Die DSGVO und was sich hier im Blog ändert

Ein Schreckgespenst mit kryptischem Namen geistert derzeit durch die Blogosphäre und sorgt für Angst und Verwirrung: GDPR / DSGVO.

Was in aller Welt ist GDPR / DSGVO?!

Kurz gesagt: eine Datenschutz-Verordnung der EU, die weitreichende Auswirkungen auf die Art und Weise hat, wie Webseiten funktionieren (dürfen) bzw. wie mit den Daten umzugehen ist, die über sie erhoben werden.
GDPR steht dabei für General Data Protection Regulation, DSGVO als die deutsche Bezeichnung für Datenschutz-Grundverordnung.

Obschon seit 2016 in Kraft, wird es jetzt allmählich ernst: ab dem 25. Mai 2018 ist die Regelung verpflichtend. In erster Linie zielt die DSGVO auf große Unternehmen wie Google, facebook & Co. ab,  betrifft aber halt auch Blogs.

Was heißt die DSGVO für mich und meinen Blog?

Dieser Beitrag ist keine Rechtsberatung – ich bin kein Experte, ich habe mir die Infos auch nur zusammengegoogelt. Im Folgenden liste ich aber einfach mal auf, an welchen Stellschrauben ich hier gedreht habe.

Tatsächlich habe ich hier in den letzten Tagen nämlich eine ganze Menge umgebaut – einiges nur versteckt unter der Haube, einiges hat aber auch sichtbare Auswirkung.

Grob zusammengefasst ist das Ziel dabei, nach Möglichkeit nur so viele Informationen über meine Besucher zu speichern, wie ich wirklich benötige – und auch dafür zu sorgen, dass niemand anders diese Informationen abgreifen kann (etwa Google oder Social Media-Plattformen durch entsprechende Plugins).

Umfangreiche Infos zur DSGVO findest du etwa drüben bei Melanie und Thomas von Reisen-Fotografie in ihrem Artikel DSGVO als Blogger.

Adieu, Pin It-Button

Aus Gründen der Ladezeit habe ich schon länger darauf geachtet, nicht zu viele Scripte von anderen Webseiten einzubinden. Das passiert wahnsinnig leicht – etwa durch Social Media-Plugins wie den Pin It-Button, eine Galerie mit den neusten Instagram-Bildchen oder durch Tracking-Scripte von Google Analytics, Blogfoster und Konsorten.

Die Buttons zum Teilen auf Social Media-Plattformen sind bei mir schon immer einfache Textlinks ohne mithorchendes Script dahinter gewesen, die musste ich also nicht anfassen.

Eines der wenigen verbliebenen Scripte war bis vor kurzem das für den Pin It-Button von Pinterest: wenn du mit der Maus über ein Foto gefahren bist, konntest du es direkt auf Pinterest teilen. Das habe ich jetzt ausgebaut, da dafür ein Script von Pinterest nötig war. Über dieses Script konnte Pinterest hier Informationen sammeln.

Du kannst natürlich weiterhin meine Artikel auf Pinterest teilen – darüber freue ich mich sehr! 🙂
Am einfachsten ist es, wenn du das direkt von Pinterest aus tust (das rote Plus oben in der Leiste anklicken » Über Webseite speichern).

Oder du nutzt den kleinen Pinterest-Button am Ende der Artikel, wobei der leider immer nur das Beitragsbild auswählt und nicht das für Pinterest optimierte Bild. Da muss ich in einer ruhigen Minute nochmal an den Code ran.

Matomo (ehemals Piwik) statt Google Analytics

Statistiken sind eine großartige Sache. Dementsprechend gern habe ich auch Google Analytics benutzt, um ausgefuchste Zahlen zu erhalten. Das ist auch trotz DSGVO weiterhin möglich, die drei Bedingungen galten auch bislang schon hierzulande:

1. Die IP-Adressen werden nur anonymisiert gespeichert – check.
2. Man hat selbst mit Google einen sogenannten Vertrag zur Auftragsdatenverarbeitung abgeschlossen, d.h. einen dicken Stapel bedrucktes Papier nach Irland geschickt und unterschrieben zurückerhalten.
   Das hatte ich schon vor Jahren gemacht… allerdings fiel mir dann jetzt ein, dass ich damals noch unter einer anderen URL gebloggt habe. Eek, somit wäre wohl eigentlich ein neuer Vertrag fällig.
3. In der Datenschutzerklärung weist man darauf hin, dass man Google Analytics einsetzt und gibt dem Besucher die Möglichkeit zum Opt-Out, d.h. dass er nicht getrackt wird. Hatte ich auch drin.

Eigentlich hätte ich Google Analytics also ruhigen Gewissens weiter benutzen können (mit einem neuen Vertrag), aber irgendwie hat es mich halt dann doch gestört, dass so viele Daten von meinen Besuchern an einen Konzern in den USA übermittelt und dort im großen Stil verarbeitet werden.

Daher setze ich seit diesem Monat doch wieder Piwik ein, das seit kurzem Matomo heißt: das habe ich auf meinem eigenen Webspace installiert, die Daten gehen also nicht an Dritte. Vom Funktionsumfang her ist es nicht ganz so ausgefeilt wie Google Analytics, reicht mir aber völlig.

