DSGVO Checkliste – diese Punkte habe ich umgesetzt

Habt ihr euch schon mit dem Datenschutz auf eurer Webseite auseinandergesetzt? Vor einiger Zeit habe ich schon ein paar Stichpunkte zusammengefasst, allerdings war das nur eine oberflächliche Analyse. Auch wenn die EU bereits 2016 die neue Datenschutzverordnung beschlossen hat, haben sich viele erst jetzt mit den Änderungen befasst. Der 25. Mai 2018 ist wahrscheinlich der neue ‚Schwarze Freitag‘ und die Neuerungen eine außerordentliche Herausforderung für uns Blogger. Viele bloggen nur nebenbei und hosten ihren Blog nicht auf einem eigenen Server, nutzen Content Managemet Systeme die nicht veränderbar sind, haben keine Erfahrung mit Codes oder der Technik, die hinter einer Webseite steckt. Leider haben schon einige Blogger ihren Blog aufgegeben weil die Angst vor einer Abmahnung einfach zu groß ist – und diese Angst teile ich mit ihnen. Daher möchte ich heute meine DSGVO Checkliste und meine Einschätzung mit euch teilen. Den Gesetzestext zur DSGVO findet ihr hier.

Dieser Beitrag stellt keine Rechtsberatung dar und erklärt lediglich meine Vorgehensweise. Alle Angaben sind ohne Gewähr. Im Zweifelsfall fragt ihr am besten einen Anwalt. Vor jeder Änderung am Blog solltet ihr eine Sicherungskopie (Backup) erstellen. Diese DSGVO Checkliste dient nur zur groben Orientierung.

Ist die DSGVO Checkliste auch für mich interessant?

Sobald ihr persönliche Daten auf eurem Blog verarbeitet oder Tracking Tools verwendet, eindeutig Ja. Einige denken, dass es etwas mit angemeldeten Gewerbe zu tun hat. Ohne Gewerbe handelt man nicht gewerblich? Ein Irrglaube. Schreibt ihr Testberichte, setzt Affiliate Links oder setzt ihr Werbebanner ein, spricht man von einer Gewinnabsicht. Es ist dabei egal ob ihr ein Gewerbe angemeldet habt oder als Privatperson euren Blog betreibt. Ihr müsst handeln, sobald ihr personenbezogene Daten auf eurem Blog verarbeitet. Das sind beispielsweise Namen oder IP Adressen.

1. Sicherheit eurer Webseite

Generell solltet ihr dafür sorgen, dass die Daten auf eurer Webseite sicher übertragen werden und eure Seite ’sicher‘ ist. Vor allem, wenn ihr personenbezogene Daten auf eurem Blog verarbeitet.

1.1 SSL Verschlüsseling

Für die sichere Datenübertragung sorgt eine SSL Verschlüsselung. Wenn ihr eure Seite noch nicht umgestellt habt, ist es jetzt höchste Zeit dafür. Wie die Umstellung funktioniert könnt ihr in meinem Beitrag HTTPS Umstellung – diese Punkte solltet ihr beachten. Durch die DSGVO wird eine Verschlüsselung zwar nicht vorgeschrieben aber ohne Verschlüsselung ist eine sichere Übertragung der Daten eben nicht möglich.

1.2 Regelmäßige Updates

Um Sicherheitslücken zu schließen solltet ihr anstehende Updates zeitnah installieren – WordPress als auch Plugins.

1.3 Sichere Passwörter zweiter Nutzer anmelden und lange Passwörter

Ebenso wichtig ist es auch, eure Seite mit starken Passwörter vor Hackerangriffen zu schützen. Passwörter sollten mindestens acht Zeichen haben, besser sind allerdings zwölf oder 16. Aber bitte nicht einfache Phrasen wie ‚IchLiebeBloggen‘. Mehr zu dem Thema findet ihr hier. Ich persönlich habe in meinem WordPress Account noch einen zweiten Benutzer gespeichert und nutze nicht ‚Admin‘ als Username.

