DSGVO mit WordPress – Schritt für Schritt

DSGVO Datenschutzgrundverordnung 

In diesem Beitrag zeige ich Schritt für Schritt, was ich persönlich gemacht habe, um der DSGVO zu entsprechen.

Für wen ist dieser Beitrag interessant? Für alle die zum einen mit WordPress arbeiten und für alle die „klassische“ Firmenhomepages betreiben.
Mit klassisch meine ich Homepages für Handwerker, Ärzte, Restaurants oder eben wie meine Webdesigner-Seite.

Was diese Webauftritte gemeinsam haben, sie erheben in der Regel keine großen Datenmengen wie ein Hotel was z.B. Reservierungsanfragen bearbeitet, normalerweise wird auch nicht mit Newsletter oder E-Mail Listen gearbeitet, wenn überhaupt gibt es Kontaktformulare oder Kommentarfunktionen worüber die Webseitenbesucher Daten an das Unternehmen übermitteln können.

Es geht hier zum einen, um die technischen Maßnahmen, welche ich ergriffen habe, um meine Internetseite DSGVO konform zu gestalten aber auch die rechtliche Absicherung inkl. Verarbeitungsverzeichnis und Datenschutzbestimmungen werden behandelt.

Wer ist grundsätzlich von der DSGVO betroffen?

Alle geschäftlichen Internetauftritte sind von der DSGVO betroffen, also im Prinzip so gut wie alle Websites und hier haften bei Verstößen sogar die Geschäftsführer persönlich, egal ob GmbH oder sonstige Firmierungen. Von daher ist hier aufgrund der hohen Strafen wirklich Handlungsbedarf für jeden Websitebesitzer gegeben. (Rein private Seiten sind davon ausgenommen – keine Werbung-Keine Partnerlinks etc.)

Da ich bisher aber keine praktische Anleitung zu dem Thema gefunden habe, was den nun alles im Detail zu tun ist zeige ich hier einfach mal, was ich an meiner Website gemacht habe um (hoffentlich) DSGVO Konform zu sein. So können Sie sich daran orientieren und es JETZT sofort umsetzen.

1

Im ersten Schritt habe ich mit meinem Hoster* (Da wo meine Website liegt) eine Vereinbarung zur Auftragsdatenverarbeitung (ADV/AV) abgeschlossen und diese unterschrieben. Ausgedruckt und fertig. Wenn Ihr Hoster nicht gerade in den USA oder auf den Kanaren beheimatet ist sollte er Ihnen schon diese ADV angeboten haben, sonst einfach mal in Ihrem Account einloggen und ggf. den Support kontaktieren.

2

Google Analytics und die DSGVO?

Google Analytics nutze ich für meine Firmenhomepage nicht, ich habe einige SEO-Projekte wo ich nicht darauf verzichten kann, hier ist es derzeit aber nicht nötig. Die meisten Websitebsitzer benötigen solch ein umfangreiches Trackingprogramm auch nicht wirklich. Um zu sehen, wieviele Besucher die Webseite besuchen gibt es für WordPress ein DSGVO konformes Plugin, was keine personenbezogenen Daten speichert bzw. verarbeitet.

Statify

Daher wäre meine Empfehlung Analytics deaktivieren, ganz wichtig den Analytics Codeschnipsel aus der Website entfernen und Statify Installieren und fertig.

3

Auch Schrift kann Daten übertragen

Ich nutze Google Fonts, da dabei Daten an die Googleserver gesendet werden möchte ich diese Verbindung kappen.

Um zu sehen ob die eigene Website Google Fonts verwendet und vorallem welche, einfach im Google Chrome Browser mit Rechtsklick auf die Seite –> Untersuchen –> und unten links auf den Reiter „Sources“ gehen –> fonts.googleapis.com auswählen = Bei mir ist es die Schriftart Open Sans in den Größen: 300, 400 und 600. (Aktuell nutze ich eine andere Schriftart, der Weg ist aber gleich.)

Jetzt wissen wir ob und welche Google Fonts verwendet werden, also können wir die Verbindung zum Google Server kappen, das geht je nach verwendetem Theme mit diesen Plugins:

Autoptimize ist ein Performanceplugin, wer es benutzt kann unter dem Reiter „Extras“ die Google Fonts entfernen.

