Mit der ab 25. Mai gültigen Datenschutz-Grundverordnung wird der Datenschutz europaweit einheitlich geregelt. Dadurch bekommen alle Bürger der EU mehr Rechte. Auf der anderen Seite bedeutet das auch mehr Pflichten für alle, die mit persönlichen Daten in Kontakt kommen. Das gilt insbesondere auch für Betreiber von Websites.
In diesem Zusammenhang habe ich mich in das Thema eingelesen und mir mit eRecht24 einen Partner gesucht, der mich bei diesem Thema unterstützt. Mein Impressum und meine Datenschutzerklärung habe ich damit hier schonmal aktualisiert.
Technische Prüfung meiner Website
Bevor ich aber mein Impressum und die Datenschutzerklärung erstellen kann, muss ich erstmal prüfen, was auf meiner Website eigentlich passiert. Als erstes habe ich mir mal über die im Browser integrierten Entwickler-Tools angeschaut von welchen Hosts die Dateien geladen werden.
Mit F12 werden die Entwickler-Tools im Browser geöffnet. Dort gibt es einen Reiter „Netzwerkanalyse“ (in anderen Browsern auch nur „Netzwerk“ oder ähnlich). Wichtig hierbei: Cache muss deaktiviert sein und es sollten alle Elemente angezeigt werden. Danach die Website neu laden und dann in der Spalte „Host“ (in Google Chrome „Domain“) die jeweiligen Server anschauen.
In meinem Fall werden die Inhalte aktuell nicht nur von www.spitzohr.de, sondern auch für licensebuttons.net, www.google.com, www.gstatic.com und www.koenig-heidinger.de geladen. Das bedeutet, dass auch diese Server durch den Aufruf meiner Website Daten über meine Besucher erhalten.
In einigen Blog-Einträgen sind zudem YouTube-Videos eingebunden. Dort kommen dann noch weitere Hosts hinzu: fonts.gstatic.com, googleads.g.doubleclick.net, i.ytimg.com, static.doubleclick.net und natürlich www.youtube.com.
Nun zur Erklärung der verschiedenen Hosts
- www.spitzohr.de ist die eigentliche Website. Alle Aufrufe hier sind in Ordnung.
- Auf www.koenig-heidinger.de läuft mein Web Analyse Tool Matomo (ehemals Piwik). Über die Datenschutzerklärung kann jeder Besucher der Erfassung widersprechen. Die Daten werden dabei aber auf dem gleichen Server gespeichert. Daher ist das für mich auch in Ordnung.
- Von www.google.com und www.gstatic.com lädt meine Website JavaScript für das Google ReCaptcha-Plugin.
- Von licensebutton.net wird das Bild geladen, dass die Inhalte unter der Creative Commons steht und somit bei Namensnennung und nicht-kommerziellen Projekten unter gleichen Bedingungen weitergegeben/verwendet werden dürfen (siehe CC-BY-NC-SA).
- Von fonts.gstatic.com wird bei Seiten mit eingebundenen YouTube die Schriftart Roboto geladen.
- YouTube-Videos lädt Werbung und dazu notwendige JavaScripts von googleads.doubleclick.net und static.doubleclick.net.
- Von i.ytimg.com wird das Vorschaubild des YouTube-Videos geladen.
- Von www.youtube.com werden neben dem eigentlichen Video noch verschiedene JavaScripts und andere Dateien geladen.
Statt die YouTube-Videos einzubetten, könnte ich einen Link auf YouTube setzen. Damit würden erst beim bewußten Klick des Besuchers seine Daten an Google übermittelt. Eventuell kann ich die Einbettung des Videos auch so verändern, dass der Besucher dieses erstmal aktivieren muss, bevor der Code von YouTube geladen wird.
Das ReCaptcha-Plugin nutze ich auf der Registrierungsseite um Bots zu blockieren. Das die Scripte aber bereits auf der Startseite geladen werden, halte ich für störend. Ob es überhaupt verwendet werden darf, ist schwierig zu sagen. Es ist ein Quasi-Standard beim Schutz vor Spam und wird an vielen Stellen bereits verwendet. Hier muss ich mich wohl nach alternativen umschauen.
Den Knopf mit Hinweis auf die Lizenz für meine Texte kann ich auch einfach bei mir auf dem Server ablegen.
Bei dem Web Analyse Tool Matomo bin ich aktuell auch nicht sicher, ob hier das jetzige „Opt-Out“ ausreicht. Das Tool habe ich grundsätzlich schon sehr Datenschutzfreundlich eingestellt. Es berücksichtigt beispielsweise die Do-Not-Track-Einstellung der Browser, die IP-Adresse wird anonymisiert, etc.
SSL-Verschlüsselung
Meinem Verständnis nach ist die Verwendung von SSL-Zertifikaten spätestens ab 25. Mai Pflicht für alle Websites, bei denen personenbezogene Daten übertragen werden.
Dies betrifft unteranderem Kontaktformulare, Kommentarfunktionen und Newsletteranmeldungen auf der Website. Wenn ein Login auf der Website möglich ist, sollte auf jeden Fall eine verschlüsselte Verbindung verwendet werden, da sonst das Passwort im Klartext übertragen wird.
Wie an den oberen Screenshot bei der Netzwerkanalyse zu sehen ist, hat jeder Host ein grünes Schloss davor. Das bedeutet, dass alle Hosts über eine verschlüsselte Verbindung angesprochen wurden.
