Die neue Datenschutzgrundverordnung sorgt für Verunsicherung und wirft viele Fragen auf, dazu gehört auch der Einsatz von Webanalyse-Tools und Auftragsdatenverarbeitung.

Webseitenbetreiber haben ein berechtigtes Interesse daran, mehr über ihre Besucher zu erfahren. Im Rahmen der DSGVO stellt sich für viele die Frage, ob sie das Webanalyse-Tool ihrer Wahl noch rechtssicher einsetzen können und ob sie einen AV-Vertrag (Vertrag zur Auftragsverarbeitung) abschließen müssen.

Da unsere Webagentur auf vielen Kundenwebsites Webanalyse-Tools einsetzt, haben wir uns intensiv mit dieser Fragen beschäftigt und stellen das Ergebnis für folgende Analysetools vor:

» Google Analytics
» Matomo (ehemals Piwik)
» Jetpack (WordPress-Stats)
» Statify

Webanalyse-Tools: wann ist ein Vertrag zur Auftragsdatenverarbeitung erforderlich?

Im Rahmen der neuen Datenschutzgrundverordnung (DSGVO) ist dann ein AV-Vertrag zwischen Auftraggeber und Auftragnehmer erforderlich, wenn der Auftraggeber dem Auftragnehmer benutzerbezogene Daten zur Verfügung stellt bzw. zugänglich macht.

Google Analytics

Am Beispiel von Google Analytics bedeutet das: setzen Sie als Webseitenbetreiber Google Analytics ein, so binden Sie im Quellcode der Website den zugehörigen Tracking-Code ein. Dieser sorgt dafür, dass Benutzeraufrufe erfasst und auf dem Server von Google gespeichert werden. Damit erhält Google Zugriff auf die Besucherdaten – unter anderem, woher die Besucher kommen, welche Seiten sie interessieren, wie lange sie auf der Website verweilen, mit welchem Gerät (Desktop-Computer, Tablet, iPad, Smartphone, iPhone) der Besuch erfolgt, etc. Google ist es in vielen Fällen (u.a. durch das Auslesen von Cookies) sogar möglich, Rückschlüsse auf das Alter und persönliche Interessen zu ziehen.

Damit diese Informationen nicht in direkte Relation mit einem bestimmten Benutzer gesetzt werden können, muss die IP unter anderem auf deutschen Webseiten anonymisiert werden. Diese Vorgabe sollte eigentlich dafür sorgen, dass die Benutzerdaten gar nicht in Korrelation mit einer bestimmten Person gesetzt werden können. Interessanter Weise besteht aber dennoch bereits seit 2016 die Verpflichtung, einen AV-Vertrag mit Google abzuschließen.

Jetpack / WordPress-Stats

Auch Jetpack erfasst über das in diesem WordPress-Plugin integrierten WordPress-Stats Benutzerdaten und stellt diese dem Online-Vermarkter Quantcast zur Verfügung. Damit ist es bei Verwendung von Jetpack erforderlich, einen AV-Vertrag mit WordPress abzuschließen. Weniger als drei Woche vor Inkrafttreten der DSGVO bietet WordPress aber noch immer keinen AV-Vertrag an.

Matomo

Wird Matomo auf dem eigenen Webserver betrieben, so erhält Matomo (bzw. die Firma Innocraft) keinen Zugriff auf die erhobenen Analysedaten. Somit ist in diesem Fall auch kein AV-Vertrag erforderlich. Anders sieht es aus, wenn Sie das Matomo Cloud-Hosting in Anspruch nehmen. Dann werden die Besucherdaten auf dem Matomo-Server gespeichert und Sie müssen einen Vertrag zur Auftragsdatenverarbeitung abschließen. Nach derzeitigem Kenntnisstand bietet das in Neuseeland ansässige Matomo weniger als 3 Wochen vor Inkrafttreten der DSGVO noch keinen solchen AV-Vertrag an.

Statify

Statify setzt weder Cookies ein, noch wird die IP-Adresse des Besuchers gespeichert und es wird auch keinerlei Technologie von Drittanbietern genutzt. Daher wird auch kein AV-Vertrag benötigt.

Muss in der Datenschutzerklärung auf Webanalyse-Tools hingewiesen werden?

