WordPress und die DSGVO

Mit 25. Mai 2018 tritt sie nun offiziell in Kraft, die neue Datenschutz-Grundverordnung, kurz auch DSGVO genannt. Damit wird ein einheitliches Datenschutzrecht für die gesamte EU eingeführt und regelt die Verarbeitung von personenbezogenen Daten. Spätestens jetzt sollten alle Webseitenbetreiber handeln, bei Verstößen wird mit Strafen in der Höhe von bis zu 20 Millionen Euro oder bis zu 4 Prozent des Umsatzes gedroht. Neben allgemeinen Fragen zur DSGVO wollen wir uns im speziellen mit WordPress als CMS beschäftigen und hinterfragen welche Dienste als kritisch zu betrachten sind und welche Lösungen in Frage kommen um möglichst datenschutzkonform zu sein.

DSGVO – was ist das und wen betrifft sie?

Die DSGVO wird in Österreich von der Datenschutzbehörde geregelt und wurde schon im Jahr 2016 von der EU beschlossen um die Privatsphäre der Nutzer zu stärken und ihnen mehr Kontrolle über persönliche Daten zu geben. Mehr Transparenz und die Kontrolle der persönlichen Daten steht dabei im Fokus der Regelung. Der Nutzer soll möglichst aktiv entscheiden können, welche Daten er den Unternehmen zur Verfügung stellt und zu welchen Zwecken diese Daten verarbeitet werden.

Die DSGVO betrifft alle, die personenbezogene Daten erheben und verarbeiten. Das sind im Prinzip eigentlich alle Webseitenbetreiber, selbst wenn es keine Kontaktformulare oder Kommentarmöglichkeiten auf der Seite gibt, denn selbst beim Einsatz von Google Analytics, Facebook Pixel oder Werbebanner werden schon personenbezogene Daten eingesammelt und verarbeitet. Damit zählen neben großen Unternehmen oder Onlineshop-Betreibern auch Freelancer, Kleinunternehmer, Blogger oder Vereine zu den Betroffenen. Die DSGVO gilt auch für Nicht-EU-Unternehmen, wenn sie Daten von EU-Bürgern verarbeiten, also beispielsweise der Versand von Newslettern über Anbieter wie z.B. Mailchimp.

Was sind personenbezogene Daten und was ist bei der Verarbeitung zu beachten?

Personenbezogene Daten sind Informationen, die sich auf eine Person beziehen, dazu gehören unter anderem Name, Anschrift, Email-Adresse oder Bankverbindung. Aber auch schon die Speicherung der IP-Adresse zählt zu den personenbezogene Daten.

Die Datenschutzerklärung

Bevor wir uns also eingehender mit WordPress und der DSGVO beschäftigen gilt es als erstes einen Ist-stand bei der der eigenen Webseite zu erheben: Welche Daten werden erhoben und wie verarbeitet, werden diese an Dritte weitergegeben und kann der Nutzer aktiv entscheiden ob er diese Daten hergeben möchte. Dies alles muß in einer Datenschutzerklärung erfasst und auf der Webseite platziert werden. Am besten als eigene Seite wie das Impressum und verlinkt über einen entsprechenden Menüpunkt oder gut erreichbar über die Fußzeile.

Die Datenschutzerklärung muß dabei, je nach verwendeten Diensten und erhobenen Daten, individuell für jede Webseite erstellt werden. Im folgenden geben wir euch einen Überblick über Dienste die evtl. in euer WordPress-Webseite verwendet werden und damit in der Datenschutzerklärung erfasst werden müssen.

Ein Muster einer Datenschutzerklärung gibt auf der Datenschutzseite der WKO, bzw. kann diese auch über Datenschutzgeneratoren wie etwa bei e-recht24.de oder activeMind erstellt werden. Wichtig ist dabei allerdings genau zu überprüfen ob auch alle verwendeten Dienste und Tools angeführt sind, die auf der Webseite zum Einsatz kommen.

