Achtung: Dies ist weder eine Rechtsberatung noch eine technische Anleitung! Weder kann ich garantieren, dass die Maßnahmen rechtlich korrekt noch dass sie vollständig sind.

Wer jetzt meint, mit der Überarbeitung seiner/ihrer WordPress-Seite wäre alles erledigt, der täuscht sich. Ein paar Dinge sind noch offen.

Blog auf https umstellen

Das führe ich nur der Vollständigkeit halber auf. Ist beim ToolBlog schon längst passiert. Wie das geht, beschreibt Dr. Katja Flinzner hier oder ein Beitrag von tiefenschaerfe.

Cookies

Es schadet sicher nicht, zum Abschluss noch einmal auf die Browsererweiterungen Ghostery und/oder Privacy Badger zu schauen. Auf diese Weise kann man herausbekommen, wer heimlich von der Website nach Hause telefoniert um das Nutzerverhalten zu melden.
Wie Cookies in Zukunft behandelt werden, ist wohl noch nicht abschließend geklärt, wie RA Max-Lion Keller schreibt. Dennoch sollte weiterhin ein Banner auf die Verwendung von Cookies hinweisen. Welche Möglichkeiten es dazu gibt, zeigt Michelle Retzlaff. Wenn Sie ganz tief in das Thema Cookies einsteigen wollen, dann empfehle ich die Seite What Are Cookies – Computer Cookies Explained.

Datenschutzerklärung

Bis jetzt steht auf dem ToolBlog eine Datenschutzerklärung, deren Text von einem Datenschutzgenerator erzeugt wurde. Dieser wurde dankenswerterweise von RA Dr. Thomas Schwenke zur Verfügung gestellt. Momentan wird er bez. der DSGVO überarbeitet. Ich harre sehnsüchtig auf die Veröffentlichung. Allerdings muss man dieses Mal wohl genauer hinschauen und die eine oder ander Anpassung vornehmen. Kleiner Tipp am Rande: Die IT Logic GmbH empfiehlt Impressum und Datenschutzerklärung mit einem noindex gegen Abmahnungen zu versehen.

Weitere Datenschutzgeneratoren findet man auch bei:

• eRecht24
• Deutsche Gesellschaft für Datenschutz

ADV-Verträge

Wenn Sie Dritte beschäftigen, die Ihre Daten weiterverarbeiten, dann handelt es sich um Auftragsdatenverarbeitung (ADV). Mit diesen Dritten müssen Sie einen ADV-Vertrag schließen. Dazu gehört u.a. auch der Provider (bei mir all-inkl). Welche Unternehmen derzeit schon einen solchen ADV-Vertrag bereitstellen, verrät uns wieder einmal Finn Hillebrandt: ADV-Verträge für Blogger: Liste mit Hostern, Newsletter-Tools etc.. Wichtig: Es geht nicht nur um das Internet, sondern auch um andere Unternehmen, die unsere Daten verarbeiten. Also muss man überprüfen, mit wem man noch entsprechende Geschäftsbeziehungen hat. Auch mit ihnen müssen ADV-Verträge geschlossen werden.

Sonstiges Zeug

Es gibt noch andere Dinge zu erledigen, die nicht unbedingt mit dem Bloggen zu tun haben, aber mit meiner Tätigkeit als Freiberufler. Zum Beispiel das Erstellen eines Verzeichnisses von Verarbeitungstätigkeiten. Näheres erfährt man bei Thomas Werning in seinem Artikel DSGVO – und nun ?. Auf jeden Fall zu empfehlen ist die Broschüre Erste Hilfe zur Datenschutz-Grundverordnung für Unternehmen und Vereine: Das Sofortmaßnahmen-Paket.

Erste Hilfe zur Datenschutz-Grundverordnung für Unternehmen und Vereine: Das Sofortmaßnahmen-Paket

EUR 5,50

Bei Amazon ansehen

Weitere Informationen über die Kombination Freiberufler und DSGVO findet man unter:

• Henning Zander: DSGVO für Einzelunternehmer und Freiberufler
• Dr. Katja Flinzner: Was bedeutet die DSGVO für Einzelunternehmer und Freelancer?

Überprüfung der getroffenen Maßnahmen

Eine letzte Kontrolle darüber, ob unsere Maßnahmen ausreichend sind, könnte die Antwort auf einen (noch) fiktiven Albtraum-Brief sein. Roman Abashin hat ihn geschrieben: Der DSGVO-Albtraum-Brief: Ein Kunde will an seine Daten. Danke Franziska für den Tipp.

