefetching hints.
 *
 * @param array $urls URLs to print for resource hints.
 * @param string $relation_type The relation type the URLs are printed for.
 * @return array Difference betwen the two arrays.
 */
function disable_emojis_remove_dns_prefetch( $urls, $relation_type ) {
 if ( 'dns-prefetch' == $relation_type ) {
 /** This filter is documented in wp-includes/formatting.php */
 $emoji_svg_url = apply_filters( 'emoji_svg_url', 'https://s.w.org/images/core/emoji/2/svg/' );

$urls = array_diff( $urls, array( $emoji_svg_url ) );
 }

return $urls;
}

Der Code stammt aus dem eben beschriebenen Plugin, welches Open Source ist und erfüllt somit den Zweck in gleicher Weise.

Anstelle der functions.php kannst du für derlei Codeschnipsel auch stets ein seitenspezifisches Plugin verwenden, wie wir es dir in diesem Beitrag näher erläutert haben.

Gravatar

Gravatar ist ein weiterer beliebter Automattic-Dienst, den du aus Datenschutzgründen besser abschaltest (oder umbiegst). Vor allem, weil der Nutzen, den der Dienst bringt, eher überschaubar ist.

Ein Gravatar ist ein Bildchen, das mit deiner E-Mail-Adresse verknüpft ist. Dazu hast du auf Gravatar.com einen Account angelegt und deine E-Mail-Adresse, sowie dein Nutzerbild hinterlegt. Das hast du selbstverständlich vollkommen freiwillig getan. Und der Nutzen besteht auch ausschließlich darin, dass dein Nutzerbild fortan überall da angezeigt wird, wo du deine E-Mail-Adresse hinterlässt und eine Gravatar-Anbindung existiert.

Nun kann jeder Netzdienst die API von Gravatar abfragen, feststellen, ob du dort einen Account hast und dein Bildchen zur Anzeige bringen. Das ist dir klar.

Was du möglicherweise nicht bedacht hast, ist, dass du auf diese Weise über alle möglichen Seiten hinweg getrackt werden kannst. Übermittelt werden ein paar anonyme Daten, deine pseudonymisierte IP und deine (MD5-verschlüsselte) E-Mail-Adresse. (Ja, ich weiß, dass der Begriff Verschlüsselung streng genommen im Kontext falsch ist.) Aber das reicht ja schon, um dich im Netz zu identifizieren.

Es ist wie mit Payback. Legst du die Karte vor, weiß Payback, was du wo einkaufst. Gravatar könnte wissen, was du wo kommentierst. Vereinfacht ausgedrückt.

Hinzu kommt für den Seitenbetreiber noch das Risiko, dass Nutzer eventuell rechtswidrige Bildchen für ihren Gravatar verwenden. Da diese dann aber auf der Seite des Betreibers angezeigt werden, trägt selbiger auch die Verantwortung im Sinne der Verbreitung des Bildguts. Dass die Übertragung automatisch von Automattic gemacht wird, du als Seitenbetreiber also überhaupt keinen Einfluss darauf hast, spielt dabei keine Rolle.

Da wir nach der Einführung der von unserer Bundesregierung weitgehend unkommentiert und unbeeinflusst gelassenen DSGVO erstmal mit allem rechnen müssen, vor allem damit, dass es Zeitgenossen geben wird, die sich einen Sport daraus machen werden, die Grenzen auszutesten, wollten wir das Gravatar-Risiko nicht nur für euch, sondern auch für uns nicht tragen.

Mit dem Plugin User Photo sorgen wir künftig dafür, dass registrierte Nutzer mit einem Bildchen repräsentiert werden, dass sie im Benutzerprofil hinterlegt, also hochgeladen haben. Dazu ist kein Kontakt zu einem externen Server erforderlich.

Um den Kontakt zu Gravatar.com abzuschalten, gehst du in dein Backend und klickst dort auf „Einstellungen” > „Diskussion”. Dort findest du folgende Einstellmöglichkeit:

Wenn der Haken raus ist, ist alles gut.

Mailchimp am Kommentarfeld

Du hast bestimmt gesehen, dass du dich von unserem Kommentarfeld aus zum Newsletter anmelden kannst. Die Integration mit dem Kommentarfeld ist eine Funktion des Plugins Mailchimp für WordPress von Ibericode, welches wir in der kostenlosen Version verwenden.

