Datenschu ... jetzt ich auch noch

[encoder]

Ich hab ja lange nichts zum Thema Datenschutzerklärung gefragt sondern selbst viel gesucht, da keiner ständig die gleichen Fragen lesen will. Das irrwitzigste das mir dazu eingefallen ist muss ich euch leider doch loswerden.

• Wie würdet ihr die Anfrage zur Nutzung meiner Mailadresse beantworten? Geht dann jemand den Posteingang durch und schaut ob eine Mail von mir da ist?

Alle sonstigen Daten die jemand bei Registrierung eingibt kann man im Griff haben. Wenn man überhaupt etwas zu registrieren hat. Nun ist die IP-Adresse seit kürzlich ebenfalls ein persönliches Datum. Und sie steht im Serverlog, auf das ein Seiteninhaber keinen Einfluss hat.

• Überall steht, ich habe das Recht aus Auskunft wie meine persönlichen Daten genutzt werden. Wie würdet ihr eine Anfrage beantworten, wie "meine" IP-Adresse genutzt wird? (also nicht wo sie landet, das ist einfach beantwortet, sondern wie oft sie da steht)

• Dann habe ich Anspruch auf Löschung der persönlichen Daten. Auch hier wieder die IP-Adresse, wer löscht die aus seinem Serverlog wenn ich das möchte? (welche war/ist überhaupt "meine"?)
  Ist das evtl. durch die Aufbewahrungspflicht gewisser Dinge nicht nötig?

• Ich habe Anspruch auf Sperrung der Nutzung meiner persönlichen Daten. Wer verhindert wie dass die im Serverlog landet? Oder zählt auch hier die Aufbewahrungspflicht?

• Was erzählt man in der Datenschutzerklärung korrekterweise über die Logfiles die der Provider speichert? Brauche ich mit dem einen Vertrag zur Auftragsdatenverarbeitung, nur weil er seine Logfiles anlegt?

• Was ist über die Aufbewahrungsdauer der Serverlogs zu sagen? Das alles hat man als Seitenbetreiber ja nicht selbst in der Hand.

Zum Schluss noch eine sinnvolle Frage.
Muss beispielsweise ein Verein der Mitgliederdaten hält, auf seiner Webseite auch über diese Daten informieren, auch wenn diese Mitgliederdaten NICHT beim Besuch der Webseite entstehen?

[beatovich]

hallo

Eine Anfrage nach Dateneinsicht lässt sich aus meiner Sicht so beantworten.

Sehr geehrter Herr. Die von Ihnen getätigten Angaben sind in keiner Weise ausreichend, um mit irgend welchen Daten identifiziert werden zu können. Wir sind deshalb weder in der Lage noch aus Datenschutzgründen berechtigt irgend eine weiter Auskunft zu geben.

Wenn Sie über einen Account verfügen, dann löschen/ändern Sie Daten dort, falls diese rechtlich zur Löschung/Änderung freigegeben werden dürfen. Denken Sie daran, dass wir durchaus auch verpflichtet sind, Daten aufzubewahren.

Für weitere Auskünfte richten Sie sich an unseren Hosting Provider XY.

• Was erzählt man in der Datenschutzerklärung korrekterweise über die Logfiles die der Provider speichert? Brauche ich mit dem einen Vertrag zur Auftragsdatenverarbeitung, nur weil er seine Logfiles anlegt?

Die simple Wahrheit: Logfiles stehen ausserhalb aller Datenänderungsrechte.

• Was ist über die Aufbewahrungsdauer der Serverlogs zu sagen? Das alles hat man als Seitenbetreiber ja nicht selbst in der Hand.

Zum Schluss noch eine sinnvolle Frage.
Muss beispielsweise ein Verein der Mitgliederdaten hält, auf seiner Webseite auch über diese Daten informieren, auch wenn diese Mitgliederdaten NICHT beim Besuch der Webseite entstehen?

Nein, ein Verein ist nicht verpflichtet, seine Daten auf einem Onlinse-Server zu verwalten, auch dann wenn er eine Website hat.

Es ist mir auch nicht bewusst, dass da ein Unterschied zwischen privaten und Vereinen besteht, da beider Webauftritte als Geschäftsmässig eingestuft werden.

