Schon gehört? Das DSGVO-Gesetz kommt. Und zwar schon bald. Am 25. Mai tritt sie in Kraft. Die Netzwelt hat eine neue Sau, die sie durchs globale Dorf treiben kann. Ach, Sie haben noch nichts davon gehört? DSGVO oder besser EU-DSGVO steht für Datenschutz-Grundverordnung. Es gibt sie bereits seit 2016. Nach einer Übergangsfrist gilt sie nun ab dem 25. Mai für den Umgang mit personenbezogenen Daten. Sie ist verbindlich in der europäischen Union. Da gibt es aber doch das Bundes-Datenschutzgesetz (BDSG)? Ja, stimmt. Aber das wurde angepasst an die neue EU-Verordnung, gilt ebenfalls ab Mai und löst das bisherige bundesdeutsche Gesetz ab.

Datenschutzerklärung nach DSGVO

Ja und jetzt? Naja, jetzt zittern alle, die sich bisher nicht um den Datenschutz gekümmert haben. Ach nein, nicht alle zittern: Da gibt es die Rechtskundigen in der Netzwelt. Bisher haben sie ihr Fachwissen in Form von Vorlagen für Impressum und Datenschutzerklärung gegen Angabe der Quelle kostenfrei zur Verfügung gestellt. Damit konnten viele Kleinstunternehmerinnen und Einzelkämpfer der Kennzeichnungspflicht ihrer Webseiten nachkommen. Denn Anwälte zahlt diese Klientel nicht aus der Portokasse.

Nun aber herrscht Goldgräberstimmung: Vorlagen, die bereits für die neue EU-Verordnung optimiert sind gibt es fast nur noch gegen Cash. Und da Anwälte ja bekanntlich nicht werben dürfen, heizen sie die Angst vor der DSGVO allerorten an. Da geben wir schon mal Geld aus für ein Papier mit Handlungsanweisungen oder schließt ein Abo ab.

Rechtssicherheit beim DSGVO-Gesetz

Und damit bin ich jetzt im grünen Bereich und vor Abmahnungen geschützt? Leider nein. Keine der derzeitigen Vorlagen für die Datenschutzerklärung kann Rechtssicherheit garantieren. Abmahnanwälte und -vereine stehen vermutlich bereits in den Startlöchern. Ob Einzelkämpferinnen wie ich dem Datenschutz zukünftig genügen können, werden nur Gerichtsentscheide bringen. Oder der Gesetzgeber schiebt diesen Praktiken endlich einen Riegel vor. Denn Deutschland ist das einzige Land in der EU, das Abmahnanwälten oder -vereinen zu ihrer zweifelhaften Daseinsberechtigung verhilft.

Wir werden wohl zunächst damit leben müssen nicht genau zu wissen, ob wir alles richtig machen. Und das geht den Fachanwälten der Branche ebenso. Derzeit weiß niemand, welche Stolperfallen Webworker umgehen müssen, um keine kostenbewährte Abmahnung zu kassieren.

Was ändert sich denn nun?

Was müssen wir denn eigentlich anders machen als bisher? In einschlägigen Foren zu WordPress wird dazu geraten, viele Funktionen einfach abzuschalten. Analyse der Nutzerzugriffe, Abwehr von Spam, Kontrolle über Kommentare im Blog, ja selbst Kontaktformulare und Sicherheits-Plugins. Alles abschalten. Sie könnten gemäß DSGVO-Gesetz Nutzerdaten erheben. Ja, ja, denn auch IP-Adressen sind personenbezogene Daten, die schützenswert sind.

In meiner Berufswelt ist das DSGVO-Gesetz gerade DER Hype. Die meisten scheinen dabei allerdings zu vergessen, dass die neue EU-Verordnung nicht den Verzicht auf Datenerhebung fordert. Es steht sogar ausdrücklich drin, dass Unternehmen ein Recht haben, die für ihre wirtschaftliche Tätigkeit notwendigen Daten zu erheben. Sie sollten damit nur möglichst sparsam umgehen und – ganz wichtig – für Transparenz bei deren Nutzung sorgen.

