DSGVO: So passt ihr WordPress an den neuen EU-Datenschutz an

WordPress gehört zu den beliebtesten Web-Tools weltweit, rund 30 Prozent aller Webseiten weltweit nutzen das Open-Source-CMS. Mit der Software kann ohne großen Aufwand ein Blog oder gleich eine ganze Website umgesetzt und verwaltet werden. Auch in Österreich hoffen nun also vermutlich Hunderttausende Website-Betreiber und Blogger darauf, dass WordPress mit einem Update Maßnahmen für die neue EU-Datenschutzverordnung (DSGVO) umsetzt. Dieses Update wird vermutlich kommen, noch ist aber unklar wann und in welchem Umfang. WordPress ist nämlich eine Open-Source-Software und auf eine freiwillige Entwickler-Community angewiesen.

Firmen, die bis 25. Mai 2018 die DSGVO nicht umgesetzt haben, drohen hohe Strafen. Verstöße werden mit 20 Millionen Euro oder 4 Prozent des Jahresumsatzes geahndet. Die neuen Regeln zielen darauf ab, dass Nutzer und Kunden die Kontrolle über ihre Daten behalten. Bei Unternehmen sorgen sie allerdings in vielen Fällen für Stirnrunzeln, da viele Details unpräzise formuliert sind wohl erst nach 25. Mai vor Gerichten ausgefochten werden müssen.

Da gerade Startups oft mit digitalen Diensten  – von Mailchimp über Google Analytics, Cloud-Diensten, Apps, Login-Systemen bis hin zu Social Media – arbeiten, zeigt Trending Topics in einer Artikelserie, wie man Online-Services Datenschutz-konform macht.

So passt man den Newsletter-Dienst MailChimp an die Regeln der neuen DSGVO an

Was setzt das WordPress-Team um?

Das WordPress-Core-Team hat angekündigt, bis 25. Mai die wichtigsten Maßnahmen für den Kern der Software umzusetzen. Das betrifft also nur die Grundfunktion des Content Management Systems ohne Erweiterungen, Plug-Ins oder Themes. Was genau geplant ist, lässt sich auf Github nachlesen und umfasst Tools, die alle persönlichen Daten identifizieren, die vom Core gespeichert werden. Diese Daten können dann anonymisiert, gelöscht und exportiert werden. Außerdem ist geplant, eine Policy hinzuzufügen, die Infos enthält, welche Daten gesammelt werden und warum.

Das alleine wird natürlich nicht genügen, um WordPress-Seiten wasserdicht auf die DSGVO vorzubereiten. Diese sechs Punkte sollten von Website-Besitzern auf jeden Fall geprüft und gegebenenfalls geändert werden:

1. Speicherung von IP-Adressen bei Kommentaren

Die Kommentarfunktion ist für die DSGVO-Vorbereitung vermutlich der komplizierteste Punkt. WordPress plant rechtzeitig ein Tool zu veröffentlichen, das folgende Dialoge für Nutzer generiert: Nutzer können ihre Daten herunterladen, Nutzer können die Löschung bzw. Anonymisierung der Daten beantragen und über eine eigene Checkbox der Speicherung eines Cookies zustimmen (Opt-in).

Die DSGVO sieht außerdem vor, dass nur noch jene personenbezogenen Daten gespeichert werden dürfen, die unbedingt notwendig sind. Bei der Kommentarfunktion ist eine Diskussion darüber entbrannt, ob die IP-Adresse in diesem Fall notwendig ist. Grundsätzlich wird davon ausgegangen, dass die Speicherung für die Funktionsfähigkeit der Kommentarfunktion nicht notwendig ist. Es gibt aber auch Stimmen, die das anders sehen, weil die IP-Adresse im Fall der Fälle für die Verfolgung strafrechtlich relevanter Kommentare benötigt wird (etwa hier von Datenschmutz-Blogger Richie Pettauer).

Wie auch immer man sich in diesem Punkt entscheidet (oder seinen Anwalt entscheiden lässt), es gibt bei WordPress die Möglichkeit, die Speicherung der IP-Adresse zu verhindern. WordPress selbst dürfte ja lediglich eine nachträgliche Löschung auf Nutzerwunsch ermöglichen. Die Speicherung von IP-Adressen von vorneherein verhindern kann man, indem man entweder ein Plug-in (zB. Remove IP) dafür installiert oder den notwendigen Code selbst in die functions.php des Themes einträgt:

function wpb_remove_commentsip( $comment_author_ip ) {
return '';
}
add_filter( 'pre_comment_user_ip', 'wpb_remove_commentsip' );

Letztere Variante ist jedoch nur für fortgeschrittene Nutzer zu empfehlen. Damit der Code nicht von jedem Theme-Update wieder überschrieben wird, muss man nämlich darauf achten, ihn in das Child-Theme zu schreiben.

2. Bereits gespeicherte IP-Adressen löschen

Jetzt wird es nocheinmal technisch: Bisher gespeicherte IP-Adressen müssen aus der Datenbank gelöscht werden. Dazu loggt man sich am besten beim Hosting-Provider in das Tool phpMyAdmin ein und sucht in der entsprechenden Datenbank die Tabelle „wp-comments“. Die IP-Adressen sind in der Spalte „comment_author_IP“ gespeichert und können dort gelöscht werden.

