WordPress: So setzt du als Seitenbetreiber die DSGVO um

Die Berichterstattung zur DSGVO ist von Panikmache geprägt. Manch einer will schon die digitalen Brocken hinschmeißen. Was WordPress-Seitenbetreiber beachten müssen, zeige ich dir im folgenden Beitrag.

DSGVO: Wir werden alle sterben

Manchmal gehen mir meine Kollegen wirklich auf den Geist. Wem ist damit geholfen, die ab dem 25. Mai 2018 vollumfänglich in Kraft tretende Datenschutz-Grundverordnung der EU (DSGVO) in einer Weise darzustellen, dass es den Lesenden Angst und Bange wird? Gern wird das Millionen-Bußgeld in den Titel des Beitrags gehoben. Das generiert natürlich Klicks. Aber es generiert auch Panik.

Neben den Medien befleißigen sich auch die bloggenden Vertreter der rechtsberatenden Zunft bisweilen eines Tons, der dem unbescholtenen Seitenbetreiber infernalische Bilder vom Ende seiner eigenen wirtschaftlichen Existenz vors innere Auge projiziert.

In beiden Fällen hilft es, sich die Frage zu stellen: Cui Bono? Wem zum Vorteil? Da erklären sich reißerische Formulierungen auf einmal ganz von selbst.

DSGVO: Kein Grund zur Panik

Wenn du dich indes unaufgeregt über die DSGVO und ihre Auswirkungen auf Seitenbetreiber informieren willst, dann empfehle ich dir meinen Beitrag im Mittwald-Blog. Der hieß ursprünglich “Die DSGVO ist nicht der Untergang der Welt”, was der Panikmache mal einen nicht weniger alarmistischen Widerpart entgegensetzen sollte. Verständlich, dass Mittwald lieber den weniger reißerischen Titel “Gut organisiert und vorbereitet stellt die DSGVO kein Problem dar!” wählte.

So oder so. Fakt ist, dass die DSGVO Änderungen in der Art und Weise, wie wir die Daten unserer Nutzer erheben und verarbeiten, erforderlich macht. Dennoch sind wir in Deutschland vergleichsweise minimal betroffen, weil wir mit unseren nationalen Datenschutznormen ohnehin schon recht weit vorne dabei waren. So ist vieles, was die DSGVO nun bringt, maximal eine detailliertere Klarstellung bereits gültiger Grundsätze.

Die größte Angst, die den Seitenbetreiber umtreibt, dürfte natürlich die vor dem 20 Millionen Euro schweren Bußgeld sein. Webworker, Freelancer, Agenturen und auch Otto Normalseitenbetreiber brauchen sich eher nicht vor den Summen zu fürchten – selbst bei Verstößen, die man natürlich vermeiden will und soll, muss es nicht gleich an die Existenz gehen. Der entsprechende Artikel 83 der DSGVO formuliert dazu, dass „die Verhängung von Geldbußen […] in jedem Einzelfall wirksam, verhältnismäßig und abschreckend” sein muss. Einen Mindestbetrag für das zu erhebende Bußgeld setzt die Verordnung nicht fest.

Schon bislang lag der Bußgeldrahmen bei bis zu 300.000 Euro. Und, ich weiß ja nicht, wie deine Finanzen so aussehen, aber in meinem Falle wäre es von der Wirkung her schon jetzt das Todesurteil gewesen, hätte man mir die Maximalstrafe aufgedrückt.

Als Seitenbetreiber bist du seit etlichen Jahren mit dem Thema der „Datenschutzerklärung” mehr oder weniger vertraut. Diese wird durch die DSGVO in ihrer Bedeutung aufgewertet und bedarf mehr Ausführlichkeit. Damals waren es insbesondere die Cookies, die den Unmut der Datenschützer auf sich zogen.

Zu eben jenen und anderen kleinteiligeren Regelungsbedarfen erwarten wir in den nächsten Monaten noch die ergänzende ePrivacy-Verordnung, zu der bislang jedoch noch keine Beschlüsse vorliegen. Es liegt durchaus im Bereich des Denkbaren, dass die ePrivacy-Verordnung die größere praktische Relevanz für den durchschnittlichen Seitenbetreiber entfalten wird. Jetzt darüber zu schreiben, wäre allerdings nichts als Kaffeesatzleserei.

DSGVO: Ein einfacher Grundsatz, der nicht ganz so einfach ist

Nach der DSGVO ist die Verarbeitung von Daten dann zulässig, wenn diese Verarbeitung rechtmäßig ist. Klingt simpel, muss aber eben für jeden Fall geprüft und entschieden werden.