Das hängt davon ab, wie sich das jeweilige Webanalyse-Tool verhält. Google Analytics, WordPress-Stats und Matomo setzen zum Tracking der Besucher Cookies ein. Auf diesen Einsatz müssen Sie in der Datenschutzerklärung hinweisen. Somit müssen Sie dort auch das jeweilige Webanalyse-Tool nennen. Außerdem müssen Sie dem Besucher die Möglichkeit einräumen, ein Opt-Out-Cookie zu setzen. Durch das Setzen eines solchen Cookies wird verhindert, dass sein Besuch getrackt wird.

Bei Matomo ist zu unterscheiden ob das Tool auf dem eigenen Server oder im Rahmen des Matomo Cloud-Hostings betrieben wird. Wird es im Rahmen des Cloud-Hostings eingesetzt, so erhält ebenso wie bei Google Analytics und WordPress-Stats ein Drittanbieter Zugriff auf die erfassten Nutzerdaten. Daher müssen Sie den Drittanbieter nennen und darüber Auskunft erteilen, wie der Drittanbieter die erhobenen Daten nutzt.

Hinweis: wir haben diese Informationen nach bestem Wissen und Gewissen zusammengestellt. Wir sind aber keine Fachanwälte und leisten keine Rechtsberatung. Für vorstehende Informationen übernehmen wir keine Haftung oder Gewähr.

Stichworte: Webanalyse-Tools und Auftragsdatenverarbeitung

Der Beitrag Webanalyse-Tools und Auftragsdatenverarbeitung erschien zuerst auf Webdesign Tipps / Webdesign Blog.

Webseitenbetreiber haben ein berechtigtes Interesse daran, mehr über ihre Besucher zu erfahren. Müssen sie einen Matomo Vertrag zur Auftragsdatenverarbeitung abschließen?

Im Rahmen der Datenschutzgrundverordnung (DSGVO) haben wir uns mit verschiedenen Anbietern von Besucher-Analysetools beschäftig. Das Flaggschiff Google Analytics punktet beim Umfang und der Genauigkeit der Datenanalyse, patzt aber im Bereich des Datenschutzes. Das WordPress-Plugin Jetpack mit den integrierten WordPress-Stats bietet interessante Einblicke in das Besucheraufkommen, stellt allerdings weniger als drei Wochen vor Inkrafttreten der DSGVO noch immer keinen Vertrag zur Auftragsdatenverarbeitung bereit. Von einer Verwendung ist daher aktuell abzuraten. Sollten Sie Jetpack einsetzen, so ist es empfehlenswert, sich rechtzeitig nach Alternativen umzusehen. Sofern kurz von dem 25.05.2018 noch immer kein AV-Vertrag verfügbar ist, sollten Sie Jetpack deaktivieren oder gleich ganz löschen.

Vorbildlich in Bezug auf die Datensparsamkeit und den Datenschutz hingegen zeigt sich das WordPress-Plugin Statify. Es bietet zwar bei weitem nicht den Funktionsumfang von Google Analytics. Dieser ist für viele Webseitenbetreiber aber sowieso überambitioniert und die Einarbeitung in die vielen Analysemöglichkeiten oft abschreckend.

Das Analysetool Piwik heißt jetzt Matomo und bietet wohl den gelungensten Kompromiss zwischen Usability und Analysedaten auf der einen sowie Datenschutzaspekte auf der anderen Seite.

Funktionsumfang von Matomo

Ohne an dieser Stelle in Detail auf den Funktionsumfang von Matomo einzugehen möchten wir kurz die wichtigsten Vorteile herausstellen:

