Optimering af databeskyttelse på hjemmesiden: Undgå retssager & bøder

Mange persondata-problemer på hjemmesider er forebyggelige. Populære værktøjer bruges ofte ulovligt, selv om der er gode muligheder for at undgå det. Artiklen viser almindelige persondata-problemer og mulige løsninger.

Hvis du ikke ved, hvordan det står til med din hjemmeside i forhold til databeskyttelse, anbefaler jeg at du først foretager en online databeskyttelsescheck:

Du finder nedenstående Løsningeforslag til almindelige persondata-problemer. Denne artikel bliver regelmæssigt udvidet med nye løsninger. Hvis du mister en løsning, skriv blot til mig under opgivelse af det pågældende persondata-problem.

Almindelige databeskyttelsesproblemer og løsningsmuligheder

Hurtigoversigt

Cookies

Kikskes bliver ofte brugt som påskud til at få en samtykke fra besøgende. Dette er forkert eller for kortlagt tænkt. Kikskes opstår ikke bare sådan, men sættes af værktøjer som Google Analytics. I virkeligheden skal der derfor en samtykke til værktøjerne stilles, der i sidste ende er ansvarlige for eksistensen af kikske.

For cookies, der er technisk nødvendig, skal ingen samtykke påkrævet blive. Disse cookies må blot anvendes. Teknisk nødvendige og således uskyldige er f.eks. følgende cookies:

• VG Wort: Zählpixel til forfatterafgift (sådan kan man jo ikke gøre det)
• Sæsonadministration: Hvilken bruger er logget ind? Eksempel: WordPress-sitzungsverwaltung
• Rein funktionel konfiguration af hjemmesiden, f.eks. rolle af en webshopbesøger (privatperson vs. virksomhed)
• Cookies til fakturering hos partnere (nøgen undersøgelse nødvendig)

Alle andre cookies, dvs. cookies, der ikke er teknisk nødvendige, må først sættes eller læses ud efter besøgende på hjemmesiden har givet samtykke.

Eksempler på tjenester, der bruger kritiske cookies:

• Google (Universal) Analytics (Standardkonfiguration): Derved menes den Google Analytics-version, som næsten hver hjemmeside i dag bruger
• Google reCAPTCHA
• Google Maps
• YouTube videoer (uden at aktivere videre persondatopolicy)
• Vimeo videoer

Løsning

• Tekniske nødvendige cookies må ikke bare anvendes
• Andre cookies bør undgås så vidt muligt ved at undgå værktøjer, der indfører disse cookies. Se nedenfor for alternativer til kritiske værktøjer
• Tilladelsestilbud skal opfylde mange juridiske krav. checklist

Værktøjer uden reel værdi

Inden for indførelsen af GDPR brugte mange websteder værktøjer som Google Maps, fordi

• hvor som helst den brugte
• de blev betragtet som stilfulde
• ingen spurgte efter den faktiske nytteværdi.

Siden ikrafttrædelsen af GDPR bør brugen af de anvendte værktøjer ærligt vurderes. Eksempler:

• Google Analytics: Jeg påstår, de fleste har brug for dette værktøj ikke. Hører også du til? Alternativer: Matomo, Trackboxx (tysk leverandør)
• Google Maps: Jeg påstår, at en standardkort ikke har mening på de fleste websteder:
  • Ruteplanlægning: Brug en knap Ihr Weg zu uns med spring til Google Maps hjemmeside
  • Standortangivelse: Finder du virkelig, at en standardkort, helst med maksimal fugleperspektiv, repræsenterer din placering godt?
  • Alternativ: Brug mine datenschutzvenlige interaktive kort
• Google reCAPTCHA: Gør det for nogle hjemmesider godt. Har du Google reCAPTCHA i brug, fordi nogen har sagt dig, at du skal have det? Eller havde du førhen for meget spam modtaget? Snart vil jeg tilbyde en dataskyddsvenlig løsning
• Google Tag Manager: Mange værktøjer bliver bare direkte lastet. Derfor skal man ikke bruge en tag manager.
• YouTube og Vimeo videoer: Jeg påstår, at indbundne videoer har ingen virkelig mening på mange hjemmesider, især hvis de vises i et lille vindue. Alternativer: Forhåndsvisning med link til videoplatform; Video lokal lagre og spille med HTML-tag video; Ingenting

Anvendelse af samtykkeværktøjer

Mange hjemmesider bruger såkaldte Consent Tools til at sikre, at kritiske værktøjer som Google Analytics først bliver lastet, efter at brugeren har givet sin samtykke.

Andre navne for samtykkeværktøjer er:

• Cookies Blokkerer
• Kikske Pop-up
• Blandingsgodkænt
• Kikskeværktøj
• Consent Management Platform (CMP)
• Samtykningsspørgsmål

Desværre bruger mange disse Consent Tools forkert. Mange tror, at det cookie-tool kan som en mirakel sikre, at værktøjerne korrekt blokeres, indtil der er en samtykke fra brugeren. Det er falsk.

Sikker på, at koden til at indlæse værktøjer, der kræver samtykke, først er tilgængelig efter at et samtykke er givet. Arbejd ikke med aktiverede koder, som derefter skal deaktiveres af et cookie-værktøj som ved et mirakel.

Det bedste er at helt afvise såkaldte samtykningsløsninger, fordi det ikke handler om løsninger. Se mine omfattende praksistester, der demonstrerer, hvordan Consent Tools fra kendte leverandører mislykker.

