DS-GVO Anpassung einer Nischenwebsite – Praxis-Beispiel Schritt 1: Analyse

DS-GVO Anpassung einer Nischenwebsite - Praxis-Beispiel Schritt 1: AnalyseAm Montag habe ich den ersten Teil meiner Artikelserie über DS-GVO gerechte Websites veröffentlicht, in dem es um die Analyse ging.

Dazu passend gibt es heute einen Praxis-Artikel, in dem ich bei einer meiner Websites die beschriebene Analyse durchführe. Dabei schaue ich mir an, welche personenbezogenen Daten auf der Website gesammelt werden und ob das alles so in Zukunft noch okay ist.

Zudem überlege ich mir, was ich davon in Zukunft noch benötige.

[the_ad id=’18199′]

Praxis-Beispiel: DS-GVO Anpassung einer Nischenwebsite

Ich werde in diesem Praxis-Beispiel eine meiner Nischenwebsites an die DS-GVO anpassen. Das soll euch zeigen, wie ich das mache und es soll euch dabei helfen, das auch bei euren Websites zu tun. Ich werde es am Beispiel von werkzeugkoffer-kaufen.de machen.

Aber natürlich ist bei der praktischen Umsetzung der DS-GVO noch einiges nicht klar. Abwägungsmöglichkeiten in der Verordnung öffnen Abmahnanwälten Tür und Tor. Auf jeden Fall werden viele Details erst in der Zeit nach dem 25.5.2018 durch Gerichtsentscheidungen klar geregelt werden.

Deshalb auch hier wieder mein Hinweis:
Da ich kein Anwalt bin, handelt es sich bei den folgenden Ausführungen um meine persönliche Meinung und meine eigenen Erfahrungen. Es handelt sich nicht um eine Rechtsberatung. Falls konkrete Fragen oder Probleme auftauchen, sollte man sich an einen Anwalt wenden.

Analyse: Welche Daten sammle ich selbst?

In der Analyse geht es darum herauszufinden, welche personenbezogenen Daten von Besuchern denn überhaupt aktuell auf meiner Nischenwebsite gesammelt werden. Am einfachsten ist das bei den Daten herauszufinden, die man selber aktiv sammelt.

Dazu gehören die Folgenden:

  • Formulare
    Über Formulare werden Daten entweder per Mail gesendet oder in die Datenbank gespeichert.
    Allerdings ist im Impressum und der Datenschutzerklärung meine Mail-Adresse zu finden. Wer an diese schreibt, übersendet mir seine Daten. Deshalb sollte hier ein Hinweis dazu, der das erläutert.
    Bei meiner Nischenwebsite nutze ich ansonten keine Kontaktformulare und ich habe die Kommentar-Funktion deaktiviert.
  • Umfrage-Plugin
    Es gibt verschiedene Plugins, die u.a. die IP-Adresse der Nutzer in die Datenbank speichern. Dazu gehören z.B. Umfrage-Plugins, die damit z.B. verhindern wollen, dass dieselbe Person merhfach abstimmt.
    Auf meiner Nischenwebsite habe ich aber kein Umfrage-Plugin im Einsatz.
  • Newsletter
    Wer einen Newsletter betreibt und dafür auf der eigenen Website Daten sammelt, muss eine Einverständniserklärung einholen. Das ist bisher aber auch so gewesen und deshalb ändert sich da nicht wirklich was.
    Ich nutze auf meiner Nischenwebsite keinen Newsletter und sammle deshalb auch keine Daten.

Selber sammle ich also soweit ich das bisher überblicken kann keine Daten meiner Nutzer auf meiner Nischenwebsite.

Blick in die Datenbank

Man sollte aber sicherheitshalber noch genauer hinschauen. Gerade wenn man viele Plugins nutzt, reicht es nicht aus, auf der Website selbst nach möglichen Datenspeicherungen zu schauen. Einige Plugins speichern IP-Adressen, wie z.B. Umfrage-Plugins. Und das teilweise unbemerkt.

Um sicherzugehen, sollte man in die Datenbank der eigenen Website schauen und sich alle Tabellen einmal anschauen. Werden irgendwo IP-Adressen oder andere personenbezogene Daten gespeichert?

Das habe ich natürlich auch gemacht und nirgendwo in der Datenbank personenbezogene Daten meiner Besucher gefunden.