1. Der Funktionsumfang von Matomo ist ausgezeichnet. Er reicht zwar bezüglich der Analysemöglichkeiten nicht ganz an den von Google Analytics heran, übertrifft aber den von Jetpack oder Statify. Matomo ist für alle jene die erste Wahl, die detaillierte Informationen über die Besucher benötigen, die Benutzerdaten aber nicht an Google übermitteln möchten.
2. Die Matomo-Benutzeroberfläche ist sehr einfach und intuitiv bedienbar.
3. Einige Grundkenntnisse vorausgesetzt lässt sich Matomo schnell und einfach auf dem eigenen Webserver aufsetzen. Dies bietet insbesondere große Vorteile beim Datenschutz da die Daten nicht (wie bei Jetpack oder Google Analytics) an Dritte weitergegeben werden.
4. Während Analysetool wie Jetpack oder Statify für WordPress entwickelt wurden und somit CMS-abhängig sind, wird Matomo eigenständig betrieben. Es ist Mittels des Plugins WP-Matomo sogar möglich, die statistische Auswertung direkt in WordPress ausgeben zu lassen.
5. Die IP-Adresse der Besucher lässt sich in den Einstellungen per Klick anonymisieren.
6. Matomo ist kostenlos – auch wenn sich die Entwickler über eine Spende freuen und Spenden dazu beitragen, das Projekt am Leben zu halten.

Benötige ich einen Matomo Vertrag zur Auftragsdatenverarbeitung?

Dies ist davon abhängig, wo die Daten erfasst und gespeichert werden. Installieren Sie Matomo auf Ihrem eigenen Webserver, so erhält Matomo keinen Zugriff auf die erfassten Analysedaten. Daher müssen Sie auch keinen Matomo Vertrag zur Auftragsdatenverarbeitung abschließen.

Für alle, die den Installationsaufwand sowie den Aufwand für die regelmäßige Aktualisierung von Matomo scheuen bietet Matomo ein Cloud-Hosting an. Die Preise für das Cloud-Hosting beginnen aktuell bei 7,50 Euro pro Monat bei jährlicher Zahlung bzw. 9,00 Euro pro Monat bei monatlicher Zahlung. Dafür sind bis zu 50.000 Seitenanzeigen pro Monat möglich und Sie können bis zu 5 Webseiten einrichten. Die Paketpreise steigen mit zunehmenden Seitenanzeigen bzw. zusätzlichen Websites.

Wird Matomo im Rahmen eines Cloud-Hostings betrieben, so befinden sich die Analysedaten (und Nutzerdaten!) auf den Matomo-Servern. Somit müssen Sie in diesem Fall auch einen Matomo Vertrag zur Auftragsdatenverarbeitung abschließen.

Gibt es einen Matomo Vertrag zur Auftragsdatenverarbeitung?

Als Firmensitz gibt Innocraft (der Anbieter von Matomo) Neuseeland an. Nach unserem Kenntnisstand bietet Matomo keinen AV-Vertrag an – wir konnten diesbezüglich weder Informationen auf der Website finden noch führte unsere Recherche zum Erfolg. Wir haben daher auf der deutschsprachigen Matomo-Website auf Deutsch angefragt, ob ein AV-Vertrag für das Cloudhosting angeboten wird. Die Antwort erfolgte auf Englisch – man hatte unsere Anfrage wohl nicht verstanden, sicherheitshalber aber nachgefragt, ob wir Matomo Cloud-Hosting-Kunde wären. Nach unserem Verweis auf diesen Blog-Beitrag (nunmehr auf Englisch) teilte man uns am 07.05.2018 mit:

Our DPA is not yet public. However it will be soon public.
in the meantime, please find attached our DRAFT agreement for your internal consideration.
[…]
Before May 25th, it will be possible to agree to these terms directly in the Matomo UI. Alternatively, it will be possible to execute the agreement via e-signature.

Rund zwei Wochen vor Inkrafttreten der DSGVO bietet Matomo also noch keinen AV-Vertrag an. Einen deutschsprachigen Support scheint es nicht zu geben. Gerne können sich Matomo Cloud-Hosting-Kunden hier im Blog melden und ihre Erfahrung teilen, ob der AV-Vertrag tatsächlich bis zum 25.05.2018 im Benutzeraccount bereitgestellt wird und ob er auch in deutscher Sprache erhältlich ist.

Hinweis: wir haben diese Informationen nach bestem Wissen und Gewissen zusammengestellt. Wir sind aber keine Fachanwälte und leisten keine Rechtsberatung. Für vorstehende Informationen übernehmen wir keine Haftung oder Gewähr.

Stichworte: Matomo Vertrag zur Auftragsdatenverarbeitung, Datenschutzgrundverordnung

Der Beitrag Matomo Vertrag zur Auftragsdatenverarbeitung abschließen erschien zuerst auf Webdesign Tipps / Webdesign Blog.