Wichtig ist auch die Umkehr der Beweislast. Ab Mai müssen Betreiber von Webseiten und -diensten nachweisen, dass sie alle Anforderungen an den Datenschutz befolgt haben. Es besteht die Pflicht zur Dokumentation und zum Schutz der Daten vor dem Zugriff Dritter.

Und was gibt’s gemäß DSGVO-Gesetz zu tun?

Ich bin keine Anwältin und habe mich bisher bei meinen Projekten und für meine Kunden am deutschen Datenschutzgesetz orientiert. Ich sehe bei der Verarbeitung von personenbezogenen Daten keine allzu großen Änderungen und kann daher die Hysterie, die bisherigen Tools und Plugins für WordPress über Bord zu werfen nicht nachvollziehen.

Spürbare Änderungen gibt es aber bei der Dokumentation zur Verarbeitung der Daten. Aus 1 Seite Datenschutzerklärung werden jetzt leicht 3-5 Seiten. Zudem müssen alle, die mit Personendaten umgehen, deren Verarbeitung dokumentieren.

Die ToDo-Liste

• Datenschutzerklärung gemäß DSGVO-Gesetz
  Ja, es gibt sie noch, die kostenfreien Angebote. Ich nutze derzeit den Generator der Deutschen Gesellschaft für Datenschutz (DGD).
• Verzeichnis von Verarbeitungstätigkeiten
  Darin musst du dokumentieren, welche Personen oder Stellen mit den erhobenen Daten umgehen und welche Techniken im Einsatz sind. Das bayerische Landesamt für Datenschutz hat dazu eine „Handreichung für kleine Unternehmen“ ins Netz gestellt.
• Auftragsverarbeitung
  Bisher hieß es Auftragsdatenverarbeitung und war auch bereits eine Vorgabe des Bundes-Datenschutzgesetzes. Wer eine Webseite bei einem Provider hostet, muss mit ihm einen solchen Vertrag zur Auftragsverarbeitung abschließen. Bei den meisten Providern muss man derzeit aber ausdrücklich danach fragen. Auch für die Nutzung von Google-Diensten ist ein solcher Vertrag Pflicht.
• Und was ist mit WordPress?
  Das CMS selbst speichert Daten aus den Nutzerprofilen oder über die Kommentarfunktion. Auch das genutzte Theme könnte Daten speichern oder weiterleiten. Und wer Plugins nutzt für statistische Zwecke oder um die Installation abzusichern erhebt ebenfalls personenbezogene Daten. Die Website enthält ein Kontaktformular? Dann werden auch hier Daten erhoben. Bedenklich dabei sind alle Plugins oder Dienste, die von fremden Server kommen. Insbesondere wenn die Server in Ländern außerhalb der EU betrieben werden.
  • Statistik
    Tools von Automattic, Google-Analytics, Piwik etc.   
  • Schriften und Fonts
    Google-Fonts in Themes enthalten
  • Kommentarfunktion
    Eintrag in die Datenbank etc.
  • Sicherheit
    Spamabwehr, Firewall, Login-Beschränkung
  • Cookies

Noch ein Hinweis

Dann wollen wir mal loslegen und unsere und die Webseiten unserer Auftraggeber:innen möglichst wasserdicht machen. Dabei solltest du aber die Haftung nicht vergessen, denn Webworker haften für ihre Werke. Ich werde daher nur Empfehlungen aussprechen und lasse mir von meinen Kund:innen bestätigen, dass sie mich beauftragt haben, die von ihnen erstellten Inhalte der Datenschutzerklärung in ihre Website zu stellen.

Wie macht ihr das? Habt ihr schon Erfahrungswerte?