Daten beim Hoster

Neben der Datenbank werden beim Hoster aber in der Regel IP-Adressen gespeichert. Die meisten Hoster erstellen automatisch sogenannte Logfiles, in denen alle Zugriffe protokolliert werden. Darin sind auch die IP-Adressen von Nutzern, um daraus dann Zugriffsstatistiken erzeugen zu können.

Diese Logfiles kann man aber deaktivieren. Bei All-Inkl.com und DomainFactory geht das direkt in den Einstellungen. Bei Mittwald musste ich laut Auskunft des Supports einfach den Ordner “stats” löschen, damit keine Logfiles mehr erzeugt werden.

Da meine Nischenwebsite auf all-inkl.com läuft und ich da schon die Logfiles deaktiviert hatte, muss ich hier also nichts weiter tun.

Welche Cookies gibt es auf meiner Nischenwebsite?

Doch damit ist die Analyse noch nicht abgeschlossen. Als nächstes schaue ich mir an, welche Cookies die Nischenwebsite im Browser setzt.

Das kann man manuell machen. Im Browser Chrome werden Cookies direkt angezeigt. Dafür einfach oben links in der Adresszeile auf das “i” bei unverschlüsselten Websites oder das Schloss bei verschlüssselten Websites klicken. Dann wird die Anzahl der Cookies von dieser Website angezeigt:

DS-GVO Anpassung einer Nischenwebsite - Praxis-Beispiel Schritt 1: Analyse

Klickt man auf diese Info, öffnert sich ein Fenster wo die Cookies einzeln angezeigt werden. Natürlich unterscheidet sich das durchaus, je nachdem, auf welcher Unterseite man ist. Schließlich sind nicht alle Werbemittel etc., die diese Cookies erstellen, auf jeder Seite eingebaut.

Es gibt übrigens auch Online-Tools, die eine Cookie-Analyse durchführen. Leider hat bei meinen Tests keines davon funktioniert.

Alternativ kann man in jedem Browser die Cookie-Informationen anzeigen lassen. Dafür darf aber kein anderes Fenster/Reiter in diesem Browser offen sein, sondern nur die betreffende Website. Zudem muss man einmal alle Cookies löschen.

Da das auch dazu führt, dass automatische Logins nicht mehr funktionieren, habe ich das bei Firefox und Chrome nicht gemacht. Stattdessen habe ich zur Analyse den Opera Browser genommen, der normalerweise bei mir nicht zum Einsatz kommt.

Hier war es also kein Problem alle Cookies einmal zu löschen, meine Nischenwebsite aufzurufen und ein paar Unterseiten durchzuklicken.

Anschließend habe ich in “Einstellungen > Datenschutz und Sicherheit > Alle Cookie und Websitedaten” nachgeschaut, welche Cookies gesetzt wurden. Es wird eine übersichtliche Liste mit den Cookies angezeigt, die von dieser Website gesetzt wurden.

DS-GVO Anpassung einer Nischenwebsite - Praxis-Beispiel Schritt 1: Analyse

Wie man sehen kann, sind das einige Cookies, die meine Nischenwebsite gesetzt hat. Neben Google tauchen dort aber auch Cookies auf, die mir nicht bekannt vorkommen.

Eine Alternative ist zudem das Browser-Addon Ghostery. Dies zeigt sehr schön an, welche Cookies und Tracker auf einer Website aktiv sind.

Woher stammen die Cookies?

Teilweise ist es gar nicht so einfach zu erkennen, woher die Cookies stammen. Die umfangreiche Sammlung von Cookies auf cookiepedia.co.uk hilft dabei die Ursache zu finden. Aber auch nicht immer.

In meinem Beispiel sind es z.B. Cookies von mookie1.com und nexac.com. Während der zweite dort zu finden war, taucht der erste nicht in diesem Verzeichnis auf. Allerdings gab es auch für den gefundenen Cookie keine weiteren Infos.

Um herauszufinden, was für die Cookies verantwortlich ist, sollte man einfach Plugins deaktivieren bzw. Code entfernen, der externe Services einbindet.

So habe ich z.B. einfach mal den AdSense Code in meinem Banner-Plugin deaktiviert und dann wieder alle Cookies gelöscht und die Website neu geladen. Schon waren diese komischen Cookies verschwunden. AdSense setzt also eine Menge Cookies durch die Anzeigen der Werbetreibenden.