Um die Konformität zur DSGVO zu erhalten, ist es erforderlich, einige Einstellungen zu setzen, die das Plugin jedoch unproblematisch vorhält. So sieht unsere Konfiguration zur Einbindung der Checkbox in das Kommentarfeld aus:

Die kritischen Punkte sind die folgenden:

• Die Checkbox darf nicht standardmäßig angehakt sein. Natürlich darf der Haken auch kein Pflichtfeldeintrag sein.
• Double Opt-In, also die nachträgliche Bestätigung per E-Mail, muss aktiviert sein.

Wenn du das so eingerichtet hast, ist die Einwilligung schon mal korrekt konzipiert.

MailChimp als Newsletter-Dienstleister

Nachdem wir schon das Kontrollkästchen für das Abonnieren aus dem Kommentarfeld heraus gesetzt haben, kannst du dir sicherlich denken, dass nichts grundsätzlich gegen MailChimp als Newsletter-Dienstleister spricht.

So wie eben beschrieben, konfigurierst du alle Formulare, von denen aus du Abonnenten akquirieren möchtest, z. B. beim Checkout in WooCommerce.

MailChimp beschäftigt nach eigenen Angaben bereits seit einem Jahr ein komplettes Team mit der Umsetzung der Vorgaben der DSGVO innerhalb seines Dienstes.

MailChimp ist nach den Grundsätzen des EU-US Privacy Shield zertifiziert. Die EU-Kommission hält diese Vereinbarung ausdrücklich für DSGVO-konform, so dass du als EU-Bürger grundsätzlich solchen Diensten zunächst trauen kannst.

Das gilt jedenfalls so lange, wie der Europäische Gerichtshof nicht das Gegenteil entscheidet, wie damals beim Safe Harbor. Sollte es zu einer gegenteiligen Entscheidung kommen, ist gegebenenfalls schnelle Reaktion gefragt. Im Moment jedenfalls gehen selbst die Verordnungsgeber davon aus, dass Unternehmen, die unter dem Privacy Shield agieren, zu den Guten in Sachen Datenschutz gehören.

Was du auf jeden Fall tun musst, ist, einen Vertrag zur Auftragsdatenverarbeitung mit MailChimp zu schließen. Das kannst du direkt bei MailChimp an dieser Stelle erledigen. Dort findest du den Vertrag unter seiner englischen Bezeichnung als Data Processing Addendum.

Und du musst natürlich die etablierten Rechtsgrundsätze des E-Mail-Marketing einhalten. Dazu gehört vor allem der Double-Opt-In, der bedeutet, dass Anmeldende ihre Anmeldung nochmal ausdrücklich mit einem weiteren Klick aus einer separat versendeten E-Mail bestätigen müssen.

Im Rahmen deiner Datenschutzhinweise musst du dann offen legen, welche Daten an den Dienst übermittelt werden und wozu. Sehr ausführlich kannst du dich bei Dr. Thomas Schwenke zum Thema MailChimp und DSGVO informieren. Der hat nämlich erst vor ein paar Tagen seinen entsprechenden Grundlagenartikel an die DSGVO angepasst.

Wir haben in unseren Datenschutzhinweisen deutlich gemacht, dass MailChimp ein Erfolgstracking besitzt, mit deren Hilfe wir unter anderem sehen können, welche Links besonders häufig (oder überhaupt) geklickt oder wie oft der Newsletter geöffnet wurde. Es gibt hierzu die Meinung, das wäre eine Form von Spionage. Ich sehe es als eine unabdingbare Form des Dienstes am Kunden. Denn, wenn wir dauernd Links posten, die nicht geklickt werden, dann scheinen wir wohl am Abonnenteninteresse vorbei zu arbeiten. Das wollen wir selbstverständlich vermeiden. Insofern ist das Tracking der Newsletternutzung sowohl in unserem, wie auch im Abonnenteninteresse.

Neben den Datenschutzhinweisen enthält jede unserer Opt-In-E-Mails nochmal ausdrücklich alle Hinweise zur Datenverarbeitung. Die Opt-In-E-Mail ist jene, die versendet wird, um die Personen, die sich über die Website bereits zum Abo angemeldet haben, nochmal um die Bestätigung dieses Eintragungswunsches zu bitten. Reagiert jemand nicht auf diese Bestätigungsmail, erfolgt auch keine Eintragung in den Newsletter-Verteiler.

So sieht diese E-Mail aus:

Newsletter-Anmeldung per Formular und Popup

Zu unserem Newsletter kannst du dich über alle Formulare auf unseren Seiten anmelden. Wir haben zwar eine dedizierte Anmeldeseite. Gleiches erreichst du aber auch über jedes Kommentar- oder unser Kontaktformular.