Drehen wir den Spieß um – Aussteller als Zielgruppe

Warum also nicht selbst aktiv werden und solche Gespräche für die eigene Akquise auf Messen nutzen? Die gesammelten Daten eignen sich durchaus als Grundlage für eine Neukundenaktion. Allerdings sollte man einen solchen, zielgerichteten Messebesuch gut vorbereiten.

Die richtige Vorbereitung für die Akquise auf Messen:

• Zunächst sollten die Branchen, die auf der Messe vertreten sind zu deinem Zielgruppenraster passen. Dann kennst du im besten Fall bereits die einschlägigen Fachbegriffe.
• Das Ausstellerverzeichnis bietet Unterstützung wenn es darum geht, für dich interessante Firmen auszuwählen. Die wichtigsten Kontaktdaten zum Unternehmen sind dort zu finden. Wie das Unternehmen tatsächlich tickt, sagen diese Daten dir allerdings nicht.
• Der Hallenplan hilft dir, deine Besuchsrunde von Halle zu Halle festzulegen. Dann läufst du dir nicht unnötig die Füße platt. Deine ToDo-Liste sollte auch nur so viele Kontaktwünsche enthalten, wie an einem Messetag bequem zu bewältigen sind.
• Visitenkarten und ggf. Flyer gehören unbedingt ins Gepäck. Meine Fragen notiere ich in Evernote ebenso wie die erhaltenen Infos. Ich nutze diese Anwendung sowohl auf meinem Handy als auch am heimischen Rechner. Meine Messeausbeute kann ich so später bequem auswerten.
• Für die aussagekräftige Vorstellung deines Angebots bereitest du deinen Elevator-Pitch vor und bringst so deine Kernaussage auf den Punkt.

Gespräche auf der Messe

Die Außendienstmitarbeiter einer Firma sind die häufigsten Ansprechpartner, die man am Messestand trifft. Da sie eigens für die Kontaktpflege vor Ort sind, haben sie meist Zeit für Gespräche. Mit deinen Fragen kommst du im besten Fall an Zusatzinformationen, denn im Plauderton erfährst du deutlich mehr als die üblichen Infos aus Website und Werbematerial. Zudem kannst du am Verhalten deiner Gesprächspartnerin oder deines Gesprächspartners deren Zufriedenheit und Motivation mit ihrem Unternehmen ablesen. Wer seinen Mitarbeitern Wertschätzung entgegenbringt, steht auf meiner Wunschkundenliste ganz oben.

Mein Business bringe ich dabei ganz nebenbei ins Spiel und frage nach dem geeigneten Ansprechpartner im Unternehmen. Damit habe ich einen Fuß in der Tür, ganz so als hätte ich angerufen.

Fazit: Akquise auf Messen

Zugegeben diese Methode ist aufwändiger als ein Erstkontakt per Telefon. Du kannst dir aber gleich eine kleine, feine Liste der für dich interessanten Unternehmen zusammenstellen. Bei nachfolgenden Akquise-Maßnahmen kannst du dich zudem besser auf das Gespräch mit dem genannten Ansprechpartner vorbereiten. Und da du dich auf das Messegespräch beziehen kann, nimmt dir das vermutlich deine Berührungsängste. Für mich ist Messe eher „Warm-Akquise“.

Ist das eigentlich nur mein Problem? Was meinst Du dazu?

Umzug auf HTTPS in WordPress

WordPress umzustellen ist vergleichsweise trivial: In den Einstellungen die Domain ändern und dann in der Datenbank per SQL-Statement die Links umschreiben. Fertig!