3. Google Analytics Opt-out

Nutzer müssen ab 25. Mai die Möglichkeit haben, das Tracking durch Google zu unterbinden. Das funktioniert über ein Opt-out, das in die Datenschutz-Erklärung eingefügt werden muss. Dabei kann man Nutzern zwei Möglichkeiten anbieten: Entweder sie nutzen eine Browser-Erweiterung (die in der Datenschutzerklärung verlinkt sein sollte) oder sie setzen ein Opt-Out-Cookie (mobile Nutzer können keine Browser-Erweiterung nutzen).

Das Opt-Out-Cookie kann man entweder wieder manuell in den Code einbauen oder man lässt das Plug-Ins übernehmen (etwa das Google Analytics Opt-Out Plugin).

Wer den Link zum Opt-Out-Cookie manuell einfügen will, muss zunächst dafür sorgen, dass über dem Tracking-Code von Analytics dieser Code eingefügt ist (falls er nicht schon da ist), wobei UA-xxxxxxx-x durch die jeweilige Tracking-ID zu ersetzen ist.

<script>
var gaProperty = 'UA-XXXXXXX-X'; var disableStr = 'ga-disable-' + gaProperty;
if (document.cookie.indexOf(disableStr + '=true') > -1) {
window[disableStr] = true;
}

function gaOptout() {
document.cookie = disableStr + '=true;
expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/';
window[disableStr] = true;
}
</script>

Dann muss noch in die Datenschutzerklärung ein entsprechender Opt-Out-Link integriert werden, etwa so:

<a onclick="alert('Google Analytics ist jetzt deaktiviert');" href="javascript:gaOptout()">Google Analytics deaktivieren</a>

Für Google Analytics sollten außerdem die IP-Adressen der Nutzer anonymisiert werden – wie das geht, erklären wir demnächst in einem eigenen Artikel über die DSGVO und Google Analytics.

4. Google Fonts

Grundsätzlich sollte jeder Nutzer des WordPress-CMS überprüfen, ob das verwendete Theme den Standards der DSGVO entspricht. Ein Punkt, der vermutlich bei fast allen Themes repariert gehört, ist die Weiterleitung von Nutzerdaten bei dem Einsatz von Google Fonts. Was genau passiert? Die jeweilige Schriftart liegt auf den Servern von Google und wird bei jedem Seitenaufruf geladen.

Im Gegenzug überträgt Google die Daten des Seitenaufrufers zu sich – dazu zählt auch wieder die IP. Ob das nun laut DSGVO rechtens ist, also ob das Interesse des Seitenbetreibers in diesem Fall berechtigt ist, muss noch endgültig geklärt werden. Entscheidet man sich, das abzuwarten, sollte man jedenfalls in der Datenschutz-Erklärung auf die Übertragung der Daten an Google hinweisen.

Entscheidet man sich, die Datenübertragung an Google zu kappen, hat man diese Möglichkeiten:

Die Lösung besteht entweder in der Verwendung einer anderen Schriftart (oder eines anderen Themes) oder darin, die betroffene Schriftart von Google Fonts auf den eigenen Server zu laden.

Dazu wird es wieder technisch – wer das selbst lösen will, sollte via FTP auf seine WordPress-Installation zugreifen können und sich mit CSS zumindest grundlegend auskennen: Google Fonts können zum Beispiel bei dem Tool Google Webfonts Helper heruntergeladen werden, indem man dort in der Suchfunktion nach der jeweiligen Schriftart sucht. Die Schriftart sollte dann via FTP in einen eigenen Ordner in dem Hauptverzeichnis der WordPress-Installation abgelegt werden. Anschließend müssen im style.css des Child-Themes die URLs geändert werden, von denen die Fonts aufgerufen werden.

Das ganze hat sich jedoch nur dann ausgezahlt, wenn man nun auch die Verbindung des Themes zu Google kappt. Dafür gibt es glücklicherweise ein bewährtes Plug-In: Remove Google Fonts References.

Wem das Hosten der Fonts vom eigenen Server zu umständlich ist, kann man natürlich auch einfach darauf verzichten. Dann zeigt die Website nach der Aktivierung des Remove Google Fonts References die in der style.css als „Fallback“-Alternative eingetragene System-Fonts an.

5. Plug-Ins

Jeder Betreiber einer WordPress-Website sollte bis 25. Mai jedes einzelne Plug-In auf die Übertragung/Nutzung von User-Daten überprüfen. Als ersten Anhaltspunkt hat Finn Hillebrandt von Blogmojo eine Liste problematischer Plug-Ins zusammengestellt.

6. Datenschutz-Erklärung

Zu guter letzt braucht jede Website, die Nutzerdaten speichert, verarbeitet und/oder weiterleitet eine Datenschutz-Erklärung, in der der Nutzer genau darauf hingewiesen wird. In dieser Erklärung sollten auch sämtliche Links enthalten sein, die dem Nutzer den Download, die Aktualisierung bzw. Löschung seiner Daten ermöglichen. Neben allen oben erwähnten Punkten sollte man hier zum Beispiel auch nicht auf entsprechende Hinweise für das Newsletter-Formular vergessen. Für die Datenschutzerklärung gibt es im Internet bereits eine Menge an Generatoren, die zumindest eine gute Basis schaffen. Die Wirtschaftskammer Österreich bietet einen Mustertext an, der ebenfalls als Ausgangslage dienen kann.

Dieser Artikel stellt keine Rechtsberatung dar. Wir übernehmen keinerlei Gewähr für allfällige Rechtsfolgen, die sich aus der Umsetzung dieser Informationen ergeben.