Anders als bisher brauchst du nun für jeden Fall der externen Datenverarbeitung einen Vertrag zur Auftragsverarbeitung (sog. AV-Vertrag). Das betrifft Google, wenn du Analytics verwendest, aber auch deinen Provider, der ja letztlich für dich die Daten verarbeitet. Gleiches gilt für alle andere externen Datenverarbeiter, die du auf deiner Seite im Einsatz hast. Sei es der Newsletter-Dienstleister, der Anti-Spam-Dienst, der Kommentar-Service, die Backup-Lösung, der Shop-Anbieter und was du sonst noch so für Services nutzt, die nicht nur auf deinem Webspace abgewickelt werden, sondern für die externes Processing genutzt wird.

WordPress und die DSGVO: Spezifische Probleme des populären CMS

Im letzten Absatz habe ich schon kurz angerissen, wieso WordPress ein besonders aufmerksames Auge erfordert. Anders als bei einer homogenen Website aus gutem alten HTML, die wir mehr oder weniger monolithisch in Code meißeln, basieren unsere WordPress-Seiten auf einem ganzen Ökosystem an Komponenten.

Lässt sich die Kerninstallation noch ganz gut hinsichtlich ihrer DSGVO-relevanten Probleme definieren, stellt jedes Plugin und jedes Theme und jedes Widget ein Problem eigener Art dar. Denn du weißt nicht, ob der Programmierer deines Scroll-to-Top-Plugins seinen besonderen Wissensdurst mit Blick auf die Nutzer seines Plugins durch den Transfer einiger Transaktionsdaten stillen möchte. Und ob es dem Anbieter deines tollen und noch dazu kostenlosen Themes nicht ähnlich geht.

Du weißt es nicht, aber du trägst die Verantwortung. Keine Sorge, ich will dir wirklich keine Angst machen. Ich will nur, dass du dir dessen bewusst bist, damit du erkennst, dass du den Zustand so nicht lassen kannst.

Automattic arbeitet an Einstellungen > Privatsphäre

Wieso ich, magst du jetzt fragen. Das ist doch wohl in allererster Linie mal ein Problem vom WordPress-Hersteller Automattic und den Entwicklern aus dem Öko-System. Damit hast du natürlich Recht und es ist auch nicht so, dass sich Automattic aus der Verantwortung stehlen will.

Sicherlich ein bisschen spät, aber immerhin sind die Erfinder des WordPress auf die Idee gekommen, dass es innerhalb von WordPress eine eigene Übersicht zur Privatsphäre braucht. Diese soll sich künftig als Menüpunkt unter dem Hauptmenüeintrag „Werkzeuge” zeigen. Bislang gibt es da noch nichts zu sehen. Angekündigt sind die entsprechenden Änderungen für Ende April, Anfang Mai. Gut, wir haben jetzt die erste Maiwoche hinter uns. Geduld ist eine Tugend…

Wenn es denn also die angekündigten Tools des Hauses Automattic gibt, dann wirst du in der Lage sein, über die zentrale Übersichtsseite DSGVO-relevante Nutzeraktivitäten zu sehen. Zudem erhältst du die Möglichkeit, Anfragen von Nutzern, etwa zum Download ihrer Daten oder zur Anonymisierung zu bearbeiten.

Plugin-Entwickler, die ganz eigenständig zur Einhaltung der DSGVO verpflichtet sind, werden künftig in strukturierter Form beschreiben, welche Datenschutz-relevanten Vorgänge sie mitbringen, so dass du diese Informationen in deiner neuen Datenschutzerklärung verarbeiten kannst. Eventuell wirst du auch mit dem Plugin-Entwickler einen AV-Vertrag schließen müssen.

Plugin-Entwickler dürfen sich beim konformen Umbau ihrer Lösungen der Hilfe von Automattic erfreuen, die ihr bereits bestehendes Plugin-Handbook um Informationen zu DSGVO und den neuen WordPress-Funktionen zur Privatsphäre erweitern werden.

Bis einer heult: Schmeiß nicht gleich deine Plugins weg

Bevor du also nun deinen gesamten Plugin-Bestand überprüfst und mit Tränen in den Augen deine Lieblingsplugins wegwirfst, empfehle ich dir, noch ein bisschen zu warten. Automattic ist noch nicht so weit und die Plugin-Entwickler zumeist auch nicht. Es ist aber davon auszugehen, dass sich die bedeutenden Anbieter durch die DSGVO nicht die Butter vom Brot nehmen lassen.

So liest du etwa derzeit, dass du den Newsletter-Service von Mailchimp besser nicht mehr verwenden solltest, weil ja die Verarbeitung auf US-Servern stattfindet und dabei jedenfalls personenbezogene Daten verarbeitet werden. Der zweite Teil des Satz stimmt unstreitig. Den ersten Teil des Satzes würde ich nicht unterschreiben.

