In der Zwischenzeit hat sich Piwik erfreulich weiterentwickelt.  Aus Datenschutzsicht besonders bedeutsam ist das Plugin AnonymizeIP, das seit dem Milestone 0.5.5 (März 2010) verfügbar ist. Ende August wurde die aktuelle Piwik Version 1.0 veröffentlicht.

Das Update von 0.4.5 auf 1.0 musste (letztmalig?) manuell erfolgen, gestaltete sich aber – auch dank der Anleitung – einfach.

Meine config.ini.php hatte ich vorher gesichert, somit blieb die Einstellung für die Laufzeit des Tracking-Cookies erhalten:

Laufzeit des Tracking-Cookies von 2 Jahren auf 0 (Sessionende) reduziert; dazu in der config.ini.php folgende Zeilen ergänzt (Änderungen in der global.ini.php werden beim Update überschrieben):

[Tracker]
cookie_expire = 0

Nach der Aktualisierung der Datenbank konnte ich die gewünschten Plugins ein- bzw. ausschalten. Ich habe derzeit nur Actions,  AnonymizeIP, Dashboard, LanguagesManager, Login, Referers, SecurityInfo, VisitorInterest und VisitsSummary aktiviert. Daneben noch Feedback, MultiSites & Widgetize – bei denen ich mir nicht sicher bin, was ihren Wert für mich betrifft.

Am Ende noch den gewünschten Verfremdungsgrad der IP einstellen – hier verweise ich gern erneut auf den Artikel bei web.dev.blog Ich habe aktuell “ip_address_mask_length = 3″ gewählt.

Auch diese Änderung in der config.ini.php vornehmen und nicht in der global.ini.php, die bei jedem Update überschrieben wird!

Die nächsten Tage werden zeigen, wie die neue Version bei mir funktioniert.

Wie verhalte ich mich aber bei unbestellten Werbe-Newslettern mehr oder weniger seriöser Anbieter, die den Weg in meinen Posteingang gefunden haben? Hier mache ich mir einen schlanken Fuß und verweise einfach auf einen aktuellen Artikel im Datenschutz-Blog inclusive Muster-Antwortschreiben. Empfehlung:  Nachmachen!

Ausdrücklich lege ich Online-Shop-Betreibern den letzten Absatz ans Herz:

Shop-Betreiber sollten sich umgehend um Auskunftsanfragen kümmern. Nicht auch, sondern vor allem um die, die per Mail eingehen. Viele deuten das als nicht ernst gemeint oder sogar als Zeichen von wenig Willen das durch zu ziehen: Falsch gedacht. Vielmehr ist es die einzige Chance, das mit möglichst wenig Aufwand und ohne größere Kosten durch zu ziehen. Wer meint, dass er das nicht braucht, der soll hinterher auch nicht jammern, wenn es dann teuer wird.

Immer daran denken: Beschwerden sind kostenlose Beratungsleistungen.

Mittlerweile spricht sich unter Webseitenbetreibern herum, wie wichtig es ist, ein abmahnsicheres Impressum vorzuhalten mit einer juristisch einwandfreien Linkdistanzierungsformel. Wir haben dazu einen Standardtextbaustein entwickelt, der durch die laufende Rechtsprechung gedeckt ist und bieten diesen allen Homepagebesitzern kostenlos zur Übernahme an.

Mit Urteil vom 13. Juli 2003 – AZ 512 O 85/98 – “Haftung für Links” hat das Landgericht Offenbach entschieden, dass man durch einen Verweis auf ein anderes Dokument innerhalb eines Hypertextes die betroffene Seite linkt. Dies Linken kann – so das Landgericht – nur dadurch verhindert werden, indem man hinsichtlich der Inhalte der gelinkten Seiten ausdrücklich seine Betroffenheit äußert.

Hiermit äußern wir im Hinblick auf die Inhalte wie auch auf die Macher der von www.sheng-fui.de gelinkten Inhalte unsere äußerste Betroffenheit.

