DSGVO: Cookies, Formulare und Datenschutzerklärung

Modul 9: E-Mail, Auffindbarkeit, DSGVO, Wartung und Umzug · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie die DSGVO-Grundlagen einer WordPress-Website in Ordnung bringen: wissen, welche personenbezogenen Daten Sie verarbeiten, Cookies und externe Inhalte richtig regeln, Formulare sauber einrichten und eine Datenschutzerklärung erstellen.

Kernbegriffe: personenbezogene Daten, Verarbeitung, Rechtsgrundlage, Informationspflicht, Datenschutzerklärung, Cookie-Regel (ePrivacy-Richtlinie), Einwilligung, funktionale und analytische Cookies, Tracking-Cookies, Cookie-Banner, externe Inhalte, Formulare, Aufbewahrungsfrist, Auftragsverarbeiter, Auftragsverarbeitungsvertrag, Datenpanne

Diese Lektion ist eine allgemeine Erklärung, keine Rechtsberatung. Für Ihre konkrete Situation lesen Sie die Informationen der zuständigen Datenschutzaufsichtsbehörde Ihres Landes oder fragen Sie eine fachkundige Person.

Was die DSGVO mit Ihrer Website zu tun hat

Die DSGVO (Datenschutz-Grundverordnung) handelt von personenbezogenen Daten: allem, womit Sie jemanden direkt oder indirekt erkennen können. Auf einer Website ist das mehr, als man denkt: ein Name und eine E-Mail-Adresse aus einem Formular, eine Bestellung, ein Konto, aber auch eine IP-Adresse und ein Cookie mit einer eindeutigen Nummer.

Fast jede WordPress-Website verarbeitet also personenbezogene Daten: in Formularen, Kommentaren, Konten, Bestellungen, Server-Logdateien, Backups, Mail-Logs (Lektion 9.1) und in dem, was Ihre Website an andere Parteien sendet. Dafür gelten unter anderem diese Regeln:

• Sie benötigen für jede Verarbeitung eine Rechtsgrundlage (Artikel 6 DSGVO), zum Beispiel: notwendig zur Erfüllung eines Vertrags (eine Bestellung), Einwilligung (ein Newsletter) oder ein berechtigtes Interesse.
• Sie verarbeiten nicht mehr als nötig und bewahren nicht länger auf als nötig.
• Sie informieren die Betroffenen darüber, was Sie tun (Artikel 13 DSGVO): das tun Sie in Ihrer Datenschutzerklärung.
• Sie sichern die Daten angemessen ab (https, Updates, Backups: der Rest dieses Kurses).
• Lassen Sie eine andere Partei Daten für Sie verarbeiten (Ihren Hoster, einen Maildienst, ein Plugin mit einem Clouddienst), handelt es sich um einen Auftragsverarbeiter, und Sie schließen einen Auftragsverarbeitungsvertrag (Artikel 28 DSGVO). Hoster und große Dienste halten diesen meist standardmäßig bereit.
• Geht etwas schief (ein Hack, ein geleaktes Backup), handelt es sich um eine Datenpanne, die Sie unter Umständen melden müssen (Lektion 7.5).

Cookies: die gesetzliche Grundlage

Für Cookies (und vergleichbare Techniken wie Local Storage und Tracking-Pixel) gilt zusätzlich die Cookie-Regel aus der europäischen ePrivacy-Richtlinie (in Deutschland § 25 TDDDG, in den Niederlanden Artikel 11.7a Telecommunicatiewet). Kurz zusammengefasst, so wie es die niederländische Datenschutzaufsichtsbehörde (AP) erklärt:

• Funktionale Cookies, die notwendig sind, damit die Website funktioniert (ein Login-Cookie, ein Warenkorb, das Speichern der Cookie-Auswahl selbst): dürfen ohne Einwilligung gesetzt werden. Sie müssen aber darüber informieren.
• Analytische Cookies mit keinen oder geringen Auswirkungen auf die Privatsphäre: dürfen ohne Einwilligung gesetzt werden, wenn sie bestimmten Bedingungen entsprechen. Denken Sie an Statistiken, die Sie selbst erheben oder die datenschutzfreundlich eingestellt sind (keine Datenweitergabe, gekürzte IP-Adressen, kein Tracking über andere Websites hinweg).
• Tracking-Cookies und alles, was Besucher verfolgt oder Profile erstellt (Werbung, soziale Medien, die meisten eingebetteten Dienste großer Plattformen): erst nach Einwilligung, und somit erst laden, nachdem der Besucher "Ja" gesagt hat.

