Vor gut zwei Wochen habe ich in einem Beitrag mein unglaublich spärliches Wissen zum Thema „DSGVO und wordpress.com“ mit Euch geteilt. Die Resonanz war überwältigend: Es erreichten mich zahlreiche besorgte Kommentare, was denn nun zu tun sein, um den eigenen Blog auf wordpress.com DSGVO-konform zu gestalten. Ich bin wahrlich keine Expertin in diesem Bereich, hatte Euch aber versprochen, das Thema im Auge zu behalten und ein Update zu veröffentlichen, wenn ich Neuigkeiten habe.

Automattic, Inc. – das Unternehmen hinter wordpress.com und anderen Diensten wie Gravatar und Jetpack – hat nun in der Tat seine Infoseite zur DSGVO noch einmal kräftig überarbeitet. Noch vor wenigen Tagen fanden sich dort wenige und vor allem beschwichtigende Absätze a la „We are aware of the problems, we are working on it, bla bla“ – jetzt enthält die Seite z. B. detaillierte Informationen darüber, welche Daten Automattic, Inc. von Euch als Blogger speichert (interessant, aber für die DSGVO irrelevant) und auch, was Ihr als Nutzer von wordpress.com tun könnt (oder müsst), um der DSGVO zu entsprechen. Ich fasse das Wichtigste einmal kurz zusammen.

DISCLAIMER: Die folgenden Ausführungen erheben keinen Anspruch auf Vollständigkeit oder hundertprozentige Richtigkeit. Ich gebe lediglich Inhalte wieder, die Automattic, Inc. so auf seiner Webseite zur Verfügung stellt. Wer es niet- und nagelfest will und braucht, kontaktiert entweder den wordpress.com-Support (nur möglich mit Bezahltarif) oder direkt einen Anwalt.

Update: Diese Infos zur Umsetzung der DSGVO sind neu

Besonders interessant finde ich den Abschnitt der Webseite, der Fragen darüber beantwortet, was ich als Betreiber einer wordpress.com-Seite tun muss, um der DSGVO zu entsprechen. Hier die wichtigsten Passagen inklusive kurzer Erläuterung meinerseits:

>> What Tools Do You Offer to Help Me Comply with GDPR?

We provide tools to help you manage your user’s data, and to respond to requests from your users, for example, the ability to delete comments on WordPress.com. In general we try to make it possible for you to manage your site without needing our help, but if you get a request from one of your site’s users that you don’t have the ability to fulfill, you can contact us to request our help.

We also put together a Privacy Notice and other support documentation to describe the personal data that we collect on your behalf about your site’s users. That notice can be found online at https://automattic.com/privacy-notice. We hope that information helps you in drafting your own privacy policy for your site.

Zusammenfassung: Jeder Besucher einer Webseite hat das Recht zu erfahren, welche Daten die Seite über ihn speichert. Er hat auch ein Recht auf „Vergessenwerden“, also auf die Löschung dieser Daten. Als Blogbetreiber kann jeder selbst schon einige Auskünfte über gespeicherte Daten von z. B. Kommentatoren geben (in der Kommentarübersicht ist immer die E-Mail-Adresse sowie die IP-Adresse zu finden). Weitere Infos dazu, welche Daten Automattic, Inc. von wordpress.com-Besuchern speichert, finden sich in der o. g. Privacy Notice.

Möchte ein Kommentator nun z. B. „vergessen werden“, kann jeder Blogger selbst tätig werden und die entsprechenden Kommentare löschen und in der Privacy Notice noch einmal nachlesen, was Automattic, Inc. eventuell noch gespeichert hat. Generell möchte Automattic, Inc. dass Blogger so viel wie möglich selbst tun können (verständlich – alles andere macht nur Arbeit), steht aber für Fälle, in denen das nicht geht, für Hilfe zur Verfügung. Einziges Problem: Der Support ist nur für Bezahltarife verfügbar.

>> My site saves people’s personal data when they follow/subscribe to it (…) and when they like or comment on a post or product; how do I manage this data to comply with GDPR?

Your site saves information about a person who follows or comments on your site in order to provide this service to them and email them updates about their sites. If a visitor to your site requests access to the personal data you have saved about them, we can help you to gather the data we have saved via our service. You can contact us to request that data.

If a visitor to your site requests you delete their data from your site, you have the tools at your disposal to do this. For information on how to manage/delete comments on your site, please see https://en.support.wordpress.com/manage-comments/. Additionally, subscribers to a blog are able to unfollow it at any time and the link for that is included in the footer of the follow emails.

Zusammenfassung: In diesem Absatz geht es ebenfalls um Daten, die gesammelt werden, wenn jemand einen wordpress.com-Blog abonniert, dort einen Beitrag liked oder kommentiert. Sollte ein Blogbesucher wissen wollen, welche Daten Automattic, Inc. über ihn gespeichert hat, kann hier der Support weiterhelfen. Erneut wird der Hinweis gegeben, dass man bereits als Blogger einiges tun kann, um Daten zu löschen (Kommentare löschen, entsprechenden Follower entfernen).