Erst vor wenigen Tagen haben wir zehn Webseiten mit entsprechenden Belegfotos hervorgehoben, die mit unserer Formulierung ihr Impressum abmahnsicher gemacht haben. Weitere drei Webseiten folgten kurz darauf.

Heute begrüßen wir nun eine ambitionierte Web 2.0-Company, die sich mit Web-Entwicklung und Community-Management beschäftigt.

Einen aktuellen Überblick der jetzt garantiert linkdistanzierungssicheren Webseites findet man bei Google oder der Suchmaschine der Wahl.

Spätestens jetzt sollten Sie sich den oben empfohlenen Standardtextbaustein noch einmal genauer ansehen

Danke an www.sheng-fui.de für dieses Lehrstück. Weiter so!

Heute entdeckt: Thorsten Brand zählt in seinem Artikel “Rechtsgrundlagen E-Mail-Archivierung” nicht nur – wie versprochen – die wesentlichen Vorschriften auf, sondern er beleuchtet dabei die speziellen Aspekte von E-Mails, begründet nachvollziehbar die Notwendigkeit der Archivierung, listet die Themenbereiche einer hilfreichen E-Mail-Policy auf und hat sogar noch Platz für Anregungen zu einer DMS-Verfahrensdokumentation.

Das alles auf nur neun Seiten, management- und aministratorenverständlich geschrieben. Hilfreich, wenn man – wie viele Unternehmen – vor der Entscheidung für eine E-Mail-Archivierungslösung steht und sich wenigstens einen ungefähren Überblick über die Rahmenbedingungen verschaffen will, bevor man sich in die Hände eines Lösungsanbieters begibt.

Nebenbei: Das allein bücherfüllende Thema “Private E-Mailnutzung im Unternehmen” wird hier nur ganz am Rande erwähnt.

Eine hilfreiche Dokumentation von Seiten eines Lösungsanbieters kam mir in den letzten Wochen in die Finger: Für das “WhitePaper zur Erfüllung der Anforderungen der GDPdU mit der Software GFI MailArchiver 6” vergesse ich sogar meine Checklisten-Allergie, denn hier werden konkreten rechtlichen Anforderungen ebenso konkrete Konfigurationsmöglichkeiten gegenübergestellt. Nachahmenswert!

Ich lasse das Ding jetzt mal ein paar Testtage laufen.

Piwik bietet ja gegenüber Google Analytics den großen Vorteil, dass die Nutzerdaten auf meinem Server verbleiben und nicht  über den Ozean gepustet werden. Aber so viele Daten, wie Piwik mir anbietet, will ich gar nicht. Deshalb folgende Änderungen (bezieht sich auf die aktuelle Version 0.4.5):

• Plugins deaktiviert:
  • Provider (“T-Online-Kunden kein Interesse an Datenschutz?”)
  • UserCountry (“Lampukischen Widerstandskämpfern gelang der Besuch meiner Seite!”)
  • UserSettings (Browser, Browser Family, Operating System, Plugins, Resolution, Global Settings)
  • VisitTime (“Werden Hacker-Artikel eher nachts aufgerufen?”)
  • … Das alles interessiert mich herzlich wenig.
  • VisitFrequency (“Wiederkehrende Besucher vs. Erstbesucher”) => Kann ich ohne Cookie eh nicht verfolgen…
  • Diverse nicht genutzte Funktionen.
• Laufzeit des Tracking-Cookies von 2 Jahren auf 0 (Sessionende) reduziert; dazu in der config.ini.php folgende Zeilen ergänzt (Änderungen in der global.ini.php werden beim Update überschrieben):
  • [Tracker]
    cookie_expire = 0
• Somit bleiben mir zur Auswertung noch die gewünschten Referers (Search Engines, Keywords, Websites, Campaign Tracking, Direct Entry); “Page views, the outlinks and downloads”; “Visitor Interest: number of pages viewed, time spent on the Website” sowie “General Analytics numbers: visits, unique visitors, number of actions, Bounce Rate, etc.”. Reicht dicke.