Eigentlich ist es ein alter Hut: bereits das Bundesdatenschutzgesetz macht gemäß § 11 BDSG einen Google Analytics Vertrag zur Auftragsdatenverarbeitung erforderlich, wenn dieses Google-Tool auf der eigenen Website eingesetzt wird.

Erstaunlich viele Webseitenbetreiber, die Google Analytics einsetzen, haben jedoch von dieser Erfordernis noch nie etwas gehört. Dabei stellt Google bereits seit 2016 einen AV-Vertrag zur Verfügung.

Dieser Vertrag besteht inklusive der einleitenden Informationsseite aus insgesamt 18 Seiten. Um ihn mit Google abzuschließen muss ein Webseitenbetreiber den Vertrag in doppelter Ausfertigung ausdrucken, ausfüllen und auf dem Postweg an Google Irland Ltd. in Dublin schicken. Nach einigen Wochen erfolgt dann die Rücksendung eines von Google unterschriebenen Vertragsexemplars.

Google Analytics Vertrag zur Auftragsdatenverarbeitung: was ändert sich mit der neuen Datenschutzgrundverordnung?

Im Rahmen der Datenschutzgrundverordnung entfällt das Schriftform-Erfordernis. DSGVO-konforme AV-Verträge können auch digital abgeschlossen werden, sofern auf diesem Wege eine ausreichende Dokumentation sichergestellt ist.

Wenn Sie einen Google Analytics Vertrag zur Auftragsdatenverarbeitung abschließen möchten, melden Sie sich in Ihrem Google Analytics-Account an und bestätigen Sie dort per Setzen des entsprechenden Häkchens und Absenden des Formulars den Google Analytics Vertrag zur Auftragsdatenverarbeitung (bzw. ab Inkrafttreten der DSGVO nur noch „Auftragsverarbeitung“).

Beachten Sie dabei: sollten Sie bisher keinen Google Analytics Vertrag zur Auftragsdatenverarbeitung abgeschlossen haben, so wurden die statistischen Daten der Benutzer widerrechtlich erhoben. Sie sollten daher die alten UA-Konten löschen, neue Konten erstellen und die UA-Trackingcodes der neuen Konten in die betreffenden Webseiten einbauen.

Google Analytics im Rahmen der Datenschutzgrundverordnung rechtssicher einsetzen

Die Anforderungen für einen rechtssicheren Einsatz von Google Analytics ändert sich mit der Datenschutzgrundverordnung nicht. Wie bisher gilt:

• AV-Vertrag
  Da durch Google Analytics eine Datenverarbeitung durch einen Dritten (in diesem Fall Google) erfolgt, müssen Webseitenbetreiber einen Vertrag zur Auftragsdatenverarbeitung abschließen.
• IP-Anonymisierung
  Der Standard Google Analytics-Code ist so zu modifizieren, dass die IP-Adresse der Besucher anonymisiert wird. Dazu muss lediglich eine zusätzliche Zeile Javascript hinzugefügt werden:
  push([‚_gat._anonymizelp‘]);
• Datenschutzerklärung
  In der Datenschutzerklärung müssen Sie auf die Verwendung von Google Analytics hinweisen und beschreiben, welche Arten von Daten erfasst werden.
• Opt-Out-Cookie
  Sie müssen dem Besucher die Möglichkeit geben, das Tracking durch Google zu unterbinden. Dies geschieht durch ein so genanntes Opt-Out-Cookie. Dabei wird im Browser des Benutzers ein Cookie gesetzt, welches das Tracking verhindert.

Was spricht für den Einsatz von Google Analytics, was spricht dagegen?

Die neue Datenschutzgrundverordnung hat viele Seiten. Gute und weniger schöne. Für Webseitenbetreiber aber auch generell für Unternehmen ergeben sich durch die Datenschutzgrundverordnung viele – teilweise umfangreiche und aufwendige – Änderungen.