>> Some of the Jetpack modules (…) collect the personal data of visitors to my site. Do you provide any tools to help me manage the privacy of this data?

In our new Jetpack Privacy Center you can find information about the data we collect and use on a module by module basis. We published this to help you disclose in your site’s Privacy Policy an accurate list of what data your site collects about them to your site’s visitors.

Additionally, because many of the Jetpack modules are the exact same features we offer on WordPress.com hosted sites, WordPress.com site owners can also use the Jetpack Privacy Center to inform their own privacy policies.

Zusammenfassung: Jetpack kommt in vielen wordpress.com-Blogs z. B. im Bereich der Statistiken zum Einsatz. Hier wird auf die entsprechende Jetpack-Datenschutznotiz verwiesen, in der Nutzer genau nachlesen können, welche Daten welches Jetpack-Modul sammelt. Dies sollte dann in der eigenen Datenschutzerklärung vermerkt werden.

>> For me to be compliant with GDPR, I need a data processing contract from you stating you comply with the GDPR and/or that any data transmitted to your servers is done so in compliance with European law. How do I get that?

We are able to provide data processing amendments to users of our paid plans/products on WordPress.com (…). If your site has an active upgrade on one of these services, please contact us to let us know what you need.

Zusammenfassung: Datenverarbeitungsvertrag – dieses Stichwort ist mir im Zusammenhang mit der DSGVO auch schon häufiger über den Weg gelaufen. Hier bin ich tatsächlich relativ sicher, dass ein privater, nicht-kommerzieller Blog so etwas nicht haben muss. Diese Vorschrift bezieht sich vor allem auf Unternehmen, die im Namen anderer Unternehmen Daten verarbeiten (z. B. Telemarketingunternehmen oder auch Agenturen). Hier stellt Automattic, Inc. ebenfalls Hilfe zur Seite, allerdings nur für Bezahltarife.

>> What data do your services collect about the people who visit/use my WordPress.com or Jetpack enabled site?

As with the data we collect about you, we try to collect the minimal information required to make our services available to the people who use your site. We have created a new privacy notice to detail exactly what that information is and how we use it, which is available to you and to your site visitors at https://automattic.com/privacy-notice.

Zusammenfassung: Welche Daten sammelt Automattic, Inc. über meine Blogbesucher? Die kann jeder Blogger in der Privacy Notice nachlesen. Hier einmal Auszüge aus der ziemlich langen Liste, die gefühlt jeden möglichen Fall darstellt:

Information a Visitor Provides to a Site – Informationen, die Blogbesucher selbst zur Verfügung stellen

  • Follower and Subscriber Information: When a visitor signs up to follow or subscribe to a Site using Jetpack or WordPress.com, we collect the sign-up information requested by the Site, which typically includes an email address.
  • Site Comments: When a visitor leaves a comment on a Site, we collect that comment, and other information that the visitor provides along with the comment, such as the visitor’s name and email address.
  • PollDaddy Survey Responses: When a visitor completes a poll, quiz, or other type of survey prepared by a User via Polldaddy.com, we collect the visitor’s responses to those surveys, and other information that the survey owner requires for a poll/quiz/survey response, like an e-mail address.
  • Order and Shipment Information: If a visitor orders something from a Site using our store and ecommerce features available through WordPress.com or Jetpack, we may collect information to process that order, such as credit card and billing information, and an address for shipping the package along to the recipient and calculating applicable taxes. We may also use this information for other purposes on behalf of our Users–for example, to send marketing and other communications from our Users to their customers, and to provide our User with analytics information about their ecommerce site (e.g., the number of orders from particular geographic areas).
  • Other Information Entered on the Site: We may also collect other information that a visitor enters on the Site–such as a contact form submission, a search query, or Site registration.

Information We Automatically Collect from the Site – Informationen, die automatisch gesammelt werden

  • Technical Data from a Visitor’s Computer and Etcetera: We collect the information that web browsers, mobile devices, and servers typically make available about visitors to a Site, such as the IP address, browser type, unique device identifiers, language preference, referring site, the date and time of access, operating system, and mobile network information.
  • Visitor Interactions: We collect information about a visitor’s interactions with a Site, including the “likes” and “ratings” left by visitors to a Site using WordPress.com or Jetpack.
  • Location Information: We may determine the approximate location of a visitor’s device from the IP address. We collect and use this information to, for example, tally for our Users how many people visit their Sites from certain geographic regions. If you’d like, you can read more about our Site Stats feature for WordPress.com sites and Jetpack sites.
  • Akismet Commenter Information: We collect information about visitors who comment on Sites that use our Akismet anti-spam service. The information we collect depends on how the User sets up Akismet for the Site, but typically includes the commenter’s IP address, user agent, referrer, and Site URL (along with other information directly provided by the commenter such as their name, username, email address…oh, and the comment itself, of course).
  • Polldaddy Response Information: We collect information about visitors who respond to a Polldaddy survey. The information that we collect typically includes IP address, browser type, operating system, user agent, and the web page last visited.
  • Intense Debate Commenter Information: We collect information about visitors who comment on Sites that use our Intense Debate service. The information that we collect depends on how the User sets up Intense Debate for the Site, but typically includes the IP address and account information on the Site, along with the comment.
  • Information from Cookies and Other Technologies: A cookie is a string of information that a Site stores on a visitor’s computer, and that the visitor’s browser provides to the Site each time the visitor returns. Pixel tags (also called web beacons) are small blocks of code placed on Sites. Automattic uses cookies and other technologies like pixel tags to help identify and track visitors and Site usage, and to deliver targeted ads when ads are enabled for free WordPress.com sites or when ads are enabled on a Site through WordAds or Jetpack Ads.