Vor der DSGVO nutzten wir noch ein kleines Anmeldewidget, welches sich fast überall schnell unterbringen ließ. Nachdem jetzt aber einiges an Information im Vorfeld der Anmeldung gegeben werden muss, sind wir auf voluminösere Lösungen ausgewichen.

Für die schnelle Anmeldung zwischendurch verwenden wir nun das WordPress-Plugin Boxzilla in der kostenfreien Version. Dieses erlaubt dir die freie Gestaltung eines Popups per Wysiwyg-Editor und bietet verschiedene flexible Trigger für die Einblendung des Popup-Inhalts, sowie den Ort des Erscheinens.

Was aber besonders interessant daran ist, ist, dass Boxzilla jedweden Shortcode verarbeiten und korrekt im Plugin darstellen kann. So konnte ich schnell und unkompliziert ein Anmeldeformular im bereits genannten WPForms gestalten und per Shortcode in Boxzilla einbetten. Schneller kannst du ein Anmeldepopup wohl nicht erstellen.

Damit das Anmelde-Popup während einer laufenden Besuchersitzung nicht alle Nase lang angezeigt wird, haben Besucher die Möglichkeit, das Popup zu schließen. Daraufhin versetzt es sich für eine Stunde in den Ruhezustand. Genau dafür muss es natürlich ein Cookie setzen, welches den Zeitpunkt des Schließens abspeichert. Mehr tut dieses Cookie nicht. Besucher, die Cookies abgeschaltet haben, sehen das Popup entsprechend öfter 😉

WPForms bietet GDPR-Compliance mit Bordmitteln

Anstelle eines der Dickschiffe der Branche benutzen wir das kleine Formular-Plugin WPForms in der Lite-Version. Hiermit ist die Einhaltung der DSGVO-Bestimmungen besonders einfach.

WPForms bietet in der neuen Version eine Checkbox, mit deren Hilfe du das Plugin vollständig konform betreiben kannst, ohne noch sonderlich Hand anlegen zu müssen. Ein Klick auf „GDPR Enhancements” reicht fast schon.

In der Lite-Version unterbindet das Setzen des Häkchens das Generieren eines Cookies, dessen Inhalt eine zufällig erstellte UUID, also eine Identifikationsnummer, ist. In der Bezahlversion könntest du mit diesem Cookie etwa Geolocation oder Methoden der Behandlung nicht vollständig ausgefüllter Formulare betreiben. In der Lite-Version besteht lediglich die Möglichkeit, weitere Einträge desselben Formular-Ausfüllers anzeigen zu lassen, was im Verwendensfall als Kontaktformular reichlich nutzlos ist.

Damit ist unser Kontaktformular im Prinzip DSGVO-sicher. Natürlich musst du stets auch den Inhalt des Formulars betrachten. Wenn du da nach personenbezogenen Daten fragst, muss diese Abfrage in sich ebenfalls wieder rechtskonform sein.

Hier geht es daher zunächst nur um die DSGVO-Konformität der technischen Lösung an sich. Die Macher von WPForms beschreiben die Details an dieser Stelle nochmal ausführlicher und befassen sich auch mit den Besonderheiten der Bezahlversion.

Um dir nun die Speicherung personenbezogener Daten über ein WPForms-Formular absegnen zu lassen, benötigst du wieder ein Kontrollkästchen mit entsprechendem Text. Teil der GDPR Enhancements ist, dass dir genau ein solches Kontrollkästchen nebst (englischem) Vorschlagstext im Form-Editor bereitgestellt wird. Den Text kannst du frei anpassen und auch nähere Erläuterungen finden im zugehörigen Beschreibungsfeld Platz.

So sieht das aus:

WPForms erklärt es dir in diesem Beitrag im Detail.

Da das bereits erwähnte Plugin MailChimp for WordPress in der Lage ist, ein WPForms-Feld namens MailChimp zur Verfügung zu stellen, nutzen wir auch diese Stelle, um mögliche Abonnenten zu akquirieren. Durch das Beschreibungsfeld können wir die erforderlichen Hinweise zur Einwilligung in den Newsletterbezug an eben dieser Stelle zu geben und befinden uns auf der sicheren Seite.

