DSGVO: Benutzerdaten auf nicht privaten Webseiten dürfen nicht im Klartext gespeichert werden!

Gemäß Art. 32 Abs. 1 a) DSGVO müssen personenbezogene Daten in der Regel pseudonymisiert und verschlüsselt werden.

Viele nicht private Webseiten ermöglichen Benutzern die Registrierung aus unterschiedlichen Gründen, zu unterschiedlichen Zwecken und in unterschiedlichem Ausmaß. Mindestens jedoch erfordert eine solche Registrierung, allein zum Zwecke der folgenden Anmeldung im System, die Angabe eines Benutzernamens, einer E-Mail-Adresse und eines Passworts.

In der Regel kann der Benutzername ein vom Benutzer ausgewähltes Pseudonym sein, welches jedoch, ebenso wie die E-Mail-Adresse, als Klartext in der entsprechenden Datenbank gespeichert, während zumindest das Passwort inzwischen, z.B. als MD5 Hash-Wert (vgl.: https://de.wikipedia.org/wiki/Message-Digest_Algorithm_5), durch Verschlüsselung anonymisiert wird.

Dass sich in der Regel jede Webseite mit TLS, also Transport Layer Security (TLS, englisch für Transportschichtsicherheit), verschlüsseln lässt, hat sich mittlerweile herumgesprochen und wird mehr oder weniger auch umgesetzt (vgl.: https://de.wikipedia.org/wiki/Transport_Layer_Security). Bei TLS handelt es sich grundsätzlich um ein hybrides Verschlüsselungsprotokoll zur sicheren Datenübertragung im Internet. Es verschlüsselt demnach nur die Datenübertragung, jedoch nicht die Speicherung der Daten in einer Datenbank.

Dies führt unter Beachtung der Vorschrift des Art. 32 Abs. 1 a) DSGVO bei allen nicht privaten Webseiten mit der Möglichkeit der Registrierung und Benutzerdatenspeicherung zu dem Problem, dass alle nicht vollständig als verschlüsselte und pseudonymisierte Werte, sondern als Klartext gespeicherten personenbezogenen Daten gegen die DSGVO verstoßen.

Und wenn wir uns dementsprechend die Inhalte von Datenbanken von WordPress & Co. ansehen, sehen wir in der Regel, abgesehen vom verschlüsselten Wert des Passwortes, alle personenbezogenen Daten im Klartext gespeichert. Gleiches gilt für Mailinglisten; kurz: für alle Arten von Online-Services, bei denen eine Registrierung möglich ist. Etwaige Ausnahmen sind hier derzeit nicht bekannt. Auf diese Daten haben unbefugt z.B. zumindest alle mit entsprechenden Administrationsrechten ausgestatteten Mitarbeiter des Unternehmens Zugang, bei dem diese Daten gespeichert sind.

MERKE: Datenbanken dürfen keine personenbezogenen Daten im Klartext beinhalten! Keine!

Diese Tatsache sollte allen Programmierern solcher Software bekannt sein, damit sie jedem Webseiten-Betreiber in sehr naher Zukunft Möglichkeiten schaffen, alle verarbeiteten Benutzerdaten als Standard verschlüsselt speichern zu können. Dazu sollte auch die Option bedacht werden, zusätzliche Datenfelder ebenfalls verschlüsselt zu speichern. Da diese Möglichkeit der sicheren verschlüsselten Speicherung von Passwörtern bereits Standard ist, dürfte es kein großes technisches Hindernis darstellen, andere personenbezogenen Daten ebenfalls verschlüsselt zu speichern.

Die Zukunft und Zulässigkeit der Verwendung derartiger Blogsysteme, Mailinglisten und ähnlicher Benutzerdaten verarbeitender Software in Europa ist abhängig von der unverzüglichen Implementierung standardisierter Verschlüsselungs- und Pseudonymisierungsverfahren für die Verarbeitung von Benutzerdaten.

Bis zur technischen Lösung dieses Problems ist ausschließlich die Verarbeitung der personenbezogenen Daten eines Webseiten-Admins im eigenen Auftrag zulässig, da dieser ausschließlich seine personenbezogenen Daten selbst freiwillig verarbeitet. Also z.B. der Betrieb eines Ein-Mann-Blogs ohne öffentliche Registrierungsmöglichkeit. Alle anderen Anbieter müssen, gemessen an den Vorschriften der DSGVO, ihre Registrierungs- und Benutzerzugangsmöglichkeiten abschalten bzw. dürfen sie nicht der Öffentlichkeit zugänglich machen, sofern sie nicht eine vollständige Verschlüsselung und Pseudonymisierung der personenbezogenen Daten der Benutzer gemäß Art. 32 Abs. 1 a) DSGVO garantieren können.

Und auch hier gilt: Sollte Ihnen ein Rechtsanwalt oder Datenschutzexperte oder wer auch immer weismachen wollen, dass alles sei eine Auslegungsfrage etc. pp. mit der Folge der Unterlassung solcher gesetzlich vorgeschriebenen Maßnahmen, dann fragen Sie diese Person einfach, ob sie im Fall der Fälle auch ein erhobenes Bußgeld zu zahlen bereit ist.

Anmerkung schreiben

Die Benutzung der Kommentarfunktion erfordert keine Angabe von personenbezogenen Daten. Für den Namen kann ein Pseudonym gewählt werden. Wird keine Name angegeben, so erscheint der Autor als »Anonymous«. Werden jedoch personenbezogene Daten angegeben, erteilt der Autor hierzu seine Einwilligung gemäß Art. 6 Abs. 1 a) DSGVO. Über die entsprechenden Datenschutzrechte, insbesondere über den Widerruf, wird in der Datenschutzerklärung aufgeklärt.
Alle Kommentare werden moderiert. Wir speichern keine IP-Adressen! Bei Angabe einer validen E-Mail-Adresse wird der Autor auf Wunsch über die Freischaltung seines Kommentars und/oder über Antworten informiert.