Verarbeitungsverzeichnis

Mit dem Anbringen der Datenschutzerklärung auf der Webseite ist es aber nicht getan, die Datenschutzbehörde möchte vom Unternehmer auch ein Verzeichnis der Verarbeitungstätigkeiten haben. Dieses Verarbeitungsverzeichnis kann schriftlich oder elektronisch erstellt werden und dient als Grundlage um den Nachweispflichten der DSGVO nachzukommen. Das Verzeichnis kann von der Datenschutzbehörde jederzeit angefordert werden und es drohen empfindliche Strafen, falls das Verarbeitungsverzeichnis  nicht existiert oder nur unvollständig vorhanden ist.

In dem Dokument werden die Verarbeitungsschritte von personenbezogenen Daten dokumentiert. Daraus muss hervorgehen, welche personenbezogene Daten das Unternehmen mit Hilfe welcher Verfahren auf welche Weise verarbeitet und welche technisch-organisatorischen Maßnahmen zum Schutz dieser Daten dabei getroffen wurden.

Die Wirtschaftskammer stellt diesbezüglich ein entsprechendes Musterformular zur Verfügung, wie auch ein Anwendungsbeispiel für Auftragsverarbeiter mit fiktiven Unternehmensdaten als Unterstützung beim Erstellen des eigenen Verarbeitungsverzeichnisses.

Variante für den alten Code (ga.js):

Variante für Global Site Tag (gtag.js):

Variante für Universal Analytics (analytics.js):

Formulare

Wer Formulare auf seiner Seite nutzt, sei es eine einfaches Kontaktformular oder die Bestellung in einem Online-Shop, benötigt neben einer SSL-Verschlüsselung auch eine Erlaubnis des Nutzers diese Daten verarbeiten zu dürfen. Das Formular sollte grundsätzlich nur die notwendigsten Daten als Pflichtfeld enthalten (z.B. die Email-Adresse), alle anderen Datenfelder sollten optional sein, sofern sie für die Anfrage nicht zwingend notwendig sind. Damit der Nutzer seine Einwilligung für diese Daten geben kann ist beim Formular eine Checkbox notwendig, die auf die gesammelten Daten hinweist und im besten Fall auch einen Link zur Datenschutzerklärung enthält. Dieses Feld muß ein Pflichtfeld sein, darf aber standardmäßig nicht vorausgewählt sein, wie auch alle weiteren Checkboxen, wie etwa die Anmeldung für einen Newsletter.

Bei einem Formular ist das kein Problem, aber bei vielen Formularen überall die Checkboxen hinzuzufügen kann mühsam sein. Abhilfe schafft hier etwa das PlugIn „WP GDPR Compliance„. Es unterstützt derzeit Contact Form 7, Gravity Forms, WooCommerce und die WordPress Kommentare.

Kommentarfunktion

Wie auch bei Formularen muß der Benutzer auch bei der Kommentarfunktion in einem Blog seine Zustimmung geben. Auch hier ist es notwendig eine entsprechende Checkbox iwe bei den Formularen einzufügen. Auch das kann mit dem Plugin „WP GDPR Compliance“ umgesetzt werden. Allerdings speichert WordPress bei Kommentaren standardmäßig auch die IP-Adresse des Benutzers, was wiederum nicht datenschutzkonform ist. Eigentlich wird die IP ja zur strafrechtlichen Nachverfolgung benötigt, wenn jemand die Kommentarfunktion missbräuchlich verwendet, das ist also eine gewisse Zwickmühle für alle Blogbetreiber.

