Visforms 5
Visforms und DSGVO

Visforms und DSGVO

Visforms und die Datenschutz-Grundverordnung DSGVO

Am 25.5.2018 ist die Datenschutzgrundverordnung DSGVO in Deutschland in Kraft getreten. Insbesondere bei Webseitenbetreibern hat dies zu einer erheblichen Verunsicherung geführt. Die Verunsicherung betrifft den Einfluss, den die DSGVO auf den Betrieb einer Webseite insgesamt sowie die Verwendung von Formularen im Besonderen hat.

Hinweis: Es ist eine weit verbreitete Ansicht, dass es aufgrund der DSGVO besser/einfacher/sicherer sei, auf einer Webseite überhaupt keine Formulare mehr zu verwenden. Jedoch ist diese Äußerung unserer nach Meinung komplett falsch und resultiert aus Halbwahrheiten vermischt mit Unwissen.

Bei jeder Webseitennutzung werden persönliche Daten erhoben, die der DSGVO unterliegen

Die Begriffsbestimmung der DSGVO ist so weit gefasst, dass praktisch jede Information, die an eine Webseite übermittelt wird, als persönliche Daten interpretiert werden muss. In diesem Sinne werden bei jeder Nutzung einer Webseite persönliche Daten übermittelt und etwa in Server-Log-Dateien auch gespeichert. Die Bestimmungen der Verordnung müssen in all diesen Fällen eingehalten werden. Das ist selbst dann notwendig, wenn die Webseite nur angesehen wird.

Jede Website ist betroffen

Insbesondere benötigt daher jede Webseite eine Datenschutzerklärung. Die Datenschutzerklärung muss inhaltlich auf die konkrete Implementierung Ihrer Webseite abgestimmt sein. Die Datenschutzerklärung muss die in der Verordnung festgelegten umfangreichen Pflichtangaben enthalten.

Hinweis: Die Verwendung von Formularen auf der Webseite stellt nur einen graduellen Unterschied dar. Die Verwendung von Formularen erfordert also nicht prinzipiell andere oder zusätzliche Maßnahmen, um eine Webseite DSGVO konform zu gestalten.

Nicht wahllos und nicht ohne Wissen und Zustimmung

Es ist nicht Sinn der DSGVO, eine Erhebung persönlicher Daten zu verhindern. Denn die Erhebung persönlicher Daten ist in sehr vielen Fällen eine gewünschte und notwendige Sache.
Es geht vielmehr um das Folgende:

  • Wahllos oder ohne Wissen und Zustimmung der Person, sollen persönliche Daten nicht gesammelt, gespeichert oder verknüpft werden.
  • Persönliche Daten sollen nicht im Sinne eines Profilings gezielt ausgewertet werden.
  • Der Anwender muss wissen, welche Daten erhoben, gespeichert und wie diese verwendet werden.
  • Persönliche Daten müssen in einer angemessenen Art und Weise geschützt werden. Je sensibler die Daten sind, desto höher sind die Anforderungen an deren Schutz vor Missbrauch.
  • Dem Anwender stehen Rechte zu hinsichtlich Löschung und Korrektur seiner Daten.

Unverschlüsselter Versand von Formulardaten per E-Mail

Insbesondere die Frage, ob ein unverschlüsselter Versand von Formulardaten per E-Mail überhaupt noch erlaubt sei, bereitet vielen Webseitenbetreibern Kopfzerbrechen. Die DSGVO spricht von einem der Sensibilität der persönlichen Daten angemessenen Schutz durch Maßnahmen, die dem Stand der Technik entsprechen.

Verschlüsselung von E-Mail entspricht sicher zum aktuellen Zeitpunkt nicht dem Stand der Technik. Denn ein Standardbenutzer ist gar nicht in der Lage, eine an ihn gerichtete verschlüsselte E-Mails zu lesen. Zwar mag es Sonderfälle geben, bei dem die erhobenen Formular-Daten wirklich so sensibel sind, dass sie nicht mit einer unverschlüsselten Mail verschickt werden sollten. Dies betrifft aber wirklich nur Ausnahmefälle und Visforms bietet Ihnen dann sogar Alternativen.