2. Datenschutzerklärung

Natürlich brauchen wir eine Datenschutzerklärung und diese muss gut erreichbar sein. Das bedeutet, dass nicht mehr als zwei Klicks nötig sein dürfen um sie anzuwählen. Optimalerweise ist sie über das Hauptmenü und den Footer erreichbar (genau wie das Impressum) und sollte nicht durch ein Pop-Up Fenster überdeckt werden. Außerdem ist ein Link im Cookie Banner sinnvoll. Die Datenschutzerklärung und das Impressum müssen von jeder Unterseite aus erreichbar sein.

Ihr könnt euch zum Beispiel über eRecht24 eine Datenschutzerklärung generieren lassen, müsst diese aber individuell anpassen. Ihr müsst auf jeden Fall auf die Verwendung von externen Diensten wie z. B. Google Analytics hinweisen. Aber nicht nur Google Analytics erhebt personenbezogene Daten – Plugins, Social Media Share Buttons oder auch Google Fonts gehören dazu. Daher ist es wichtig und unumgänglich eine generierte Datenschutzerklärung individuell anzupassen.

3. Google Analytics

3.1 Vertrag zur Auftragsdatenverarbeitung

Wenn ihr Google Analytics auf eurem Blog nutzt, müsst ihr es natürlich rechtssicher einbinden und einen Auftragsverarbeitungsvertrag abschließen. In Deutschland ist es noch Gang und Gebe, dass Verträge händisch unterschieben werden. Vorab solltet ihr dem Zusatz zur Datenverarbeitung zustimmen. Dafür loggt ihr euch in eurem Google Analytics Account ein wählt Verwaltung -> Kontoeinstellungen und scrollt nach unten. Dort könnt ihr dem Zusatz zustimmen. Den Vertrag zur Auftragsdatenverarbeitung könnt ihr hier herunterladen. Druckt diesen zweimal aus, tragt eure Daten ein und sendet beide Exemplare an die angegebene Adresse nach Irland. Ihr bekommt dann nach der Bearbeitung ein Exemplar von Google unterschrieben zurückgesendet.

3.2 Google Analytics Opt-Out

Damit eure Leser dem Tracking durch Google widersprechen können ist nicht nur ein Link zum Browser Plugin sondern auch eine Opt-Out Funktion notwendig. Der Link und das Opt-Out müssen in eure Datenschutzerklärung eingebaut werden. Wie das funktioniert habe ich im Beitrag ‚Opt-Out – Google Analytics mit einem Klick deaktivieren‚ erklärt.

3.3 Google Analytics IP Anonymisierung

Um Google Analytics rechtskonform zu nutzen, muss ebenfalls die Funktion anonymizeIP eingebunden werden. Da ich das Plugin MonsterInsights nutze, konnte ich mit nur einem Klick die Funktion zu meinem Code hinzufügen. Es ist aber auch möglich einfach einen Code-Schnipsel in der header.php einzufügen (Universal Analytics Code). ga(’set‘, ‚anonymizeIp‘, true); wird einfach vor dem Senden des Pageviews eingefügt.

<script>
(function(i,s,o,g,r,a,m){i['GoogleAnalyticsObject']=r;i[r]=i[r]||function(){
(i[r].q=i[r].q||[]).push(arguments)},i[r].l=1*new Date();a=s.createElement(o),
m=s.getElementsByTagName(o)[0];a.async=1;a.src=g;m.parentNode.insertBefore(a,m)
})(window,document,'script','https://www.google-analytics.com/analytics.js','ga');
ga('create', 'UA-XXXXXXXX-X', 'auto');
ga('require', 'displayfeatures');
ga('require', 'linkid', 'linkid.js');
ga('set', 'anonymizeIp', true);
ga('send', 'pageview');
</script>

4. Externe Services

Sobald Services von Drittanbietern auf eurem Blog geladen werden, werden die IP-Adresse des Nutzers eurer Webseite an Google weitergeleitet. Das ist im Rahmen der DSGVO nicht zulässig, da persönliche Daten ohne die Zustimmung übertragen werden.

