Keine Panik. Ein paar Gedanken zur DSGVO, Teil 1

Klar ist: die Datenschutzgrundverordnung (DSGVO) bringt Veränderungen mit sich - aber auch vorher schon gab es ein Datenschutzrecht, in dem es Anforderungen gab. Wenn man sich bereits vorher daran gehalten hat, dann ist der Aufwand jetzt gering. Nur diejenigen, die sich bisher um nichts gekümmert haben, stehen jetzt vor grösseren Problemen.

In Bezug auf Contao - das ohnehin schon ein gutes Level an Privatheit ermöglicht - ist die Liste der Aufgaben relativ kurz. Das hängt damit zusammen, dass Contao in der Voreinstellung keine problematischen Dienste nutzt, bei Social Media-Integration auf Links statt eingebundene Buttons setzt und ohne Erweiterungen nicht mehr Cookies als nötig setzt. Zwei Ausnahmen gibt es dabei allerdings, die allerdings Webseitenbetreiber, die einigermassen bei Verstand waren, bereits bei Installation und Einrichtung angegangen sind.

Contao ermöglicht im Seitenlayout das Nachladen von externen Ressourcen. Das betrifft auf der einen Seite Schriften aus dem Google-Fonts-Portfolio, auf der anderen Seite die Nutzung von so genannten Content Delivery Networks (CDN) für JavaScript-Bibliotheken. Wer bequem war, hat im Layout die genutzten Google-Fonts eingetragen, die dann nachgeladen wurden. Es spricht aber nichts dagegen, diese Schriften selbst ins System herunterzuladen und beispielsweise über ein eigenes CSS einzubinden. Wem das zu kompliziert ist, der kann Google-Fonts direkt nutzten, muss dann aber auch mit dem Anbieter einen Vertrag zur Auftragsdatenverarbeitung abschliessen und auch in der eigenen Datenschutzerklärung darauf hinweisen. Google stellt diese Verträge zur Verfügung.

Die CDNs für jQuery und Mootools sollte man aus meiner Sicht ebenfalls nicht nutzen (auch wenn es andere Meinungen gibt, die eine bessere Performance versprechen - was man aber auch durch den Einsatz von HTTP/2 lösen kann). Der entsprechende Haken (CDN ja, nein oder als Fallback) findet sich ebenfalls im Bereich Seitenlayout.

Ein weites Feld - denn Erweiterungen haben durchaus das Potential, externe Dienste an- und einzubinden, die man dann nicht mehr unter Kontrolle hat. Beispiele sind hier SocialMedia-Integrationen, die u.a. Audios, Videos, Tweets oder ganze Facebook-Timelines in Iframes anzeigen können. Dabei ist es klar, dass alle Daten zur Benutzung direkt an den jeweiligen Anbieter gehen. Das ist das Wesen eines IFrames.

Man sollte also überlegen, wie exakt die Einbindung erfolgen soll. Youtube bietet beispielsweise eine cookiefreie Domain für die Einbindung an (Videos werden dann via www.youtube-nocookie.com geladen, und dazu gibt es auch die Extension https://github.com/fritzmg/contao-youtube-iframe). Hier erfolgt dann kein Tracking - allerdings wird das entsprechende Video ja trotzdem vom Anbieter geladen und das findet sich dann auch in dessen Serverlogs wieder. Wer das generell nicht möchte, dem sei geraten, die Filme doch selbst zu hosten und mit dem Inhaltselement 'Video' einzubinden. Das ist etwas aufwändiger, weil man sich um verschiedene Formate und Codecs kümmern muss. Aber es ist datensparsam.

Für die Darstellung von Social Media-Inhalten empfehle ich die Nutzung der jeweiligen APIs, um die Inhalte direkt serverseitig auszulesen und dann in eigenen Inhaltselementen selbst darzustellen. Ein Beispiel wäre eine eigene Erweiterung, die Twitter-Postings ausliest, die Inhalte in die eigene Contao-Datenbank schreibt und sie dann templatebasiert und an den eigenen Bedürfnissen ausgerichtet wieder auf der Webseite ausgibt. Auch das ist kein Hexenwerk, aber etwas aufwändiger.