Stattdessen halten wir es für eine sinnvolle Lösung in der Datenschutzerklärung explizit auf das Folgendes hinzuweisen:
Aus Gründen der Praktikabilität und Schnelligkeit erfolgt der Austausch von Daten und Informationen per unverschlüsselter E-Mail.
Viele Anwaltskanzleien, die sicherlich relativ sensible persönliche Daten handhaben, halten dies für ausreichend.

Download der Daten per PDF

Statt übermittelte Daten in einer nicht verschlüsselten Mail zu übertragen, können Sie alternativ den PDF-Generator nutzen. Er ermöglicht es die PDFs im Backen der Webseite zu erstellen und herunterzuladen. Auf SSL-Verschlüsselten Webseiten sind die Daten dann automatisch verschlüsselt und geschützt.

Die Datenschutzerklärung

Sachlich richtige Datenschutzerklärung

Der wichtigste Aspekt, um Ihre Webseite DSGVO-konform zu machen, ist eine sachlich richtige und passende Datenschutzerklärung. Dies ist möglich, indem Sie analysieren, welche Daten auf Ihrer Webseite erhoben werden und wie diese gegebenenfalls gespeichert und verarbeitet werden.

Wir gehen hierdabei davon aus, dass die von Ihnen erhobenen Daten sinnvoll und ausgewogen und verhältnismäßig im Rahmen der Anwendung auf Ihrerer Webseite sind.

Notwendige Informationen prüfen

Im Hinblick auf ein Formular auf Ihrer Webseite stellen sich folgende Fragen:

  • Welche Daten werden erhoben?
  • Wie werden die übermittelten Daten dem Webseitenbetreiber zur Verfügung gestellt?
  • Wie wird der Benutzer informiert?
  • Werden Daten gespeichert und wenn ja wie lange?

Diese Informationen müssen Sie dem Anwender in Ihrer Datenschutzerklärung mitteilen. Visforms bietet Ihnen hierbei zahlreiche Varianten, um diesen Prozess auszugestalten. Dazu gehört auch der Schutz sensibler persönlicher Daten.

Weitergabe von Daten prüfen

Weiterhin müssen Sie prüfen, ob Sie Visforms so konfiguriert haben, dass es eventuell zu einer Weitergabe von Daten kommen kann, nachdem der Benutzer das Formular abgeschickt hat. Schauen Sie sich hierzu den Abschnitt Datenweitergabe bei Verwendung von Visforms weiter unten auf dieser Seite an.

Einwilligung vor dem Senden prüfen

Nachdem Sie eine sachlich richtige Datenschutzerklärung erstellt haben, müssen Sie als Nächstes sicherstellen, dass der Benutzer diese auch akzeptiert, bevor er das Formular absenden kann. Schauen Sie sich hierzu den Abschnitt Link auf Datenschutzerklärung und Bestätigung weiter unten auf dieser Seite an.

Das Formular

Das Formular benötigt einen Link auf die Datenschutzerklärung sowie eine Bestätigung, dass die Datenschutzerklärung akzeptiert ist. Dies kann beispielsweise mithilfe eines Feldes vom Typ “Checkbox” einfach realisiert werden.

  • Legen Sie ein Feld vom Typ Checkbox an.
    Ein passendes Feldlabel wäre etwa “Datenschutzhinweis zur Kenntnis genommen”.
  • Machen Sie das Feld zu Pflichtfeld.
    Vergeben Sie als “Wert” das Wort “ja”.
    Stellen Sie sicher, dass die Option “Checked” nicht angehakt ist.
  • Geben Sie in der Feldkonfiguration auf dem Reiter “Erweitert” bei “Benutzerdefinierter Text” einen kurzen erklärenden Text ein.
    Ein Beispiel-Text wäre etwa “Die Speicherung und Weiterverarbeitung Ihrer vorstehend erhobenen personenbezogenen Daten erfolgt gemäß unserer Datenschutzerklärung”.
  • Legen Sie auf das Wort “Datenschutzerklärung” einen Link, der auf Ihre Datenschutzerklärung verweist.
  • Setzen Sie die Option “Position Benutzerdefinierter Text” auf “Über dem Label”.

