Hallo,
in Schritt 6 schreibt ihr, dass ihr selbst noch an einer PGP-Extension für den Mailversand arbeitet.
Wurde daraus was?
Danke,
Iris
Ab dem 25. Mai 2018 endet die Schonfrist für die Einführung der Datenschutz-Grundverordnung (DSGVO, englisch: GDPR). Nach diesem Datum drohen hohe Strafen für die Nicht-Einhaltung der Datenschutz-Richtlinie. Mit dem Betrieb einer TYPO3-Webseite werden immer verschiedene personenbezogene Daten gesammelt und verarbeitet. Was müssen TYPO3-Webseitenbetreiber und Agenturen tun, um den DSGVO/GDPR-Anforderungen zu genügen? Wir wir betreuen über 100 TYPO3-Webseiten für unsere Kunden. Folglich mussten wir uns mit dem Thema TYPO3 und DSGVO auseinandersetzen – sowohl für uns selbst, als auch für unsere Kunden. Wir gehen die einzelnen Punkte und Maßnahmen durch, die wir bei unseren Seiten umgesetzt haben, um datenschutzkonform zu werden. Wir freuen uns auf Kommentare und Anregungen, um diese Auflistung hier zu vervollständigen, aber auch offene Fragen zu beantworten. Inhalte
Für lange Zeit haben überlegten wir, ob man als Developer überhaupt unseren Kunden sagen können, was sie zu tun haben – denn als Nicht-Juristen können wir nicht garantieren, dass unsere Maßnahmen auch rechtssicher sind. Dann merkten wir: die Juristen haben zwar schöne Powerpoints, Formulare und Vorlagen, aber keine Antworten auf technische Fragen. Insofern sind wir als TYPO3-Developer mit unserem technischen Wissen gefordert, unseren Kunden technische Lösungen (in DSGVO-Deutsch: TOM – technische und organisatorische Maßnahmen) vorzuschlagen, damit Ihre Webseite die Anforderungen der DSGVO bestmöglich erfüllt.
In unserer Analyse stellten wir uns deshalb folgende Fragen:
Was sind also die Maßnahmen, die man ergreifen sollte, um die TYPO3-Webseite datenschutzkonform zu machen?
Als Erstes sollte man analysieren: Wo werden bei meiner TYPO3-Webseite überhaupt personenbezogene Daten erfasst, potentiell gespeichert oder verarbeitet und werden die User auch darüber informiert? Folgende Punkte sollte man deshalb bei Seiner Webseite untersuchen:
Wer einen diese Punkte auf seiner TYPO3-Webseite findet, sollte sich aus unserer Sicht überlegen, welche technische und organisatorischen Maßnahmen zu ergreifen sind um den Anforderungen der DSGVO zu genügen. Haben wir etwas vergessen? Wer hier noch mehr Punkte sieht – bitte ab in die Kommentare damit! Danke!
Der erste Schritt ist aus unserer Sicht die oben aufgeführte Analyse der eigenen Webseite. Stelle ich bei der Analyse fest, dass ich mit meiner Webseite personenbezogene Daten erfasse, dann muss ich dies auch in der Datenschutzerklärung erklären. Da auch wir keine Juristen sind, empfehlen wir hier erst einmal, mit einem Online-Datenschutz-Generator anzufangen. Wir fanden den Online-Generator von der Deutschen Gesellschaft für Datenschutz ganz hilfreich. Was dort nicht abgedeckt ist, sollte man vielleicht mit seinem Datenschutz-Juristen besprechen oder nach besten Wissen und Gewissen selbst tippen.