UPDATE wp_posts SET guid = replace(guid, 'http://www.ihredomain.de','https://www.ihredomain.de');

UPDATE wp_posts SET post_content = replace(post_content, 'http://www.ihredomain.de', 'https://www.ihredomain.de');

UPDATE wp_postmeta SET meta_value = replace(meta_value,'http://www.ihredomain.de','https://www.ihredomain.de');

Fertig? Leider nicht, denn jetzt geht die Arbeit erst richtig los: Es wurden beim Umzug auf HTTPS nicht alle Links erfasst und das bedeutete, dass ich die Stellen ausfindig machen musste, an denen noch http-Links stehen. Das konnten beispielsweise Einträge in einem Text-Widget, der Pfad zu Logo und Favicon oder von Plugins gesetzte URLs sein. Puh, diese Suche konnte langwierig werden – und wurde es auch.

Für die Anzeige des grünes Schlosses darf es keine Vermischung von verschlüsselten und unverschlüsselten Inhalten geben. Bisher gab es lediglich ein graues Schloss mit einem Warndreieck, was sehr ungünstig ist. Moderne Browser weisen den Besucher einer Webseite ausdrücklich darauf hin, dass hier unter dem Label einer verschlüsselten Seite auch unverschlüsselte Inhalte zu finden sind. Das wirkt eher abschreckend als vertrauenserweckend.

VG-Wort Zählpixel

Beim Umzug auf HTTPS habe ich mir in der Website einer Netzwerkkollegin einen Wolf gesucht. Sie verwendet nämlich den von der VG-Wort zur Verfügung gestellten Zählpixel – ein 1×1 Pixel großes Bild (img), dessen Pfad normalerweise mit http ausgezeichnet ist. Das winzige Element zeigte sich erst nach ausgiebiger Inspektion des Quellcodes. Es gibt aber auch einen verschlüsselten Server bei der VG-Wort: Der Domain-Pfad vor der Zähl-ID muss dann zwingend https://ssl-vg03.met.vgwort.de/na/ lauten. Im Blog von Daniel Weihmann habe ich eine hilfreiche Anleitung dazu gefunden.

So aufgeschlaut stellte ich dann fest, dass in dem von mir irgendwann mal eingerichteten Plugin Prosodia VGW eine Einstellung existiert, mit der ich auf den oben genannten https-Server umstellen konnte. Diese Aktion erfasst dann gleich alle genutzten Zählpixel und stellt den Pfad um – sehr hilfreich!
Und jetzt war es endlich geschafft, das Schloss war grün.

301-Redirect für Google & Co.

Um Suchmaschinen von der Umstellung zu informieren, empfiehlt sich dann noch den 301-Redirect (dauerhaft umgezogen) in die .htaccess-Datei zu schreiben. Den passenden Codeschnipsel und weitere nützliche Informationen zum Thema fand ich in einem Artikel bei ambranet.de. Wer die Webmastertools von Google nutzt, sollte nun auch zwei Einträge mit https hinzufügen – einen mit einen ohne www. Der Verifizierungscode wird dabei automatisch erkannt. Die XML-Sitemap sollte man aktualisieren und dann in die neuen Einträge hochladen. Und dann heißt es nur noch auf die Indizierung warten!
Für Google-Analytics muss die geänderte Domain ebenfalls eingetragen werden. Im Fall einer Komplettumstellung ist das sehr einfach, in den Einstellungen muss nur die Standard-URL umgestellt werden. Alles super, oder?

Keine Facebook-Likes mehr nach dem Umzug auf HTTPS

Leider nicht! Facebook fand die Umstellungsaktion gar nicht lustig, alle Likes waren futsch, die Arbeit von Jahren hin. Für meine Kollegin eine Katastrophe. HTTP ist nämlich nicht gleich HTTPS. Diese URLs werden wie unterschiedliche Domains betrachtet.