Zugleich trägt die DSGVO zu einer weiteren Sensibilisierung der Menschen in Bezug auf ihre persönlichen Daten bei. Google Analytics ist eine tolle Software. So wie viele andere von Google entwickelte Tools auch. Es gibt derzeit wohl kaum eine Analyse-Software, mit der sich das Besucherverhalten im Web so detailliert analysieren und auswerten lässt wie mit Google Analytics. Andere Unternehmen verlangen für solche Softwarelösungen eine angemessene Vergütung. Und das zu Recht. Denn für die Entwicklung haben hervorragende Softwareentwickler viel Zeit investiert und solche Spezialisten arbeiten selbstverständlich nicht umsonst – auch nicht bei Google.

Google verfolgt allerdings ein anderes Geschäftsmodell: Tools wie Google Analytics werden vollkommen kostenlos angeboten. „Kostenlos“ bedeutet allerdings nicht „umsonst“. Die Webseitenbetreiber und ihre Besucher bezahlen sie, indem sie Google umfangreiche Daten zur Verfügung stellen die Google wiederum verknüpft und immer mehr Informationen über die Benutzer und Unternehmen zusammenträgt.

Google ist das Flaggschiff unter den Web-Analysetools. Aber um welchen Preis? Hier sollte sich jeder Webseitenbetreiber und jede Webagentur fragen, ob die umfangreichen Auswertungsmöglichkeiten tatsächlich benötigt werden oder ob nicht auch weniger datengierige Tools ausreichen. Beispielsweise Statify für WordPress oder das hervorragende Matomo (ehemals Piwik).

Wie ernst nimmt Google den Datenschutz?

Es taucht immer wieder die Frage auf, wie ernst Branchenriesen wie Google oder Facebook den Datenschutz tatsächlich nehmen. Google lässt sich hier ungern in die Karten schauen. Gerichtsurteile aus der Vergangenheit zeigen jedoch, dass das Thema „Datenschutz“ offenbar nicht immer oberste Priorität genießt. Schließlich „lebt“ Google von den persönlichen Daten der Benutzer.

Im Jahre 2012 hat Google mit einer Strafzahlung in Höhe von 22,5 Millionen Dollar eine Klage der US-Aufsichtsbehörde verhindert. Zur Klage kam es, weil Google gegen seine eigenen Zusagen zum Schutz der Privatsphäre verstoßen hat.

Im Jahre 2013 musste Google 145.000 Euro Bußgeld zahlen, weil im Zuge der Erhebung von Daten für den Google-Dienst „Street-View“ auch zur Aufzeichnung von Daten von WLAN-Netzen sowie von Inhaltsdaten (u.a. E-Mails, Passwörter, Fotos und Chat-Protokolle) gekommen ist.

Im Juni 2017 kam es zu einer Rekord-Kartellstrafe in Höhe von 2,42 Milliarden Euro, weil Google seine Marktmacht als Suchmaschinenbetreiber missbraucht hat, um Millionen Nutzer auf die Preisvergleichsplattform Google Shopping zu lenken.

Wie passt das zum Google-Motto „Don’t be evil“? (Sei nicht böse). Vielleicht gar nicht. Denn mit Gründung der Muttergesellschaft Alphabet wurde das Motto im Jahre 2015 geändert in „Do the Right Thing“ (Tu das Richtige).

Nun bleibt nur noch eine Frage zu beantworten:
Das Richtige für wen?

Hinweis: wir haben diese Informationen nach bestem Wissen und Gewissen zusammengestellt. Wir sind aber keine Fachanwälte und leisten keine Rechtsberatung. Für vorstehende Informationen übernehmen wir keine Haftung oder Gewähr.

Stichworte: Google Analytics Vertrag zur Auftragsdatenverarbeitung, Datenschutzgrundverordnung

Der Beitrag Datenschutzgrundverordnung: Google Analytics Vertrag zur Auftragsdatenverarbeitung abschließen erschien zuerst auf Webdesign Tipps / Webdesign Blog.

Statify und Datenschutzgrundverordnung: Statify ist ein praktisches WordPress-Plugin mit dem Sie Informationen über Ihre Besucher beziehen können. Doch was ist im Kontext zwischen Statify und Datenschutzgrundverordung zu beachten?