Ein letztes Wort

Mein Freund Detlef Stern, ein ausgewiesener IT-Experte meinte, WordPress DSGVO-sicher zu machen ist alles andere als trivial. Das liegt an den ganzen Plugins, die von dritter Seite gebastelt wurden. Ich denke, da hat er Recht. Man darf gespannt sein, inwieweit die DSGVO in späteren Versionen von WordPress berücksichtigt wird. Über die einzelnen Plug-ins, insbesondere über Jetpack habe ich mich ja bereits ausgelassen.

Ich denke, der Grundgedanke der DSGVO ist richtig. Ob man allerdings Großkonzerne, KMUs oder gar Einzelunternehmer über einen Kamm scheren sollte, ist eine andere Frage. Ein Konzern leistet sich halt einige Rechtsanwälte, die sich um nichts anderes als die Anwendung der DSGVO kümmern. Aus diesem Grund wird sich die Abmahnindustrie überlegen, Konzerne und große Unternehmen anzugehen. Das ist bei uns „kleinen Leuten“ leider anders. Und so liegt die Motivation, die DSGVO einzuhalten, nicht so sehr in dem Respekt vor dem Gesetzgeber, sondern vielmehr in der Angst vor den Abmahnhyänen, seien wir ehrlich. Abmahnungen sind mittlerweile ein lukratives Geschäftsmodell geworden. Die Politik weiß das, unternimmt aber nichts dagegen. Vielleicht schreien wir nicht laut genug. Damit sich das ändert, zeichnen Sie die Petition 77180

Unlauterer Wettbewerb – Reform des wettbewerbsrechtlichen Abmahnwesens vom 08.03.2018
(Zeichnen)

… und noch eine Bemerkung:

<sarkasmus> Als Sicherheitsingenieur wünschte ich mir, dass die zuständigen Stellen bei Umsetzung der Arbeitsschutzgesetzes, insbes. der Gefährdungsbeurteilung, nur halb so sorgfältig vorgingen wie bei der DSGVO. Aber vielleicht ist der Aufwand bei der Überprüfung zu hoch und das Abmahnen schwieriger. </sarkasmus>

darkmoon1968 / Pixabay

Achtung: Dies ist weder eine Rechtsberatung noch eine technische Anleitung! Weder kann ich garantieren, dass die Maßnahmen rechtlich korrekt noch dass sie vollständig sind.

In diesem Beitrag möchte ich mich mit dem Plug-in „Jetpack“ befassen. Man könnte ihn deshalb auch mit „Das Jetpack-Problem“ betiteln.

Leider kann man m.W. die Funktion zur Messung des Besucherverkehrs (Traffic) bei Jetpack nicht deaktivieren. Im Klartext: Sobald sich ein Besucher auf der Seite befindet, geht die Trackerei los. Momentan arbeitet Automattic offenbar mit Hochdruck daran, Jetpack DSGVO kompatibel zu machen. Sollte dies allerdings nicht rechtzeitig klappen, werde ich Jetpack bis auf weiteres komplett abschalten (müssen).

Über mögliche Alternativen für die Statistikfunktion habe ich im letzten Teil der Reihe geschrieben.

Mit dem Abschalten von Jetpack ist leider dann auch gleich ein ganzes Bündel nützlicher Funktionen weg, die ebenso bequem wie leicht einzurichten sind, wie:

1. Das Jetpack Mobile-Theme
2. Das Teilen meiner Beiträge automatisch in sozialen Netzwerken
3. Funktion „Blog folgen“ und „Kommentaren folgen“
4. Ähnliche Inhalte am Ende des Beitrags anzeigen

Ich gebe zu, dass ich diese Funktionen gerne nutze bzw. genutzt habe. Hier einige Ideen, wie sich die einzelnen Module vielleicht ersetzen lassen.