Die simple Konsequenz, dass ich plötzlich jede Anfrage, ob jemand in meinem höchst privaten Adressbuch steht, beantworten muss, ist schlicht absurd.

[at]

Hallo encoder,

das folgende ist keine verbindliche Rechtsauskunft.

• Wie würdet ihr die Anfrage zur Nutzung meiner Mailadresse beantworten? Geht dann jemand den Posteingang durch und schaut ob eine Mail von mir da ist?

Nicht den Posteingang, aber das Mailarchiv, und das hat revisionssicher zu sein, was ein Löschung ausschließt.

• Überall steht, ich habe das Recht aus Auskunft wie meine persönlichen Daten genutzt werden. Wie würdet ihr eine Anfrage beantworten, wie "meine" IP-Adresse genutzt wird? (also nicht wo sie landet, das ist einfach beantwortet, sondern wie oft sie da steht)

Die Frage kann nur allgemein beantwortet werden, da eine Zuordnung der IP-Adressen zu einer Person nicht durch den Website-Betreiber vorgenommen wird, sondern durch den Internet-Provider.

• Dann habe ich Anspruch auf Löschung der persönlichen Daten. Auch hier wieder die IP-Adresse, wer löscht die aus seinem Serverlog wenn ich das möchte? (welche war/ist überhaupt "meine"?)
  Ist das evtl. durch die Aufbewahrungspflicht gewisser Dinge nicht nötig?

Zunächst muss der Hosting-Anbieter keine Logfiles anlegen. Falls er das dennoch tut, wird er dies tun, um den Betrieb technisch und/oder juristisch abzusichern. Damit wird er für sich in Anspruch nehmen, die Erhebung der Daten sei angemessen und notwendig.

• Ich habe Anspruch auf Sperrung der Nutzung meiner persönlichen Daten. Wer verhindert wie dass die im Serverlog landet? Oder zählt auch hier die Aufbewahrungspflicht?

Hier zählt die Auffassung des Hosting-Anbieters, ob er die Erhebung der Daten für angemessen und notwendig erachtet.

• Was erzählt man in der Datenschutzerklärung korrekterweise über die Logfiles die der Provider speichert? Brauche ich mit dem einen Vertrag zur Auftragsdatenverarbeitung, nur weil er seine Logfiles anlegt?

Den Umfang der Logfiles kennt der Hosting-Anbieter, den man als Website-Betreiber dazu befragen sollte. Diese Auskunft sollte dann Bestandteil der Datenschutzerklärung sein. Da der Hosting-Anbieter die Daten nicht in im Auftrag seines Kunden verarbeitet, sondern in seinem eigenen Interesse, findet keine Auftragsdatenverarbeitung statt.

• Was ist über die Aufbewahrungsdauer der Serverlogs zu sagen? Das alles hat man als Seitenbetreiber ja nicht selbst in der Hand.

Diese Aukunft bekommt man von seinem Hosting-Anbieter und kann sie weiterleiten.

Muss beispielsweise ein Verein der Mitgliederdaten hält, auf seiner Webseite auch über diese Daten informieren, auch wenn diese Mitgliederdaten NICHT beim Besuch der Webseite entstehen?

Nein.

MfG, at

[Rolf B]

Hallo at,

Nicht den Posteingang, aber das Mailarchiv, und das hat revisionssicher zu sein, was ein Löschung ausschließt.

Das ist ein Thema, das mich auch umtreibt. Archive und Backups zeichnen sich ja dadurch aus, dass sie einen bestimmten historischen Stand widerspiegeln sollen. Wenn ich irgendwie daran rummache, gefährde ich die Integrität der darin enthaltenen Daten.

Revisionssicherheit ist kein Grund für unbegrenze Speicherung. Bestimmte Daten haben gesetzliche Aufbewahrungsfristen; danach darf und muss sie ggf. auch löschen.

Wie passt das zusammen? Muss bspw. ein Arzt regelmäßig seine Backups durchgehen, um Patientendaten herauszunehmen, die mehr als 10 Jahre nicht mehr bei ihm waren? Patient Frank Krankheimer war am 09.06.2008 zuletzt bei Dr. Heilsam. Am 08.06.2018 macht der gute Doktor ein Backup. Am 11.06. kommt er ins Büro und stellt fest: verdammt, am Wochenende ist einer eingebrochen, mein PC ist geklaut. Aber das Backup ist noch da. Dienstleister anrufen, Ersatz-PC liefern, Backup rein. Prima. Bis auf die Daten von Herrn Krankheimer. Die sind nun wieder da.