Wer mit seiner TYPO3-Webseite personenbezogene Daten erhebt, sollte diese Daten für eine höhere DSGVO-Konformität ausreichend absichern. Dazu gehören auf jeden Fall regelmäßige Sicherheits-Updates von TYPO3-Core und Extensions (am besten gleich den Newsletter der TYPO3 Security Bulletin bestellen). Zweitens sollte man TYPO3 richtig absichern. Hierzu gehören Maßnahmen wie sichere Passwörter, SSL-Verschlüsselung, Serverhygiene und die richtigen Einstellungen im TYPO3-Install-Tool sowie den Extensions. Der Artikel: TYPO3 ausreichend absichern ist zu diesem Thema ein ganz guter Einstieg. Wir wollen diesem Thema nicht noch einen Artikel widmen – es gibt schon genügend davon. Zwei Maßnahmen, die wir dem Artikel noch hinzufügen können sind:
Wer auf seiner Webseite PIWIK/Matomo, Google Analytics oder andere Statistik-Tools nutzt, muss aus unserer Sicht aktiv werden. Achtung: Am 3. Mai 2018 wurde gemeldet (z.B. bei Golem.de), dass aus Sicht deutscher Datenschützer ein Tracking ohne vorheriger Einwillung nicht DSGVO-konform sei. Das würde die gängige Praxis (Cookie Hinweis + Opt-Out) komplett auf den Kopf stellen. Wir sollten alle beobachten, wie diese Diskussion weitergeht! However. Solange wir nicht Genaueres wissen, sollten aus unserer Sicht folgende Maßnahmen ergriffen werden:
Social Media Elemente wie eingebundene Share-Buttons, Facebook-Boxen oder Embedded Tweets werden vom oft von Fremdservern oder über externe Services geholt. Bezüglich der Like und Share-Buttons würde ich empfehlen, die einfach selber zu bauen als Link mit einem SharerUrl-Parameter (dann werden keine vom User für deren Aufruf übertragen). Eine andere Option ist die TYPO3-Extension Heise Shariff (EXT: rx_shariff) zu nutzen. Damit kann man datenschutzkonforme Share-Button mit der Anzahl der Shares/Likes haben, die aber von TYPO3 per Ajax-Request geholt und ausgegeben werden. Wie das geht, kann man sich im Tx_News Detail-Template abschauen (Achtung: nicht den Namespace im Header vergessen).
Mit Kontaktformularen werden fast immer personenbezogene Daten (z.B: Mailadresse, Name, IP) abgefragt . Daher muss man die Webseitenbenutzer zu Beginn des Nutzungsvorgangs, aber spätestens vor Absenden des Formulars über Art, Umfang und Zweck der Erhebung sowie Verwendung von personenbezogenen Daten sowie über die Verarbeitung der Daten in allgemein verständlicher Form aufklären.
Zudem nennt Art. 32 Abs. 1 Satz 1 Hs. 2 DSGVO konkrete als Maßnahme zur Datensicherheit die Pseudonymisierung und Verschlüsselung personenbezogener Daten.
Aus unserer Sicht müssen aber auch alte Powermail-Formular-Antworten fristgerecht gelöscht werden (z.B. nach 3 Monaten/90 Tagen). Powermail-Versionen ab 3.0 haben dafür schon einen Scheduler-Task »garbage collection« voreingerichtet. Bei Powermail-Versionen kann man dazu einen eigenen Task (laut der Doku) einrichten. Dazu muss folgender Code in die AdditionalConfiguration.php (oder ext_localconf.php der eigenen Theme-Extension) einfügen:
$GLOBALS['TYPO3_CONF_VARS']['SC_OPTIONS']['scheduler']['tasks']['TYPO3\CMS\Scheduler\Task\TableGarbageCollectionTask']['options']['tables']['tx_powermail_domain_model_answers'] = array( 'dateField' => 'tstamp',
'expirePeriod' => '90'
);
$GLOBALS['TYPO3_CONF_VARS']['SC_OPTIONS']['scheduler']['tasks']['TYPO3\CMS\Scheduler\Task\TableGarbageCollectionTask']['options']['tables']['tx_powermail_domain_model_mails'] = array(
'dateField' => 'tstamp',
'expirePeriod' => '90'
);
Dann steht auch ein Task für das Löschen von tx_powermail_domain_model_mails und tx_powermail_domain_model_answers zur Verfügung im Task-Planer.
Am 7.5.2018 gab es kam zudem die neue Powermail-Version 6.0.0 heraus - ein Release welches ausschließlich GDPR beinhaltet (siehe Release Notes Powermail).