4.1 Google Webfonts

Wir haben heute die Möglichkeit unsere Webseiten mit hübschen Schriftarten zu individualisieren, damit nicht jede Seite gleich aussieht. Dafür müssen wir nicht mehr auf Systemschriftarten zurückgreifen und könnten auf hunderte von Google Webfonts zurückgreifen. Jedoch wird beim Aufrufen einer Seite eine Verbindung zum Google Font Server hergestellt und es nicht nicht ganz klar welche und ob Daten an Google gesendet werden. Es gibt aber drei Möglichkeiten, diesen Punkt auf der DSGVO Checkliste ‚abzuhaken‘.

4.1.1 Systemschriftarten verwenden

Das Einfachste ist sicherlich, einfach Systemschriftarten zu verwenden. Dadurch geht aber in den meisten Fällen das komplette Design eurer Seite verloren. Mit dem Plugin Autoptimize könnt ihr die Funktion Google Fonts entfernen anwählen. Leider sieht mein Blog dann nicht mehr so aus, wie ich ihn eingerichtet habe.

4.1.2 Schriftarten direkt auf dem Server speichern

Es ist möglich, die verwendeten Schriftarten lokal auf dem eigen Server zu speichern. Im Netz gibt es dazu unzählige Anleitungen. Ein FTP Zugang ist dafür aber unumgänglich.

4.1.3 Berechtigtes Interesse

Da ich meine Seite weiterhin einheitlich und ansprechend gestalten möchte, bin ich auf einen Abschnitt in der DSGVO gestoßen. Zur Zeit stütze ich mich auf den Art. 6 Abs. 1 lit. f DSGVO, was die Nutzung der Google Webfont für meine Webseite als ein berechtigtes Interesse darstellt. Diesen Hinweis habe ich in meinem Cookie Banner hinterlegt und ebenso in meiner Datenschutzerklärung.

4.2 Social Media Plugins und Buttons

Nutzt ihr Social Media Plugins und Widgets, iFrames oder Scripte? Die meisten stellen automatisch eine Verbindung zum entsprechenden Netzwerk her und sind daher leider nicht mehr DSGVO konform. Das Facebook Seiten Plugin ist das bekannteste Beispiel: Besucher können deine Facebook Seite mit ‚Gefällt mir‘ markieren und teilen, ohne deine Webseite verlassen zu müssen. Das ist so schon lange nicht mehr zulässig. Auch mein geliebter Pin-it Button von Pinterest ist derzeit nicht konform mit dem Datenschutz, daher habe ich ihn vorerst deaktiviert und konnte damit auch diesen Punkt von meiner DSGVO Checkliste streichen.

Hier gilt nun die 2-Klick Variante z.B. vom Plugin Shariff Wrapper. Erst beim zweiten Klick wird eine Verbindung zum Netzwerk hergestellt. Sonst sollte die Funktion vorerst deaktiviert werden.

4.3 Affiliate Links

Ich nutze auf meiner Seite Affiliate Links, sogenannte Werbelinks. Die Tracking-Cookies speichern keinerlei personenbezogenen Daten, leiten allerdings auf eine externe Seite, die ggf. den Besuch verfolgt. Die Affiliate Widgets sollten daher mit ‚Werbung‘ oder ‚Anzeige‘ gekennzeichnet werden. Enthält ein Beitrag Affiliate Links, sollte der Leser darüber informiert werden. Meiner Meinung nach auch ein wichtiger Punkt der auf jede DSGVO Checkliste gehört.

4.4 Plugins

Ebenso wichtig ist es, eure Plugins zu überprüfen. Viele sind nicht datenschutzkonform und übertragen Daten an Dritte. Überprüft die eingesetzten Plugins und tauscht diese ggf. aus. In einigen Fällen benötigt ihr auch einen Vertrag zur Auftragsdatenverarbeitung mit dem Dienstleister, vorausgesetzt er hat seinen Sitz in der EU. Das ist nur leider oft nicht der Fall. Die beste Zeit aufzuräumen und überflüssige Plugins zu löschen.