Wenn man sich entscheidet die IP-Adresse künftig nicht mehr zu speichern, genügt ein kleiner Code-Schnipsel. Diesen fügst Du in Deine functions.php des Child-Themes ein:

Wer auch die bisherigen gespeicherten IP-Adressen löschen möchte, kann auf das PlugIn „Remove Comment IPs“ zurückgreifen, es löscht IP Adressen nach 60 Tagen aus der Datenbank (so lange werden diese aus Anti-Spam-Gründen gespeichert)

Newsletter

Wer auf seiner Seite die Anmeldung zu einem Newsletter integriert hat und Aussendungen an die Abonnenten macht, sollte einige Dinge beachten. Zum einen sollte unbedingt das Double Opt-in Verfahren verwendet werden, das heißt der Benutzer bekommt zuerst eine Benachrichtigung per Mail  zugeschickt, wo er erst auf einen Bestätigungslink klicken muß, damit die Anmeldung zum Newsletter erfolgreich ist. Für die Anmeldung sollte weiters nur die Eingabe der Email-Adresse ein Pflichtfeld sein und dieses Formular sollte wiederum eine Checkbox wie schon bei den Formularen enthalten, welches die Einwilligung des Nutzers einholt und auf die Datenschutzerklärung verweist.

Im Newsletter selbst sollte es natürlich jederzeit möglich sein, sich mit einem einfachen Klick wieder abzumelden bzw. sollte der Nutzer auf der Anmeldeseite auch über Zweck und Inhalt des Newsletters, Versandfrequenz und die gespeicherten Daten informiert werden.

Wenn Du für den Versand einen externen Dienst wie etwa Mailchimp oder SendinBlue nutzt, solltest Du mit dem Anbieter einen AV-Vertrag abschließen.

Social Media PlugIns und Sharing-Buttons

In den meisten Webseiten werden entweder Social Media PlugIns verwendet oder zumindest Sharing-Buttons um seine Inhalte besser in sozialen Netzwerken teilen zu können. Problematisch sind diese aber, da sie Verbindungen zu sozialen Netzwerken herstellen und Daten übertragenn, bevor der Nutzer überhaupt auf einen Teilen-Button geklickt hat. Bei vielen Themes sind die Share-Buttons bereits integriert, lassen sich aber in den meisten Fällen deaktivieren. Wir brauchen nämlich ein Lösung bei welcher erst dann Daten übertragen werden, wenn der Besucher die Share-Funktion auch nutzt. Im Netz findet sich dazu ein PlugIn, es nennt sich „Shariff-Wrapper„, welches genu diese Funktionalität bietet und mit fast jedem Theme zusammenarbeitet.

Bei allen anderen Social Media PlugIns, wie etwa die beliebten Facebook Like Boxen, würden wir vorerst von deren Einsatz abraten, bis es hier datenschutzkonforme Lösungen gibt. Auf jeden Fall sollte über den Einsatz von Social Media PlugIns und Sharing-Butons in der Datenschutzerklärung ein entsprechender Passus vorhanden sein.

Weitere WordPress Dienste wie Fonts, Gravatare oder YouTube Videos

Einige in WordPress integrierte Dienste oder von vielen Themes eingesetzte Services in WordPress sind datenschutzrechtlich ebenfalls zu hinterfragen, da sie Verbindungen in das Internet aufbauen und unter Umständen ungefragt Daten übertragen. Dazu gehören u.a. die folgenden:

Gravatare

Wer die Kommentarfunktion in seinem Blog aktiviert hat, wird sie sicher kennen, die Avatar-Bildchen der Nutzer. Dieses Service wird auch „Gravatar“ genannt und von Automattic betrieben, also dem Team der Betreiber von WordPress.com. Der Nutzer registriert sich mit einer bestimmten Email-Adresse bei diesem Service und hinterlegt ein Profilbild, welches dann automatisch bei einem Blogkommentar angezeigt wird. Dazu baut die Webseite aber eine Verbindung zu gravatar.com auf und übertragt Benutzerdaten.