Social Media: Es geht eigentlich nur Shariff

MashShare ist das leistungsstarke Plugin, das wir für die Anbindung an Social Media bislang genutzt haben. In die Funktionsvielfalt kann man sich verlieben. Mir indes ist es so nie gegangen. Ich fand die Optionen für ein Plugin, das eigentlich nur das Teilen von Inhalten auf sozialen Medien möglich machen soll, schon immer abschreckend – unser Techniker nicht…

Im Rahmen meines DSGVO-Checks stellte ich nun fest, dass MashShare drei Facebook-Tracker (Connect, Social Plugins und Social Graph) direkt beim Aufruf eines jeden Beitrags triggert, die sich nur abschalten lassen, wenn Facebook als Ganzes in MashShare abgeschaltet wird. Das würde bedeuten, LeserInnen können nicht mehr über Facebook teilen – keine Lösung.

Da ich jedoch der Auffassung bin, dass Facebook ohnehin schon viel zu viel Datenmaterial hat, will ich den Dienst nicht auch noch füttern, selbst wenn die Datensammelei im Hintergrund vielleicht über einen Eintrag in unseren Datenschutzhinweisen zu legitimieren gewesen wäre. Bekanntlich geht Facebook selber ja ganz nonchalant mit der DSGVO um…

Schon seit Jahren gilt das vom Heise-Verlag entwickelte Shariff als Vorzeigelösung für die Kombination aus Social Media und Datenschutz. Und mit dem Shariff-Wrapper liegt ein frisch geupdatetes WordPress-Plugin vor, das alles tut, was ein Teilen-Button-Konglomerat tun soll und dabei Facebook an der kurzen Leine hält.

Mit einem unterstützten Angebot von 32 Diensten bietet es für unsere Zwecke das Achtfache dessen, was wir tatsächlich anbieten wollen. Eingebaut, schnell mit Ghostery gecheckt: Facebook still.

Cookies und die DSGVO

Diese Website verwendet “Cookies”. Das sind kleine Textdateien, die Ihr Browser speichert, um die Benutzung einer Website einfacher, effektiver und sinnvoller zu gestalten.

So beginnt fast jeder Datenschutzhinweis zu Cookies, auch unserer. Unbedarfte Leserinnen und Leser solcher Passagen könnten also auf die Idee kommen, dass Cookies im Allgemeinen überhaupt kein Problem darstellen und von daher unkritisch abgenickt werden können.

Das stimmt aber leider nicht für jede Website auf unserem blauen Planeten, denn nicht alle sind so friedliche, freundliche Seitenbetreiber wie der gute alte Dr. Web. Hier nutzen wir Cookies nur für erforderliche Zwecke, etwa um dich als Käufer unseres Onlineshops wiederzuerkennen oder deinen Warenkorb zu speichern. Wir nutzen Cookies also exakt zu dem Zweck, zu dem sie dunnemals in 1994 von Netscape ersonnen wurden, nämlich, um zu erkennen, ob der Nutzer X der gleiche Nutzer X ist, der gestern schon da war.

Leider hat es die steigende Komplexität des Netzes mit sich gebracht, dass heutzutage nicht mehr nur die Seite, die du gerade besuchst, Cookies auf deinem Computer speichert, sondern teilweise auch die Dienste, die der Seitenbetreiber der Seite, die du gerade besuchst. Das nennt man dann Third-Party-Cookies.

Generell gilt, dass Cookies nur von der Seite gelesen werden können, die sie auch gesetzt hat. Das sollte mal zur Beruhigung der Nutzer beitragen und es stimmt auch, wenn wir mal von kriminellen Machenschaften wie Cross-Site-Scripting absehen.

Wenn aber nun Facebook, Google und wie sie alle heißen auf Millionen von Besucherbrowsern ihre Cookies setzen, dann führt das dazu, dass diese Dienste Nutzer über alle Seiten hinweg tracken können, die die Dienste auf die ein oder andere Weise einsetzen. Deswegen werden Third-Party-Cookies auch Tracking-Cookies genannt. Mit ihrer Hilfe ist es den großen Anbietern möglich, quasi Bewegungsprofile von Nutzern im Netz zu erstellen.

Im realen Leben erfolgt sowas nur im Rahmen polizeilicher Ermittlungstätigkeiten und dafür müsste schon mal mindestens ein Anfangsverdacht gegen dich vorliegen. Andererseits hätte diese Form des Bewegungsprofils das Ziel, dich einer Straftat zu überführen. Bei der Datensammelei der Internetriesen geht es meist nur um die Optimierung der Werbung auf deine Interessen hin. Da gibt es sogar Unterstützer, die so argumentieren, dass es doch, wenn ich schon Werbung sehe, besser ist, mich interessiert diese potenziell auch, als dass ich irgendeine Werbung angezeigt bekomme. Kann man so sehen, muss man nicht.