Hier stellt sich die Frage, ob man Google AdSense wie bisher mit dem Opt-Out Hinweis weiter benutzten darf oder explizit einen Opt-In braucht. Das wird wieder auf die Abwägung der Interessen hinauslaufen, und wohl erst durch ein Gericht endgültig geklärt.

Wer sicher gehen will, deaktiviert Google AdSense erstmal zum 25.5.2018 und wartet ab, wie sich die Sache entwickelt.

Ein aktives Opt-In halte ich hier aber auch für schwer machbar. Schließlich hat man keine Ahnung, welche Cookies die Werbetreibenden setzen werden. Und eigentlich muss man nach DS-GVO die Besucher vor der Einwilligung umfassend informieren. Wie kann ich das, wenn ich nicht weiß, welche Cookies eigentlich genau gesetzt werden?

Anschließend habe ich mal Google Analytics temporär deaktiviert. Dadurch sind dann auch die restlichen Cookies verschwunden.

Auf meiner Nischenwebsite setzen also nur AdSense und Analytics Cookies.

Externe Einbindungen

Des Weiteren ist es wichtig zu analysieren, welche weiteren externen Einbindungen existieren. Scripte, Bilder, Zählpixel etc. sind wichtig, denn durch diese findet eine Übertragung der IP-Adresse der Besucher statt. Das ist ja z.B. beim VG-Wort Zählpixel auch gewollt, denn schließlich ist es wichtig herauszufinden, wie viele Personen einen Artikel angeschaut haben.

Bei meiner Nischenwebsite gibt es folgende externe Einbindungen:

  • Amazon Bilder
    Ich nutze das Amazon Partnerprogramm und binde Produktbilder über die API ein. Ich speichere die Bilder also nicht lokal, sondern binde sie über eine Amazon-URL ein.
  • Amazon Widgets
    Teilweise nutze ich die kleine Produktbox, die man über den Amazon Site Stripe generieren kann. Das ist aber ein Iframe und damit werden ebenfalls Daten erfasst.
  • Google Font
    Ebenfalls im Einsatz sind Google Fonts auf meiner Nischenwebsite. Diese werden über eine Google-URL eingebunden.
  • Cloudflare
    Es wird auch ein Script für den “Cookie Consent” Cookie-Hinweis über das Cloudflare-CDN eingebunden.

Es gibt hier also auch einig externe Einbindungen, die hinsichtlich der DS-GVO relevant sind. Viele Experten sind der Meinung, dass es hier reicht einen Hinweis in die Datenschutzerklärung zu schreiben.

Bei der Analyse kann man sich auch von externer Dienstleistern helfen lassen, was aber recht teuer ist. Alternativ kann man einen Service wie wwwschutz.de nutzen. Dieser ist kostenpflichtig und führt eine automatische Analyse der eigenen Website durch.

Ich habe das mal getestet und es wurden mir einige der schon genannten Dinge aufgezeigt. So ein Service hilft also, aber man sollte immer auch manuell die eigene Website prüfen.

Was brauche ich wirklich noch?

Bevor ich in den nächsten Teilen dieser Artikelserie dazu kommen, welche Informationspflichten sich bezüglich der gesammelten personenbezogenen Daten ergeben und wie man z.B. Opt-In und Opt-Out umsetzen kann, sollte man erstmal prüfen, welche dieser Daten man überhaupt noch speichern darf.

Überwiegt das Interesse der Person gegenüber dem Interesse des Website-Betreibers und hat man weder eine aktive Einwilligung, noch ergibt sich aus Artikel 6 DS-GVO eine andere Rechtfertigung (z.B. gesetztliche Vorschrift), dann darf man die Daten nicht speichern.

Bei meiner Website sehe ich das aktuell für keine der Daten, die erhoben werden. Ob das dann später andere auch so sehen, bleibt abzuwarten.

Mehr Sorgen macht mir die Forderung, dass unabhängt davon der Besucher immer auch eine Opt-Out Möglichkeit haben muss. Auch hier sehe ich es kritisch, denn z.B. bei der VG Wort wäre das ein Eingriff in ein gesetzliches Recht, dass ich habe. Ich sehe es nicht ein, dass der Nutzer mich einfach um die VG Wort Vergütung bringen kann. Aber gut, auch das wird sicher in den kommenden Monaten noch alles diskutiert.

