Von Halil Uzun publiziert am 28. Mai 2018

Mit der TYPO3-Extension Websites und Webanwendungen datenschutzkonform (DSGVO/GDPR) betreiben

Seit dem 25. Mai 2018 ist die EU-Datenschutzgrundverordnung (EU-DSGVO/GDPR) rechtskräftig. Ihr Umfang hat Auswirkungen auf alle Aspekte der Planung, Entwicklung und Pflege von Websites sowie Webanwendungen. Dabei verspricht die DSGVO Verbrauchern mehr Schutz, Transparenz und Kontrolle über ihre personenbezogenen Daten. In unserem Blogartikel erfahren Sie, wie Sie mit dem TYPO3 GDPR-Release datenschutzkonforme Anwendungen entwickeln können.

Wir betrachten die TYPO3-Kernfunktionen, die ab Werk verfügbar sind sowie die GDPR-Extension, die Ihnen hilft, datenschutzkonforme Anwendungen zu erstellen. Weitere DSGVO-relevante Themen wie z. B. zum Thema DSGVO und Websites im Allgemeinen, DSGVO und Magento oder DSGVO im Marketing-Kontext erfahren Sie in unserem Blog.

DSGVO-Konformität und TYPO3

Diejenigen, die Anwendungen und Websites mit TYPO3 entwickeln, sind in jedem Aspekt des Entwurfs, des Aufbaus und der Wartung von Diensten, die mit personenbezogenen Daten und Nutzern umgehen, von der DSGVO betroffen. Dabei stehen folgende 5 Punkte im Vordergrund:

  • Daten: Welche Daten werden erfasst? Wie werden diese Daten erfasst und gespeichert? Wie interagieren sie mit Drittsystemen?
  • Einwilligung: Haben Sie die die explizite Einverständniserklärung des Nutzers erhalten?
  • Kontrolle: Haben Nutzer die Kontrolle über die Daten, die Sie speichern? Nutzer müssen stets Ihre Einwilligung widerrufen dürfen.
  • Verantwortlichkeit: Sie müssen einen Datenschutzbeauftragten ernennen und regelmäßig Ihre Strategie überprüfen, da Sie die Verantwortung über erhobene Daten haben.
  • Kommunikation: Ist es eindeutig, an wen sich Nutzer wenden können? Gibt es Verfahren für die Meldung von Verstößen?

TYPO3-Mitglieder haben im Rahmen der DSGVO-Initiative eine Lösung erarbeitet, um den TYPO3 CMS Core DSGVO-ready zu machen. Das bedeutet, dass das Entwickeln von Applikationen, die die Privatsphäre von Nutzern by default und by design schützen, TYPO3-Agenturen und -Entwicklern immens vereinfacht wird.

TYPO3 CMS und Privacy by Default

TYPO3 verhält sich defensiv, wenn es darum geht, personenbezogene Daten zu sammeln und folgt somit dem Prinzip des “Privacy by Default”.

Cookies

Standardmäßig werden keine Cookies für anonyme Website-Besucher gesetzt. Cookies werden nur für relevante Funktionalitäten wie z. B. Logins und Warenkörbe gesetzt. Ebenso erfordert der Zugriff für Benutzer wie Redakteure, Administratoren und Verantwortlichen immer das Setzen von Cookies, um die Autorisierung zu gewährleisten und Berechtigungen zu verwalten.

IP-Adressen

Die folgenden Module sammeln IP-Adressen während Nutzerinteraktionen, sie können aber so konfiguriert werden, dass die IP-Adresse anonymisiert wird, um so Nutzerdaten zu schützen.

  • indexed_search: Die Standardsuche von TYPO3 sammelt die IP-Adressen jedes Suchenden. Es ist möglich, diese so zu konfigurieren, sodass nur anonymisierte IP-Adressen protokolliert werden.
  • sys_log: TYPO3 sammelt in dem Logfile die IP-Adressen der Editoren sobald sie Aktionen auf der Seite durchführen. Da die IP-Adresse zur Rekonstruktion von Aktionen und Logins benötigt wird, bleibt sie vollständig erhalten, kann aber in einer späteren Aktion anonymisiert werden.

Externe Medien

Content-Editoren können Videos von Drittanbietern wie YouTube einbetten. TYPO3 verwendet standardmäßig die empfohlene Einbettungs-URL https://www.youtube-nocookie.com/, um die Privatsphäre der Website-Besucher zu stärken.

Tools und APIs zur Stärkung der Privatsphäre

TYPO3 CMS Core bietet folgende APIs um die Nutzerdaten von Website-Besuchern zu stärken und Website-Besitzern die Einhaltung der DSGVO zu erleichtern:

Zugriffs- und Benutzerverwaltung

TYPO3 CMS verfügt über ein ausgeklügeltes Benutzer- und Gruppenmanagement, um nur die benötigten Informationen freizugeben. Private Daten wie Bestellungen oder abgeschickte Formulare sind nur für Redakteure sichtbar, die mit diesen Daten interagieren müssen.

Hier können Sie mehr über User Management in TYPO3 CMS lesen.

Passwort-Hashes

TYPO3-Entwickler können verschieden starke Passwort-Hashing-Algorithmen verwenden, um Benutzer-Passwörter zu schützen. Durch die Verwendung von zufälligen Salts können Entwickler die Möglichkeit vermeiden, dass ein Angreifer Passwörter aus Rainbow Tables extrahieren könnte.

Hier können Sie mehr über Salted Passwords in TYPO3 CMS lesen.