Als Seitenbetreiber hast du nur begrenzte Möglichkeiten, dieses Tracking deiner Besucher zu unterbinden. Das gilt vor allem dann, wenn du auf Werbeeinnahmen angewiesen bist. Alle (!) Werbenetzwerke und große Werbetreibende spielen über die Werbebanner ihre eigenen Tracking-Cookies aus. Das Interesse dahinter ist nachvollziehbar. Sie wollen zum einen sehen, wie ihre Werbung auf der konkreten Seite, aber auch wie die Kampagne netzweit insgesamt performt. Nebenbei noch ein paar Nutzerdaten einzusammeln und zu aggregieren schadet dem Geschäftsinteresse auch nicht. Wissen ist Macht.

Auch hier bei Dr. Web können wir daher nicht einfach alle Cookies abschalten und den lieben Gott einen guten Mann sein lassen. Wir haben jedoch Links und Vorgehensweisen in unseren Datenschutzhinweisen beschrieben, mit denen du im Werbetracking-Dschungel mit seinen Hunderten von Netzwerken schon ganz gut klar kommst.

Generell, du hast es in anderen Abschnitten dieses Beitrags bereits gelesen, sind wir so vorgegangen, dass wir überall da, wo wir einen Cookie vermeiden konnten, weil der Dienst, der ihn setzte, nicht unbedingt erforderlich ist, z.B. Gravatar, ihn auch vermieden haben.

Seit Ende Mai 2018 setzen wir das kostenpflichtige WordPress-Plugin Borlabs Cookie ein. Damit kannst du den Einsatz von Cookies unter Einwilligungsvorbehalt stellen und dabei noch zwischen First-Party und Third-Party unterscheiden. Ebenso erlaubt Borlabs Cookie den Einbau eines Opt-Out für das Tracking mit Google Analytics, das datenschutzkonforme Einbinden von Google Fonts, sowie die Änderung der Zustimmung über ein Auswahlmenü (bei uns in den Datenschutzhinweisen realisiert).

Mit Borlabs Cookie kannst du zudem die automatische Herstellung einer Verbindung zu externen Diensten wie etwa YouTube mit der damit einhergehenden Datenübertragung verhindern. Das erläutere ich im folgenden Abschnitt genauer.

Andere Inhalte externer Dienste

Willst du auf das Einbinden von Videos, Kartenmaterial, Anzeigen und ähnlichen Drittinhalten verzichten, dann kannst du das natürlich tun und brauchst entsprechend keine diesbezüglichen Datenschutzhinweise abzusetzen.

Das indes wollten wir nicht, weshalb du in unseren Datenschutzhinweisen einen ganzen Strauß an Nennungen externer Dienstleister findest. Soweit sie aus den USA kommen, was in der Regel der Fall ist, weisen wir stets auf die Zertifizierung nach EU-US Privacy Shield und einen bestehenden Auftragsverarbeitungsvertrag hin. Das ist die eine, die formale Seite.

Damit unsere NutzerInnen tatsächlich eine Verbesserung des Datenschutzes spüren, nutzen wir das bereits erwähnte Borlabs Cookie-Plugin, um das automatische Laden externer Inhalte beim Seitenaufruf zu unterbinden. Wieso soll etwa YouTube deine Daten erhalten, wenn du dir das Video in unserem Beitrag gar nicht ansehen willst?

Mit Borlabs Cookie wird ein Zwischenschritt eingezogen. Externe Inhalte werden erst nachgeladen, und damit die Verbindung zum externen Server hergestellt, wenn du diese Verbindung per Klick autorisierst.

Fazit: Ist die Umsetzung wasserdicht?

Die Frage kann ich nicht mit Sicherheit beantworten, denn wir befinden uns ja auf dem sprichwörtlichen Neuland. Wir haben unser Konzept im Geiste der DSGVO, also besonders unter den Aspekten „Privacy by Design” und „Privacy by Default”, eingerichtet. Damit können wir nicht vollkommen falsch liegen.

Hinsichtlich der Dokumentation haben wir lieber einen Satz zu viel, als einen zu wenig geschrieben. Die Datenschutzhinweise decken alle Vorgänge auf Dr. Web ab und verstehen kann man den Text zudem noch. Heute am Tag fühle ich mich gut mit dem Zustand unseres Datenschutzkonzepts.

(Bildnachweis Artikelbild: Depositphotos)