Website DSGVO konform machen und Cookies richtig handlen

[webby555]

Hi Leute,

ich habe meine erste eigene Website erstellt. Die Funktionalität sitzt schonmal. Bin also frischling und lerne Websiten machen nebenher. Irgendwie habe ich allerdings Probleme oder stelle mich etwas blöd an und finde nichts richtiges an Informationen zu cookie handling und wie ich meine Seite DSGVO konform mache.

Kurz etwas zu meiner Seite damit es etwas verständlicher ist:

• verwendetes Framework ist React
• verwende MUI components
• Backend ist ein mix aus Firebase (Dateien speichern und allgemeine Daten speichern; User registrierung per Mail und Passwort) und aus MySQL

Zu Cookie-Consent:
So wie ich das Verstanden habe ist Cookie-Consent etwas das drauf sein muss (wegen der Natur meiner Seite).
Allerdings lese ich nach und Stelle fest das man ohne Cookie-Consent (logischerweise) keine cookies setzen darf, was aber bei Firebase unmöglich ist (denke ich) und somit die ganze Seite nicht funktionieren würde. Außerdem weiß ich ehrlich gesagt nicht wie ich cookies handlen soll im allgemeinen. Ich setze die Cookies ja nicht selbst und irgendwie kommt mir das ganze sehr Fremd vor. Man muss aber auch sagen, es ist schwer sich neben dem Job noch alles im Kopf zu behalten und richtig zu machen. Könnt ihr mir das mal besser erklären ?

Zu DSGVO:
Ist natürlich wieder wegen der Natur meiner Seite eine Notwendigkeit. Ich sehe gratis Generatoren. Taugen die was ? Und was mach ich dann eigentlich mit dem generierten Text ?

Zum Impressum:
Ich bin ja keine Firma, muss sowas rein, und wenn ja, was genau ? Hab mich umgeschaut und es kommen verschiedene Sachen beisammen.

Allgemein:
Fehlt mir noch etwas das ich beachten muss? Bin eh knapp bei Kasse. Kann mir legitim keine Abmahnung leisten. Hilfe wäre echt toll.
Außerdem weiß ich nicht ganz wie man mit Cookies umgeht. Hab das Entwickeln gelernt aber mit dem Bereich kenne ich mich Null aus.



Vielen Dank im Vorraus! Ich saß echt lange dran, wäre blöd wenns hieran scheitert.

 

[Stanzlinger]

Eine private Website, die sich ausschließlich auf private und familiäre Inhalte beschränkt, fällt nicht unter die europäische DSGVO.

https://www.focus.de/digital/intern...das-muessen-sie-jetzt-aendern_id_8987532.html

 

[madmax2010]

Am einfachsten ist DSGVO Konform so:
Hoste die websites selbst, logge nur das was gesetzlich vorgeschrieben / technisch zwingend notwendig ist.
SSchreibe das in deine Datenschutzerklaerung.

Binde keine Externen Frameworks und dienste ein. Hab eine statische Seite, setzt keine Cookies welche die session ueberleben

europäische DSGVO.

die gibt es nicht.
Die DSGVO ist die deusche Umsetzung der EU Verordnung (EU) 2016/679. Jedes land hat diese selbst implementiert
Ja, steht in deiner Quelle ist aber auch Focus Online

Wennn daten an dritte wetier gegeben werden, landet man gleich in einer Grauzone. Darum: Datenschutzerklaerung oder nicht machen
Weil: Wenn ich nun google maps einbinde und google maps meine Besucher trackt, wer ist dann verantwortlich? Der betreiber der Seite. rechte und Pflichten aller Parteien sollte man in solchen Faellen fest legen. Privat bedeutet Privat, nicht oeffentlich. Die Grenze kommt im Zweifelsfall auf die Situatuin an

 

[webby555]

entfernt

Ja das habe ich auch gesehen, allerdings ist diese Seite für die öffentlichkeit gedacht.

 

[madmax2010]

was tut die seite, welchem zwekck folgt sie, welche ressourcen bindest du von extern ein, willst du damit Geld verdienen?

 

[kachiri]

Eine private Website, die sich ausschließlich auf private und familiäre Inhalte beschränkt

Das Problem daran ist: Dafür gibt es keine Realdefinition. Sobald eine Webseite öffentlich zugänglich ist, würde ich persönlich wohl "ausschließlich private und familiäre Inhalte" ausschließen.