WordPress Plugins
Neben den von außen sichtbaren Verbindungen gibt es aber auch WordPress-Plugins, die personenbezogene Daten verarbeiten und eventuell im Hintergrund diese an andere Server übertragen. Von Gerti habe ich diesbezüglich folgenden hilfreichen Link erhalten: 120+ WordPress-Plugins im DSGVO-Check (mit Lösungen, Alternativen und Plugin-Tipps!).
Auf spitzohr.de installierten Plugins
Aber erstmal werfe ich einen Blick auf meine hier installierten Plugins. Mir ist wichtig, dass ich nur Plugins installiert habe, die ich auch wirklich nutze. Wenn ich Plugins deaktivieren kann, dann lösche ich diese auch gleich vom Server. Auch deaktivierte Plugins brauchen Rechenleistung und stellen eventuell auch Sicherheitsrisiken dar. Ich verwende bevorzugt nur Plugins, die sich über WordPress.org aktualisieren können. Und halt meine Eigenentwicklungen.
- Akismet Anti-Spam: Dieses Plugin schützt meinen Blog sehr erfolgreich vor Spam-Kommentaren. Die Daten des Nutzers werden beim Kommentieren an einen Server in die USA übermittelt und dort auf Spam getestet. Nur zusammen mit dem zusätzlichen Plugin Akismet Privacy Policy zu verwenden.
- Akismet Privacy Policy: Dieses Plugin ergänzt eine Checkbox bei der Kommentarfunktion, bei dem der Nutzer explizit zustimmen muss, dass seine Daten zur Spam-Prüfung in die USA übermittelt werden.
- Beitragsstatus Archiviert: Fügt den Status „Archiviert“ hinzu. Ich kann somit Beiträge von der Website entfernen, ohne sie zu löschen oder auf privat zu schalten.
- Gutenberg: Ein neuer Editor, bei dem die Inhalte als Blöcke geschrieben werden können. Aktuell noch in der Testphase.
- Responsive Lightbox: Fügt ein JavaScript hinzu, mit dem die Bilder auf der Website durch Anklicken vergrößert werden. Die JavaScript-Dateien liegen auf meinem Server.
- Spitzohr Version Monitoring: Ein von mir geschriebenes Plugin um über Plugins zu informieren. Es werden dabei nur Daten über die WordPress-Installation an mich übermittelt.
- Theme My Login: Das Plugin integriert das Login-Formular in meine rechte Seite. Teste ich gerade, um für eingeloggte Besucher auch persönlichere Beiträge (quasi „friends only“) anzeigen zu können.
- User Role Editor: Über dieses Plugin kann ich den angemeldeten Nutzer Rollen zuweisen, dass sie persönlichere Beiträge lesen dürfen. Bin da aber noch am Testen.
- WP-Piwik: Über dieses Plugin wird der Tracking-Code für das Web Analyse Tool Matomo (ehemals Piwik) in die Website integriert. Es werden aber nur Daten an meine eigene Matomo-Installation übertragen.
- Yoast SEO: Ein sehr hilfreiches und oft aktualisiertes Plugin, welches mich bei der Suchmaschinenoptimierung meiner Website unterstützt.
Das einzige kritische Plugin in diesem Zusammenhang ist Akismet Anti-Spam. Im oben genannten Blog-Eintrag wird als Lösung die Installation von Akismet Privacy Policy vorgeschlagen, was ich inzwischen auch gemacht habe.
Server Logfiles
Die meisten Webserver speichern die Zugriff auf die Websites in Server Logfiles. Dort ist normalerweise die IP-Adresse, Datum, Uhrzeit, URL, der verwendete Browser und die Seite, wo der Besucher herkommt, gespeichert.
Bei Domainfactory habe ich folgende Optionen beim Umgang mit Logfiles:
- Keine Logfiles erzeugen
- Logfiles erstellen
- Logfiles mit gzip komprimieren
- Logfiles nach 7 Tagen löschen
- Logfiles nicht löschen (nicht empfohlen)
- Subdomains in Logfiles anzeigen
- Logfiles mit gzip komprimieren
Bei technischen Problemen oder falls jemand mal meine Website erfolgreich hacken sollte, sind die Logfiles hier natürlich sehr wichtig. Deswegen halte ich es für den Betrieb meiner Website für sinnvoll, dass ich diese Logfiles erzeugen lasse. Meiner Meinung nach ist das ein berechtigtes Interesse für einen stabilen Betrieb. Trotzdem muss ich die Logfiles ja nicht ewig aufheben. Sieben Tage sind ein schon sehr kurzes Zeitfenster. Mir wären hier zwei bis vier Wochen lieber. Aber sieben Tage müssen halt ausreichen.
Es gibt keine Option die IP-Adressen in den Logfiles anonymisieren zu lassen. Dazu gibt es auch verschiedene Meinungen. Da ich die Logfiles ausschließlich für die Fehlersuche verwende und dort anhand der IP-Adressen auch zusammenhängende Aufrufe erkennen muss, sehe ich da auch kein Problem.
Webalzier Statistik
Die Logfiles werden auch zum Erstellen von Statistiken verwendet. Dort wurden bisher auch die Top 30 Rechner (IP-Adressen) aufgelistet. Diese Einstellung habe ich jetzt auf 0 gesetzt. Das werde ich auch noch bei allen meinen anderen Websites umstellen. Ansonst sind dort keine weiteren personenbezogene Daten zu finden. Die Statistik schaue ich sehr selten an.
Impressum und Datenschutzerklärung
Datum habe ich jetzt die Informationen über die Website, die ich benötige um mein Impressum und die Datenschutzerklärung zu erstellen.