Verdammt. Da liegt wieder so ein Zettel auf meinem Schreibtisch und keiner weiß, was er bedeuten soll.
Ich bin mir nicht einmal sicher, ob er von mir ist. Wobei die Schrift leider ziemlich eindeutig aussieht. Also gut. Irgendwas mit WordPress, Datenschutzerklärung, Hoster, Consent-Tool und Plugins. Die Hälfte davon war offenbar wichtig. Die andere Hälfte war wahrscheinlich der Versuch, aus einer einfachen Sache eine Wissenschaft zu machen.
Ein Satz ist trotzdem hängen geblieben: Bei WordPress-Plugins in der Datenschutzerklärung kommt es nicht darauf an, jedes installierte Plugin feierlich aufzuzählen. Entscheidend ist, welche Datenverarbeitung auf der Website tatsächlich stattfindet.
Die Datenschutzerklärung ist keine Plugin-Inventarliste
Wer zwanzig Plugins installiert hat, muss deshalb nicht automatisch zwanzig neue Abschnitte in seine Datenschutzerklärung schreiben. Ein Plugin, das intern irgendeine kleine Darstellungsfunktion erledigt und dabei keine personenbezogenen Daten verarbeitet oder Informationen auf dem Gerät des Besuchers speichert beziehungsweise ausliest, ist datenschutzrechtlich etwas anderes als ein Analyse-, Tracking-, Karten-, Newsletter- oder Marketingdienst.
Der Name des Plugins ist also nicht der interessante Teil. Interessant wird es dort, wo personenbezogene Daten verarbeitet werden: Welche Daten sind betroffen? Wozu werden sie verwendet? Auf welcher Rechtsgrundlage geschieht das? Werden sie gespeichert, an andere Empfänger übermittelt oder möglicherweise außerhalb der EU verarbeitet?
Genau diese tatsächlichen Vorgänge müssen transparent beschrieben werden. Die Datenschutzerklärung soll erklären, was mit den Daten der Besucher passiert. Sie soll nicht beweisen, dass jemand das Plugin-Menü in WordPress abschreiben kann.
Hoster, Consent-Tool und datenhungrige Erweiterungen
Beim Webhosting beginnt die Datenverarbeitung meist schon, bevor irgendein besonders interessantes Plugin überhaupt zum Einsatz kommt. Beim Aufruf einer Website können beispielsweise IP-Adresse, Zeitpunkt des Zugriffs und technische Angaben in Server-Logfiles verarbeitet werden. Deshalb gehört das Hosting in die datenschutzrechtliche Betrachtung der Website.
Ähnlich sieht es bei einem Consent-Tool aus. Wenn Einwilligungen gespeichert, Einstellungen dokumentiert oder Informationen auf dem Endgerät abgelegt beziehungsweise ausgelesen werden, muss auch diese Verarbeitung sauber berücksichtigt werden.
Bei Plugins gilt anschließend dieselbe langweilig vernünftige Frage: Was macht das Ding tatsächlich?
- Überträgt es personenbezogene Daten an einen externen Anbieter?
- Setzt es Cookies oder greift auf bereits gespeicherte Informationen im Browser zu?
- Erstellt es Statistiken, Profile oder andere Nutzungsdaten?
- Bindet es Inhalte oder Dienste Dritter ein?
- Speichert es Formulareingaben, IP-Adressen oder andere Angaben von Besuchern?
Wenn die Antwort auf solche Fragen Ja lautet, sollte die dazugehörige Datenverarbeitung in der Datenschutzerklärung geprüft und passend beschrieben werden. Ob dabei der konkrete Plugin-Name genannt werden muss oder eine Beschreibung des eingesetzten Dienstes und seiner Verarbeitung sinnvoller ist, hängt vom jeweiligen Fall ab. Entscheidend bleibt die Transparenz über die Verarbeitung, nicht die möglichst lange Liste technischer Produktnamen.
Nach jeder Änderung noch einmal hinsehen
Der eigentliche Fehler passiert gern später. Ein neues Plugin wird installiert, irgendein externer Dienst aktiviert oder eine Einstellung verändert – und die Datenschutzerklärung bleibt auf dem Stand von vor zwei Jahren stehen. Funktioniert technisch hervorragend. Nur eben nicht als Dokumentation dessen, was die Website inzwischen macht.
Deshalb gehört nach größeren Änderungen an WordPress immer ein kurzer Datenschutz-Check dazu. Nicht aus Freude an Formularen, sondern weil sich mit einer einzigen Erweiterung plötzlich ganz andere Datenflüsse ergeben können.
Mein Zettel kann damit wieder weg.
Die brauchbare Zeile darauf war ohnehin nur diese:
Dokumentiert nicht eure Plugin-Sammlung. Dokumentiert die Datenverarbeitung.
Der Rest war für die Katz.