 

[webby555]

--So vermeidet man Vollzitate--

Meine Seite verwendet Zwangshaft cookies da es mit Firebase als Backend arbeitet.

was tut die seite, welchem zwekck folgt sie, welche ressourcen bindest du von extern ein, willst du damit Geld verdienen?

Also die Seite kann man sich Vorstellen als eine Art Forum. Es ist aber keines. Die Funktionen sind jedoch vorhanden.
Das heisst:

• user können sich registrieren
• user können Beiträge erstellen (mit fotos auch)
• user können miteinander kommunizieren
• user können Beiträge sehen
• user können eigene Beiträge bearbeiten und auch Löschen
• user können ihre eigenen Nutzerdaten bearbeiten (mail ändern, passwort ändern)

Die Seite würde ich als Anfänger also als recht komplex bezeichnen

Finanzielles:
Die Seite verdient natürlich am Anfang nichts. Und ich weiß natürlich auch nicht ob sich das ändern würde. Falls mal der Tag kommt würde ich mich allerdings nicht Beschweren.

 

[Christock]

die gibt es nicht.
Die DSGVO ist die deusche Umsetzung der EU Verordnung (EU) 2016/679. Jedes land hat diese selbst implementiert
Ja, steht in deiner Quelle ist aber auch Focus Online

Kurze Präzisierung: Die Abkürzung 'DSGVO' steht für den deutschen Kurztitel 'Datenschutz-Grundverordnung' der von dir genannten europäischen Verordnung.
Eine Verordnung muss nicht in nationales Recht umgesetzt werden, sondern gilt unmittelbar und direkt. Wenn der Rechtsakt erst durch nationale Gesetze in den Nationalstaaten verwirklicht werden müsste, dann wäre es eine Richtlinie.

 

[scooter010]

Somit ist die Seite eindeutig nicht

Eine private Website, die sich ausschließlich auf private und familiäre Inhalte beschränkt, fällt nicht unter die europäische DSGVO.

Das Problem daran ist: Dafür gibt es keine Realdefinition.

Und auch das ist korrekt. Dies träfe nur auf eine "Seite" zu, die beispielsweise nur per VPN erreichbar ist. Selbst die "Login-Seite" einer ansonsten privaten Seite ist eine öffentliche Seite... Aber hierzu gibt es verschiedene Ansichten und meines Wissens nach noch keine letztinstanzlichen Urteile.

 

[coasterblog]

Ich würde mir prof. Unterstützung holen. Das ist aber kostenpflichtig. Im Falle eines Falles aber evtl. billiger als wegen eines Verstoßes gegen die DSGVO was zahlen zu müssen.

 

[kim88]

Impressum schadet in der Regel nie. Wie hier bereits erwähnt wurde - aber wann eine Webseite nur für private ist ist nicht wirklich klar geregelt.

In das Impressum kommt der Verantwortliche der Webseite -> also du mit vollem Namen und Postadresse rein. Ebenfalls muss noch eine elektronische Kontaktmöglichkeit (funktionierende E-Mail Adresse) rein.

Bei den Cookie Bannern, also Einwilligung der Cookies musst du deine Webseite eben sehr gut kennen. Für technisch notwendige Cookies brauchst du keine Einwilligung.
Sprich wenn du ein Login hast und du brauchst für dieses Login System zwingend ein Cookie muss man diesem Cookie nicht einwilligen - weil eben technisch notwendig.

Ansonsten werden Cookies in der Regel in folgende Kategorien eingeteilt:

Präferenz-Cookies:
Dort werden Dinge gespeichert wie z.b. Spracheinstellungen die der User vorgenommen hat. z.b. der User hat Sprache der Webseite auf Französisch gewechselt, dann kannst du quasi ein Präfernez-Cookie setzen und wenn der User wiedermal vorbei kommt, ihm direkt die französische Webseite anzeigen lassen.

Statistik Cookies:
Sind Cookies die eine Webseite setzt - um anonymisiert - Statistiken anzulegen. Wie lange sind WEbseiten geöffnet, welche Links werden eher geklickt, etc.

Marketing Cookies:
Das sind im Grunde die "bösen" Cookies. Bzw, die über die sich die meisten Beschweren. Die werden dafür verwendet um personenbezogenes Profil einer Person anzulegen, etc und personalisierte Werbung auszuspielen.

Die Cookie Banner sehen ja z.b. so aus:

Jetzt ist halt die Frage was für Services verwendest du. Und was für Cookies setzen die. Und dann darfst du einen Service nur laden wenn der Besucher den entsprechenden Cookies zugestimmt hat.