Statify bietet weniger Informationen über die Besucher als beispielsweise Jetpack, (bzw. das in Jetpack enthaltene WordPress-Stats) welches sich ebenfalls in WordPress integrieren lässt. Während Jetpack aus datenschutzrechtlichen Gründen jedoch bedenklich ist, glänzt Statify mit Datensparsamkeit. Per Standard löscht Statify die statistischen Daten bereits nach zwei Wochen mittels Cron-Job. Über das Dashboard lassen sich auch längere Zeiträume einstellen.

Statify macht genau das, was es soll – nicht mehr, aber auch nicht weniger. Statt Daten an Dritte zu übermitteln (die diese zu Vermarktungszwecken nutzen können) werden lediglich

• die Besucher gezählt
• erfasst, wo die Besucher herkommen
• und es wird angezeigt, welche Inhaltsseiten wie oft aufgerufen werden.

Statify und Datenschutzgrundverordnung

Werden Benutzerdaten erfasst, so fordert die Datenschutzgrundverordnung (DSGVO) einen Vertrag zwischen Auftraggeber und Auftragnehmer, welcher klar regelt, was mit den Benutzerdaten passiert beziehungsweise wie diese von wem genutzt werden.

Da Statify weder Cookies einsetzt noch die IP-Adresse der Besucher speichert und auch keinerlei Technologie von Drittanbietern nutzt, lassen sich die erfassten statistischen Daten nicht in Beziehung zu bestimmten Besuchern setzen. Die Datenerfassung erfolgt vollkommen anonym.

Statify und Auftragsdatenverarbeitung

Dadurch sparen sich Webseitenbetreiber bzw. die von ihnen beauftragten Webagenturen bei Statify den Aufwand, Verträge zur Auftragsdatenverarbeitung abschließen zu müssen. Nicht einmal die Datenschutzerklärung ist anzupassen bzw. zu ergänzen. Aktuell gibt es kein Besucher-Analysetool für WordPress, dessen Inbetriebnahme mit weniger Aufwand verbunden ist.

Nachteile von Statify

So sehr Statify in Bezug auf den Datenschutz glänzt, ist es kein vollwertiger Ersatz für professionellere Analyse-Tools wie Google Analytics oder Matomo / Piwik.

Hier stellt sich für den Webseitenbetreiber oder dessen Webagentur die Frage, wie umfangreich die Auswertung der Besucher überhaupt ausfallen muss. Denn insbesondere bei Webseiten kleinerer Unternehmen ist es meist vollkommen ausreichend zu ermitteln, wie viele Besucher die Website hat, wo die Besucher herkommen und welche Inhaltsseiten besonders häufig aufgerufen werden.

Hinweis: wir haben diese Informationen nach bestem Wissen und Gewissen zusammengestellt. Wir sind aber keine Fachanwälte und leisten keine Rechtsberatung. Für vorstehende Informationen übernehmen wir keine Haftung oder Gewähr.

Stichworte: Statify und Datenschutzgrundverordnung, Statify DSGVO, Statify Auftragsdatenverarbeitung

Der Beitrag Statify Datenschutzgrundverordnung, Statify Auftragsdatenverarbeitung erschien zuerst auf Webdesign Tipps / Webdesign Blog.

Jetpack und Datenschutzgrundverordnung: Jetpack ist ein praktisches WordPress-Plugin mit vielen interessanten Features. Doch was ist im Kontext zwischen Jetpack und Datenschutzgrundverordung zu beachten?

So komfortabel und einfach Jetpack auf den ersten Blick erscheint: das Plugin hat seine Tücken. Nach der Installation und Aktivierung müssen Sie lediglich noch die Website bei WordPress anmelden und schon werden Ihnen im Redakteurbereich schick aufbereitetet statistische Daten bereitgestellt.

Werden keine möglichst detaillierten Analysen benötigen, so stellt Jetpack auf den ersten Blick eine interessante Alternative zu Analysetools wie Google Analytics oder Matomo / Piwik dar.

