Thema DSGVO: IPs, Links, Themes, Plugins und Cloudprodukte

Unverbindliche Tipps zum DSGVO-konformen Einsatz von Plugins und Services. Eine kleine Gedankensammlung zum Thema inklusive Webhosting und WordPress sowie zur Verwendung von Clouddiensten

Es soll eine kleine Zusammenstellung von Daten, Links und Erklärungen rund um die DSGVO sein, um ein paar Eigenheiten rund um das Thema besser zu verstehen. Alle Notizen, Gedanken und Links verstehen sich nicht als Rechtsberatung und sind ohne Wertung, ohne Haftung und ohne Gewähr zu sehen.

Webhosting und WordPress

Über Pragmatik, Sinnhaftigkeit und Sicherheit lässt sich sicher über die DSGVO diskutieren, aber bis die ersten Abmahnungen gemeistert und Urteile gesprochen sind, sollte man einfach einiges beachten. Auch wenn man nur komplett frei verfügbaren Content zur Verfügung stellt und nicht mit „richtigen" Kundendaten arbeitet, d. h. Namen, E-Mails, Adressen usw. erfasst und speichert.

Ist die DSGVO abweichend von der europäischen GDPR zu sehen? Scheinbar ja, und zwar gilt für alle Seiten/Dienste/Plugins, dass die IPs der anonymen Benutzer nicht erfasst oder weitergeleitet werden dürfen.

Was? Warum das denn? Laut aktuell geltender deutscher Rechtsprechung (siehe weiter unten) sind Aufrufe von Seiten und auch z. B. WordPress-Plugins nicht erlaubt, die nicht mit verschlüsselten, verfälscht angezeigten oder verkürzten IPs arbeiten.

Und das sind zurzeit (2018) noch viele Plugins. Besonders die für die Sicherheit der Website arbeitenden Plugins – für Firewall, Blockierung von Angriffen bei mehrmaligem Versuch des unerlaubten Logins usw. – sind betroffen, die bisher naturgemäß mit IPs arbeiten müssen, sowie auch die meisten Statistikplugins. Aber einige bieten die Möglichkeit der IP-Verschleierung, und auch bei der Statistik kann z. B. Matomo DSGVO-konform eingestellt werden.

Aber auch viele Dienste wie eingebundene Video- und Social-Media-Plattformen bekommen die IP übermittelt, wenn der User auf der Seite surft und der jeweilige Dienst vorher nicht über eine Cookie-Abfrage gesperrt werden kann.

Wie sieht man, welche Dienste von Websites benutzt werden? Am einfachsten, indem man sich im Browser ein geeignetes Plugin wie z. B. uBlock Origin installiert, das direkt alle aufgerufenen Domains anzeigt (und sie auf Wunsch auch gleich blockt). Man wird sich wundern, wie viele Links da – meist für Werbung – aufgerufen werden. Aber Vorsicht, einige Websites und -shops arbeiten nicht ordentlich, wenn z. B. benötigte CDNs (Content Delivery Networks) nicht geladen werden können. https://addons.mozilla.org/de/firefox/addon/ublock-origin/

Beispielhaft z. B. die Aufrufe von Diensten der spiegel.de-Seite (verkürzt)

Hier sollten bei der eigenen Website bestenfalls nur die eigenen Domains stehen! Auf verwendete Dienste, wie GoogleAds oder das Einbinden eines Wetter-Widgets, muss spezifisch in den Datenschutzerklärungen hingewiesen werden. Sofern sie denn überhaupt wichtig für den Betrieb der Seite sind.

Warum sind diese IPs DSGVO-problematisch?

IPs, also Internet-Protocol-Nummern, die jeder Rechner, Router, Webserver usw. hat und die zur Grundlage des Internets gehören, gelten in Deutschland als personenbezogene Daten. Auch wenn kein normaler Mensch herausbekommt, welcher Mensch hinter welcher IP sitzt.

„BGH bestätigt: Dynamische IP-Adressen sind personenbezogene Daten" Quelle: https://www.heise.de/newsticker/meldung/BGH-bestaetigt-Dynamische-IP-Adressen-sind-personenbezogene-Daten-3714967.html

Wer sich in das Thema vertiefen mag, kann hier einiges dazu nachlesen und sich seine eigene Meinung bilden: https://www.daten-speicherung.de/index.php/klage-gegen-surfprotokollierung/ https://www.cr-online.de/blog/2015/09/13/ip-adressen-eu-kommission-gibt-bgh-nachhilfe-in-sachen-grundrechte/ https://dejure.org/dienste/vernetzung/rechtsprechung?Text=ZD%202015,%2080 https://www.daten-speicherung.de/wp-content/uploads/Breyer-Personenbezug-IP-Adressen.pdf

Sicher ist es nur eine Frage der Zeit, bis die Entwickler Updates mit der Funktionalität liefern, die deutschem Recht entsprechen. Aber in den meisten Entwicklerländern ist diese bisher deutsche Eigenheit unbekannt und meist auch egal. Also abwarten.

Eine sehr gute Erklärung, wie man Aufrufe von Google Fonts und Font Awesome per Dequeue in der functions.php von Hand abschaltet, findet man hier:

remove-google-fonts-from-wordpress-theme

remove-font-awesome-from-wordpress-theme

Cloud-Dienste

Vorsicht galt schon immer den Diensten in der Cloud in Bezug auf die DSGVO und den Betrieb auf ausländischen Servern.

Prinzipiell ist es natürlich kein Problem, Office 365 zu kaufen und die Apps zu benutzen – solange es nicht die auch online verfügbaren Apps wie Word und Excel sind, die auf den Microsoft-Servern ausgeführt werden. Die Partnerschaft mit der Telekom ist wohl leider vorbei, und eine dedizierte Nutzung auf deutschen Servern, die man bisher noch kaufen konnte, ist nicht mehr möglich.

Update 2020 Der Betrieb ist nun wieder auf deutschen Servern möglich, wie in diesem Artikel bei Microsoft beschrieben. Problem ist nach wie vor, dass man mit Microsoft keinen notwendigen Auftragsverarbeitungsvertrag schließen kann, sondern Microsoft das Thema einseitig über Online Service Terms (OST) abschließt.

So ist dieser Artikel von Heise.de (als Update vom 5.10.2020) sehr interessant, wonach man auf die Benutzung der Office-Produkte als Cloud-Apps verzichten sollte, oder wie es offiziell heißt, dass „kein datenschutzgerechter Einsatz von Microsoft Office 365 möglich ist" laut der Datenschutzkonferenz des Bundes und der Länder vom September 2020.