Hier gibt es Dienste wie z.b. Cookiebot, die einem da etwas Arbeit abnehmen. Da man externe Dienste relativ simpel nur bei Einwilligung laden kann.

Man kann sowas aber auch selber entwickeln, ist halt nur viel Aufwand.

Mindestens so wichtig wie der Cookie Consent ist die Datenschutzerklärung:
Wenn ich dich richtig verstehe, speicherst du die Daten die ich bei der Registrierung eingeben irgendwo über Firebase auf einem US-amerikanischen Server.

Diese Information muss für mich zugänglich sein, und zwar bevor ich mich Registriere. Du musst also genau beschreiben Wo, Welche Daten für wie lange und zu welchen Zweck gespeichert werden.

 

[AlMaiWin]

Nach Art. 2 lit. c) EU-DSGVO findet die Verordnung keine Anwendung auf die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten.

Ob das hier der Fall ist, wäre zu prüfen. Dies ist aber

a) per Ferndiagnose schwierig und auch unseriös, wenn die konkreten Inhalte, die Datenverarbeitungsvorgänge und auch der Zweck Deiner Seite nur oberflächlich beschrieben werden. Hier ist eine eingehende Prüfung zwingend erforderlich, was aber

b) eine fundierte Rechtsberatung darstellen würde. Das Forum ist hierfür nicht der richtige Platz. Das gilt auch für die Frage der rechtskonformen Gestaltung des Impressums.

Also besser ein paar Euro in die Hand nehmen und fundierten Rat einholen.

 

[webby555]

--So vermeidet man Vollzitate--

Also ich persönlich speichere nur das mindeste, nämlich das was der user auf der Seite an Beiträgen erstellt und die benötigten Daten. Ich hab keine Ahnung von dem Rest. Bedeutet dies ich müsste nur diesen typischen "technisch notwendige Cookies werden verwendet" banner einblenden? Der macht ja dann eigentlich nichts weil es ist nur technisch notwendiges Zeug und die Seite würde nicht ohne diese Dinge funktionieren.

Wie würde ich die Datenschutzerklärung erstellen und wo bindet man diese auf einer Seite ein. Ich habe mir jetzt mal von ebay angeschaut und diese ist ziemlich komplex und ziemlich lang ?

Ergänzung (19. Februar 2023)

--So vermeidet man Vollzitate--

Darf ich dich Fragen ob du sowas schonmal gemacht hast und wieviel sowas kosten würde?
Was mich persönlich stark daran verwirrt ist das:
Wie machen das Selbstständige Web-Entwickler ? Wird da auch ständig eine juristische Person dazugeholt? Demnach was ich online nachlese, wirkt es nämlich oft nicht so.

 

[AlMaiWin]

Darf ich dich Fragen ob du sowas schonmal gemacht hast und wieviel sowas kosten würde?

Ja, ich bin bin Verwaltungsjurist und (auch) behördlicher Datenschutzbeauftragter. Zu den Kosten kann ich Dir leider nichts sagen, da ich ausschließlich behördenintern berate.

Wie machen das Selbstständige Web-Entwickler ? Wird da auch ständig eine juristische Person dazugeholt?

Es geht, denke ich, eher darum, juristische Risiken auszuschließen und sich fundierten Rat einzuholen, vor allem, wenn Du mit Deinem Projekt "nach Außen" möchtest.

Dir muss klar sein, dass es teuer werden kann, wenn Dir - warum auch immer - etwa eine Abmahnung ins Haus flattert.

Dies ist alles natürlich nicht zwingend, ich kann es Dir nur empfehlen.

 

[kim88]

Als selbstständiger Web-Entwickler (also ich bin beides, angestellt und nebenbei selbstständig) kläre ich immer vor Projektstart ab, dass Inhalte für Impressum vom Kunden geliefert werden muss - und er auch rechtlich "als Betreiber" der Seite verantwortlich ist - ich nehme mich da schriftlich bei Auftragsbestätigung aus der Verantwortung raus.

Was am Ende an Text rein muss und wie du das formulieren sollst - sollte dir hier wirklich niemand im Forum beantworten.

De Facto hast du zwei Möglichkeiten:

Möglichkeit 1:
Du suchst dir professionelle Rechtsberatung - die bekommst du hier im Forum nicht - die erstellen dir dann auch einen rechtssicheren Text.