Ein Cookie-Banner fragt diese Einwilligung ab. Die niederländische Aufsichtsbehörde (AP) nennt unter anderem: erklären Sie, welche Cookies Sie verwenden und wofür, Ablehnen muss genauso einfach sein wie Akzeptieren, und keine vorab angekreuzten Kästchen. Ein Banner, der nur "OK" kennt, oder der den Tracking-Code schon lädt, bevor eine Wahl getroffen wurde, genügt nicht. Es gibt viele Cookie-Plugins für WordPress; wählen Sie eines, das Skripte wirklich blockiert, bis eine Einwilligung vorliegt, und überprüfen Sie das (die Aufgabe dieser Lektion hilft dabei).

Externe Inhalte: was Ihre Website an andere sendet

Auch ohne Cookies sendet Ihre Website Daten an andere Parteien, sobald eine Seite etwas von ihnen lädt. Der Browser Ihres Besuchers holt es dann bei dieser Partei ab, und diese sieht mindestens die IP-Adresse. Beispiele:

In Deutschland entschied ein Gericht (LG München I, Januar 2022), dass das Laden von Schriften eines externen Dienstes ohne Einwilligung gegen die DSGVO verstößt, weil dadurch die IP-Adresse des Besuchers weitergegeben wurde. Das zeigt, worum es geht: Jede externe Quelle müssen Sie erklären können.

Formulare

Ein Formular ist eine Verarbeitung. Beachten Sie:

• Fragen Sie nur, was Sie brauchen. Für einen Rückrufwunsch benötigen Sie einen Namen und eine Telefonnummer, keine Adresse und kein Geburtsdatum.
• Über https (Lektion 3.1), sonst gehen die Daten unverschlüsselt über das Internet.
• Wo bleiben die Daten? Viele Formular-Plugins speichern jede Einsendung zusätzlich zur E-Mail auch in der Datenbank. Dann stehen dort nach Jahren Tausende Einsendungen. Stellen Sie eine Aufbewahrungsfrist ein oder schalten Sie das Speichern aus, wenn die E-Mail ausreicht. Auch das Mail-Log Ihres SMTP-Plugins (Lektion 9.1) enthält sie.
• Die Einwilligung für einen Newsletter ist ein separates, nicht vorab angekreuztes Kästchen. Ein Kontaktformular ist keine Newsletter-Anmeldung.
• Spamschutz: siehe die Tabelle oben.

Die Datenschutzerklärung

WordPress erstellt bei der Installation eine Entwurfsseite Datenschutzerklärung und bietet unter Einstellungen > Datenschutz eine Hilfe mit Beispieltexten; Plugins, die Daten verarbeiten, können dort Text hinzufügen. Das ist ein Anfang, kein Endergebnis. Eine Datenschutzerklärung beschreibt gemäß Artikel 13 DSGVO unter anderem:

• wer Sie sind und wie Sie erreichbar sind;
• welche personenbezogenen Daten Sie verarbeiten, wofür und auf welcher Rechtsgrundlage;
• mit wem Sie sie teilen (Auftragsverarbeiter, andere Parteien) und ob sie außerhalb der EU verarbeitet werden;
• wie lange Sie sie aufbewahren;
• welche Rechte Betroffene haben (Auskunft, Berichtigung, Löschung, Widerspruch) und dass sie eine Beschwerde bei der zuständigen Aufsichtsbehörde einreichen können;
• welche Cookies und externen Dienste Ihre Website nutzt.

Setzen Sie einen Link zur Datenschutzerklärung in die Fußzeile (Lektion 4.3), sodass er auf jeder Seite auffindbar ist, und bei jedem Formular.

WordPress bietet unter Werkzeuge auch Funktionen, um personenbezogene Daten zu exportieren und zu löschen auf Wunsch eines Nutzers. Praktisch bei einer Auskunfts- oder Löschanfrage, aber sie finden nur Daten von WordPress und von Plugins, die sich daran anbinden.