Löschen alter Daten

Ein Scheduler-Task ermöglicht es, nicht relevante Daten aus dem System zu entfernen. Typische Beispiele sind:

  • Lösche das Protokoll nach 180 Tagen
  • Lösche gesendete E-Mails nach 90 Tagen

Hier können Sie mehr über Scheduling Tasks in TYPO3 CMS lesen.

Anonymisieren von IP-Adressen

Ein Extension-Entwickler kann eine API verwenden, um die anonymisierte IP-Adresse abzurufen und nur diese für die weitere Verarbeitung zu verwenden.

Ein Scheduler-Task ermöglicht es auch, die IP-Adresse von Datenbankeinträgen nach einer bestimmten Zeit zu anonymisieren, z. B. die Anonymisierung der IP-Adressen vom Logfile nach 180 Tagen.

TYPO3-IP-Anonymisierung-DSGVO

HTTPS/LTS Unterstützung

TYPO3 CMS unterstützt HTTPS/TLS, was eine sichere Verbindung für Frontend- und Backend-Benutzer ermöglicht.

Individueller Datenschutz dank der TYPO3-DSGVO-Extension

Die DSGVO-Erweiterung wurde entwickelt, um die Basisfunktionalität der TYPO3-Kern-API zu erweitern. TYPO3 bietet Unterstützung für die Erweiterung durch einen bezahlten professionellen Plan, der TYPO3 hilft, die Erweiterung aufrechtzuerhalten und diejenigen zu unterstützen, die sie nutzen. Es gibt zwei Unterstützungsebenen.

Der kostenlose Basisplan stellt eine API zur Verfügung, die die Sichtbarkeitsinformationen basierend auf einer bestimmten Rolle (Dateneigentümer, Website-Besucher, Website-Betreuer usw.) steuert.

Der professionelle Plan beinhaltet einen ausgefeilten Datenschutz sowie Pseudonymisierung und Anonymisierung.

Die wichtigsten Funktionen sind:

Zufallsgenerierte Daten

Die Zufallsgenerierung von Daten ist eine gute Möglichkeit, Daten zu behalten, aber die personenbezogenen Informationen zu entfernen. Dieser Anwendungsfall ist z. B. sinnvoll bei E-Commerce-Aufträgen, die in der Datenbank verbleiben sollen, um Statistiken wie Verkäufe in bestimmte Länder zu generieren.

DSGVO-Erweiterungseditoren können Daten mit einem Scheduler-Task oder bei Bedarf manuell randomisieren.

Daten markieren, ausblenden und entfernen

Redakteure können Datenbankeinträge kennzeichnen, um diejenigen zu identifizieren, die sensible Daten enthalten. Nachdem ein Datensatz markiert wurde, ist er nicht mehr sichtbar, weder im Backend noch im Frontend - egal welche Zugriffsstufe einem Benutzer gewährt wird.

Die Kontrolle über die markierten Daten wird nur bestimmten Editoren übertragen. Mit einem zusätzlichen Modul entscheiden sie, was als nächstes mit diesen Datensätzen geschieht:

  • Den Datensatz reaktivieren
  • Den Datensatz randomisieren
  • Den Datensatz löschen

TYPO3-Daten-Randomisieren-DSGVO

Erweiterte Suche

Eine erweiterte Suche ermöglicht die Recherche nach bereits gelöschten Daten. Beispielsweise können DSGVO-Editoren sensible Daten, die noch in der Datenbank vorhanden sind, suchen und identifizieren, um sie zu verwalten.

Erweiterte-Suche-TYPO3-DSGVO

Aktivitätenprotokoll

Wenn Benutzer der DSGVO-Erweiterung Einstellungen ändern oder die Funktionen nutzen, protokolliert die Erweiterung alle Änderungen, sodass Änderungen bei Bedarf rekonstruiert werden können.

Verbesserte eingebettete YouTube- & Vimeo-Videos

Bevor Videos von den Plattformen YouTube und Vimeo tatsächlich geladen werden, wird der Nutzer um Zustimmung gebeten. Diese Herangehensweise stärkt die Privatsphäre und zusätzlich wird die Ladezeit der Seite verkürzt.

TYPO3-Media-Integration-DSGVO

Fazit

Die TYPO3 CMS DSGVO-Initiative zielt darauf ab, TYPO3-Entwicklern die Erstellung von Anwendungen und Websites zu erleichtern, die die Nutzer by default und by design schützen. TYPO3 hat an wesentlichen Verbesserungen des TYPO3 CMS gearbeitet, die Kunden, Agenturen und Integratoren bei der Einhaltung europäischen Datenschutzgrundverordnung unterstützen. Darüber hinaus hat TYPO3 eine Erweiterung entwickelt, um diese Standardfunktionalität einen Schritt weiter zu bringen.

New Call-to-action

Disclaimer

An dieser Stelle möchte ich noch darauf hinweisen, dass es sich bei diesem Blogartikel nicht um eine Rechtsberatung handelt. Die obenstehenden Informationen haben daher keine rechtsverbindliche Wirkung. Zur rechtsverbindlichen Prüfung Ihres Umsetzungskonzepts für die Marketing Automation in Ihrem Unternehmen sollten Sie in jedem Fall einen juristischen Experten hinzuziehen. Wir lassen uns in diesem Zusammenhang von unserem Datenschutzbeauftragten RA Christian Welkenbach (http://www.tcilaw.de/ ) beraten.

(Quelle: TYPO3)