Möglichkeit 2:
Du machst das was wohl viele Hobby-Webseiten-Betreiber tun. Du kopierst dir von 2-3 grossen WEbseiten ihren Datenschutzerklärungen und bearbeitest die so, dass sie am Ende für deine Webseite pi mal Daumen passt.
Und hoffst, dass die Seite nie jemand prüft.

Mit gutem Gewissen kann man natürlich nur Möglichkeit 1 empfehlen.

Vielleicht gibt es ja noch eine Möglichkeit 1.5 falls, du jemand in deinem Umfeld kennst der Jura studiert oder so und eventuell ist er dann ja bereit dir für ein paar Bier und einer Pizza bei der Formulierung zu helfen.

 

[webby555]

entfernt

Danke für deinen Input. Ich hab mir mal e-recht24 angeschaut. Die sind recht günstig und bieten für websitenbetreibende was an, als auch für entwicklet. Falls du dich mit cookies auskennst:
Meine Website verwendet nur technisch notwendige cookies (website würde ohne firebase nicht funktionieren). Weißt du zufällig wie das laufen würde ? Reicht da ein "Diese Website verwendet technisch notwendige cookies"?

 

[Dalek]

Wenn du nichts trackst brauchst du kein Banner, wobei gar nichts relevantes tracken schon etwas Aufmerksamkeit braucht z.B. bei den Standardeinstellungen zum Logging in deinem Webserver. Und wenn du z.B. Login per Mail hast dann kommst du kaum drumherum dir Gedanken über die Handhabung dieser Daten zu machen. Aber Firebase macht das komplizierter, da musst du rausfinden was Google mit den Informationen macht und was da gilt.

Ich würde wenn möglich auf Firebase verzichten, gerade wenn du sowieso schon eine zweite Datenbank betreibst. Das macht das ganze einfacher zu analysieren, egal ob du das selbst abschätzt oder einen Profi fragst.

 

[webby555]

--So vermeidet man Vollzitate--

Danke für deinen input. Ich hab erecht24 gefunden. Die sind recht günstig (ich bin noch in der Ausbildung und wohne allein. Für mich ist alles zu Teuer lol). Deine herangehensweise bei Kunden find ich gut mal zu hören. Keine Ahnung. Ich bin zwar kein Anfänger mehr, würde mich allerdings nicht als Profi bezeichnen. Wenn jemand jedenfalls ne Website wollen würde, denke ich, würde ich es von der Funktionalität her hinbekommen zu entwickeln. Dies was ich hier beschreibe ist die letzte Hürde die ich schaffen muss. Dann hab ich etwas nützliches gemacht und es selber Programmiert. Kann es dann online stellen und mich offiziell Programmierer nennen und würde auch zu keinen Kunden nein sagen.

Ergänzung (19. Februar 2023)

--So vermeidet man Vollzitate--

Ja Firebase macht das schon komplizierter aber jetzt basiert mein kompletter Code darauf und ist somit nicht Verzichtbar.

 

[NPC]

Ja das habe ich auch gesehen, allerdings ist diese Seite für die öffentlichkeit gedacht.

Cookies. Für technisch erforderliche Cookies (z. B. Session) benötigst du kein Cookie-Banner; aber immer für Analytics. Beispiel: Github hat keine Cookie-Banner: https://github.blog/2020-12-17-no-cookie-for-you/

Impressum: da du keine private Webseite machst, musst du ein Impressum haben. Impressum heißt eine "ladbare Adresse": entweder deine Firma, deine Privatadresse oder eine virtuelle Geschäftsadresse ("Briefkastenfirma", ab ca. 6 EUR/Monat). Die scannen deine Briefe und schicken dir die dann per E-Mail zu.

Datenschutzerklärung (DSGVO/GDPR): Brauchst du. Kannst du dir generieren lassen.

user können Beiträge erstellen (mit fotos auch)

Uploadfilter? Copyright/Pornos/Malware etc.

Ergänzung (19. Februar 2023)

user können sich registrieren

AGB nicht vergessen.

 

[webby555]

entfernt

Hab keinen uploadfilter. Aber einen Meldebutton um Beiträge zu melden.

Cookies werden nur von Firebase gesetzt und die Seite funktioniert nicht ohne. Also brauche ich theoretisch keinen ?

Datenschutzerklärung lasse ich evtl generieren oder über erecht24 dann machen?

Impressum mach ich dann per generator.

Denkst so is das richtig bis jetzt ?