Die meisten meiner Plugins arbeiten lokal oder sind so einstellbar, dass sie Datenschutzkonform sind. Lest euch also die Beschreibungen durch oder fragt im Zweifel beim Entwickler nach.

4.5 Gravatare ausschalten

Bei vielen Nutzern, die einen Kommentar auf eurem Blog hinterlassen, wir ein kleines Bildchen angezeigt. Das ist der sogenannte Gravatar. Ich habe mich extra bei unterschiedlichen Anbietern angemeldet, damit mein Bildchen immer mit angezeigt wird. Das ist leider im Rahmen der DSGVO problematisch. Die Bilder werden automatisch der hinterlegten Email Adresse zugeordnet und dann von gravatar.com geladen. Daher habe ich vorerst die Funktion ausgestellt. Dafür geht ihr über Einstellungen -> Diskussion -> Avatare anzeigen und entfernt den Haken im Kästchen. Um die Avatare trotzdem zu nutzen gibt es hier eine Lösung.

4.6 Emojis ausschalten

Ich liebe Emojis! Allerdings werden diese nicht lokal geladen sondern auch von einem externen Server (Content Delivery Network (CDN)). Hier gibt es ebenfalls mehrere Möglichkeiten um die Emojis abzuschalten – beide arbeiten auf die gleiche Weise (auch Autoptimize bietet die Funktion Emojis zu deaktivieren). Zum einen ist es das Plugin Disable Emojis welches nur aktiviert werden muss und zum anderen könnt ihr folgenden Code in die functions.php einfügen:

function remove_emoji()
        {
        remove_action('wp_head', 'print_emoji_detection_script', 7);
        remove_action('admin_print_scripts', 'print_emoji_detection_script');
        remove_action('admin_print_styles', 'print_emoji_styles');
        remove_action('wp_print_styles', 'print_emoji_styles');
        remove_filter('the_content_feed', 'wp_staticize_emoji');
        remove_filter('comment_text_rss', 'wp_staticize_emoji');
        remove_filter('wp_mail', 'wp_staticize_emoji_for_email');
        add_filter('tiny_mce_plugins', 'remove_tinymce_emoji');
        }
add_action('init', 'remove_emoji');
function remove_tinymce_emoji($plugins)
        {
        if (!is_array($plugins))
                {
                return array();
                }
        return array_diff($plugins, array(
                'wpemoji'
        ));
        }

Die Emojis werden allerdings weiterhin in Browsern angezeigt, die Emojis unterstützen – wundert euch also nicht.

4.6 Weitere externe Services

Viele Services nutze ich nicht, daher habe ich mich nicht weiter darüber informiert. Dazu gehört beispielsweise die Einbindung von Google Maps, Blogfoster oder YouTube Videos und noch einige andere Dienste die nicht lokal geladen werden.

5. ADV Verträge | Auftragsdatenverarbeitung

5.1 Google Analytics

Diesen Punkt habe ich bereits unter 3.1 erklärt.

5.2 Hoster

Hostet ihr über einen externen Server müsst ihr mit dem Anbieter ebenfalls einen Vertrag zur Auftragsdatenverarbeitung schließen. Euer Provider speichert nämlich Zugriffe in den Server-Logs. Hier ist ein Hinweis in der Datenschutzerklärung notwendig. Der Vertrag ist bei All inkl in der Members Area seit kurzem abrufbar.

5.3 Weitere Anbieter z.B. Newsletter Dienste

Da ich keine weiteren Services von extern nutze, kann ich zu diesem Punkt nichts weiter sagen. Versendet ihr Newsletter, müsst ihr mit eurem Anbieter ebenfalls einen ADV schließen, daher erwähne ich es nur kurz auf meiner DSGVO Checkliste.