Hat der Benutzer die entsprechende Checkbox im Formular nicht aktiviert, kann er das Formular nicht absenden.

Speichern Sie die übermittelten Daten in der Datenbank, so wird automatisch auch die Benutzerselektion der Checkbox (die ja immer “ja” sein muss) gespeichert. Sie haben auch die Möglichkeit die Benutzereingabe dieses Checkbox-Feldes in den von Visforms verschickten Mails mit einzufügen.

Verifizierung der eingegebenen E-Mail-Adresse auf Existenz

Visforms erlaubt es Ihnen zu überprüfen, ob die eingetragene E-Mail-Adresse, tatsächlich existiert. Es wird von Visforms im Backend ein Verifizierungscode erzeugt und dieser an die angegebene E-Mail-Adresse geschickt. Danach überprüft Visforms, ob der Benutzer den frisch versendeten Code im Formular korrekt eingegeben hat.

Nachdem das Formular abgeschickt wurde

Die mit dem Formular übertragenen Daten (etwa Anfragen, Bestellungen, Buchungen) müssen Ihnen in irgend einer Form zugänglich gemacht werden, damit Sie diese weiter bearbeiten können.

Mit Visforms haben Sie hier zwei Optionen:

  • Sie können die Daten (vollständig oder teilweise) per Mail versenden
  • Sie können die Daten in der Datenbank speichern und berechtigten Personen für die Weiterbearbeitung zugänglich machen.

E-Mail Konfiguration

Die DSGVO spricht von einem der Sensibilität der persönlichen Daten angemessenen Schutz durch Maßnahmen, die dem Stand der Technik entsprechen. Verschlüsselung von E-Mail entspricht sicher zum aktuellen Zeitpunkt nicht dem Stand der Technik, da ein Standardbenutzer gar nicht in der Lage wäre, eine an ihn gerichtete verschlüsselte E-Mails zu lesen.

Ob die Daten, die Sie mit Ihrem Formular erheben, so sensibel sind, dass sie nicht per Mail verschickt werden sollten, oder ob ein Teil der Daten nicht per Mail verschickt werden sollten, können nur Sie selbst entscheiden.

Alle Optionen lassen sich mit Visforms realisieren

  • Sie können festlegen, ob überhaupt eine Bestätigungsmail und/oder ein Benutzermail verschickt werden soll.
  • Sie können vollkommen individuell gestalten, welche Inhalte mit welcher Mail verschickt werden.
  • Sie können alle Texte individuell gestalten und für alle mit dem Formular übermittelten Daten einzeln festlegen, ob diese mit der Mail verschickt werden sollen.

Es ist also alles möglich:

  • von einer vollkommen anonymisierten Mail an sich selbst, die Sie nur darauf hinweist, dass ein Benutzer das Formular verschickt hat,
  • über eine Mail, die unter datenschutzrechtlichen Gesichtspunkten wenig sensible, für Sie aber wichtige Daten (den Anfragetext) enthält,
  • bis hin zu einer Mail die alle Daten, die mit dem Formular übermittelt enthält.

Gestaltung des Ergebnistexts

Ein sogenannter Ergebnistext wird dem Benutzer auf der Webseite angezeigt, nachdem das Formular erfolgreich verschickt wurde. Visforms hat die Möglichkeit den Ergebnistext individuell zu gestalten. Sie können im Ergebnistext auch die Benutzereingaben des Formulars verwenden. Anstatt dem Benutzer die übermittelten Daten per Mail zu schicken, können Sie ihm mit dem Ergebnistext eine abschließende Übersicht über die von ihm übermittelten Daten geben. Der Benutzer kann also seine gerade übermittelten Daten einsehen, ohne dabei den Rahmen der Webseite verlassen.

