DSGVO-Rückbau: Drittanbieter-Dienste von der Website entfernen

Rechtsstand: 2020. Dieser Artikel schildert Erfahrungen aus unserer Agenturpraxis — er ist keine Rechtsberatung. Ob diese Maßnahmen für dein Projekt ausreichen oder sich die Rechtslage inzwischen geändert hat, klärst du im Zweifel mit einer Kanzlei mit Schwerpunkt Datenschutz.

Den Kern des Problems brachte die Rückfrage eines Kunden auf den Punkt:

„[…] das heißt, wir müssen für jeden Drittanbieter, den wir einsetzen, streng genommen zuvor eine Erlaubnis einholen?!"

Ja. Streng genommen ist das so — das bestätigte uns auch das Team hinter der Consent-Erweiterung für Contao: Nicht nur offensichtliche Dienste wie Google Analytics oder das Facebook-Tracking erfordern ein Einverständnis. Auch weniger offensichtliche Drittanbieter wie YouTube oder Google Maps sollten erst nach Einverständnis aktiviert werden — denn erst dann fließen Daten an den Drittanbieter.

Zwei Möglichkeiten

Daraus ergeben sich im Kern zwei Optionen:

1. Ein Consent-Tool einsetzen, das Drittanbieter erst nach Einwilligung lädt — für Contao zum Beispiel Contao Consent. Die Erweiterung ist sehr gut durchdacht.
2. Alle kritischen Drittanbieter entfernen oder ersetzen — der Rückbau.

Beide Wege kosten Geld. Die Entscheidung liegt deshalb bei den Kund:innen: In unseren Projekten haben sich einige bewusst gegen ein Consent-Tool und für den Rückbau entschieden.

Unsere Rückbaumaßnahmen

Diese Maßnahmen haben wir in Kundenprojekten umgesetzt:

• Google Analytics durch eine selbstgehostete Matomo-Instanz ersetzt. Matomo lässt sich so konfigurieren, dass es ohne Cookies auskommt und damit — Stand 2020 — den Datenschutzbestimmungen entsprach. Die Besucherstatistiken sind dadurch weniger genau, aber in den meisten Fällen reicht das vollkommen aus.
• Google Maps durch eine statische Standortkarte ersetzt oder komplett entfernt. Ganz ehrlich: Wer wissen möchte, wo ein Unternehmen genau ansässig ist, kann auch direkt bei Google Maps schauen.
• jQuery lokal geladen statt über ein CDN.
• Webfonts und Iconfonts selbst gehostet.
• Videos selbst gehostet statt YouTube- oder Vimeo-Einbettung.
• Datenschutzerklärung angepasst und den Cookie-Hinweis entfernt.

Auch Google Ads und Facebook-Tracking-Scripte hätten wir entfernt — sie kamen in diesen Projekten nur nicht zum Einsatz.

Siehe auch

Was wir aus der Zusammenarbeit mit Datenschutzbeauftragten gelernt haben: Fünf Lehren aus der Zusammenarbeit mit Datenschutzbeauftragten