Zudem sollte man dennoch immer überlegen, was man von diesen Daten wirklich braucht und worauf man verzichten kann.

Ich habe im Folgenden mal 2 Vorgehensweisen für meine Nischenwebsite skizziert. Eine ökonomisch sinnvolle und eine extreme.

Ökonomisch sinnvolle Lösung

Google AdSense würde ich nur ungern entfernen, da ich dann auf Einnahmen verzichten müsste. Zudem reden wir hier von Google und da wird es schon eine Lösung geben, mit der auch die Datenschützer zufrieden sind. Ob ich AdSense aber dennoch zum 25.5. erstmal rausnehme, werde ich noch entscheiden.

Bei Google Analytics sehe ich kein Problem. Die bisherige Opt-Out Möglichkeit in der Datenschutzerklärung wird wohl reichen. Schließlich habe ich schon ein berechtigtes Interesse und es gibt zudem die IP-Anonymisierung, die man in Deutschland ja nutzen muss. Die Daten aus der Statistik sind für mich wichtig, da ich damit meine Website optimiere.

Die Amazon-Bilder über die API-Einbindung werde ich wohl auch weiter nutzen. Bisher hat man vom PartnerNet allerdings noch nichts bzgl. der DS-GVO gehört. Das ist schade.

Das Amazon Widget, welches ein iFrame nutzt, werde ich allerdings rausnehmen.

Beim Google Font sollte ebenfalls ein Hinweis in der Datenschutzerklärung reichen. Aber ich habe auch kein Problem damit den Google Font nicht mehr zu nutzen. Zudem habe ich im Netz auch schon Anleitungen gesehen, wie man einen Google Font lokal auf dem eigenen Server speichert.

Die Cookie Consent Einbindung über das Cloudflare-CDN sollte ebenfalls relativ einfach lokal einzubinden sein.

Insofern würde sich also gar nicht so viel ändern. Lediglich die Informations- und Dokumentations-Pflichten sind strenger geworden, aber dazu komme ich später.

Ein gewisses Risiko würde aber weiter mitschwingen, da einiges eben noch nicht so klar ist.

Extremlösung

Wer wirklich auf Nummer sicher gehen will, muss zu einer Extremlösung greifen. Das würde bedeuten, alles Externe aus der eigenen Website zu entfernen.

Google AdSense müsste man genauso entfernen, wie Google Analytics. Ebenso sollten keine externen Bilder, Scripte, Fonts etc. eingebunden sein. Dann kann man auch auf den Cookie-Consent Hinweis verzichten, da ja kein Hinweis mehr nötig ist.

Allerdings ist das ökonomisch weder sinnvoll, noch vom Gesetzgeber in dieser extremen Form gewollt. Man würde Einbußen bei den Einnahmen hinnehmen müssen und damit würden die Interessen des Unternehmers leiden.

Mittel- bis langfristig würde es ohne Besucher-Daten auch schwierig werden die Website weiterzuentwickeln. Es wäre ein Blindflug, da man z.B. keine Einblicke in die Auswirkungen von Änderungen, neuen Inhalten, einem neuen Layout etc. mehr hätte.

Deshalb halte ich diese Extremlösung für stark übertrieben. Bis auf Google AdSense halte ich alles auf meiner Nischenwebsite für unproblematisch. Die Aktualisierung der Datenschutzerklärung sollte reichen. Und bei AdSense muss man dann halt sehen, wie es weitergeht.

Am Ende muss aber jede/r selber entscheiden, was weitergenutzt und auf was verzichtet werden soll.

So geht es weiter

Das war die Analyse meiner Nischenwebsite. Damit ist der erste Schritt der DS-GVO Anpassung abgeschlossen und im nächsten Teil geht es dann weiter.

Peer Wandiger

25 Gedanken zu „DS-GVO Anpassung einer Nischenwebsite – Praxis-Beispiel Schritt 1: Analyse“

  1. Hallo Peer- super Beitrag! Aber was ist eigentlich mit dem amazon Partnerprogramm? Da wird beim Klick auf den Affiliate-Link ja auch ein Cookie gesetzt. Oder betrifft das nur amazon und nicht den Nischenseitenbetreiber?