Leider ist das Problem der Auschaltung bzw. Vernebelung der IP-Adressen noch nicht sauber gelöst, wird aber gerade heiß diskutiert: http://dev.piwik.org/trac/ticket/692 und http://dev.piwik.org/trac/ticket/1026, – wie man dort sieht, derzeit ein rein deutsches “Problem”.
Als  Nutzer sehe ich die IP nicht.

Über Kommentare, Ergänzungen oder ander Meinungen würde ich mich wie immer freuen. Alles kann man besser machen.

Update 23.10.2010: Version 1.0 installiert, siehe hier.

Ich habe natürlich den Service gleich genutzt, um für meine digitalen Teilidentitäten (Niemals alle Aktivitäten über ein Konto!) eine “Kontenprüfung” durchzuführen.

Google führt alle mit meinem Konto verknüpften Dienste auf und erwähnt am Ende die noch nicht integrierten Produkte mit Informationen über meine Person. Dabei werden öffentliche Daten besonders hervorgehoben. Der Zugriff auf die jeweiligen Datenschutzbestimmungen und mögliche Profilverwaltungen ist übersichtlich.

Wie fast immer (SCHUFA-Auskunft einholen, Mailprogramm durchstöbern, Rechnungen sortieren, Passwortlisten im Browser entrümpeln), bin ich auch diesmal erschrocken über die Fülle der “irgendwann” genutzten Dienste und der dort erhobenen Daten.  Als Nutzer stehe ich damit vor der Frage, wie ich mit dem neuen Wissen umgehe.

Meine Einschätzung:

• Mit dem Dashboard geht Google einen Schritt in die richtige Richtung: Transparenz zählt.
• Die Selbstverwaltung von Profildaten, aber auch von Werbeeinwilligungen, Kommunikationswünschen etc. liegt im Trend.
• Mit dem Überblick habe ich “ein stärkeres Maß” an  Selbst-Kontrolle über meine Kontodaten wiedergewonnen. Mehr oder weniger.
• Das Dashboard erinnert mich an meine eigene gelegentliche Datenfreigiebigkeit. Die Mahnung finde ich gut.
• Je mehr Dienste ich mit einem Google-Konto verknüpfe, desto besser sollte mein Passwort beschaffen sein (und beschützt werden), damit das Dashboard nicht zu einem komfortablen Werkzeug für Identitätsdiebe wird.
• Wie unkompliziert ich einzelne Dienste tatsächlich “abschalten” kann, werde ich in den nächsten Tagen mit ein paar Abmeldungen ausprobieren (und danach versuchen, mich mit derselben Mailadresse wieder anzumelden).
• Zugleich bleibt ein Unbehagen: Google ist weit größer als das, was hier dargestellt und offengelegt wird. Bei der regelmäßigen Nutzung fallen Unmengen weiterer Datenspuren an.

Oder, wie in einem Kommentar gelesen:

“Bildlich betrachtet stünde google nackig dar, wenn alle Geheimnisse um ihre Daten gelüftet würden, ich glaube sie hat noch nicht mal begonnen sich auszuziehen.”

Meine persönliche Google-Strategie hat sich dadurch nicht geändert – vielleicht ein paar Tipps auch für andere:

• Google-Konten nur im absolut notwendigen Umfang nutzen. Viele Dienste lassen sich ohne Konto nutzen (z.B. auch Alerts -wenigstens teilweise).
• Bei Bedarf mehrere Konten nutzen (z.B. dienstlich, privat, Verein, Sport, etc.). Im Zweifelsfall ein Konto = ein Dienst, z.B. bei YouTube. Nach der Nutzung wieder abmelden.
• Google-Suche nicht verwenden, während man angemeldet ist. Hier bin ich einfach skeptisch…
• Sichere Passwörter verwenden und geheimhalten!
• Google-Alternativen verwenden, so weit möglich (Piwik statt Analytics, Google Maps nicht für Routenplanung, kein Desktop, AdSense etc.).
• Regelmäßig Cookies löschen

Ich bin persönlich derzeit kein Google-Freund (siehe hier) und werde so schnell keiner werden, aber ich begrüße das Dashboard trotz aller Bedenken als brauchbares Beispiel für andere Anbieter.