Ein einfacher Stufenplan

1. Erstellen Sie eine Liste aller Verarbeitungen auf Ihrer Website: Formulare, Konten, Bestellungen, Kommentare, Statistiken, Newsletter, Logdateien, Backups.
2. Prüfen Sie, was Ihre Website beim Laden an andere Parteien sendet (die Aufgabe dieser Lektion).
3. Entfernen Sie, was nicht nötig ist; ersetzen Sie, was datenschutzfreundlicher geht.
4. Regeln Sie die Einwilligung für das, was übrig bleibt und wirklich Einwilligung benötigt, mit einem Banner, der Skripte blockiert.
5. Schließen Sie Auftragsverarbeitungsverträge und schreiben (oder überarbeiten) Sie Ihre Datenschutzerklärung.
6. Schauen Sie sich das jedes Jahr erneut an (Lektion 9.4), und nach jedem neuen Plugin, das Daten verarbeitet.

Zusammenfassung

• Fast jede WordPress-Website verarbeitet personenbezogene Daten: Formulare, Konten, IP-Adressen, Logdateien, Backups.
• Funktionale und begrenzte analytische Cookies dürfen ohne Einwilligung gesetzt werden; Tracking erst nach Einwilligung, und erst dann laden.
• Externe Inhalte (Schriften, Videos, Karten, Captchas) senden Daten an andere; machen Sie es lokal oder laden Sie es erst nach einem Klick.
• Fragen Sie in Formularen nur, was nötig ist, bewahren Sie Einsendungen nicht endlos auf, Newsletter-Kästchen separat und nicht vorab angekreuzt.
• Eine Datenschutzerklärung gemäß Artikel 13 DSGVO, auffindbar auf jeder Seite; Auftragsverarbeitungsverträge mit Ihrem Hoster und Ihren Diensten.

Quiz

Aufgabe

Aufgabe A9.3: Was sendet Ihre Website an andere? Geben Sie die Adresse Ihrer Website ein. Das Programm lädt die Startseite so, wie ein neuer Besucher ohne Cookies und ohne Einwilligung sie sieht, und zeigt eine Übersicht: welche Cookies der Server sofort setzt (nur die Namen), und von welchen anderen Domains die Seite Skripte, Schriften, Iframes oder Bilder lädt. Bekannte Dienste für Statistiken, Werbung, soziale Medien, Schriften und Video werden namentlich gemeldet (orange: "prüfen Sie, ob dies erst nach Einwilligung lädt, oder ersetzen Sie es"). Außerdem wird geprüft, ob auf der Startseite ein Link zu einer Datenschutzerklärung vorhanden ist.

Aufgabe D9.3: Ihr Verarbeitungsverzeichnis und Ihre Datenschutzerklärung. Erstellen Sie eine Liste aller Verarbeitungen auf Ihrer Website (Formulare, Konten, Bestellungen, Kommentare, Statistiken, Newsletter, Logdateien, Backups) mit je Verarbeitung: welche Daten, wofür, Rechtsgrundlage, wo gespeichert, wie lange und welcher Auftragsverarbeiter. Vergleichen Sie diese Liste mit Ihrer Datenschutzerklärung und haken Sie ab, was darin steht. Notieren Sie, was Sie ergänzen oder entfernen, und welche externen Dienste aus Aufgabe A9.3 Sie ersetzen oder erst nach Einwilligung einbinden.

Weiterführende Informationen

Diese Artikel beziehen sich auf WebOké selbst; die Erläuterungen für Ihre eigene Website finden Sie bei der zuständigen Datenschutzaufsichtsbehörde Ihres Landes.

• Cookies bei WebOké: Ihre Auswahl ansehen oder ändern
• Cookies (niederländische Datenschutzaufsichtsbehörde AP): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Cookies und Ihre Organisation: sorgen Sie für eine gute Richtlinie (niederländische Datenschutzaufsichtsbehörde AP): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Klare Cookie-Banner (niederländische Datenschutzaufsichtsbehörde AP): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Recht auf Information (niederländische Datenschutzaufsichtsbehörde AP): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Datenpannen (niederländische Datenschutzaufsichtsbehörde AP): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Datenschutz in WordPress (wordpress.org, Englisch): https://wordpress.org/documentation/article/settings-privacy-screen/