Das klappt leider nicht auf jeder WordPress Seite, als Alternative gibt es noch folgendes Plugin: Remove Google Fonts References, ist schon etwas älter soll aber funktionieren.

Ich selber nutze das Theme Enfold*, es ist sehr weit verbreitet, wer es verwendet wird mit den oben genannten Plugins nicht zum Ziel kommen. Bei Enfold muss man folgendes in die function.php seines Child-Themes eintragen um die Verbindung mit den Google Servern zu trennen.

add_action( 'init', 'enfold_customization_switch_fonts' );
function enfold_customization_switch_fonts() {
    global $avia;
    $avia->style->print_extra_output = false;
}

Jetzt würde meine Website Standard Schriftarten verwenden, das gefällt mir optisch nicht, damit ich die Google Fonts weiterhin DSGVO Konform nutzen kann installiere ich sie auf meinem Server, das passiert folgendermaßen.

3 / 2

Google Fonts auf den eigenen Server laden und verwenden

So kurz wie möglich:

1. Ich verbinde mich per FTP mit meinem Webspace.

2. Dann suche ich mir unter google webfonts helper den Open Sans Font heraus und wähle die Größen 300, 400 (regular)und 600

3. Unter Punkt 4 beim google webfonts helper findet man einen Download Link für die Schriften.
Hier lade ich das ZIP File auf meinen Rechner und entpacke es, die entpackten Dateien habe ich per FTP auf meinen Webspace hochgeladen und zwar in das Hauptverzeichnis dort wo die Ordner wp-admin usw. liegen. Aber nicht einfach so dort hineinladen, sondern einen neuen Ordner mit dem Namen fonts erstellen und da dann hinein mit den Fonts.

4. Jetzt wird ein CSS Code erzeugt, welchen ich schon kopieren kann und bei WordPress unter Design–> Customizer einfügen. Der Pfad, wo den die Fonts zu finden sind muss vorher noch angepasst werden.

Noch funktioniert der CSS Code nicht, da wir noch bescheid geben müssen das wir Open Sans für die H1 Überschriften usw verwenden möchten, daher kommt noch diese Anweisung in den Customizer.

body, body p, a, pre, strong, quote, h1, h2, h3, h4, h5, h6 {
font-family: 'Open Sans', Helvetica, Arial, sans-serif;
}

Jetzt sollte die gewünschte Schriftart vom Server geladen werden und es gibt keine Verbindung mehr zum Google Server.

Fertig

4

Eingebettete YouTube/Vimeo Videos und die DSGVO

Ich nutze wie auf meiner „Über mich“ Seite auch Videos auf meiner Website, dieses liegt bei YouTube. Wenn ein Besucher sich die Seite anschaut auch ohne das Video abgespielt zu haben, werden Daten an YouTube gesendet.

Man sollte aber die Videos erst laden lassen, nachdem der Nutzer dem eingewilligt hat, ist nicht schön, da jedes mal ein extra Klick erforderlich ist, aber das soll wohl die einzig richtige Lösung sein. Den, selbst wenn man den erweiterten Datenschutzmodus bei YouTube aktiviert, werden weiterhin Daten gesendet. Da ich mich schon alleine durch diesen Artikel hier aufs Serviertablett lege möchte ich, wenn ich schon etwas empfehle selber die meiner Meinung nach vernünftigste Lösung anbieten und die kostet knapp 30 Euro, dann ist der Punkt und einige weitere aber auch vom Tisch.

Ich nutze das Plugin Borlabs Cookie*,  in erster Linie ein Cookiehinweis und (ich will Cookies zulassen oder nicht) Plugin, im Moment noch nicht zwingend nötig, da die bekannten Hinweisbanner „Wir verwenden auf unserer Seite Cookies …“ wohl erst einmal reichen, später benötigt man dies aber sehr wohl, daher habe ich es mir jetzt schon geholt, um YouTube Videos sauber einzubetten. Bin damit aber schon für die kommende E-Privacy Verordnung gerüstet.