Karten sind ein grosses Thema. Sie sind - wenn man sie von Bing, Google oder einem anderen kommerziellen Dienst übernimmt - sehr nützlich, aber leider auch sehr geschwätzig. Wir erinnern uns: Firmen stellen Kartendienste weitgehend kostenfrei zur Verfügung, und die Bezahlung erfolgt über die Daten des Endnutzers. Ich nenne das ein parasitäres Geschäftsmodell, mit dem sich all diese Mehrwertdienste (wie Routenplanung, ÖPNV-Informationen, Verkehrslage-Infos ...) über Wasser halten.

Letztlich gibt es hier nur eine Abhilfe: Die Nutzung von Open Streetmap, für das es mit Contao-Leaflet-Maps auch eine sehr schöne und umfangreiche Erweiterung gibt.

Nein, es gibt keinen Grund für die Nutzung von Google Analytics, eTracker und anderen Diensten. Auch Matomo (früher Piwik) ist in vielen Fällen nicht angemessen, bietet aber immerhin als selbst gehostete Software die Möglichkeit, alle Daten zu anonymisieren. Bei einer kleinen Webseite stellt sich allerdings auch hier die Frage, ob eine detaillierte Auswertung von Klickstrecken für 15 monatliche Besucherinnen und Besucher überhaupt aussagekräftig sein kann oder ob da nicht ein Blick in das Serverlog oder gescheites Monitoring reicht, um eventuelle Probleme zu erkennen und zu beheben.

In jedem Fall sollte Datensparsamkeit die Devise sein. Daten, die ich nicht erhebe, können auch keine datenschutzrechtlichen Probleme machen.

Für Matomo gibt es übrigens Online eine recht schöne Anleitung zur datenschutzkonformen Einbindung.

Social Media wird gern genutzt, um die eigenen Inhalte bekannter zu machen. Dagegen ist per se erst einmal nichts einzuwenden. Problematisch sind allerdings die von Social Media-Anbietern zur Verfügung gestellten Einbindecodes für Buttons, deren eigentlicher Zweck nicht das einfache Teilen sondern das Gewinnen von Nutzerdaten ist. Das wird meist realisiert indem eine Button-Grafik (wie der bekannte Facebook-Daumen) als Bild von Anbieter nachgeladen wird. Nebenprodukt ist dabei dann ein Eintrag im Serverlog des Anbieters und meist auch ein Cookie, in dem so ziemlich alles an Daten des Endbenutzers enthalten ist was zur umfangreichen Analyse nötig ist. Diese Datenübertragung erfolgt gerne direkt beim Seitenaufruf - was bedeutet, dass eine Information oder gar eine Zustimmung des Endnutzers beim Betreten der Seite gar nicht möglich ist. Aus meiner Sicht kann man solche Buttons schon jetzt nicht datenschutzkonform einsetzen. Ab dem 25. Mai wird es dann zusätzlich noch teuer.

Abhilfe schafft die Extension unter https://github.com/hofff/contao-shariff, die dafür sorgt, dass beim ersten Seitenaufruf und vor der Nutzung von Social Media-Diensten ausschliesslich Platzhalter angezeigt werden und erst die tatsächliche Nutzung der Sharing-Funktion dann Daten an das jeweilige Netzwerk überträgt.

Obacht: Shariff nutzt für die Darstellung von Social Media-Icons den Zeichensatz von FontAwesome, den man dann nicht über ein CDN einbinden sollte.

Im nächsten Teil dieses Beitrages, der in einigen Tagen veröffentlicht wird, geht es dann um weitere Fragen, u.a. zu Formularen, Newslettern und Templates in Contao sowie zum Schluss dann um Anpassungen in der Datenschutzerklärung.