    Antworten
    • Im Artikel am Montag hatte ich dazu schon was geschrieben. Wenn man rein die Textlinks benutzt und nicht die Widgets und iframes von Amazon, dann wird auf der eigenen Website kein Cookie gesetzt. Erst bei Amazon selbst.

      Antworten
      • Ok Danke! Widgets nutze ich nicht. Bezüglich der Bilder die von amazon eingebunden werden, sind ja noch fragen offen, wie du geachrieben hast.

        Antworten
  2. Ich denke auch, dass es ganz ohne Daten nicht geht und da wird sich sicherlich noch einiges tun. In einigen Punkten war ich mir noch unsicher, aber dieser Artikel hat so manches geklärt.
    Schönes Beispiel!
    Danke Peer!

    Antworten
  3. Spannend wird ja nicht nur die DSGVO, sondern auch die ePrivacy-Richtlinie (die wohl erst 2019 kommt?). An anderer Stelle habe ich gelesen, dass das meiste bisher Betriebene mit der DSGVO noch halbwegs kompatibel ist, aber dass es spätestens mit der ePrivacy kritisch wird. Ich denke, so hat man immerhin noch ein bisschen Speilraum und muss nicht sofort zur Extremlsöung greifen – und wenn es hart auf hart kommt, werden amazon und Google und Co sicher reagieren und Lösungen abieten, wie man als Publisher weiter Werbung einblenden kann. Nur ist diese dann ggf. nicht mehr so gut personalisiert. Wir werden sehen, es bleibt spannend.

    Antworten
  4. Es war schon zu Zeiten von AdBlockern eine gute Idee vielen über die API über den Server zu holen und dem User es dann direkt auszugeben und nicht über extern. Man selbst behält die Kontrolle und lediglich die externen verlieren diese.

    Aber es macht quasi kein Entwickler weil es so einfach ist, die externen Quellen einzubinden. Ich könnte im übrigen durch die Maßnahme mein Google Speed Index von 49 (ohne Anpassungen) auf 99 steigern. Auch nicht nur ein Nachteil. Aber kein Weg für Anwender.

    Antworten
  5. Wie sieht es mit dem Button von Bloggerei.de aus? Es werden ja die Besucher gezählt und nicht die Seitenaufrufe. Ich vermute, dass dazu die IP der Webseitenbesucher zumindest für einen bestimmten Zeitraum gespeichert werden. Der Webseitenbesucher müsste also dazu seine Einwilligung geben.

    Antworten
    • Wie bei vielen anderen Sachen, kann man wohl auch beim Bloggerei-Pixel erstmal davon ausgehen, dass man kein Opt-In benötigt. Problematisch ist aber, dass man hier wohl ein Opt-Out anbieten muss. Und das ist mir einfach zu aufwändig.

      Antworten
  6. Danke für die Fallstudie. Man fragt sich aber wirklich, in welche Richtung das gehen soll. Auf der einen Seite wollen wir Innovationen, Gründer, Digitalisierung etc. und dann macht man Gesetze von denen der kleine Anbieter erschlagen wird.

    Antworten
  7. Hallo Peer,
    danke für deine Meinug zu diesem “heißen” Thema.
    Ich versuche tatsächlich auf einigen Seiten auf möglichst viele externe Einbindungen zu verzichten. Das war aber keine Frage der DSGVO sondern vielmehr ein Schritt, die Seiten (technisch gesehen) möglichst klein zu halten. Trotzdem halte ich es für falsch, einen solch extremen Weg per Gesetz zu erzwingen.
    Ein “Opt-Out” für alles ist auch nicht wirklich zielführend. Die von dir genannten VG-Wort Zählpixel sind ein gutes Beispiel dafür. Eine X-Seitige Datenschutzerklärung wird sich wohl auch niemand durchlesen wollen.

    Antworten
    • Die Datenschutzerklärung liest sich schon jetzt keiner durch, ebenso wie die AGBs von Shops. Es ist halt ein Bürokratiewahnsinn, aber das scheint die Verantwortlichen nicht zu interessieren.

      Antworten
  8. Vielen Dank für Ihren Artikel, aber ich möchte erwähnen, dass die Verwendung einer Cloud-basierten externen Ressourcen nicht immer die beste Idee ist. Zum Beispiel können Google Fonts durch @ font-family die Reaktionsgeschwindigkeit der Website stark verlangsamen.