Hvis du absolut nødvendigt må indsamle samtykkeafkald: Brug en egen løsning eller vent, til jeg har lavet en gratis løsning (du kan få mere information om det gennem nyhedsbreve, når det er sådan).

Værktøjer indlæst uden samtykke

En tjeneste må først indlæses efter samtykke, hvis mindst en af følgende grunde gælder:

1. Tjenesten anvender teknisk ikke nødvendige cookies (det er uigentligt, om det drejer sig om såkaldte First-Party eller Third-Party Cookies). Vgl. §15 Abs. 3 TMG + BGH-Urteil til Planet 49 + Art. 5 Abs. 3 ePrivacy-Richtlinie
2. Tjenesten henter filer fra en usikker tredjeland (eksempel: USA). Vgl. Art. 44 GDPR
3. Tjenesten foretager ikke nødvendige dataoverførsler. Se Artikel 5 § 1 c GDPR (Datanedbning)

Følgende tjenester må først indlæses efter samtykke (udtræk med angivelse af grundlaget):

• Google Analytics (standardkonfiguration, altså med cookies): Grund 1, sandsynligvis også Grund 2
• Eksterne Google Skrifttyper: Grunde 3, sandsynligvis også grund 2
• YouTube videoer uden udvidet privatlivsindstilling (dvs. med cookies): Grunde 1 til 3 ([1])
• YouTube videoer med udvidede privatlivsindstillinger (dvs. uden cookies): Grunde 2 og 3 ([1])
• Vimeo videoer: Grunde 1 til 3 ([1])
• SoundCloud-ljudspiller: Grunde 1 til 3 ([1])
• Google reCAPTCHA: Grunde 1 til 3 ([1])
• ÅbenStreetMap: potentiel grund 2
• Google Kort: Grunde 1 til 3 ([1])
• CloudFlare: Grunde 2, muligvis også Grunde 1 (afhængigt af anvendelsesfaldet)
• Google Tag Manager: Grund 2 ([1])

Mere præcise begrundelser finder du i artikler på denne hjemmeside.

Alle i alt gælder: Tools fra Google og fra leverandører af sociale medieplatforme (Facebook, Twitter, Instagram, TikTok osv.) skal betragtes som dataskadesførende. Eksempel Google: Den personlige oplysningsskygge til koncernen er så uigennemskuelig, at du som bruger af Google-tools ikke kan opfylde din pligt til at informere besøgende på din hjemmeside om de datainsamlinger, der foregår på grund af brugen af Google-tools. Den ansvarlige i dette tilfælde er dig selv som ansvarshavende for hjemmesiden, ikke Google (udenom hvis der findes et eksplizit aftalt kontraktforhold, hvorfra en fælles ansvarlighed kan opstå).

Løsning

• Fjern tjenester uden kompensation, hvis fordelen ikke kan fastslås (Eksempel: Øges omsætningen eller endnu bedre fortjenesten, hvis du integrerer en bestemt tjeneste?)
• Byt tjeneste med en alternativ: Se informationer i dette indlæg
• Tjenesten først efter samtykke: Ofte kun muligt med juridisk restrisiko
• Fjern Google Tag Manager uden erstatning eller lad det først efter samtykke, eller lad det med en lille JavaScript-kode

Externe Google Fonts

Google Skriftsprog må ikke lastes ned fra Googles server uden samtykke: Begrundelse. Hvis du har brug for en officiel begrundelse, finder du den i dommen fra Landsgreven i Munich af 20. januar 2022 (Sag nr.: 3 O 17493/20).

Indsæt skriftfilerne lokalt. Det er lovligt i forhold til licensrettigheder og helt uden problemer i forhold til databeskyttelsen. Derefter kan du måske endda undlade at bruge sandsynligvis forkerte databeskyttelsestekster.

Løsning

• Brug Google Webfonts Helper til at installere skrifttyper lokalt ([1])
• WordPress: Tilpas theme-indstillinger sådan, at Google Fonts ikke lastes eksternt (gælder ikke for alle temaer); brug et tema, der er dataskyddsvensk
• Manuelt installere: Se Hvad er løsningen i mit indlæg til Google Skrifttyper

Unødvendige kald på tredjeparts-filer

Mange hjemmesider indlæser filer fra en tredjepartserver, selvom filerne også nemt kunne gemmes lokalt.

Løsning

• Download og indlejre billeder lokalt
• JavaScript-biblioteker som jQuery hente ned og lokalt indlæse
• Hent layout-filer (CSS-filer) og indlejre dem lokalt. Advarsel: Tag også referencerede ressourcer i filerne med

Konklusion

Særligt mindre hjemmesider eller hjemmesider med få besøgende kommer ofte uden om kritiske værktøjer og kan dermed skåne sig selv og besøgende for en irriterende acceptanforespørgsel.

Undersøg nøje nytteværdien af de værktøjer, du allerede bruger, og afhænger ikke af andres mening.

Er din hjemmeside GDPR-compliant? Start her: Online Website-Check

Kernelementer i denne artikel

Mange databeskyttelsesproblemer på hjemmesider kan undgås ved at anvende alternative løsninger i stedet for tvivlsomme værktøjer.

Websites bør kun anvende absolut nødvendige cookies og indstille andre først efter brugeren har givet samtykke.

Mange almindelige cookie-værktøjer fungerer ikke korrekt og beskytter dine besøgende ikke tilstrækkeligt. Brug dem hellere slet ikke eller udvikler din egen løsning.

Brug så få eksterne tjenester og værktøjer som muligt på din hjemmeside for at undgå irriterende samtykkeforespørgsler og forbedre databeskyttelsen.