Drupal DSGVO-konform betreiben, vom Cookie-Banner bis zum Server

Drupal DSGVO-konform zu betreiben heißt vor allem zweierlei. Dienste, die Daten an andere Anbieter senden, laden erst nach der Einwilligung der Besucher. Und personenbezogene Daten liegen nur so lange auf Ihren Servern, wie Sie sie wirklich brauchen.

Die DSGVO, die Datenschutz-Grundverordnung der EU, regelt den Umgang mit personenbezogenen Daten. Dazu können auch IP-Adressen gehören, also die Nummern, unter denen ein Gerät im Internet erreichbar ist. Das deutsche Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) regelt zusätzlich, wann eine Website etwas auf dem Gerät speichern oder dort auslesen darf. Das klassische Beispiel ist ein Cookie, eine kleine Textdatei im Browser.

Unsere Beispiele stammen von redorbit.de. Dieser Beitrag ist keine Rechtsberatung. Klären Sie Ihren Einzelfall mit Ihrem Datenschutzbeauftragten oder einer Kanzlei.

DSGVO-Checkliste für Drupal-Websites

1. Einwilligung: Skripte, die Cookies setzen oder Daten an Dritte senden, starten erst nach Zustimmung. Ablehnen kostet nicht mehr Klicks als Zustimmen.
2. Analytics: Google Analytics läuft nur mit Einwilligung. Alternativ messen Sie mit Matomo, einer quelloffenen Statistik-Software, die Sie auch auf einem eigenen Server betreiben können.
3. Schriften: Webfonts liegen auf Ihrem Server und nicht bei Google Fonts oder einem anderen Anbieter.
4. Formulare: Sie fragen nur ab, was Sie brauchen. Gespeicherte Einsendungen haben eine Löschfrist, der Spamschutz kommt ohne externen Dienst aus.
5. Logs: Server- und Drupal-Logs mit IP-Adressen werden nach einer festen Frist gelöscht.
6. Backups: Sie wissen, wo die Sicherungen liegen und wie lange sie aufbewahrt werden.
7. Verträge: Mit Hoster und Wartungsdienstleister besteht ein Vertrag zur Auftragsverarbeitung.

Wann Sie eine Einwilligung brauchen

Die Grundregel steht in § 25 TDDDG. Wer Informationen auf dem Gerät der Besucher speichert oder dort ausliest, braucht deren Einwilligung. Banner-Tools nennen das meist Consent. Ausgenommen ist, was für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist.

Die Datenschutzkonferenz, das Gremium der deutschen Aufsichtsbehörden, legt diese Ausnahme in ihrer Orientierungshilfe für digitale Dienste eng aus. Ein Warenkorb-Cookie gilt danach erst als erforderlich, wenn jemand tatsächlich etwas in den Warenkorb legt. Auch ein Cookie, der sich die Auswahl im Banner merkt, ist erlaubt, solange er keine eindeutige Kennung des Besuchers enthält.

Für Besucherstatistiken gibt die Orientierungshilfe keine pauschale Freigabe. Selbst eine einfache Zählung gehört nach ihrer Auffassung nicht automatisch zum gewünschten Dienst. Entscheidend sind Zweck und Konfiguration im Einzelfall.

Wirksam ist eine Einwilligung nach Art. 4 Nr. 11 DSGVO nur, wenn sie freiwillig, informiert und unmissverständlich für einen bestimmten Fall erteilt wird. Besucher müssen erfahren, welcher Dienst welche Daten erhält. Ein Banner, der nur „Wir nutzen Cookies“ meldet, reicht dafür nicht.

Cookie-Banner in Drupal einrichten

Drupal bringt im Core, dem Grundsystem, keinen Cookie-Banner mit. Verbreitet sind drei Module von drupal.org. COOKiES verbindet bestehende Module wie Google Tag Manager oder Matomo mit der Einwilligung, ohne deren Code zu ändern. Klaro blockiert externe Ressourcen, für die kein Dienst eingerichtet ist, schon in der Grundeinstellung.

Das ältere EU Cookie Compliance erhält laut Projektseite nur noch Fehlerkorrekturen und empfiehlt selbst Klaro als Nachfolger. Für neue Projekte würden wir es nicht mehr wählen.

Das Modul allein sorgt noch nicht für einen korrekt eingestellten Cookie-Banner. Nach der Orientierungshilfe dürfen einwilligungspflichtige Skripte erst nach einer aktiven Handlung laden. Verdeckt der Banner die Seite, muss er schon beim ersten Anzeigen einen Knopf zum Ablehnen zeigen, nicht erst in einem Untermenü. Der Knopf zum Ablehnen muss gleichwertig dargestellt sein, etwa in Größe, Farbe und Kontrast vergleichbar mit dem zum Zustimmen.

Genauso wichtig ist der Rückweg. Der Widerruf muss nach Art. 7 Abs. 3 DSGVO so einfach sein wie die Zustimmung. Auf redorbit.de führt ein Link „Cookie-Einstellungen“ im Fuß jeder Seite zurück zur Auswahl.

Wir setzen dort COOKiES ein. Der Banner zeigt drei Knöpfe: „Alle akzeptieren“, „Alles verweigern“ und „Cookie-Einstellungen“. Im Browsertest gingen vor der Zustimmung und nach „Alles verweigern“ keine Anfragen an Google. Erst nach „Alle akzeptieren“ sendet die Seite Daten an Google Analytics.

Tragen Sie im Banner jeden Dienst einzeln ein, mit Anbieter, Zweck und Cookies. Wenn später ein neuer Dienst hinzukommt, etwa ein eingebettetes Video, gehört er vorher in diese Liste.