Newsletter-Anmeldungen sind personenbezogene Daten (schon wegen der E-Mail-Adresse). Bereits nach dem Bundesdatenschutzgesetz (BDSG) musste man nachzuweisen, wie E-Mail-Adressen im Verteiler gelandet sind. Ein so genanntes „Double-Opt-In“ genügte i.d.R. um diese Anforderung zu erfüllen. Double-Opt-In heißt:
Dies haben wir für die meisten unserer Kunden auch so eingerichtet.
Schon im BDSG gab es eine Nachweispflicht, ein Double-Opt-In tatsächlich erfolgt ist. Dazu bieten wir unseren Kunden schon lange bei jedem Newsletter-Einbau in TYPO3 ein Logging-Tool für Direct Mail Subscription und Register Address an, das die Online-Anmeldung (!) mit den zwei Stufen: 1. Eintrag, 2. Bestätigung gemeinsam mit dem Empfänger-Datensatz speichert. Damit waren unser Kunden bisher auf der sicheren Seite und Sie können aus unserer Sicht die Newsletter-Empfänger-Liste weiter verwenden. Achtung: Man hat aber aus unserer Sicht aber ein rechtliches Problem (das nun auch hohe Strafen nach sich ziehen kann), wenn:
denn ggf. kann man nicht nachweisen, dass die Empfänger der Verarbeitung zugestimmt haben.
Auch hier können wir nur bei Juristen nachlesen und ihnen Glauben schenken – z.B. diesen Artikel hier: E-Mail-Marketing 2018: Was ändert sich durch die DSGVO in Bezug auf Newsletter?) So wie wir die Lage verstehen, kann man die alten Newsletter-Empfänger weiter verwenden, wenn diese BDSG-konform erfasst wurden. Man sollte jetzt aber zusätzlich eine eindeutige Einwilligung einholen und in der Datenschutzerklärung alle Punkte beachten (siehe hier). Technische lösen wir das
Was tun, wenn ihre Empfänger nicht BDSG-konform erfasst sind Was tun mit den Newsletter-Empängern in der Datenbank, die nicht BDSG-konform erfasst wurden, weil das Double-Opt-In nicht protokoliert wurde oder weil sie dies Empfänger manuell eingetragen/importiert haben? Wie dargelegt, war aus unsere Sicht ein solches Mailing datenschutzrechtlich schon immer bedenklich. Aber außer im Business-Bereich hat bisher kaum jemand geklagt. Dies ändert sich mit der DSGVO, da nun aber Verstöße gegen den Datenschutz verfolgt werden müssen und hohe Strafen drohen. Eigentlich darf man diesen Personen aus unserer Sicht keine Mail mehr schicken und müsste sie eigentlich löschen. Um dies zu umgehen, haben wir ein Newsletter-Bestätigungs-Tools konzipiert (aber noch nicht programmiert!),
Das Tool ist noch nicht fertig programmiert, Wer daran mitarbeiten will ist herzlich eingeladen. Bitte uns einfach kontaktieren. Wer das Logging-Tool braucht, kann sich gerne bei uns melden via dsgvo(at)undkonsorten.com. Siehe auf unser Tutorial zu TYPO3 Direct Mail
Auch eingebundene YouTube-Videos holen Daten von YouTube ab und verbinden sich mit vielen Servern. Leseempfehlung mit Maßnahmen dazu: YouTube & DSGVO: Videos datenschutzkonform einbetten. Wenn man die Videos selbst mit dem HTML-Element eingebunden hat, so muss man die Embed-Url umstellen auf youtube-nocookie.com:
<iframe src="https://www.youtube.com/..."></iframe>
</iframe>
auf
<iframe src=""https://www.youtube-nocookie.com/..."></iframe>
</iframe>
Mit den nächsen TYPO3-Upates soll dies auch so in den TYPO3-Core wandern, sagt diese Präsentation zu TYPO3 und GDPR. In mit der TYPO3-Extension GDPR von Georg Ringer wird laut Dokumentation noch ein Consent-Overlay über das Video gelegt, das den User warnt, dass mit dem Anschauen des Videos Daten von YouTube übertragen werden.