    Antworten
  9. Hallo Peer,
    ich finde diese Artikelserie wirklich gut und nützlich. Ich finde es derzeit noch schwierig abzuwägen, inwieweit ich die Forderungen der DS-GVO tatsächlich in meinen Nischenseiten umsetzen soll (teilweise erliegt ja dem eigenen Ermessen). Deine Praxisbeispiele geben da eine gute Orientierung. Vom Amazon-Partnernet wünsche ich mir allerdings eine klare Aussage bzw. Handlungsempfehlung, wie mit den unterschiedlichen Tools und Bildern umgegangen werden sollte.

    Antworten
  10. Mir war ehrlich gesagt der Umfang der Änderungen nicht klar. Habe Amazon-Partnernet angeschrieben und um eine Stellungnahme gebeten. Bisher ist jedoch keine Antwort gekommen. Gibt es eine Checkliste der wichtigsten nötigen Änderungen? Gerade nicht so erfahrene Webmaster hätten damit eine Hilfestellung die so manche Abmahnung verhindern könnte.

    Antworten
    • Ich befürchte, dass da keine Antwort kommt. Ich habe aus dem Umkreis des ParterNets erfahren, dass sich dort mit der Thematik bisher nicht groß beschäftigt wurde. Ob das stimmt, weiß ich natürlich nicht genau.

      Vielleicht sieht man auch den Brexit kommen und meint, dass die DSGVO einen dann nicht mehr betrifft. Das ist natürlich nicht korrekt, denn sicher will Amazon auch in Zukunft, dass Affiliates aus der EU ihre Werbemittel rechtssicher nutzen können.

      Antworten
  11. Hallo Peer,
    zwei Fragen.

    1. Wie bindest du das lokal ein? Ich kenne nur die Varianten mit dem Plugin und manuell den Code einzubinden, aber in dem manuellen Code ist der js-Code von einer anderen Seite eingebunden.
    “Die Cookie Consent Einbindung über das Cloudflare-CDN sollte ebenfalls relativ einfach lokal einzubinden sein.”

    2. In deiner Cookie-Übersicht erscheint “Lokaler Speicher”, was für ein Cookie ist das? Ich habe es versucht mit googeln herauszufinden, aber in den letzten Tagen nichts gefunden.

    Vielen Dank
    Erkan

    Antworten
  12. Hallo Peer,

    vielen Dank, Deine Artikel-Serie zur DSGVO ist wirklich hilfreich!

    Du betreibst ja nicht nur Nischenseiten, sondern betreust auch Kundenwebseiten. Wie gehst Du bei Kunden mit diesem Thema um?

    Grüße
    Daniel

    Antworten
    • Mittlerweile betreibe ich keine Kundenwebsites mehr. Als Webdesigner bin ich nicht mehr tätig. Aber grundsätzlich würde ich da genauso vorgehen und analysieren, welche Daten über die Website gesammelt werden.

      Antworten
      • Ach so, OK, das war mir nicht bewusst. Meine Frage bezog sich eher darauf, ob du die Kunden dann beraten und das auch ggf umgesetzt hättest. Ist ja auch eine rechtliche Sache und man kann ja nicht beraten wir ein Anwalt…

        Antworten
        • Das ist tatsächlich eine etwas heikle Sache. Wie hier in meinen Artikeln würde ich auch bei Kunden immer vorher darauf hinweisen, dass man diese nicht beraten kann. Aber ich würde sie auf die Thematik hinweisen und generelle Tipps geben.

          Antworten
  13. Hallo,

    ich habe noch eine kleine, vielleicht hilfreiche Ergänzung, um festzustellen, welche Daten von der eigenen Webseite an Fremdseiten gesendet werden:

    Ich habe mit dem Chrome-Browser einmal die Erweiterung GHOSTERY installiert und dann eine Webseite aufgerufen. In der detaillierten Anzeige (das kann man bei den Einstellungen problemlos einstellen), werden dann alle Tracker von Zanox bis hin zu VG Wort angezeigt.

    Somit hast du mit einem einfachen Hilfsmittel die Möglichkeit zu schauen, wo Du ggf. noch tätig werden musst oder möchtest.

    Antworten

Schreibe einen Kommentar