Sehr geehrte Damen und Herren,

seit längerer Zeit bin ich zufriedener Kunde Ihres Online-Shops (Kundenummer xyz).

In den letzten Tagen haben mich einige Datenpannen (Libri.de, Sparkassen-Shop, Fanshop des 1. FC Köln – siehe http://projekt-datenschutz.de) aufgeschreckt, so dass ich mir Gedanken um die Sicherheit meiner Kundendaten in Ihrem Online-Shop mache. Die Ergebnisse der XAMIT-Studie “Datenschutzbarometer 2008 – Datenschutz im Internet”
(http://www.xamit-leistungen.de/downloads/XamitDatenschutzbarometer2008.pdf)
haben meine Beunruhigung verstärkt: Gerade einmal 19% der dort überprüften Webshops verwendeten aktuelle Softwareversionen.

Deshalb meine Fragen:

Welche Shop-Software setzen Sie ein? Verwenden Sie die aktuelle Version, um gegen bekannte Angriffe auf Ihre und meine Daten geschützt zu sein?

Falls Ihre Shop-Software auf PHP basiert: Welche PHP-Version verwenden Sie?

Neben der Verwendung aktueller Software: Welche weiteren Maßnahmen zum Schutz meiner Kundendaten haben Sie ergriffen?

Auf Ihre Antwort freut sich

Steffen Schröder
Berater für Datenschutz & Datensicherheit
usw.

[Update - Die Antworten]

• 05.11.2009 12.00 Uhr
  Die Anfragen gehen raus. Einige Eingangsbestätigungen flattern ein.
• 05.11.2009 16.08 Uhr tonermonster.de
  Der Geschäftsführer antwortet. Flott, aber eher allgemein a la “umfangreicher Schutz” und “größter Wert auf Sicherheit”. Shop ist Eigenentwicklung, kein PHP.
• 06.11.2009 09.58 Uhr buhl.de
  Der CTO antwortet. Detailliert, engagiert, realistisch: “Jedoch wird Ihnen und uns auch bewusst sein, dass es NIE eine 100%-ige Sicherheit geben kann. Wir versuchen jedoch möglichst dicht an diese Marke heran zu kommen.”. Shop ist Eigenentwicklung, kein PHP. Regelmäßige externe Überprüfung.
• 06.11.2009 14:39 Uhr staples.de
  Der Kundendienst antwortet. Ich solle mir zunächst die AGB und auf der Webseite die Punkte “Datenschutz und Datensicherheit” durchlesen, “Hierin finden Sie schon eingie Informationen zumThema Datensicherheit”. Shop benutzt kein PHP.
  Die Seiten habe ich mir angeschaut: Allgemeine Aussagen. Wenn es konkret wird, dann eher erschreckend: “Software-Firewall” oder “Das System befindet sich vorwiegend in den Vereinigten Staaten” . Wenigstens “Safe harbor”.
• 06.11.2009 16:21 Uhr office-discount.de
  Der Kundenservice antwortet. Geheimniskrämerei: “Bitte haben Sie Verständnis dafür, dass wir Ihnen zu Ihrer Anfrage keine detaillierten Angaben machen möchten.” Hinweis auf die Webseite, dort aber nichts zum Thema.
• 09.11.2009 11:43 Uhr webmiles.de (Ja, auch Datenschützer nutzen Bonusprogramme. Immer seltener)
  Das Service-Team antwortet. Geheimniskrämerei: “aktuellsten Versionen”, “regelmässige Sicherheitschecks”, “keine Sicherheitsprobleme”, “geeignete Betriebskonzepte”.”Welche Versionen und welche Software wir im einzelnen einsetzen, können wir Ihnen nicht mitteilen,da diese Auskünfte unserem Sicherheitskonzept widersprechen.” Da bin ich aber beruhigt   Nicht mal ein Verweis auf die etwas aussagefreudigere Webseite zum Thema.
• 11.11.2009 11:27 Uhr hrs.de
  Das IT Helpdesk antwortet. Ähnlich schwammig: Kein Shopsystem, sondern selbst entwickelte Software, basierend auf “gängigen Internettechniken”. Die “passende Serversoftware” sei auf dem “neuesten Stand”. Etwas konkreter, aber nicht überraschend: Daneben werden IDS, IPS & Firewalls in entsprechender Stückzahl eingesetzt. Die SSL-Verschlüsselung für den Übertragungsweg wird nur auf der Webseite erwähnt.

