Vieles resultiert aus Unwissenheit – die DSGVO und das „Blogsterben“

Auf der Blog-Plattform netzpolitik.org ist man kürzlich der Frage nachgegangen, wie sich die DSGVO auf den Betrieb kleiner Webseiten und Blogs auswirkt. Hierzu hat man einige Fragen gestellt, z.B. „Wann haben Sie das erste mal von der DSGVO gehört? Welche Unterstützung hätten sich vom wem gewünscht? Eine Zusammenfassung der durchaus interessanten und lesenswerten Erkenntnisse findet man im folgenden Blogbeitrag.

Vieles ist Unwissenheit

Fakt ist, das viele Blogger und Vereine ihre Seiten mit Stichtag 25.04.2018 vom Netz genommen haben. Vielfach ist dieses aus Verunsicherung geschehen. Bevor man sich dem Risiko eines möglichen Abmahnschreibens aussetzt, nimmt man die Seite lieber vom Netz. Nun ist es bei Bloggern so, dass sie sich häufig nicht mit den Hintergründen der Programmierung ihrer Website auseinandersetzen und es mangels technischer Kompetenz auch garnicht können. Frei verfügbare Werkzeuge und Tools wie WordPress (auch diese Seite ist mit WordPress gestaltet 😉 ) machen die schnelle und einfache Erstellung und Verwaltung eines Blogs für jeden zugänglich und erlauben es dem technisch unbedarften User, seine Meinung mit der Welt zu teilen.

Was aber im Hintergrund passiert und welche Daten anderer (dritter!) Dienste dabei benutzt werden ist für den Blogger nicht unbedingt transparent. Beim Laden dieser Dienste werden aber, wie schon beim Aufruf der eigenen Seite, IP-Adresse, Browsertyp, etc. an einen Dritten weitergegeben.

Somit steckt der Blogger als Verantwortlicher im Dilemma. Er müsste den Nutzer nach den Regeln der DSGVO über diese Weitergabe informieren und mit dem Drittanbieter einen Vertrag für Auftragsverarbeiter (VAV) abschließen.

Die einzig sinnvolle und mit der Datenschutzgrundverordnung konforme Lösung dieses Problems ist also die Ermittlung solcher Drittaufrufe, die daraus folgende Information des Nutzers in der Datenschutzerklärung und der Abschluss eines VAV oder die Eliminierung bzw. Verhinderung dieser Aufrufe  wie z.B. bei WordPress.

In beiden Fällen unterstützen wir Sie gerne als externer Datenschutzauftragter und mit der entsprechenden IT-Kompetenz.

 

 

WordPress DSGVO konform?

Bekanntermaßen wird WordPress von vielen privaten als auch professionellen Content-Providern zu Erstellung Ihrer Webseite benutzt. Allerdings ist es nicht ganz trivial die Seite dann auch DSGVO-konform zu gestalten bzw. die Einhaltung zu gewährleisten.

Wer sich in seinem Browser einmal den Quelltext seiner Webseite ansieht, wird schnell feststellen, das beim Aufbau der Seite externe Quellen benutzt werden. Dieses ist allerdings nach DSGVO nicht zulässig, ohne erstens den Besucher der Seite darüber in Kenntnis zu setzen (Informationspflichten) und zweitens ggf. mit dem Drittanbieter einen Vertrag zur Auftragsverarbeitung abzuschließen.

Nicht zuletzt Bedarf die Weitergabe personenbezogener Daten an Dritte (also hier die IP-Adresse) einer Rechtsgrundlage. Letzteres dürfte sich bei einem beliebigen Besucher einer WEbseite als schwierig erweisen.

Es hilft also nur solche Aufrufe zu verhindern:

1. Abschalten von Avataren unter Einstellungen->Diskussionen

2. Entfernen des Eintrages

1
<link rel="profile" href="http://gmpg.org/xfn/11" />

in der header.php

Einfügen folgender Befehle in dem Theme-Funktionen (functions.php)

1
2
3
4
5
6
7
remove_action( ‚wp_head‘, ‚print_emoji_detection_script‘, 7 );
remove_action( ‚wp_print_styles‘, ‚print_emoji_styles‘ );
remove_action( ‚wp_head‘, ‚wlwmanifest_link‘ );
remove_action( ‚wp_head‘, ‚wp_generator‘ );
remove_action( ‚wp_head‘, ‚rsd_link‘ );
remove_action( ‚wp_head‘, ‚adjacent_posts_rel_link_wp_head‘, 10 );
remove_action(‚wp_head‘, ‚wp_resource_hints‘, 2);

Entfernen von https://api.w.org/  (Veweis auf REST-API im Header)

1
2
3
4
5
function remove_api () {
remove_action( 'wp_head', 'rest_output_link_wp_head', 10 );
remove_action( 'wp_head', 'wp_oembed_add_discovery_links', 10 );
}
add_action( 'after_setup_theme', 'remove_api' );

Für die lokale Installation benötiger Google Fonts sei hier auf folgender Seite bei WP-Ninjas verwiesen

Wie du in WordPress Google Fonts DSGVO konform einbaust

Nicht zuletzt soll nicht unerwähnt bleiben, das natürlich auch der Aufruf eines externen CookieConsent-Skripts eine unzulässige Weitergabe von Daten Dritte darstellt. Das bedeutet, dass auch dieses Skript lokal zu halten ist.