Matomo in Drupal oder GA4 mit Einwilligung

In der Praxis sehen wir zwei Wege. Auf redorbit.de nutzen wir Google Analytics 4 (GA4) mit Einwilligung. Bei Kunden setzen wir Matomo ein. Es lässt sich auf einem eigenen Server betreiben, also selbst hosten. Das Drupal-Modul Matomo Analytics bindet den Zählcode ein.

Schickt eine Website Daten in ein Land außerhalb der EU, spricht die DSGVO von Drittlandübermittlung. In die USA ist das seit dem 10. Juli 2023 ohne weitere Garantien erlaubt, wenn das Unternehmen nach dem Data Privacy Framework zertifiziert ist. Die EU-Kommission hat das Datenschutzniveau dort für gleichwertig erklärt. Erwähnen müssen Sie die Übermittlung trotzdem in der Datenschutzerklärung.

Für redorbit.de löscht Google die Daten zu einzelnen Seitenaufrufen und Klicks nach 14 Monaten. Google-Signale, also die Verknüpfung mit angemeldeten Google-Konten, haben wir abgeschaltet. Bei uns bleiben die Google-Skripte bis zur Zustimmung blockiert.

Google bietet außerdem den Consent Mode an. Er ersetzt keinen Banner, sondern leitet dessen Entscheidung an Google weiter. Im erweiterten Modus laden die Google-Tags schon vor der Zustimmung und senden kurze Meldungen ohne Cookies. Diese enthalten laut Google unter anderem die IP-Adresse. Mit der Orientierungshilfe ist das kaum vereinbar, denn einwilligungspflichtige Skripte dürfen danach erst nach der Zustimmung laden.

Matomo nennt auf seiner Website Bedingungen für einen Betrieb ohne Banner: keine Cookies, gekürzte IP-Adressen, keine Erkennung von Browsermerkmalen. Für Deutschland schreibt der Hersteller selbst, nur die Auswertung auf dem Server sei klar anerkannt, etwa aus den Logdateien des Webservers. Für Tracking per JavaScript, also das Erfassen der Seitenaufrufe einzelner Besucher im Browser, empfiehlt er eine Einwilligung.

Schriften, Formulare und Logs

Wenn eine Seite Schriften von einem fremden Server lädt, erfährt dessen Betreiber die IP-Adresse der Besucher. Die Orientierungshilfe nennt Schriftarten ausdrücklich als Drittinhalt, der eine Rechtsgrundlage braucht. Unser Theme für redorbit.de bindet alle Schriften lokal ein. Auch die Bibliothek für den Cookie-Banner liegt auf unserem Server.

Das Kontaktformular aus dem Drupal-Core verschickt Nachrichten per E-Mail. Speichern kann es sie erst mit dem Zusatzmodul Contact Storage. Das Modul Webform speichert Einsendungen dagegen in der Grundeinstellung. Dort können Sie eine Frist in Tagen festlegen, nach der Einsendungen automatisch gelöscht werden.

Ähnlich ist es bei Benutzerkonten. Ihre Nutzer können nach Art. 17 DSGVO die Löschung ihrer Daten verlangen. Drupal kann Konten ab Werk sperren oder löschen, wahlweise mit oder ohne die Inhalte, die das Konto angelegt hat.

Für den Spamschutz brauchen Sie kein reCAPTCHA von Google. Auf redorbit.de prüfen Honeypot und Antibot jede Einsendung des Kontaktformulars, beide ohne externen Dienst. Wie das im Detail funktioniert, zeigt unser Beitrag zum Spamschutz ohne reCAPTCHA.

Das Core-Modul Database Logging speichert zu jedem Eintrag die IP-Adresse. Es behält in der Grundeinstellung die letzten 1.000 Einträge. Die Zahl können Sie unter Konfiguration › Entwicklung › Protokollierung und Fehler senken.

Für die Logs des Webservers legen Sie die Aufbewahrung im Server fest. Art. 5 Abs. 1 lit. e DSGVO erlaubt die Speicherung nur so lange, wie der Zweck es erfordert. Eine feste Frist macht das nachprüfbar.

Hosting in Deutschland und der Vertrag zur Auftragsverarbeitung

Wer Ihre Website hostet oder wartet, verarbeitet personenbezogene Daten in Ihrem Auftrag. Art. 28 DSGVO verlangt dafür einen Vertrag zur Auftragsverarbeitung, kurz AVV. Er regelt, wofür der Dienstleister die Daten nutzen darf und wie er sie schützt.

Unser Drupal-Hosting läuft in der Hetzner Cloud in Nürnberg oder Falkenstein. Die Server richten wir selbst ein und betreiben sie. Mit Hetzner haben wir einen AVV abgeschlossen, unseren Kunden bieten wir ebenfalls einen an. Zum Betrieb gehören auch die Drupal-Sicherheitsupdates, denn eine offene Sicherheitslücke kann genau diese Daten preisgeben.

Auch Backups enthalten personenbezogene Daten, etwa Benutzerkonten und Formulareinsendungen. Wir bewahren sie mindestens 12 Monate auf. Nennen Sie die Frist in Ihrem Löschkonzept, damit die Person, die bei Ihnen für den Datenschutz zuständig ist, sie kennt.

Fragen Sie Ihren Hoster nach dem Standort der Rechenzentren und der Backups. Liegen Sicherungen bei einem zweiten Anbieter, braucht auch dieser einen Vertrag. Entweder schließen Sie selbst einen AVV mit ihm, oder Ihr Hoster setzt ihn als Unterauftragnehmer ein und Sie haben dem zugestimmt.

Welche Dienste wir auf redorbit.de einsetzen, steht in unserer Datenschutzerklärung. Wenn wir den Datenschutz Ihrer Drupal-Website prüfen sollen, schreiben Sie uns.