Daten in der Datenbank speichern

Übermittelten Daten können für die Weiterbearbeitung auch in der Datenbank gespeichert werden.

Visforms bietet Ihnen viele Möglichkeiten dies in einer Art und Weise zu tun, die mit der DSGVO-konform ist:

  • Speichern der IP-Adresse kann an- und abgeschaltet werden.
  • Daten können geändert werden (Recht auf Berichtigung).
  • Zugriff auf Daten kann über die Joomla ACL auf berechtigte Personengruppe begrenzt werden.
  • Daten können selektiv im Frontend angezeigt werden.
    Das wird dann interessant, wenn Sie der berechtigten Perso keinen Zugriff auf die Administration der Webseite geben wollen oder können.
  • Der Zugriff auf die Datenansicht im Frontend kann über die Joomla ACL auf berechtigte Personen begrenzt werden.
  • Für jedes Feld kann individuell entschieden werden, ob es angezeigt wird oder nicht.
  • Daten können manuell gelöscht werden.
  • Daten können nach einer selbst festgelegten Zeitspanne automatisch gelöscht werden.
  • Bei automatisiertem Löschen kann zusätzlich ein Logfile geschrieben werden, dass die ID des gelöschten Datensatzes enthält.
  • Jeder Datensatz hat eine eigene ID, auf die etwa in Mails Bezug genommen werden kann.
    Damit können Sie nachweisen, dass der entsprechende Datensatz gelöscht wurde.
  • Individuell konfigurierbarer CSV-Export, auch für einzelne Datensätze.
    Dieses Feature kann etwa bei einer Auskunftsnachfrage verwendet werden.

Datenweitergabe bei Verwendung von Visforms

Wann kann es bei der Verwendung von Visforms zur Datenweitergabe kommen?

Visforms Spamschutz-Plugin

Visforms enthält ein eigenes Spamschutz-Plugin. Es prüft, ob das Formular von einem bekannten Spambot ausgefüllt wurde. Das Spamschutz-Plugin ist standardmäßig aktiviert. Es überprüft die IP-Adresse, von der aus das Formular versandt wird sowie die E-Mail-Adresse des Formularbenutzers (wenn vorhanden). Die Überprüfung erfolgt mithilfe der in der Formularkonfiguration ausgewählten Spambot-Datenbanken.

Hierzu wird die IP sowie die E-Mail-Adresse an den jeweiligen Anbieter der Online Spambot-Datenbank übermittelt.
Standardmäßig ist die Überprüfung gegen die Datenbanken folgender Anbieter aktiviert:

  • stopforumspam.com
  • spamCop.net
  • sorbs.net

Weiterhin können Sie die Überprüfung gegen die Datenbank folgender Anbieter aktivieren:

  • projecthoneypot.org

Die Nutzung der Daten beim Anbieter erfolgt gemäß deren jeweiligen Datenschutzbestimmungen, die nach unserem Wissen aktuell unter den folgenden URLs verfügbar sind:

Google Dienste

Wenn Sie innerhalb von Visforms Google-Dienste Verwenden, kann es zu einer Datenweitergabe an Google kommen. Diese Datenweitergabe an Google müssen Sie in einem Abschnitt Ihrer Datenschutzerklärung abhandeln.

Solche Dienste sind:

  • Das Google Recaptcha Plugin.
    Es wird verwendet, wenn Sie im Formular das Google Recaptcha aktiviert haben.
  • Die Google Maps API.
    Es wird verwendet, wenn Sie im Formular ein Feld vom Typ Standort/Karte haben.

Google Analytics

Manche Anwender bauen Google Analytics manuell in den Prozess des Versendens eines Visforms Formulars ein. Auch in diesem Fall erfolgt eine Datenweitergabe an Google. Diese Datenweitergabe an Google müssen Sie in einem Abschnitt Ihrer Datenschutzerklärung abhandeln.

Einige der hier angeführten Feature sind nur in der Visforms Subscription Features enthalten.

Was steht auf dieser Seite