Das Jetpack Mobile-Theme

Ich weiß, mein derzeit benutztes mobiles Thema sollte responsiv sein. Ist es auch, nur bin ich damit aus verschiedenen Gründen sehr unzufrieden. Deshalb habe ich diese Funktion von Jetpack gerne genutzt. Leider habe ich noch keine vernünftige Alternative gefunden. WPtouchPro ist mir zu teuer. Außerdem hatte ich es schon einmal und wurde durch eine kundenunfreundliche Update-Politik verärgert. David Keulert hat noch eine andere Idee: Minileven Mobile Theme ohne Jetpack nutzen. Allerdings hat das bei mir nicht funktioniert.
Derzeitiger Stand: Ich suche nach einem ähnlich minimalistischen mobilen Theme á la Minileven. Wenn Sie eines kennen, lassen Sie es mich wissen.

Teilen der Artikel in sozialen Netzwerken

Das war eine äußerst bequeme Funktion von Jetpack, die ich sehr vermissen werde. Auch hier habe ich noch keine datenschutzgerechte Methode gefunden. Außer dem händischen Verlinkten natürlich. Aber ich bleibe am Ball.

Andere Funktionen wie Sharing oder Like Buttons sind bei mir schon jetzt nicht mehr im Einsatz. Siehe auch hier den zweiten Teil dieser Artikelreihe.

Funktion „Blog folgen“ und „Kommentaren folgen“

Momentan können Sie dank dieser Funktion ein Abo auf Blogartikel und Folgekommentare abschließen. Das funktioniert sogar wie es soll, nämlich mit Double-Opt-in und einfacher Abmeldemöglichkeit. Die E-Mail-Adressen werden bei wordpress.com gespeichert, wo ich jederzeit Zugriff auf sie habe. Ich weiß also, wo sie stehen und kann sie auf Wunsch sofort löschen. Soweit so gut, aber wenn Jetpack komplett abgeschaltet wird, wird auch diese Funktion abgeschaltet. Momentan denke ich über den Einsatz der Plug-ins Subscribe To Comments Reloaded oder Subscribe to Double-Opt-In Comments nach.
Derzeitiger Stand: Ersatz möglich, aber umständlich. Insbesondere das Abonnieren neuer Artikel via E-Mail ist für mich noch nicht befriedigend gelöst.

Ähnliche Inhalte am Ende des Beitrags anzeigen

Auch dies war eine schöne Funktion, die ich sehr vermissen werde. Als Alternative bietet sich Contextual Related Posts an.

Fazit

Auch wenn ich bei einigen WordPress-Spezialisten Naserümpfen erzeuge: Mir wird Jetpack fehlen. Allerdings gebe ich die Hoffnung nicht auf, dass den Macherinnen und Machern bei Automattic noch rechtzeitig bis Ende Mai das Richtige einfällt. Einige sind in Europa beheimatet, die DSGVO bzw. GDPR dürfte sie deswegen ausreichend beschäftigen. Ich würde mich jedenfalls freuen, wenn sie es bis zum Stichtag schaffen. Nicht ganz uneigennützig, wie ich zugebe.

burntpoet / Pixabay

Achtung: Dies ist weder eine Rechtsberatung noch eine technische Anleitung! Weder kann ich garantieren, dass die Maßnahmen rechtlich korrekt noch dass sie vollständig sind.

Vielleicht der für Blogger wichtigste Punkt der DSGVO ist der Umgang mit den persönlichen Daten der Besucher. Was es damit auf sich hat, erfahren Sie in einer schönen Infografik der Europäischen Kommission.

Kritisch wird es immer dann, wenn es um die persönlichen Daten der Leserinnen und Leser geht. Darunter fällt neben den üblichen Verdächtigen wie Name oder E-Mail auch die IP-Adresse des Nutzers. Für mich gilt damit eine Art hierarchische Maßnahmenliste zur Vermeidung von Ärger:

1. Gar keine persönlichen Daten erheben
2. Persönliche Daten erheben, aber vorher um Erlaubnis fragen und jederzeitigen Widerruf ermöglichen
3. In der Datenschutzerklärung darauf hinweisen, wann, wo und wozu die Daten erhoben werden. Ansonsten s. (2)

Ich gebe zu, als datentechnischer Laie habe ich nicht schlecht gestaunt, als ich gewahr wurde, was so an Daten erhoben wird, von denen ich Naivling gar nichts gewusst hatte. Allerdings habe ich mich als Blogger auch nicht besonders darum gekümmert. Wenn Sie wissen wollen, wer auf Ihrer Seite als irgendwelche Daten trackt, dann schauen Sie im Quelltext nach. Ein anderes nützliches Helferlein ist die Browsererweiterung Ghostery. Für mich haben sich hierbei diese Problemfelder ergeben:

Tracking via Schriftarten

Wenn Sie in Ihrem WordPress-Theme wie ich Google Fonts eingebunden haben, dann gibt es etwas zu tun: Entweder Sie ersetzen die diese durch Systemschriften oder Sie lagern die Fonts auf Ihren Server(-platz) aus. Näheres beschreibt ein Artikel im Privacy Handbuch. Wissenswertes über Google Fonts auch bei:

• Britta Kretschmer: Wie Sie für WordPress Google Fonts deaktivieren
• Kirsten Schelper: Google Fonts über den eigenen Server einbinden

Nutzerstatistiken

Da ich doch interessiert bin, wie viele Mitmenschen mein ToolBlog besuchen und wozu, habe ich Google Analytics und das Plug-in Jetpack von Automattic im Einsatz. Wenn ich die DSGVO richtig verstanden habe, verarbeiten diese Anbieter die Daten meiner Besucher weiter. Also muss ich mit diesen eine Vereinbarung zur Auftragsdatenverarbeitung treffen. Bei Google geht das, Automattic ist an dem Thema dran. Ich persönlich werde erst einmal meine Google Analytics Konten komplett löschen. Jetpack wird deaktiviert. Um nicht ganz ohne Statistik dazustehen werde ich wohl Statify installieren. Zitat: Es ist konform zu deutschem Datenschutzrecht, da es weder Cookies noch einen Drittanbieter nutzt. Eine Alternative zu Statify könnte WP Statistics sein.

Hier noch einige einschlägige Artikel:

• Daniel Marx: Google Analytics datenschutzkonform nutzen
• Marion Beier: Webseite aus Google Analytics entfernen

Kommentare und IP-Adressen, das Kontaktformular

Blogs leben durch den Austausch mit den Lesern, der über die Kommentarfunktion erfolgt. Dummerweise wird hierbei von WordPress die IP-Adresse erfasst. Man kann dies durch das Plug-in Remove IP verhindern. Schon installiert!

Bereits gesammelte IP-Adressen müssen aus der Datenbank entfernt werden. Wie das geht, beschreibt Jens Bayer: IP Adressen von Nutzern nicht speichern.

Außerdem hole ich mir in Zukunft das Einverständnis der Leser ab, den Kommentar zu veröffentlichen (Hier wiehert der Amtsschimmel!). Das geht ganz einfach mit dem Plug-in WP GDPR Compliance.

Das Gesagte gilt auch für das beliebte Kontaktformular. Ich habe mich gefragt, warum ich überhaupt eines brauche und werde es von der Seite nehmen. Die E-Mail-Adresse reicht auch. Allerdings: Muss ich für die DSGVO auch schriftlich festhalten, dass über die Signatur des Schreibers die Adresse (persönliche Daten!) u.U. in der Kontaktliste von Outlook landet?. Muss ich dazu auch die Erlaubnis einholen? Fragen über Fragen…

Einbinden von Social Media Buttons und anderer Dateien

Zum Teilen auf den sozialen Netzwerken gibt es die Social Media Buttons (Twitter, Faceboók & Co). Ich habe sie bereits entfernt, denn sie wurden ohnehin nur selten genutzt. Wenn ich mal viel Zeit habe, dann installiere ich vielleicht das Plug-in Shariff Wrapper. Dann klappt es auch mit der Datensicherheit.

Einbinden von YouTube & Co.

Um YouTube datensicherheitstechnisch richtig einzubinden, gibt es einige Möglichkeiten, die hier beschrieben werden:

• Phil Salewski: Datenschutzrechtlich problematisch: Einbettung von Youtube-Videos im Webshop
• Robert Fischer: Youtube-Videos datenschutzkonform(er) einbinden + WordPress Plugin Empfehlung
• Sven Venzke-Caprarese: Eingebettete YouTube-Videos: Das müssen Websitebetreiber datenschutzrechtlich beachten

Ich werde das Plug-in Embed videos and respect privacy installieren. Das Plug-in baut erst eine Verbindung zu Youtube auf, wenn der Nutzer aktiv auf den Abspielen-Knopf klickt.

Ansonsten habe ich noch einige Videos von Vimeo, bestimmte Tweets und Infografiken mit Skripts eingebunden. Ich werde dies durch einfache Textlinks ersetzen. Nützt ja nichts.