Das Plugin bietet derzeit wohl die einzig sinnvolle Möglichkeit Google Maps Karten oder YouTube bzw. Vimeo Videos DSGVO Konform einzusetzen, da die Inhalte erst nach der Einwilligung des Nutzers geladen werden.

5

Der Cookie Hinweis

Ich habe mir sehr viele fachkundige Webseiten angesehen zum Thema Cookie Hinweis und DSGVO, aktuell scheint es aber keine klare Linie zum Verwenden und vor allem wie Verwenden zu geben, dies wird wohl erst 2019 mit der ePrivacy Verordnung geregelt werden. Die fast einstimmige Meinung von verschiedenen Anwaltskanzleien zu dem Thema, es wäre ratsam die, wenn auch „nervigen“ Cookiebanner weiter zu verwenden.

Was nur neu ist, bei der Datenschutzgrundverordnung sind die Hinweise zu Cookies und deren Verwendung in der Datenschutzerklärung.

Ein kostenloses Cookiehinweisbanner-Plugin gibt es von dFactory

Tip: Wenn man Kommentare auf seiner WordPress Webseite benutzt, sollte man eine Checkbox zur Einwilligung setzen, dazu komme ich später noch, ich nutze dafür allerdings das WP DSGV Tools* Plugin und dieses hat ebenfalls einen Cookie Hinweis Banner enthalten, sowie noch einige Punkte zum Thema DSGVO mehr.

Wichtig, zu den Cookiebannern, diese werden oft im Footer (ganz unten) einer Webseite angezeigt und überdecken dort dann oft die Links zum Impressum oder der Datenschutzerklärung.
Das ist ein Abmahngrund, da man die Links zum Impressum ohne eine weitere Aktion erreichen muss.

Da ich das Banner aber erst bestätigen muss, damit es verschwindet kann ich vorher die Links zum Impressum nicht sehen.
Deswegen immer so platzieren, dass es nicht den Impressums, bzw. Datenschutzlink überdeckt.

6

Emojis deaktivieren

Emojis kennt man von WhatsApp, in WordPress gibt es die aber auch und wenn ich ein freudiges Grinsen hinter meinem Text hinterlassen möchte dann werden die Zeichen :-) in das entsprechende Emoji umgewandelt. So nett und harmlos das auch ist, gibt es hier wieder eine Verbindung zu Servern im Ausland, daher deaktiviere ich die Kontaktaufnahme.

Um die Emojis zu deaktiveren gibt es zwei Möglichkeiten.

Zum einen wieder das schon bei den Google Fonts angesprochene Autoptimize Plugin, dort unter Extras kann man die Emojis deaktivieren.
Als Alternative gibt es folgendes Plugin disable-emojis

Installieren, aktivieren und schon ist diese Verbindung getrennt.

7

SSL Zertifikat installieren

Diesen Punkt habe ich schon bei der Installation der Website erledigt, da es zum einen ein Rankingsignal für Google ist und zum anderen die Sicherheit der Webseite erhöht.

Im Rahmen der DSGVO sollte eine Webseite zwingend SSL verschlüsselt sein, wenn man z.B. Kontaktformulare verwendet, ohne die Verschlüsselung werden die eingegebenen persönlichen Daten ungesichert Übertragen, so dass es möglich ist mit entsprechender Software diese Daten mitzulesen. Dieser Punkt ist bereits abgehakt, wer das noch machen muss, kann sich hier meinen Beitrag dazu durchlesen:

In 7 Schritten WordPress richtig auf HTTPS/ SSL umstellen mit Plugin

8

Kontaktformulare und die DSGVO

Kontaktformulare sind nützlich, da sie dem Besucher eine schnelle Kontaktaufnahme ermöglichen auch außerhalb der Geschäftszeiten. Hier ist es aber wohl wichtig was man für Daten abfragt, der Grundsatz der Datensparsamkeit sollte auch hier eingehalten werden.

Daher habe ich Folgendes gemacht, zum einen alle unnötigen Felder entfernt, benötigt man für den Erstkontakt das Geburtsdatum oder muss man wissen, wo jemand arbeitet? Ich denke in den meisten Fällen nicht. Mir reichen der Name, die E-Mail-Adresse und das eigentliche Textfeld für die Nachricht selber.