6. Cookies Hinweis (Banner)

Die DSGVO besagt, dass man persönliche Daten nur rechtmäßig verarbeiten darf. Ihr müsst eure Leser auf jeden Fall in eurer Datenschutzerklärung über die Nutzung von Cookies auf eurem Blog hinweisen. Zwar ist es (noch) keine Pflicht einen Cookie Banner zu nutzen, allerdings ist es bisher die beste Möglichkeit, eure Leser beim ersten Besuch auf eure Datenschutzrichtlinien hinzuweisen. Dafür gibt es verschiedene Plugins wie z.B. Cookie Consent oder WF Cookie Consent.

7. IP Adressen löschen | Speicherung verhindern

In meinem Beitrag ‚IP Adressen bei WordPress Kommentaren löschen‚ habe ich die Hintergründe bereits erklärt und eine detaillierte Anleitung geschrieben. Da es für die Funktion bei einer Kommentarfunktion nicht notwendig ist, die IP Adresse zu speichern, ist die Speicherung also auch nicht zulässig. Allerdings halte ich eine Speicherung für einen angemessenen Zeitraum für sinnvoll um bei einer Starfverfolgung die strafrechtlich relevanten Kommentare der Person zuordnen zu können.

8. Kopplungsverbot | Kommentare mit Einwilligung

Durch das Kopplungsverbot (siehe auch 4.2) müsst ihr nun von euren Lesern, die einen Kommentar unter einem Artikel hinterlassen möchten, eine separate Einwilligung einholen. Das liegt daran, dass nicht mehr nur durch das Abschicken des Kommentars eine Einwilligung über die Verarbeitung der Daten gegeben werden darf. Bisher hat sich das Plugin WP GDPR Compliance dafür angeboten und hat auch schon neue Updates ausgegeben. Mit diesem Plugin könnt ihr unter dem Kommentarfeld ein weiteres Kontrollkästchen für die Einwilligung in die Datenschutzrichtlinien eures Blogs ausgeben lassen.

9. Kontakt Datenschutzverantwortlicher | Impressum

Wann ein Impressum auf einem Blog notwendig ist, habe ich bereits in meinem Beitrag ‚Rechtliche Grundlagen | Impressum & Co.‚ erklärt. Wer ist für den Datenschutz auf eurem Blog zuständig? Ein Kontakt muss nicht nur im Impressum angegeben werden oder wenigstens ein Hinweis zur Kontaktadresse.

10. Verarbeitungsverzeichnis

Der letzte Punkt auf meiner DSGVO Checkliste. Leider müssen wir nun auch ein Verarbeitungsverzeichnis führen. Das bedeutet, dass wir genau aufführen müssen, was wir mit den persönlichen Daten unserer Nutzer machen. Ich habe mir dazu verschieden Vorlagen aus dem Internet gespeichert und füge die nun auf dem PC zu einem Verzeichnis zusammen. Einige Daten kann man ohne Probleme in WordPress abrufen z.B. wann der Datenschutzerklärung beim Kommentieren zugestimmt wurde. Besonders hilfreich war die kostenlose Vorlage von activeMind AG.

Einiges kommt euch auf meiner DSGVO Checkliste sicherlich schon bekannt vor. Viele Plugin Entwickler sind sehr fleißig und auch für WordPress werden neue Updates erwartet. Vielleicht werden bestimmte Funktionen mit einem Update bereits erledigt aber sicher bin ich mir nicht. Daher habe ich mir diese grobe Liste erstellt und alle Punkte abgearbeitet. Da ich einige Services nicht nutze, musste ich dort natürlich nicht aktiv werden. Wie sieht es bei euch aus? Habt ihr noch Ergänzungen oder andere Einschätzungen? Ich hoffe, dass euch meine DSGVO Checkliste ein wenig weitergeholfen hat.

Im Zweifelsfall solltet ihr immer einen Anwalt zu Rate ziehen.

Fotocredits: Unsplash