Schön war die Zeit, als man einfach und bedenkenlos von GoogleFonts die Schriften oder von einem CDN die jQuery oder Bootstrap-Dateien einbinden konnte. Aus meiner Sicht sollte man dies aber aus Datenschutzgründen unterlassen. Ein Schelm war denkt, Google würde den User über die eingebundenen Fonts tracken ;) Also am Besten mal den HTML-Quelltext, die CSS und das JavaScript-Dateien aufmachen und prüfen, ob extern eingebundene Ressourcen existieren. Mit einer Suche im TypoScript nach
und in den Fluid-Templates nach
sollte man extern eingebunden Ressourcen auf die Spur kommen. Es gibt auch ggf. TYPO3-Extensions mit deren Hilfe die JS-Einbindung gemanaged wird. Wenn man hier externe Quellen findet, sollte man diese lokal abspeichern und einbinden.
Auch TYPO3 selbst speichert personenbezogne Daten. In der Diskussion zu TYPO3 und DSGVO wurde festgestellt, dass in folgenden TYPO3-Core-Tabellen personenbezogene Daten gespeichert werden:
Aus meiner Sicht kann man Erhebung der Daten in der sys_log und sys_history durchaus in der Datenschutzerklärung rechtfertigen: Sie werden für die Sicherheit des Systems benötigt, z.B. Angriffsversuche (»failed login attemps«) auf das TYPO3-Backend zu finden oder auch um versehntlich gelöschte (personenbezogenen) Daten als Redakteur auch wieder herstellen zu können oder um auch ggf. nachweisen zu können, wer Daten gelöscht oder verändert hat.
Es wird jedoch auch bald die Möglichkeit geben, hierfür die IP-Adressen anonymisiert zu speichern. Mit den TYPO3-Versionen 9.2.1, 8.7.14 und 7.6.28 (am 22.05.2018 veröffentlicht) gibt es Anonymisierungseinstellungen im Install-Tool - siehe hier: a. Dann kann man für Indexed-Search in den Extension-Settings folgendes einstellen (vgl. hier
basic.trackIpInStatistic = 2
Für den TYPO3 Core kann man die IP-Adresse anonymisieren über (vgl. hier)
$GLOBALS['TYPO3_CONF_VARS']['SYS']['ipAnonymization']
Zudem wird es einen Scheduler-Task für die Anonymisierung der Bestandsdaten in den o.g. Tabellen geben (vgl. hier).
Dennoch sollte man auch diese Informationen nicht ewig speichern. Um die personenbezogenen Daten wieder loszuwerden, kann man die Einträge in der sys_log und sys_history regelmäßig löschen. Dies geht mit einem Cronjob und dem Scheduler-Task »garbage collection«. Per default sind werden in der sys_history dabei Einträge gelöscht die älter als 30 Tage und in der sys_log solche die älter als 180 Tage sind. Diese Einstellungen kann man auch anpassen (hier die Doku dafür).
Auch FE-User sollten – besonders wenn Sie über Intranets an personenbezogene Daten kommen – nicht vergessen werden. Hier sehen wir folgende Maßnahmen:
Da laut DSGVO alle Prozesse/Tätigkeiten bei denen personenbezogene Daten anfallen auch dokumentiert werden müssen, sollten die bei der Analyse gefundenen Einfallstore und die ergriffenen technischen und organisatorischen Maßnahmen (TOM) bzgl. Eurer TYPO3-Webseite auch in einem so genannten Verarbeitungsverzeichnis festgehalten werden. Wir haben uns dazu ein Template erstellt, in dem wir die o.g. Punkte bereits aufgeführt habe. Bei Interesse daran, sprecht und bitte an via dsvo(at)undkonsorten.com.