Ist es auch nicht. Netzpolitik schreibt selbst etwas zum Thema “Wie geht man mit Sicherheitslücken um?”. Als Datenschützer ergänze ich flink die zuständigen Datenschutzaufsichtsbehörden und gebe noch ein paar Hinweise.

Wer diesen Artikel liest, kennt Blogs. Wichtige Datenschutzblogs finden sich in meiner Blogroll. Für die einfache Publizierung einer Datenpanne empfehle ich zusätzlich den Eintrag beim “Projekt Datenschutz“.

Wird bei Datenpannen oder Beschwerden gern übersehen: Für Klärungen und Fragen kann man sich direkt an den entsprechenden betrieblichen Datenschutzbeauftragten der betroffenen Unternehmen wenden: Sie müssen von außen problemlos erreichbar sein (telefonisch verbinden lassen) und sind nach dem Bundesdatenschutzgesetz zur Verschwiegenheit über die Identität des Betroffenen verpflichtet. Aus dem BDSG §4f:

4) Der Beauftragte für den Datenschutz ist zur Verschwiegenheit über die Identität des Betroffenen sowie über Umstände, die Rückschlüsse auf den Betroffenen zulassen, verpflichtet, soweit er nicht davon durch den Betroffenen befreit wird.
[...]
(5) [...] Betroffene können sich jederzeit an den Beauftragten für den Datenschutz wenden.

Aber jetzt zu den Aufsichtsbehörden – Kontaktinformationen jeweils verlinkt:

Zuerst sollte man wissen, daß in einigen Bundesländern die Datenschutzaufsicht für den “öffentlichen Bereich” (vereinfacht: Behörden) und für den “nicht-öffentlichen Bereich”(Unternehmen, Vereine, Verbände, Parteien) getrennt sind.

Wer von dort eine schnelle Antwort will, sollte telefonisch Kontakt aufnehmen. Hängt einfach mit der chronischen Unterbesetzung der meisten Aufsichtsbehörden zusammen

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist zuständig für “öffentliche Stellen des Bundes” sowie für die “nicht-öffentlichen” Unternehmen im Bereich Telekommunikation und Postdienst.  Dazu kommen die Unternehmen, die unter das Sicherheitsüberprüfungsgesetz fallen.

Die Landesdatenschutzbeauftragten der Bundesländer sind zuständige Ansprechpartner, wenn es um den Datenschutz im Bereich der Verwaltungen der Länder und der Gemeinden geht.

Die Aufsichtsbehörden für den so genannten “nicht-öffentlichen Bereich” in den einzelnen Bundesländern sind zuständig, wenn es um Datenschutzbelange im privaten Wirtschaftsbereich geht. Ausnahme: Telekommunikations- und Postdienstunternehmen -die beim BfDI – siehe oben.