Auch hier kann man einstellen, dass die Daten pseudonymisiert werden, sprich, die IP-Adressen werden nicht komplett gespeichert.

Kontaktformular abgeschafft

In meinem MediaKit hatte ich bislang ein Kontaktformular drin. Grundsätzlich kann man die Dinger auch weiterhin nutzen, allerdings mit einer Extra-Checkbox, dass man der Speicherung der Daten zustimmt.

Ehrlich gesagt, war mir das zu umständlich. So wahnsinnig viele Anfragen kommen über das Kontaktformular eh nicht, und man kann mir ja schließlich auch ganz normal eine Mail schreiben. Die Adresse steht im Impressum.

Wieder ein Plugin weniger, wieder ein Punkt weniger, den ich im Auge behalten muss. 🙂

Huch – wo kommen denn die facebook-Scripte her?!

Aus Neugier installierte ich dieser Tage das Chrome-Plugin Ghostery, mit dem man sieht, welche Tracking- oder Werbescripte eine Webseite einbindet.
Und da war ich doch arg verdutzt, als mir hier zwei Scripte von facebook angezeigt wurden (Facebook Connect und Facebook Impressions). Die hatte ich definitiv nicht eingebunden?!

Dem Rätsel kam ich auf die Schliche, als ich den Quellcode meines Themes durchsuchte. Obwohl ich viel daran umgeschrieben habe, basiert es ja auf einem gekauften Theme (Soledad). Und das bindet standardmäßig tatsächlich diese Scripts ein. Tschüß, die entsprechende Funktion habe ich dann mal rausgeworfen. Das pure Überschreiben des betreffenden JavaScript-Files in meinem Child-Theme brachte übrigens nichts, das musste ich direkt im Parent-Theme ändern.

Macht’s gut, Google Fonts

Schwergefallen ist mir der Abschied von Google Fonts. Die waren einfach unglaublich praktisch. 😐

Eigentlich kann man im Webdesign nämlich nur eine Handvoll Schriftarten verwenden – diejenigen, bei denen man davon ausgehen kann, dass sie auf jedem Rechner installiert sind, sei es nun Windows, Mac, ein Android-Smartphone und so weiter. Die Dinger sind sowas von 2004…!

Dann wurden irgendwann Webfonts erfunden – auf einmal konnte man ausgefallenere Schriftarten einfach auf seiner Webseite bereitstellen, sodass sie nicht mehr auf dem Rechner des Betrachters vorhanden sein mussten. Das war schon mal gut, allerdings ging das zu Lasten der Ladezeit und war auch nicht immer ganz einfach.
Richtig populär wurden Webfonts erst dank Google Fonts – fortan konnte man sich nämlich einfach bei Google eine Schriftart aussuchen und musste dafür bei sich selbst nur eine schnuckelige Zeile Code einbinden. Coole Sache.

Blöderweise horcht Google dadurch aber auf der Webseite mit und sammelt Informationen über die Besucher. Also nicht DSGVO-konform.
Theoretisch kann man sich die Google Fonts herunterladen, in ein webtaugliches Format umwandeln und auf dem eigenen Webspace hochladen. Praktisch hängen da aber natürlich Lizenzdinge dran und als Nicht-Jurist bin ich aus den Angaben nicht ganz schlau geworden. In dubio nur dat eigene, oder so ähnlich.

Schweren Herzens habe ich die Google Fonts nun also rausgeschmissen und nutze hier wieder ganz klassisch Georgia und Arial. Hach…

Update: dank der Anmerkungen in den Kommentaren weiß ich jetzt, dass das aus Lizenzsicht erlaubt ist. Jetzt muss ich also nur noch Zeit und Muße finden, das Ganze umzubauen. 😉

Kommentare

Kommen wir zu dem Bereich, wo ganz offensichtlich Daten der Besucher gespeichert werden – zu den Kommentaren.

Es werden keine IP-Adressen mehr erfasst

Von Hause aus speichert WordPress die IP-Adresse zu jedem eingegebenen Kommentar. Das habe ich jetzt unterbunden, indem ich einen kleinen Codeschnipsel in der functions.php eingebaut habe:

// keine IP-Adressen von Kommentarschreibern speichern
function remove_comment_ip()
{
   return "127.0.0.1";
}

add_filter( 'pre_comment_user_ip', 'remove_comment_ip', 50); // 50 = Prio, wichtig für Antispam Bee

Der sorgt dafür, dass beim Abspeichern eines neuen Kommentars die eigentliche IP-Adresse mit einem immer gleichen Standardwert überschrieben wird (127.0.0.1 ist localhost).

Das gilt nur für neue Kommentare – ich musste mich also noch um die bereits gespeicherten Kommentare kümmern. Deren IP-Adresse zu entfernen, geht aber easy-peasy mit einer Zeile SQL in der Datenbank:

UPDATE wp_comments SET comment_author_IP = ' ';

Für beides war der Artikel über WordPress und DSGVO im Kritzelblog sehr hilfreich. Der Code zum Überschreiben der IP-Adressen stammt von Thomas Leister und verträgt sich auch wunderbar mit dem (datenschutzkonformen) Plugin Antispam Bee, das ich hier einsetze. Ich habe den Code halt nur nicht als eigenständiges Plugin eingebunden, sondern direkt in die functions.php eingetragen.

