Seit 2018 gilt die DSGVO. Seitdem sind diverse weitere Regelungen in Kraft getreten, die das Verarbeiten von Nutzerdaten weiter regeln und einschränken. Aber getan hat sich dadurch nicht viel. Urteil um Urteil geht ins Land und ständig wird klarer, dass es so wie es aktuell ist nicht weitergehen kann.
Das Landgericht München hat klargestellt: schon das Teilen der IP-Adresse mit Google durch die (nicht selbst gehostete) Einbindung von Google Fonts ist ein Problem (von Google Analytics oder anderen Tracking-Scripten ganz zu schweigen).
Diese Schriften selbst zu hosten und somit die Privatsphäre der Nutzer zu wahren, ist ein sehr überschaubarer Aufwand. Die ursprünglich propagierten Caching-Vorteile sind auch nicht mehr relevant. Zudem wurde das Urteil medial ausreichend gewürdigt, so dass die Admins und Devs es mitbekommen haben könnten. In einer idealen Welt wäre also einige Monate nach diesen Urteilen die Einbindung von problematischen Google Fonts auf europäischen Webseiten Geschichte.
In der realen Welt haben Admins, Devs und Co. aber volle To Do-Listen und Backlogs. Denn selbst wenn das Problem bewusst ist und es überhaupt in ein Ticket schafft, ist die Priorität doch eher gering. Neue Features und Bugs, die direkte Auswirkung auf die Nutzung der Seite haben, sind ganz klar wichtiger. Und so wird dieses Datenschutzproblem wohl nie gefixt werden.
Zum Glück haben findige Anwälte erkannt, dass wir in einer Marktwirtschaft leben und dass es ein großartiges Mittel gibt, einen finanziellen Anreiz zu schaffen: Die Abmahnung.
Mittels eines Crawlings lassen sich leicht Webseiten identifizieren, die hier noch nicht gehandelt haben. Und auch der restliche Prozess, bis hin zu einem Abmahn-Serienbrief, lässt sich problemlos automatisieren. Was für ein tolles, sympathisches und dem Gemeinwohl dienendes Geschäftsmodell! Sobald ein entsprechendes Schreiben eingeht, steigt die Priorität der entsprechenden To Dos wie von Zauberhand.
In der Regel nicht nur bei den direkt betroffenen Webseiten. Die Betroffenen warnen auch Freunde und Bekannte aus der Branche vor diesen Abmahnungen. Es wird in Medien über die Abmahnwelle berichtet. Und nach und nach werden auch diejenigen, die noch keine Abmahnung bekommen haben, erkennen, dass es notwendig ist, die eigene Domain auf einem rechtlich sauberen Stand zu halten.
Dieser Newsletter-Beitrag ist so eine Warnung von Freunden und Bekannten (oder ein Bericht in den Medien, je nachdem wie Du es sehen willst)... Auch bei uns ist ein freundlicher (und leider teurer) Hinweis einer so selbstlosen und sehr produktiven Anwaltskanzlei eingetroffen. Deren (bestimmt real existierender) Mandant musste schockiert feststellen, dass der Besuch einer unserer URLs seine IP Adresse an Google mitgeteilt hat.
Wir dachten eigentlich, dass seit unserem Relaunch solche Einbindungen nicht mehr vorhanden sind und haben auch unser eigenes (zugegebenermaßen rudimentäres) Webtracking auf ein selbst gehostetes Matomo umgestellt. Durch unseren Newsletter und etwas Unachtsamkeit hat sich das Problem allerdings wieder in einer CSS-Datei bei einzelnen URLs eingeschlichen.
Funfact am Rande:
Die "Beweise" dokumentieren genaugenommen einen Request mit HTTP-Referer "Google.de", der also nicht von unserer Domain ausgelöst wurde. Aber dass man beim Nachstellen des Sachverhalts versehentlich mal die falsche Domain prüft, kann ja mal vorkommen.
Dass da keine real existierende Mandant(in)? hinter steht, sondern das nur eine zynische Betrugsmasche ist, können und wollen wir nicht glauben. Ein Anwalt würde doch niemals eine Abmahnung in betrügerischer Absicht versenden. Dennoch kann so ein Schreiben natürlich Panik auslösen und so haben wir vollstes Verständnis, wenn einem OpferWebsitebetreiber bei der Bezahlung Fehler unterlaufen.\ Unabhängig davon ist allerdings das datenschutzrechtliche Problem Real und solche Abmahnungen können theoretisch rechtlich völlig korrekt sein. Daher sei auch Du gewarnt: Checke Deine Seite(n)! Auch, oder sogar besonders dann, wenn Du glaubst, dass Du alles schon getan hast und auf der sicheren Seite bist.
-
Crawl deine Seite mit Javascript und erfasse alle externe Ressourcen
-
Überlege auch noch einmal welche Elemente Deiner Seite eventuell erst durch Nutzerinteraktion geladen werden und prüfe, was hier an externen Ressourcen geladen wird
-
Geh alle externe Ressourcen durch und überlege
-
ist das Notwendig
-
kann ich das selbst hosten
-
wird dafür Consent eingeholt (und es auch erst danach geladen)
-
Veranlasse das, was bei uns Heiko in den letzten Tagen für wngmn.de so fleißig getan hat: Räum alles auf, was rechtlich nicht in Ordnung ist.
Wenn Dir das zuviel Aufwand ist, wird Dich sicherlich ein netter Anwalt freundlich, aber kostenintensiv, darauf hinweisen. Das kann man natürlich auch beim nächsten Crawling einfach mit checken, und auch gleich die ganze Domain und nicht nur einzelne URL prüfen. Wir helfen Dir da natürlich gern. Die passenden Screaming Frog Settings haben wir zufällig schon da.\ Wir werden auch weiterhin im Auge behalten, wie es mit der Rechtsprechung weitergeht. Da ist nach wie vor einiges im Umbruch. Es ist eigentlich nur eine Frage der Zeit, bis deutsche Gerichte oder Datenschützer beispielsweise dem Tracking mit Google Analytics ähnliche Grenzen setzen, wie es in Frankreich, Niederlande oder Dänemark geschehen ist.