Zwei kleine Helferlein: Anti-Spam-Bee und Pretty Links

Zur Abwehr von Spam habe ich Anti-Spam-Bee im Einsatz. Allerdings „sollten die Optionen „Öffentliche Spamdatenbank berücksichtigen“ sowie „Kommentare nur in einer bestimmten Sprache zulassen“ deaktiviert werden“, wie Finn Hillebrandt schreibt.

Außerdem verwende ich auch Pretty Links, die hässliche Bandwurm-Linkadressen verkürzt. Auch das ist laut Finn kein Problem, wenn man durch Ausschalten die Klick-Statistiken unterbindet.

Vielen Dank soweit, nach den Feiertagen geht es weiter.

bis dahin…

Frohe Ostern!

stux / Pixabay

Die Spatzen haben es mittlerweile so lange von den Dächern gepfiffen, bis es schließlich selbst Schwerhörige wie ich nicht mehr überhören konnten.

Ab 25. Mai 2018 gilt die Datenschutz-Grundverordnung (DSGVO)

Ich will mich hier weder über das Für und Wider auslassen, noch diese Verordnung in aller epischen Breite erläutern. Im folgenden richte ich mich vielmehr an die Wald- und Wiesenblogger, die so etwas wie das ToolBlog betreiben und einfach nur wissen möchten, was zu tun ist. „Was zu tun ist“ habe ich gerade geschrieben und mir dabei fast den Finger in die Tastatur geklemmt. Natürlich erhebe ich nicht den Anspruch,

1. rechtsverbindliche Auskunft zur erteilen (ich bin kein Jurist!)
2. detaillierte technische Anleitung geben (ich bin kein ITler!)
3. vollständig und ohne Fehler zu sein (ich bin ein Mensch!)

Vielmehr erläutere ich in diesem Beitrag nur mein Vorgehen und meine Schritte, die ich bis zum o.a. Stichtag abgeschlossen haben möchte.

Allgemeine Informationen

Wenn Sie „DSGVO“ in einen Suchmaschine tippen, dann werden Sie förmlich von der Fülle von Suchergebnissen erschlagen. Vielleicht halten Sie sich an das Nächstliegende:

• Der Eintrag in der Wikipedia
• Informationsseite der externen Datenschutzbeauftragten
• Die DSGVO im Wortlaut bei intersoft Consulting

Mir ging es wie Ihnen. Man muss schon mit besonderer Geduld gesegnet sein, um derlei Texte wirklich durchzulesen. Wobei das Lesen allein nicht reicht, denn verstehen muss man sie auch und ableiten können, was das für das eigene Weblog bedeutet. Viele Artikel, die man im Netz finden kann, richten sich an Unternehmen jedweder Größe. Wir sogenannten „kleinen Leute“, die ein mehr oder weniger einfaches Weblog mit WordPress betreiben, müssen da schon näher hinschauen, um geeignete Beiträge zu finden.

Für den ersten Überblick hilft Ihnen vielleicht die Broschüre Erste Hilfe zur Datenschutz-Grundverordnung für Unternehmen und Vereine: Das Sofortmaßnahmen-Paket.

Erste Hilfe zur Datenschutz-Grundverordnung für Unternehmen und Vereine: Das Sofortmaßnahmen-Paket

EUR 5,50

Bei Amazon ansehen

Ansonsten bedanke ich mich bei den Autorinnen und Autoren dieser Beiträge, die mir sehr geholfen haben:

• Martina Honecker: DSGVO für Blogger und Websitebetreiber – das musst Du wissen!
• Sonia Rieder: So bereitest Du WordPress auf die DSGVO vor
• Finn Hillebrandt: WordPress-Plugins & DSGVO: Liste problematischer Plugins (+Plugin-Tipps!)
• Sabrina Waldbauer: DSGVO – Leitfaden für Blogger

Aus diesen und anderen Artikeln, die ich an entsprechender Stelle verlinken werde (auch hier großer Dank an die Autoren), habe ich mir die Vorgehensweise gebastelt, die ich in mehreren Abschnitten vorstellen möchte. Fragen Sie bitte mich nicht, warum ich das so machen werde. Nähere Informationen finden Sie in den o.a. Quellen oder unter den entsprechenden Links. Ich werde mich auf die Maßnahmen beschränken, die ich für mein ToolBlog zu tun gedenke. Kurz, knapp, knackig.

Bis denne…