Es gibt noch ein paar weitere Sonderfälle: Im Bereich des öffentlich-rechtlichen Rundfunks können Anfragen und Beschwerden an den Rundfunkdatenschutzbeauftragten der jeweiligen Senderanstalt gerichtet werden. Ausnahmen: In den Ländern Berlin, Brandenburg, Bremen und Hessen sind für den Datenschutz im Verwaltungsbereich die jeweiligen Landesdatenschutzbeauftragten zuständig.

Zu guter Letzt haben die Kirchen eigene Datenschutzgesetze und enstsprechende Aufsichtsgremien.

Bei Problemen mit ausländischen Unternehmen sind die deutschen Aufsichtsbehörden je nach Einzelfall vielleicht nicht zuständig, helfen aber weiter.

Wem das alles zu kompliziert wird, der schreibt mir einfach eine Mail oder einen Kommentar zu diesem Artikel

Die Anschriften fehlen (noch) im Blog:

Deutsche Postbank AG
Friedrich-Ebert-Allee 114 – 126
53113 Bonn

Deutsche Postbank AG
Zentraler Datenschutzbeauftragter
Postfach 40 00
53105 Bonn

Während der Arbeit mit Photoshop /Aperture /Camera RAW /Lightroom werden in jedem Bild mehr oder weniger interessante Informationen gespeichert. Neben reinen Bildinformationen noch die üblichen EXIF, IPTC oder andere vom User gewünschte Metadaten. Es lassen sich unter Umständen aber noch weitere Daten finden: Erstellungs- oder Änderungsdatum und entsprechende Uhrzeiten, Dateipfade, aufgerufene Funktionen, aktivierte und deaktivierte Layer, benutzte Filter, verwendete Kamera, Objektive und dergleichen mehr – je nach Einstellung. Was für die eigene Arbeit noch hilfreich ist, gestattet aber auch anderen Personen Einblick in die eigene Arbeitsweise oder ermöglicht Rückschlüsse zur aufgewendeten Arbeitszeit oder verwendeten Technik.

Kann man machen, wenn man sich auf solche Tipps beschränkt wi:

• “Prüfungskriterium: Die Programme zur Verarbeitung personenbezogener Daten enthalten die Funktionen, um die Einwilligung richtig zu verwalten. Reaktion bei nein: keine Verarbeitung, neue Software beschaffen.”
  OK, welches CRM kaufe ich denn heute ein? Oder

• “Prüfungskriterium: Werden die Daten (für die Erfüllung der Aufgaben) benötigt, ist die Speicherung auf die Inhalte begrenzt, die zur Erfüllung der Aufgaben notwendig sind (Datensparsamkeit). Reaktion bei Nein: Datenbestand und Abläufe prüfen” – und was mache ich am Nachmittag?

Richtig böse werde ich als Datenschutzbeauftragter bei den Fragen 14 und 16:

• Frage 14 “Prüfungskriterium: Das Unternehmen hat keinen betrieblichen Datenschutzbeauftragten (DSB). Reaktion bei Ja: weiter bei Frage 17″
  Eine Reaktion bei Nein ist auf der Liste nicht zu finden

Und der Hammer:

• Frage 16 “Prüfungskriterium: Der verschärfte Kündigungsschutz des betrieblichen DSB stellt ein Problem dar. Reaktion bei Ja: neuen DSB benennen.”

Da wird der alte Datenschutzbeauftragte mal eben weggecheckt. Hätte er sich doch nur ruhig verhalten…

Das Schlimme: Die Checkliste wird sicher tausendfach runtergeladen (kostenlos!) und hier und da zum Einsatz kommen. Grund genug, sich wieder einmal über die zunehmende Checklistengläubigkeit aufzuregen, auch unter Datenschutzverantwortlichen und Datenschutzumsetzern.

Verwende keine Checkliste, die Du nicht selbst erstellt oder geprüft hast.