Source: https://netz-rettung-recht.de/archives/2083-DSGVO-fuer-Blogger-und-Webseitenbetreiber.html
Timestamp: 2019-08-19 10:10:16
Document Index: 79483811

Matched Legal Cases: ['Art. 7', 'Art. 19', 'Art. 20', 'Art. 7', 'Art. 12', 'Art. 25']

Der erste Schritt ist dabei auch der schwierigste und langwierigste: die Bestandsaufnahme, welche Daten ich erhebe, verarbeite, speichere, übertrage und veröffentliche. Je geringer meine technischen Kenntnisse, je mehr Funktionen und Plugins ich für meine Webseite, mein CMS, mein Blog installiert habe, je länger die Installation “organisch gewachsen” - vielleicht gar gewuchert ist -, desto schwerer wird dieser Schritt fallen. Es nützt ja aber nun alles nichts - irgendwann muss man sich damit beschäftigen (und auch einmal aufräumen); warum nicht jetzt?
Fangen wir vorne an: Webseiten werden in der Regel mit Browsern abgerufen. Dabei muss der Webserver technisch zwingend die IP-Adresse, die Internet-Adresse des Browsers (oder eines vorgeschalteten Proxys oder Gateways oder …) erfahren, damit er die abgerufene Webseite nach dort übermitteln kann. Daneben schickt ihm der Browser aber noch weitere Informationen mit, so zum Beispiel seine eigene Kennung und die Webseite, von der er “gekommen” ist. Diese Informationen werden üblicherweise in einem Logfile gespeichert und sind schon aufgrund der übermittelten IP-Adresse personenbezogen oder doch personenbeziehbar; das ist jedenfalls die Auslegung der Datenschutzaufsichtsbehörden und die naheliegende Lesart der DSGVO. Außerdem gibt es anderweitige Möglichkeiten, wie solche Einträge personenbeziehbar werden können, bspw. durch die Verwendung eines Kontakt- oder Kommentarformulars, das sich über den Zeitpunkt des Aufrufs dann mit der IP-Adresse verknüpfen lässt.
Man sollte jetzt annehmen, als Webseitenbetreiber wisse man, was man so an externen Ressourcen nachlädt … erfahrungsgemäß ist das aber spätestens bei der Nutzung fertiger Softwarepakete wie eines Blogsystems oder eines CMS nicht immer der Fall. Dann wird man nicht umhin kommen, selbst nachzuspüren und zu dokumentieren, was die verwendete Software so treibt. Lutz Donnerhacke beschreibt, wie das geht; dabei darf man aber nicht übersehen, dass bestimmte Seiten des eigenen Blogs oder der Webpräsenz ggf. noch zusätzliche Ressourcen nachladen, bspw. das Kontaktformular oder Seiten, auf denen Videos o.ä. eingebunden werden.
Oft werden nicht nur Ressourcen nachgeladen, sondern komplette Funktionen eingebunden: Kommentarsysteme (wie von Disqus), Spamfilter (wie von Akismet), CAPTCHAs (wie ReCaptcha), aber auch Youtube- oder Vimeo-Videos, Karten von Google Maps oder Buttons oder Plugins von sozialen Netzwerken. Dabei ist dann zu berücksichtigen, dass in der Regel nicht nur die IP-Adresse des Besuchers “übermittelt” wird, sondern die eingebundenen Funktionen teilweise umfangreiche weitere Daten erheben und übermitteln. Hier ist besondere Sorgfalt bei der Recherche geboten, zumal die Datenübermittlung nicht selten ins EU-Ausland erfolgen wird.
Hier gilt deshalb noch mehr als bei den eingebundenen Ressourcen: Sie werden schauen müssen, was Ihre Webseite, Ihr CMS, Ihr Blog und die installierten Plugins so tun. Manchmal kann das einigermaßen augenöffnend sein … Auch hier hat Lutz Donnerhacke dankenswerterweise die Vorgehensweise beschrieben.
Verengen Sie dabei Ihren Fokus nicht nur auf Webseiten! Wenn Sie bspw. im Vorstand eines Vereins tätig sind, dann sind Ihre Webseiten aller Voraussicht nach Ihr geringstes Problem - schließlich haben Sie vermutlich eine Mitgliederdatenbank und eine Buchführung, machen, sammeln und veröffentlichen Fotos, berichten über Vereinsereignisse unter Namensnennung … Da eröffnet sich ein weites Feld.