Other Information Provided by Our Users – Weitere gesammelte Informationen

We also collect any other information that our Users provide to us about visitors to their Sites. For example, a User may upload a directory or other information about Site visitors and customers to the “backend” administrative platform for managing the Site.

Zusammenfassung: Wie schon weiter oben beschrieben wird in der Privacy Notice einmal für jeden möglichen Fall aufgelistet, welche Daten gespeichert werden oder auch nur gespeichert worden sein könnten. Im Ernstfall muss aber vermutlich ebenfalls der Support kontaktiert werden, um eine komplette Einsicht über die gespeicherten Daten zu erhalten.

>> How long do you keep logs?

Our system logs, which record information about visitors to Automattic’s websites, are kept for 30 days after which they are deleted.

Zusammenfassung: Alle Daten, die Automattic, Inc. von Besuchern seiner Webseiten sammelt, werden 30 Tage lang gespeichert. Alle Server, auf denen diese Daten verarbeitet werden, stehen übrigens in den USA.

Fazit: Ist wordpress.com bereit für die DSGVO?

Das Thema DSGVO nervt. Es nervt, dass kleine Blogger sich stundenlang durch irgendwelche Gesetzestexte und How-to-Anleitungen kämpfen müssen – für Fälle, die vermutlich nie eintreten werden. Ich warte ehrlich auf den Tag an dem jemand mich kontaktiert, weil er sich fragt, welche Daten durch einen seiner Kommentare von meiner Seite gespeichert wurden. Stichwort: gesunder Menschenverstand…

Nichtsdestotrotz bin ich nun schon einmal sehr dankbar für die von Automattic, Inc. zur Verfügung gestellten Informationen. Gerade über den Umgang mit gespeicherten Daten fühle ich mich jetzt deutlich besser aufgeklärt. Ich werde viele der auf der Webseite gefundenen Informationen in meine eigene Datenschutzerklärung aufnehmen. Die habe ich zwar letztes Wochenende schon überarbeitet, aber hey – warum nicht nochmal Zeit darauf ver(sch)wenden im anstehenden Urlaub? Wer seine Datenschutzerklärung noch nicht auf den aktuellen Stand gebracht hat, kann dies zum Beispiel hier tun: https://datenschutz-generator.de/

Ich habe außerdem einen Hinweis in der Kommentarfunktion integriert, dass durch Nutzung selbiger Daten an Automattic, Inc. und Gravatar gesendet werden. Die Kommentarfunktion ist übrigens auch so eingestellt, dass ich Beiträge neuer Kommentatoren erst moderieren muss. Heißt im Klartext: Wer noch nie hier auf dieser Seite kommentiert hat, muss auf meine manuelle Freischaltung warten. So kann ich Kommentare, die mir seltsam erscheinen, erst einmal unter die Lupe nehmen.

Ob wordpress.com jetzt bereit für die DSGVO ist? Wer kann das schon zu 100 Prozent sagen. Ich glaube nicht, dass ich noch viel mehr als die genannten Themen bearbeiten kann. Daher heißt es vermutlich erstmal abwarten und schauen, was nach dem 25.05. passiert. Leider bin ich zum DSGVO-Stichtag im Ausland im Urlaub. Wundert Euch daher nicht, wenn ich diesen Blog spätestens am 23.05. abends auf „privat“ stelle. Ich möchte mich im Urlaub ungern per Smartphone um etwaige SOS-DSGVO-Maßnahmen kümmern müssen. Nach meiner Rückkehr Anfang Juni geht der Blog wieder online – versprochen! Wer mich vermisst, darf mich jederzeit via Instagram, Twitter oder Mail (siehe Impressum) kontaktieren.

Die leidige DSGVO… Was sagt Ihr zu den neuen Infos von Automattic, Inc.? Helfen Sie Euch weiter und fühlt Ihr Euch nun besser vorbereitet? Oder seid Ihr immer noch ein bisschen nervös, was nach dem Inkrafttreten am 25.05. passieren wird? So geht es mir jedenfalls.