Auf den zweiten Blick offenbart sich allerdings, dass die Besucheranalyse mit Jetpack ihre dunklen Seiten hat und es Gründe dafür gibt, besser die Finger von Jetpack zu lassen. Was konkret spricht gegen die Nutzung von Jetpack?:

1. Jetpack und Datenschutzgrundverordnung: Einen Vertrag zur Auftragsdatenverarbeitung mit WordPress abschließen

Die Datenschutzgrundverordnung fordert, dass bei der Verarbeitung benutzerbezogener Daten ein Vertrag zwischen Auftraggeber und Auftragnehmer abgeschlossen wird. Ein solcher Vertrag hieß bisher „Auftragsdatenverarbeitungs-Vertrag“ bzw. kurz AV-Vertrag. Im Zuge der DSGVO ändert sich der Begriff zu „Auftragsdaten-Vertrag“.

Das Problem: WordPress bietet offenbar bis heute keinen solchen Vertrag an. Die Problematik Jetpack und Datenschutzgrundverordnung wird auch im WordPress eigenen Forum diskutiert.

2. Vermarktung der Analysedaten

Während andere Unternehmen wie Google oder Facebook längst reagiert haben und AV-Verträge anbieten, tut das WordPress bisher nicht. Nun könnte man argumentieren, dass WordPress seinen Firmensitz in den USA hat und dort eine wesentlich geringere Sensibilität in Bezug auf persönliche Daten vorhanden ist. Nur: Google und Facebook sitzen gleich nebenan und den Branchenriesen ist sehr wohl bewusst, dass sie europäische „Spielregeln“ einhalten müssen, wenn sie ihre Dienstleistungen in Europa anbieten.

Bei Jetpack stellt sich das Problem, dass die generierten Analysedaten durch die Firma Quantcast vermarktet werden. Daher müssen Webseitenbetreiber bei der Verwendung von Jetpack schon seit längerer Zeit in ihrer Datenschutzerklärung darauf hinweisen. Dies geschieht üblicher Weise unter dem Punkt Datenschutzerklärung bezüglich Nutzung von WordPress Stats. Bereits 2011 hat der Rechtsanwalt Dr. Schwenke darauf hingewiesen, dass das WordPress.com-Stats-Plugin als Trojaner für Werbetracker fungiert. Denn Quantcast erstellte mit Hilfe von Cookies Nutzerprofile. Eine Funktionalität, welcher der Nutzer nicht widersprechen konnte – beispielsweise durch das Setzen eines Opt-Out-Cookies. Nach heftiger Kritik an dieser Vorgehensweise hat Quantcast zugesagt, die Benutzer-IPs künftig zu anonymisieren und einen Link für das Setzen eine Opt-Out-Cookies bereitgestellt.

Doch damit nicht genug: ergänzend setzt WordPress zum Tracken der Benutzer ein Comscore-Beacon ein. Wer eine rechtssichere Datenschutzerklärung bereitstellen möchte, muss die Besucher also umfangreich aufklären.

Unabhängig von den Vorschriften der DSGVO sollten sich Webseitenbetreiber und Webagenturen grundsätzlich fragen, ob die Nutzung des in Jetpack integrierte Statistik-Tools eine gute Idee ist und das nicht nur im Hinblick auf Jetpack und Datenschutzgrundverordnung. Es bleibt trotz Zugeständnisse von Seiten WordPress‘ und Quantcast in Bezug auf den Datenschutz ein fader Beigeschmack.

Tracking mit DoNotTrack verhindern

Lange Zeit konnten sich Nutzer mit dem Plugin DoNotTrack von Frank Goossens behelfen. Damit ließ sich wohl auch der Konflikt zwischen Jetpack und Datenschutzgrundverordnung lösen. Denn mit DoNotTrack wird der Quantcast-Code unterdrückt und die Erstellung von Nutzerprofilen verhindert. Somit ersparte sich der Webseitenbetreiber sogar entsprechende datenschutzrechtliche Hinweise in der Datenschutzerklärung. Leider wurde DoNotTrack zuletzt vor 2 Jahren aktualisiert und ist nur bis WordPress in Version 4.6.11 getestet.

3. Kein Recht auf Vergessenwerden

Haben Sie schon einmal Domains in Ihrem WordPress-Account hinterlegt?