Gibt es für eingebundene Funktionen datenschutzfreundlichere Alternativen, wie bspw. das Shariff-Projekt zum “Teilen” von Inhalten in sozialen Netzwerken statt der Einbindung von Buttons der sozialen Netzwerke?
Der scheinbare Joker ist dabei die Einwilligung des Betroffenen (Art. 7 DSGVO), weil sie zunächst jede Datenverarbeitung ohne weitere Abwägung rechtfertigt - sie ist jedoch mit großen praktischen und rechtlichen Nachteilen verbunden. Ein praktischer Nachteil ist, dass die Einwilligung nunmehr in der Regel ausdrücklich erklärt werden muss - und natürlich eine vorherige Information darüber erfordert, worin eingewilligt wird. Formulierungen der Art wie “mit dem Aufruf meiner Webseiten stimmen Sie … zu” oder “mit dem Absenden eines Kommentares willigen Sie in die Speicherung und Veröffentlichung ein” genügen den Anforderungen der DSGVO nicht. Der rechtliche Nachteil der Einwilligung ist, dass sie jederzeit widerrufen werden kann - und wenn Sie dann keine andere Rechtsgrundlage für die Datenverarbeitung haben, müssen Sie die Daten löschen! Was wird das für ein Spaß, nachträglich (!) in Ihren Logfiles oder Ihrer Statistikanwendung einzelne Datensätze zu löschen oder all denen, denen die Daten übermittelt wurden - Akismet, ReCaptcha, Google Analytics … - mitzuteilen, dass die Daten nunmehr auch dort zu löschen sind (Art. 19 DSGVO). Außerdem gilt für aufgrund einer Einwilligung vom Nutzer übermittelte Daten das Übertragungsrecht aus Art. 20 DSGVO: Sie müssen die Daten nicht nur ggf. löschen, sondern auch an den Nutzer herausgeben. Hinzu kommt das Koppelungsverbot (Art. 7 Abs. 4 DSGVO): Sie dürfen die Zustimmung zu einer über das zur Erbringung Ihres Angebots notwendige Maß hinausgehenden Datenverarbeitung nicht dadurch erzwingen, dass Sie - “friss oder stirb!” - die Zustimmung verlangen und sonst ihr Angebot nicht zugänglich machen.
Die Darstellung muss dabei “in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache” erfolgen (Art. 12 Abs. 1 DSGVO). Das erfordert eine sinnvolle Gliederung und Zusammenstellung der Daten nach passenden Kategorien.
Empfehlen kann ich für diesen Zweck den Datenschutz-Generator von Rechtsanwalt Dr. Thomas Schwenke. Hier können Sie sich - für Privatpersonen kostenlos - eine Datenschutzerklärung aus einer Vielzahl von Textbausteinen zusammenklicken. Gehen Sie das Ergebnis aber am besten noch einmal kritisch durch! Manches erfordert eine Anpassung an Ihre konkrete Situation, und manchmal erscheint mir die Darstellung unnötig lang und komplex zu sein …
Die Datenschutzerklärung sollten Sie - analog zu Ihrem Impressum - nach Möglichkeit von jeder Seite Ihrer Webpräsenz aus verlinken, am besten möglichst weit oben, und so, dass man das Ziel des Links auch erkennen kann; als Text empfiehlt sich - trotz der Länge - “Datenschutz(erklärung)”.
Vergessen Sie aber bitte nicht, dass zum Datenschutz auch die Datensicherheit gehört, also der “technische Datenschutz” oder - im Duktus der DSGVO - der “Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen” (Art. 25 DSGVO). So gehört die Verschlüsselung des Datenverkehrs bspw. per HTTPS heute zum Stand der Technik; Let’s Encrypt macht es (auch für Sie!) möglich. Auch müssen Sie installierte Webapplikationen - Ihr Wordpress, Ihr Serendipity, Ihr CMS - regelmäßig updaten und auch sonst auf den Stand der Sicherheit und Technik achtgeben. Das gilt auch für den Umgang mit Ihren Passwörtern.
Dann sind Sie wirklich “fit” für die DSGVO.