Als Pflichtfeld habe ich nur die E-Mail-Adresse hinterlegt, falls man die vergessen würde einzugeben könnte ich nicht antworten. Alle anderen Angaben werden nicht „erzwungen“ somit erhebe ich so wenig wie möglich Daten. Sollte für den Großteil der Websitebesitzer auch so reichen. Ursprünglich hatte ich eine Checkbox unter dem Kontaktformular eingesetzt, dort wurde man auf die Datenschutzerklärung verwiesen und man musste sein Einverständnis dafür geben, das man  mit der Datenerhebung einverstanden ist inkl. Hinweis auf seine Widerspruchsmöglichkeit.

Auch hier kommen verschiedene Fachleute zu dem derzeitigen Ergebnis, das diese Einwilligung nicht einzuholen ist. Deswegen lasse ich es weg, was ich geändert habe ist einen kleinen Hinweistext unter das Kontaktformular anzubringen, das ich die Daten speichere, warum, wieso, weshalb kann der interessierte Nutzer in der Datenschutzerklärung nachlesen, welche natürlich verlinkt ist.

Hierzu verwende ich diesen Text:

Hinweise zur Verarbeitung Ihrer Angaben und Widerspruchsrechte: Datenschutzerklärung

9

Blogkommentare und der Datenschutz

Ich nutze auf meiner Seite auch die Kommentarfunktion von WordPress, nur werden hier auch IP-Adressen gespeichert, die dann personenbezogen sein könnten, also auch ein Grund DSGVO Konform umzustellen.

Dazu habe ich zwei Plugins installiert, das erste löscht alle vorhandenen IP-Adresse von bestehenden Kommentaren:

Remove Comment Ips

Das zweite Plugin sorgt dafür, das bei neuen Kommentaren keine IPs mehr gespeichert werden.

Remove IP

Wer das nicht mit Plugins lösen möchte, kann das auch über die function.php mit diesem Code lösen (ergibt nur im Child-Theme Sinn, da sonst bei einem Update der Code überschrieben würde.

function wpb_remove_commentsip( $comment_author_ip ) {
 return '';
 }
add_filter( 'pre_comment_user_ip', 'wpb_remove_commentsip' );

Zum Löschen der vorhandenen IP Adressen ohne Plugin kann man auch in der Datenbank direkt die betreffenden Zeilen löschen, hier nutze ich aber lieber das erste Plugin, kann im Nachinein auch wieder gelöscht werden. Dabei beachten, erst nach 6 Stunden fängt das Plugin zu arbeiten an. (Wie immer vorher ein Backup machen)

Anders als bei Kontaktformularen sollte bei Kommentaren das Einverständnis des kommentierenden in Form einer Checkbox eingeholt werden.

Hier für gibt es nicht viele Plugins die auch funktionieren, ich nutze das WP DSGV Tool*  kostet zwar auch ein wenig aber nur mit dem habe ich persönlich die Checkbox funktionstüchtig hinbekommen.

Als kostenlose Alternative gibt es noch das GDPR Compliance Plugin, allerdings konnte ich hier die Checkbox nicht mit jedem Browser nutzen, was dazu führte, dass man einen Kommentar nicht absenden kann, weil man nicht die Checkbox bestätigt, diese wiederum ließ sich aber eben nicht anklicken.

Kann Themespezifisch sein oder sonstiges, da im WP DSGV Tool* aber auch noch andere Sachen wie eine Datenschutzerklärung, Cookiehinweis usw. mit drinnen sind habe ich mich eben für dieses Tool entschieden, da es einfach funktioniert.

10

DSGVO konformes AntiSpam Plugin 

Gerade bei gut besuchten Websites mit Kommentarfunktionen bekommt man schnell Probleme mit Spam, um den effektiv zu blockieren nutze ich das Plugin Antispam Bee. Die einzelnen Einstellungen werde ich jetzt nicht durchkauen, schaut euch einfach den Screenshot an, mit diesen Einstellungen arbeitet das Plugin effektiv und wenn ich mich nicht irre, sollte es auch DSGVO konform sein.