Im Web habe ich dazu leider nicht viel gefunden – und in dem wenigen gingen die Meinungen auch noch auseinander, ob Facebook Likes und Shares überträgt oder nicht. Erst mal waren sie definitiv nicht mehr da. Ein 301-Redirect ist dafür auch nicht die Lösung. Facebook transferiert Likes nur auf die neue Seite, wenn die alte noch erreichbar ist. Der empfohlene Redirect verhindert aber deren Erreichbarkeit.
Nach längerer Suche fand ich im Forum von Stackoverflow doch eine Lösung: Ein zusätzlicher Eintrag in der .htaccess nimmt den Facebot von der Umleitung aus. Der Eintrag sieht dann wie folgt aus:

RewriteCond %{HTTPS} off
RewriteCond %{HTTP_USER_AGENT} !(Facebot|facebookexternalhit/1.1) [NC]
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
RewriteCond %{HTTP_HOST} !^www\.
RewriteCond %{HTTP_USER_AGENT} !(Facebot|facebookexternalhit/1.1) [NC]
RewriteRule ^(.*)$ https://www.%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Open Graph-Angaben anpassen

Das ist leider noch nicht alles: Denn Facebook benötigt auch noch die Angabe der alten URL in den Open Graph-Angaben. Da SEO-Plugins diese Angaben automatisch aus der für WordPress eingetragenen Domain generieren, muss per Hand die og:url im Meta-Tag mit http angegeben werden. Damit der Eintrag jeweils automatisch den Deep-Link berücksichtigt, muss das in der header.php von WordPress entsprechend angegeben werden.

Obacht: Mit the_permalink() kommt man hier nicht zum Ziel, denn damit würde die komplette neue URL, also die mit https ausgegeben. Der Server-Request dagegen fragt nur den Teil ab, der hinter dem Domainnamen steht.

<meta property="og:url" content="http://www.ihredomain.de<?php echo $_SERVER['REQUEST_URI']; ?>" />

Ein Blick in den Facebook-Debugger zeigte jetzt: Alles im grünen Bereich. Die übrigen Angaben für Open Graph müssen nun allerdings ebenfalls händisch gesetzt werden, denn die Nutzung eines SEO-Plugins für die Social Meta-Angaben ist ja nicht möglich.
Wichtig: Sollen die Einträge dynamisch sein, muss man sie mit den Mitteln von WordPress erstellen – was nicht gerade trivial ist, wenn man sich nicht mit Filtern und Hooks auskennt. Die Beschreibung der Vorgehensweise wäre dann schon wieder ein eigener Beitrag.

Puh, jetzt läuft erst mal alles. Aber vielleicht habt ihr Verbesserungsvorschläge oder weiterführende Hinweise? Dann freue ich mich auf einen Kommentar :-).

Bildquelle: Pixabay

Für den diesjährigen Webkrauts-Adventskalender habe ich ein Thema gewählt, das mir sehr am Herzen liegt. Konzeption und Projektplanung sind nach meiner Erfahrung die wichtigsten Voraussetzungen für eine erfolgreiche Website. Unternehmensziele klar benennen, die Zielgruppe kennen und das eigene Angebot darauf ausrichten sind die wichtigsten Bausteine bei der Planung und Realisierung einer Website. Und das gilt auch für kleine und mittlere Projekte.

Mit meiner Kollegin und Partnerin, Christa Goede, habe ich bereits mehrere Projekte auf dieser Basis erfolgreich umgesetzt. Unsere Kundinnen und Auftraggeber waren immer äußerst zufrieden mit ihrem neuem Webauftritt, der genau auf sie und ihr Unternehmen zugeschnitten wurde. Für Christa ist die genaue Planung eines Webprojektes ebenso wichtig wie für mich. Sie hat mich daher bei meinem Beitrag gern unterstützt.

Allerdings darf man keine Angst vor Quellcode haben, denn der wird ein wenig manipuliert. Wer ein Tool wie Firebug nicht im Browser installiert hat, kann auch die Entwickler-Tools von Chrome nutzen. Und keine Angst, es ist wirklich nur eine kleine Änderung, aber die funktioniert. Schöner wäre, Facebook böte eine passende Lösung über die Einstellungen.

Habt ihr eine bessere Lösung? Dann immer her damit :-).