Beispielsweise um darüber die Anmeldung bei verschiedenen WordPress-Installationen zu managen? Oder Mittels Jetpack Informationen über die Besucher zu beziehen? Dann kennen Sie vermutlich das Problem: das Anmelden neuer Domains ist kein Problem, sie anschließend zu löschen hingegen unmöglich. Das erinnert an das Gebare des frühen Google-Mails (GMail) wo keine Löschfunktion integriert war. Was Google geschmeidig damit begründet hat, dass die Benutzer so viel kostenlosen Speicherplatz erhielten, dass eine Löschfunktion überflüssig sei.

Das „Recht auf Vergessenwerden“ ist nun allerdings auch in der DSGVO verankert. Daher besteht von Seiten WordPress dringender Handlungsbedarf – zumindest im Hinblick auf in der EU ansässige Nutzer.

Fazit: solange WordPress keinen Vertrag zur Auftragsdatenverarbeitung bereitstellt sollte auf den Einsatz von Jetpack unbedingt verzichtet werden. Webseitenbetreiber sind gut beraten, Jetpack zu deaktivieren oder direkt zu löschen.

Alternativen zu Jetpack

Statify

Im Bereich der WordPress-Plugin-Lösungen bietet sich Statify an. Dieses Plugin setzt weder Cookies ein, noch speichert es die IP-Adresse des Besucher und nutzt auch keine Technologien von Drittanbietern.

» Mehr über Statify erfahren

Statify macht genau das, was es soll. Statt Daten an Dritte zu übermitteln (die diese zu Vermarktungszwecken nutzen können) werden lediglich

• die Besucher gezählt
• erfasst, wo die Besucher herkommen
• und es wird angezeigt, welche Inhaltsseiten wie oft aufgerufen werden.

In Bezug auf den Funktionsumfang kann Statify nicht mit Google Analytics oder Matomo mithalten. Vielen Webseitenbetreibern und Agenturen reichen die vorgenannten Informationen aber vollkommen aus. Insbesondere fehlt vielen Webseitenbetreibern die Zeit und Motivation, sich in die umfangreichen Features von Google Analytics einzuarbeiten.

Google Analytics

Wer detaillierte Analyse über seine Besucher benötigt, kommt um Google Analytics kaum noch herum. Doch zu welchem Preis? Alle Informationen werden auf den Google-Servern gespeichert, ausgewertet und miteinander verknüpft. Die Entwicklung komplexer Software wie Google Analytics hat ihren Preis. Exzellente Entwickler haben lange an deren Realisation gearbeitet. Dennoch werden solche Tools kostenlos angeboten. Das sollte zu denken geben. „Kostenlos“ bedeutet nicht „umsonst.“ Sie bezahlen nicht in US-Dollar oder Euro, sondern indem Sie die Daten Google bereitstellen.

Immerhin: im Gegensatz zu WordPress bietet Google schon seit einigen Monaten einen Vertrag zur Auftragsdatenverarbeitung an, den Sie digital (per Checkbox und Absendebutton) betätigen können. Diese Möglichkeit wird von der DSGVO explizit erlaubt. Bisher erforderte das Bundesdatenschutzgesetz noch schriftliche Verträge mit Unterschrift beider Vertragspartner. Dazu musste ein 18-seitiger Vertrag zur Auftragsdatenverarbeitung mit Google ausgedruckt und nach Irland geschickt werden

Matomo / Piwik

Matomo (ehemals Piwik) schafft den Spagat zwischen Besucheranalyse und Datenschutz. Zwar sind die statistischen Daten weniger umfangreich als bei Google Analytics. Aber wesentlich detaillierter als beispielsweise bei Statify. Zudem lässt sich die statistische Ausgabe der Benutzerdaten in WordPress integrieren und so komfortabel vom Webseitenbetreiber einsehen. Hier erfahren Sie mehr über Matomo / Piwik.

Hinweis: wir haben diese Informationen nach bestem Wissen und Gewissen zusammengestellt. Wir sind aber keine Fachanwälte und leisten keine Rechtsberatung. Für vorstehende Informationen übernehmen wir keine Haftung oder Gewähr.

Stichworte: Jetpack und Datenschutzgrundverordnung, Jetpack DSGVO, Jetpack Auftragsdatenverarbeitung

Der Beitrag Jetpack und Datenschutzgrundverordnung. Jetpack und Auftragsdatenverarbeitung. erschien zuerst auf Webdesign Tipps / Webdesign Blog.