Um nun nach derzeitigem Stand sicher zu gehen, hier datenschutzkonform zu sein, müßte man die Anzeige von Avataren in WordPress deaktivieren, das geht unter Einstellungen > Diskussion > Avatare. Einzige Lösung um trotzdem Profilbilder zu verwenden, wäre ein entsprechendes PlugIn zu verwenden, welches lokale Profilbilder erlaubt, während Gravatar deaktiviert ist wie zum Beispiel „WP User Avatar„.

Emojis

Auch die beliebten kleinen gelben Smileys werden von WordPress nicht lokal geladen, sondern von Servern extern geladen, womit schon wieder Daten übertragen werden.Diese Emojis kann man auf verschiedene Art loswerden, zum einen über das Plugin „Disable Emojis“ oder über das eine oder andere Caching- oder Optimierungs-PlugIn wie etwa „Autoptimize„, welches nebenbei erwähnt noch allerhand andere Optimierungen bei WordPress vornehmen kann um bessere Ladezeiten zu erreichen. Eine letzte Möglichkeit wäre dann manuell einzugreifen und einen entsprechenden Code in der functions.php zu hinterlegen.

Google Webfonts

Wer die schönen Google Webfonts einsetzt, dem muß klar sein, das Laden der Webseite und beim Abrufen der Schrift eine Verbindung zum Google Font-Server hergestellt und dabei die IP-Adresse des Users übertragen wird. Viele der  im Netz angebotenen Themes haben aber zumeist die Google Webfonts standardmäßig integriert. Google wird sich vermutlich im eigenen Interesse etwas einfallen lassen, damit die Fonts datenschutzkonform eingebunden werden können, bis dahin der einzig sichere Weg wäre die verwendeten Fonts herunterzuladen um diese am eigenen Server unterzubringen.

Diese Lösung ist nicht ganz trivial, aber es gibt im Netz bereits einige Anleitungen wie man das bewerkstelligen kann, wie z.B. von den Netzialisten oder bei t3n nachzulesen ist.

Einbetten von YouTube Videos

Wer etwa YouTube Videos auf seiner Webseite einbettet, sei es direkt im Beitrag per <embed> Code über iFrames oder auch ein entsprechendes Video-Modul des verwendeten Themes, sollte wissen das YouTube ebenfalls Cookies setzt. Dieses wird schon beim Aufruf der Seite gesetzt, ohne das der Benutzer das Video überhaupt abspielen muß. Nun gibt es  von YouTube allerdings auch erweiterte Datenschutzfunktion und damit die Möglichkeit Inhalte einzubinden, ohne dass automatisch ein Cookie gesetzt wird.

Wer also ein Video auf der Website einbetten möchte, setzt beim Einbetten-Code von YouTube das Häkchen „Erweiterten Datenschutzmodus aktivieren“. Dadurch verändert sich im eingebetteten Code des Videos die URL youtube.com auf youtube-nocookie.com. Youtube wird dann nicht mehr standardmäßig ein Cookie setzten, sondern erst, wenn der Benutzer das Video abspielt. Sollte das Integrieren von Videos bei eurem verwendetem Theme anders gelöst, ist es unter Umständen notwendig den entsprechenden Template-Code zu modifizieren oder über eine zusätzliche Funktion in der functions.php die URL ersetzen zu lassen.

Ein Hinweis in der Datenschutzerklärung über die obigen Dienste, sofern sie auf der Webseite verwendet werden, sollte natürlich eingefügt werden.

Sonstige WordPress-PlugIns

Es gibt neben den besprochenen PlugIns für WordPress aber natürlich noch jede Menge weiterer Ergänzungen, die vermutlich auf der einen oder anderen Seite zum Einsatz kommen. Dazu zählen auch PlugIns für Caching, Social Media, Mitgliedsbereiche, Security oder etwa Statistiken. Eine Liste mit über 100 PlugIns und ihrem Status gegenüber der DSGVO findet ihr auch im Blogbeitrag „100+ WordPress-Plugins im DSGVO-Check“ bei Blogmojo.