Externe Schriften und CDN-Inhalte DSGVO-konform einbinden
Viele Websites laden Schriften, Icons oder JavaScript-Bibliotheken bequem von externen Servern, sogenannten Content Delivery Networks (CDN). Was technisch praktisch ist, birgt datenschutzrechtlich das gleiche Risiko wie die bekannten Google Fonts. Denn bei jedem dieser Abrufe verlässt die IP-Adresse Ihrer Besucher unbemerkt Ihre Website.
Worum geht es?
Wenn Ihre Website eine Schriftart, ein Icon-Set oder eine Programmbibliothek von einem fremden Server nachlädt, baut der Browser Ihres Besuchers eine direkte Verbindung zu diesem Anbieter auf. Typische Beispiele sind Font Awesome für Icons, jQuery oder Bootstrap über Dienste wie cdnjs und googleapis sowie Adobe Fonts.
Damit der externe Server die Datei ausliefern kann, muss der Browser dessen Adresse kennen und übermittelt dabei automatisch die IP-Adresse des Besuchers. Häufig sitzen diese Anbieter in den USA. Für Ihre Besucher ist dieser Datenabfluss nicht sichtbar, denn er passiert im Hintergrund, ohne dass jemand aktiv etwas anklickt.
Ist Ihre Website DSGVO-konform?
Kostenloser Schnelltest – die ersten 10 Seiten, ohne Anmeldung, Ergebnis in rund 60 Sekunden.
Die Rechtslage
Die IP-Adresse gilt als personenbezogenes Datum. Sobald sie beim Aufruf einer externen Ressource an einen Drittanbieter übermittelt wird, findet eine Datenverarbeitung statt, für die Sie als Website-Betreiber verantwortlich sind. Es ist dabei unerheblich, ob Sie den Datenabfluss beabsichtigt haben oder ob er als Nebeneffekt eines eingebundenen Skripts entsteht.
Rechtlich gilt hier die gleiche Problematik wie bei Google Fonts: Das Einbinden externer Inhalte, die technisch nicht zwingend erforderlich sind, setzt grundsätzlich eine Einwilligung voraus (§ 25 TDDDG), und für die Verarbeitung brauchen Sie eine Rechtsgrundlage nach Art. 6 DSGVO. Fließen die Daten zudem in die USA, kommen die besonderen Anforderungen an Drittlandübermittlungen hinzu.
Der pragmatische und rechtssichere Weg ist, den Datenabfluss von vornherein zu vermeiden, statt für jede Schriftart und jedes Icon eine Einwilligung einholen zu müssen.
So wird es DSGVO-konform
Die sauberste Lösung ist, externe Ressourcen lokal auf Ihrem eigenen Server bereitzustellen. So bauen die Browser Ihrer Besucher keine Verbindung mehr zu Dritten auf:
- Externe Hosts ermitteln: Öffnen Sie den Netzwerk-Tab in den Entwicklerwerkzeugen Ihres Browsers und prüfen Sie, welche Dateien von fremden Domains geladen werden.
- Schriften lokal hosten: Laden Sie verwendete Schriftarten herunter und liefern Sie sie über Ihren eigenen Server aus, statt sie von Adobe oder Google zu beziehen.
- Icons lokal einbinden: Speichern Sie Icon-Sets wie Font Awesome lokal ab und verweisen Sie in Ihrem Code auf die eigenen Dateien.
- JavaScript-Bibliotheken herunterladen: Binden Sie jQuery, Bootstrap und ähnliche Bibliotheken als lokale Kopie ein, statt sie vom CDN zu laden.
- Verweise anpassen: Ersetzen Sie alle externen Adressen im Quelltext durch die lokalen Pfade.
- Erneut prüfen: Kontrollieren Sie im Netzwerk-Tab, dass keine Verbindungen zu externen Hosts mehr aufgebaut werden.
Externe Verbindungen automatisch aufspüren
Der Netzwerk-Tab liefert zwar alle Informationen, ist für Nicht-Techniker aber unübersichtlich, und leicht übersieht man eine einzelne Ressource, die still im Hintergrund lädt. Gerade Baukastensysteme und Plugins binden oft externe Inhalte ein, ohne dass Sie es überhaupt bemerken.
easy-DSGVO.de nimmt Ihnen diese Suche ab. Der Scanner lädt Ihre Seite und listet auf, welche Schriften, Icons und Skripte von externen Servern nachgeladen werden und wohin dabei die Besucher-IP übertragen wird.