In der Kommentarliste von WordPress steht bei den alten Kommentaren jetzt also gar keine IP-Adresse mehr und bei den neueren einfach immer 127.0.0.1.

Keine Gravatare mehr

Im Kommentarbereich hier unter den Artikeln wurden bislang kleine Avatare angezeigt. Die hat WordPress über den Anbieter Gravatar zur Verfügung gestellt – anhand der eingegebenen Emailadresse wurde bei Gravatar nachgefragt, ob sich derjenige dort mal angemeldet und ein Bildchen hochgeladen hatte.

Das ist nun auch rausgeflogen… schade, dadurch wirkt der Kommentarbereich ein Stück unpersönlicher. Aber was soll man machen. 😐

Kommt noch: Checkbox im Kommentarbereich

Es sieht so aus, als müsstest du künftig beim Absenden eines Kommentars immer eine Checkbox anklicken, dass du mit dem Speichern deiner Daten einverstanden bist.

Aktuell gibt es dafür ein WordPress-Plugin, was allerdings für mich nicht gut funktioniert (weil ich dabei keine Kommentare mehr über das Backend beantworten kann). Es soll bis Ende Mai aber wohl eine entsprechende Funktion im Standard von WordPress enthalten sein, da warte ich also noch etwas ab.

Update: seit Version 4.9.6 (veröffentlicht am 17. Mai) bringt WordPress etliche Datenschutz-Funktionen mit, unter anderem besagte Checkbox unter den Kommentaren. Sämtliche neuen Features findest du in den Release Notes, alles zur DSGVO im Abschnitt „Privacy“.
Bei mir wurde diese Checkbox zunächst nicht angezeigt, da ich den Code des Kommentarbereichs mit einer eigenen comments.php stark umgeschrieben hatte. Da griffen dann die neuen Standard-Funktionen nicht mehr, sodass ich meine comments.php entfernt habe und jetzt den Default von WordPress nutze.

Vertrag zur Auftragsdatenverarbeitung mit dem Webhoster

Wenn ich sage, dass die Daten bei mir liegen, stimmt das so nicht ganz. Genau genommen liegen sie nämlich auf dem Server meines Hosters, auf dem ich entsprechend Platz gemietet habe.

Daher muss man – ähnlich wie mit Google, wenn man Google Analytics einsetzt – auch mit dem Hoster einen Vertrag zur Auftragsdatenverarbeitung abschließen. Mein Hoster All-Inkl kündigte an, rechtzeitig bis zum 25. Mai einen entsprechenden Vertrag zum Download bereit zu stellen. 
Update: seit Anfang Mai ist ein entsprechender Vertrag im Kundenbereich verfügbar. Daumen hoch!

Überarbeitete Datenschutzerklärung

Last but not least habe ich auch meine Datenschutzerklärung nochmal überarbeitet.

Bisher erwähnte ich dort beispielsweise, dass ich die IP-Adressen der Kommentare speichere – dem ist jetzt ja nicht mehr so. Der Passus über Google Analytics durfte rausfliegen und wurde durch einen für Matomo ersetzt.

Außerdem habe ich versucht, in verständlichen Worten (auch für Nicht-Juristen oder Internet-DAUs) zu erklären, welche Daten ich hier warum erfasse.

Was ist mit dem Verarbeitungsverzeichnis?

Ähnlich wie Melanie und Thomas habe ich das dubiose Verarbeitungsverzeichnis noch nicht angelegt. Darin soll in einer nicht weiter spezifizierten Form stehen, welche Daten ich erfasse, wie sie verarbeitet und gespeichert werden und so weiter.

Mir ist einfach nicht ganz klar, ob ich das als Ein-Personen-Blogger nun wirklich brauche oder nicht – in der DSGVO heißt es, dass es erst Firmen ab 250 Mitarbeitern benötigen oder wenn man bestimmte Kriterien erfüllt wie etwa die Verarbeitung personenbezogener Daten. Tja – was heißt das denn konkret? Ist es schon ein „Verarbeiten personenbezogener Daten“, wenn man in einem Blog Kommentare hinterlassen kann? o_o

Da wird sich in den nächsten Monaten sicherlich noch einiges klären.

Was machen die anderen Blogger?

Ich bin natürlich nicht die einzige Bloggerin, die sich derzeit auf die DSGVO vorbereitet und entsprechend den Blog umrüstet:

• Sabrina berichtet auf Lilienmeer, wie sie versucht, alles für die DSGVO richtig zu machen
• Linni schildert die Umbauten auf ihrem Blog Ombidombi
• Bine von waseigenes erwägt mit einem Augenzwinkern, den Blog dicht zu machen und stattdessen eine Hippiekommune in der Eifel zu gründen

Wie schaut’s bei dir aus? Hast du dich schon mit der DSGVO befasst und deinen Blog unter die Lupe genommen?