Es sind im Prinzip die Einstellungen nach der Installation, ich habe nur die Aufbewahrungszeit auf 3 Tage geändert, falls es doch kein Spamkommentar ist.

11

Gravatarfunktion deaktivieren

Gravatare sind die kleinen Bilder neben den Kommentaren, so sieht man übersichtlich, wer da kommentiert hat, nur werden hier auch Daten versendet, das zu beheben geht jetzt mal echt schnell.

Ich habe hier einfach unter Einstellungen –> Diskussionen ganz unten bei „Avatare anzeigen“ das Häckchen entfernt.

12

Facebook und die DSGVO

Facebook ist mit Sicherheit nicht unschuldig beim Thema DSGVO.

Gut, es gibt aber auch hier eine saubere Alternative zu den üblichen Sharingplugins, ein DSGVO konformes „bitte teilen“ Plugin. Shariff Wrapper ist kostenlos und DSGVO konform, da es nur mit dem jeweiligen Netzwerk kommuniziert, wenn man aktiv auf den entsprechenden Button klickt.

Es lässt sich umfangreich anpassen und funktioniert einwandfrei, probiere es am Ende des Artikels einfach aus.

13

Bis jetzt waren die Maßnahmen meistens kostenlos und haben nur etwas Zeit in Anspruch genommen, für die folgenden Maßnahmen finde ich nichts, was mich ruhig schlafen lassen würde, wenn ich da selber rumdoktor.

Eines der Kernaufgaben um dem Datenschutz gerecht zu werden ist es ein Verarbeitungsverzeichnis anzulegen und dieses vorzulegen bei einer entsprechenden Anfrage.

Ob man nun sehen kann das ich meine IP-Adressen bei Kommentare gelöscht habe oder weiter speichere, ist eine Sache, wenn es da draußen aber Anwälte geben sollte, die einen gerne Abmahnen aufgrund von Datenschutzverstößen, dann gäbe es wohl zwei Punkte wo sie ganz einfach ansetzen können, zum einen beim fehlenden oder evtl. unzureichenden Verarbeitungsverzeichnis, da gehört meines Wissens ja nicht nur rein warum wo und wie man die Daten speichert, sondern auch die Technisch organisatorischen Maßnahmen (TOM) um Abgriffe, oder Verluste der Daten zu sichern etc.

Und selbst wenn ich weiß, welche Punkte aufzuführen sind, woher weiß ich, was da dann einzutragen ist? Mir persönlich ist es zu heiß hier auf irgendwelche Word Vorlagen zu vertrauen, so nach dem Motto wird schon gut gehen. Ich habe mir hier den Verzeichnisgenerator* geholt, meine Anwendungen und Daten eingegeben, Schritt für Schritt habe ich die einzelnen Punkte abgearbeitet und am Ende ein fertiges Verarbeitungsverzeichnis ausgedruckt, damit ist dieser Punkt für mich erledigt.

PS: Wer gut 10 Euro sparen möchte, einfach den Gutscheincode= runge2018 eingeben oder diesen Partnerlink hier verwenden: VG mit Rabatt*

Der Generator ist für Rechtslaien konzipiert, jeder sollte sich sofort zurechtfinden.

Inklusive sind:

• Verzeichnis von Verarbeitungstätigkeiten für alle gängigen Verfahren (zzt. über 100 Stück)
• Technische und organisatorische Maßnahmen
• Erfassung von Auftragsdatenverarbeitern
• Risikoanalyse bzw. Klassifikation bzgl. Datenschutz-Folgenabschätzung (DSFS)
• Erfassung von Auftragsdatenverarbeitern
• Fertige PDFs direkt zum Ausdrucken und unterschreiben

14

Der Zweite Punkt ist die Datenschutzbestimmung, welche auch noch jederzeit öffentlich einsehbar ist.

Da ich diese Website hier nicht zum Spaß betreibe habe ich auch bei dem Punkt etwas investiert, die Mustervorlagen z. B. hier in Österreich von der Wirtschaftskammer für die Datenschutzerklärung ist mir persönlich zu unsicher, da die Forderung ja lautet, ständig aktuell zu haltende Datenschutzbestimmung.