Denn, ich schrieb es weiter oben schon, Datenverarbeitung ist dann zulässig, wenn sie rechtmäßig ist. Dass die Datenverarbeitung zur Versendung eines Newsletters rechtmäßig ist, wenn die Nutzer sich freiwillig in der vorgeschriebenen Form (Double Opt-In) eingetragen haben, daran hätte ich erstmal keinen Zweifel.

Möglich ist eher, dass dabei derzeit Informationen im Spiel sind, die nicht notwendigerweise für die konkrete Verarbeitung erforderlich sind. An diesem Punkt ist die DSGVO strikt. Du darfst nur noch solche Daten erheben, die du für die konkrete Verarbeitung auch benötigst. Im Falle eines Newsletters dürfte das der Name und die E-Mail-Adresse sein, aber nicht mehr. Schon die IP-Adresse wäre in dem Fall kritisch. Und tatsächlich. Wenn du dich umschaust, wird sehr häufig die Verarbeitung der IP-Adresse als das kritische Element dargestellt.

Sogar Google Analytics ist unter dem Aspekt der DSGVO relativ unkritisch, wie mein Kollege Jan Meyer in einem eigenen ausführlichen Beitrag darstellen konnte. Wichtig ist, darauf zu achten, dass keine personenbezogenen Daten, also letztlich die IP-Adressen, an GA übertragen werden.

DSGVO: Vor Gericht und auf hoher See

Wenn du auf der vollkommen unangreifbaren Seite stehen willst, dann installierst du das Plugin Google Analytics Opt-Out von WP-Buddy. Dieses erlaubt dir, einen Opt-Out-Button per Shortcode einzubinden. Klickt ein Nutzer diesen Button, wird ein Cookie installiert, der Analytics daran hindert, seine Bewegungsdaten zu erfassen.

Ha. Wieso schreibt er was von „vollkommen unangreifbar”? Ist da vielleicht doch ein Haken im Feuer, mit dem man mir ordentlich das Fell versengen kann? Das hast du doch jetzt gedacht, oder?

Klar, es ist wie immer in der Juristerei. Vor Gericht und auf hoher See sind wir alle in Gottes Hand. Die DSGVO wird erst über die Rechtsprechung der kommenden Jahre wirklich rundgeschliffen werden. Vorher müssen wir qualifiziert bewerten und auch das ein oder andere Risiko eingehen, wenn unsere Bewertung desselben so ausgegangen ist, dass wir das können. Da kommen wir alle nicht dran vorbei. Auch hier dürfen wir allerdings davon ausgehen, dass es wirtschaftliche Schwergewichte gibt, die etwa bestehende Klärungsbedarfe relativ zügig zum Gegenstand rechtlicher Auseinandersetzungen machen werden. Das müssen wir beide nicht tun, aber wir profitieren vom Ausgang.

Dutzende wichtige Plugins sind bereits jetzt DSGVO-konform

Wenn du heute am Tag deinen Plugin-Bestand durchforsten und auf DSGVO-Compliance trimmen willst, dann schau dir diesen Beitrag bei Blogmojo an. Dort findest du bereits über 120 Plugins im ausführlichen Check.

Auch der Beitrag auf Blogmojo zeigt, dass Panik nicht erforderlich ist, denn in den zwölf untersuchten Plugin-Kategorien, von SEO über Anti-Spam zu Social Media, findest du stets mehrere Alternativen, die voll DSGVO-konform sind oder durch die Änderung einzelner Optionen konform gemacht werden können.

Die Zahl derer, die konform sind oder durch Einstellungen konform gemacht werden können, wird in den kommenden Wochen noch sprunghaft steigen. Wieso sich immer erst kurz vor knapp alle Akteure bequemen, lange gültige Gesetze dann doch mal endlich umzusetzen, ist dabei eine berechtigte Frage. Aber, du hast es doch nicht anders gemacht…

Übrigens: Was du auf jeden Fall machen solltest, wenn du es noch nicht getan hast, und das kannst du auch jetzt sofort erledigen, ist, deine Seite auf HTTPS umstellen. Denn für die Sicherheit des Transports der von dir erhobenen und verarbeiteten Daten bist du auch verantwortlich. Mit Let’s Encrypt kostet dich die Umstellung auf SSL nicht einmal etwas.

Disclaimer: Frag den Anwalt

Da ich kein Jurist bin, ist dieser Beitrag natürlich keine Rechtsberatung und soll eine solche auch nicht ersetzen. Wenn du eine Auskunft vom Anwalt willst, dann musst du einen solchen aufsuchen. Cui bono 😉
(Bildnachweis Artikelbild: Depositphotos)