Die oben genannten Punkte lösen aber nicht nicht die Probleme beim Arbeiten mit personenbezogenen Daten. User haben das Recht, der Speicherung und Verwendung ihrer Daten auch zu widersprechen. Doch wie löscht man denn eigentlich endgültig einen Newsletter-Empfänger oder einen Intranet-User, wenn dieser beim Kunden anruft oder eine Mail schreibt? De facto kann dies derzeit eigentlich nur ein Admin über die Datenbank selbst lösen (aber nicht ein „normaler“ TYPO3-Redakteur). In der Praxis hieße dies, dass jedes Mal die Agentur aktiv werden müsste. Die Extension »GDPR« von Georg Ringer ermöglicht in der Bezahl-Version (ab € 240 für private oder € 1.450 für Business-Anwender) diese Probleme zu beheben. Damit können Datensätze im TYPO3-Backend für Redakteure und Admins versteckt und auch randomisiert werden (siehe hier).
Hier das Video der TUG München zur Datenschutz-Grundverornung. Interessant vor allem die Diskussion/Fragen am Ende. Der Rechtsanwalt macht dabei ziemlich klar, dass auch die Agenturen und Developer verantwortlich sind, dass eine Seite die rechtlichen Vorausetzungen erfüllt! <iframe src="https://www.youtube-nocookie.com/embed/aER0ZzL4HY4" width="435" height="255" frameborder="0" allowfullscreen="allowfullscreen"></iframe>
Wenn wir etwas übersehen haben sollten, lass es uns bitte wissen. Wer Hilfe braucht, das Logging-Tool für Direct Mail oder uns bei dem Tool für die Newsletter-Bestätigung mithelfen oder uns finanziell dafür unterstützen will -- bitte melden [ dsgvo(at)undkonsorten.com, typo.slack.com > Thomas Alboth ] oder einen Kommentar hinterlassen. Danke!
Hallo,
in Schritt 6 schreibt ihr, dass ihr selbst noch an einer PGP-Extension für den Mailversand arbeitet.
Wurde daraus was?
Danke,
Iris
Hallo,
bin gerade aus gegebenem Anlass auf die Thematik PGP-Extension für Kontaktformulare gestoßen.
Gibt's da schon Neuigkeiten dazu?
Beste Grüße
### Setup PowerMail 4.4.0: Link erlauben (Bsp.: Ich akzeptiere die Datenschutzbestimmungen)
plugin.tx_powermail.settings.setup.misc.htmlForLabels = 1
#####
Hallo,
ich habe dass mal eingetragen!
basic.trackIpInStatistic = 2
$GLOBALS['TYPO3_CONF_VARS']['SYS']['ipAnonymization']
Aber ich sehe auf dem Webserver immernoch die IP des Clients?
Oder habe ich da etwas nicht verstanden? Wäre nett für einen kleinen Tipp!
danke und liebe grüsse
Ehrlich gesagt, halte ich das für übertrieben. Solange man keine GoogleAnalyics, Matomo, Kontaktformular, Newsletter etc. verwendet und man seine Datenschutzerklärung erstellt hat, kann m.E. nicht so viel schief gehen. Schade, dass eine Datenschutz-Richtlinie zu solchen Schritten führen muss.
Euroe Webseite ist gut gemacht, finde ich.
Ich kann Typo3 nur soweit benuutzen, um Inhalte reinzustellen oder herauszunehmen. Weil ich nun einige Berichte aus den Internet von Rechtsanwälten gelesen habe, scheint es keine Rechtssicherheit zu geben. Daher habe ich meine Webseite deaktiviert. Ich bräuchte jemanden, der mir das mit dem Typo3 erklärt, wie ich sie so gut rechtskonform machen kann wie eben möglich.
Beste Grüße
Klaus-Peter Dorrn
Zumindest den Teil mit Löschen/Anonymisieren haben wir versucht in eine (konfigurierbare) Extension zu packen: github.com/ujamii/ujamii-dsgvo
Vielleicht hilft das wem, bis diese Funktionen in den Core wandern (ca. Ende des Jahres lt. typo3.org/community/teams/typo3-development/initiatives/gdpr/)
Sehr cool Leute, sehr sehr cool. Vielen Dank für das Teilen dieser Infosammlung!! Mich würden auch euer Logging-Tool und das Verfahrensverzeichnis-Template interessieren (das raffe ich noch nicht wirklich :-)) Gruß, Frank
[…] Dazu bitte diesen Artikel hier lesen: TYPO3 und DSGVO. […]