Wenn jetzt noch nicht mal 100% klar ist was, wie und wo gemacht werden muss, dann kann man sich vorstellen das da noch einiges an Änderungen in der nächsten Zeit auf uns alle zukommt. Hier gibt es in Deutschland einen Service, den ich mir auch für Österreich wünsche, eine sich selbst aktualisierende Datenschutzerklärung mit Abmahnkostenschutz laut den Entwicklern. (Ist für Österreich in Planung)

avalex*

Wird per Plugin installiert und alle neuen Bestimmungen und Änderungen werden im Hintergrund umgehend eingepflegt, egal ob ich nun im Urlaub bin oder einfach keine Zeit oder Lust habe mich neben meinem Kerngeschäft ständig damit zu befassen.

Perfekt, aber wie gesagt im Moment nur für deutsche Webseiten verfügbar.

Nun befinde ich mich in Österreich, was mache ich da?

Ich nutze den Datenschutzgenerator von Rechtsanwalt Dr. Schwenke, natürlich mit kostenpflichtiger Lizenz. Ist aber für Privatpersonen, Vereine und Kleinunternehmer kostenlos zu nutzen.

Nur Unternehmer müssen knapp 100 Eur für eine Lizenz aufwenden.

Da ich mich um die Datenschutzerklärung schon früher gekümmert habe sind die 100 Eur schon investiert, was ich durch meine Recherche wegen der Kommentarcheckbox erst später entdeckt habe ist das zwar kostenpflichtige WP DSGV Tool* hiermit kann man sich aber auch eine Datenschutzerklärung erstellen lassen und noch einiges mehr, was man für die DSGVO benötigt.

Und das zu dem Preis, da hätte ich mir einiges gespart.

Was im Übrigen keine gute Idee ist, sich einfach die Datenschutzbestimmungen irgendwo zu kopieren, am besten noch eine vom Anwalt erstellte, es gibt Tools da draußen, die können nach Textpassagen suchen, dann die entsprechende Erklärung zuordnen und den Lizenzinhaber abgleichen, vollautomatisch so wie ich das gehört habe.

Es ist nicht schlau sich direkt mit Anwälten anzulegen und deren Werke zu „Stehlen“. (Das nur, weil die ersten Fragen schon kamen ob man nicht z.B. meine kopieren könnte »ganz schlechte Idee«.)

…

Fazit

Wie man sieht sind die Punkte zumindest bei normalen Firmenpräsentationen nicht unbedingt schwer umzusetzen, ein wenig Geld muss man in die Hand nehmen, das sind aber keine Unsummen und diese sind evtl. auch steuerlich anrechenbar. (Einfach den Steuerberater fragen)

Ich persönlich schlafe jetzt wesentlich ruhiger und bin zufrieden diese Aufgabe soweit erledigt zu haben. Ob das alles ausreicht werden die nächsten Wochen zeigen, ich bleibe natürlich am Thema dran und erweitere den Artikel bei Bedarf.

Mein Ziel war es in allen belangen DSGVO konform zu sein, so wenig wie nötig Daten zu sammeln und auch keine Daten unkontrolliert herumschwirren zu lassen. Das war eine kleine Herausforderung und ich habe glaube ich noch nie soviel Zeit für einen Artikel wie diesen aufgewendet, ich hoffe er hilft euch eure WordPress Website anzupassen.

Fakt ist, man muss etwas tun, den Kopf in den Sand stecken halte ich für die schlechtere Alternative.

*= Bei den Links mit Sternchen* handelt es sich um Partnerlinks, wenn ihr darüber etwas erwerbt erhalte ich eine Provision, für euch ändert sich dabei weder am Preis noch am Produkt etwas. Es gibt für eigentlich jede Anwendung auch eine kostenlose Alternative.
Es muss jeder selber entscheiden ob das immer ausreichend ist.

Wer noch Fragen oder Anregungen hat, ich freue mich auf jegliche Kommentare, egal ob per Sie oder per du.

Lars Runge