Susi Spamminger hat einen Newsletter-Verteiler, für den sie im Januar '18 Norbert Nervenich eine Opt-Out Meldung bekommt. Sie streicht ihn, und am Montag, den 11.06.'18, stellt sie fest, dass in ihrem PC ein hässlicher Locky steckt, der nun mit Verschlüsseln fertig ist und Bitcoins will. Sie stellt fest, dass der Bursche seit Weihnachten in ihrer Kiste steckt, d.h. die Backups des letzten halben Jahres sind kompromittiert und sie muss die Nikolaus-Version einspielen. Und schon bekommt Norbert Nervenich den nächten Newsletter und rennt zum Abwalt.

Bei Dr. Heilsam kann ich mir noch eine Lösung vorstellen. Nach Recover des Backup muss man die Bereinigung abgelaufener Daten wiederholen.

Aber was macht Susi? Muss sie eine Opt-Out Liste führen? Laut DSGVO könnte sie sogar ein Recht dazu einfordern; sie braucht die Liste für den beschriebenen Katastrophenfall. Oder muss sie ihre Backups updaten?

Rolf

[at]

Hallo Rolf.

Aber was macht Susi? Muss sie eine Opt-Out Liste führen?

Ja, und zwar eine gehashte, damit sie einzelne Adressen auf ihre Existenz in der Liste prüfen, die Liste aber nicht auslesen kann. Das wäre jedenfalls aus meiner Sicht angemessen und notwendig.

MfG, at

[Rolf B]

Hallo at,

und am besten auch noch auf einem anderen Gerät, mit getrenntem Backup, damit der böse Locky sie nicht zerstört?

Weil - das wäre doch ein gefundenes Fressen für Abwälte: Susi muss auf ein altes Backup zurück, hat ihre opt-outs verloren und versendet eine Rundmail, in dem sie darum bittet, einen kürzlich erfolgten opt-out zu wiederholen weil sie leider einen Datencrash hatte. Zack, Abmahnung, unerwünschte Mail! Oder nicht?

Rolf

[at]

Hallo Rolf,

und am besten auch noch auf einem anderen Gerät, mit getrenntem Backup, damit der böse Locky sie nicht zerstört?

Redundanz ist da sicher ratsam, ja.

Weil - das wäre doch ein gefundenes Fressen für Abwälte: Susi muss auf ein altes Backup zurück, hat ihre opt-outs verloren und versendet eine Rundmail, in dem sie darum bittet, einen kürzlich erfolgten opt-out zu wiederholen weil sie leider einen Datencrash hatte. Zack, Abmahnung, unerwünschte Mail! Oder nicht?

Grundsätzlich halte ich eine solche Mail für dem Empfänger zumutbar und in Bezug auf Abmahnungen unschädlich, sofern sie keinen weiteren Inhalt hat und sich diese Fälle nicht häufen. Im Prinzip handelt es sich ja um ein verzögertes Opt-out-Verfahren.

Sollte bereits eine strafbewehrte Unterlassungserklärung unterzeichnet worden sein, findet sich die sicher auch in Papierform in einem der Ordner, die man ansonsten nur für das Finanzamt aufbewahrt.

MfG, at

[Camping_RIDER]

Aloha ;)

Grundsätzlich halte ich eine solche Mail für dem Empfänger zumutbar und in Bezug auf Abmahnungen unschädlich, sofern sie keinen weiteren Inhalt hat und sich diese Fälle nicht häufen. Im Prinzip handelt es sich ja um ein verzögertes Opt-out-Verfahren.

Zumal man ja immer bedenken muss, dass Abmahnungen sich im Zweifel ja immer aus dem Wettbewerbsrecht ableiten lassen müssen.

Nach dem Opt-Out eine Mail mit erneuter Bitte um Opt-Out zu schicken ist sicher wettbewerbsrechtlich problematisch, wenn diese Mail gleichzeitig auch eine Menge Werbung enthält, so dass man davon ausgehen kann, dass der Versand dieser Mail einen wettbewerbsrechtlichen Vorteil begründen kann.

Beinhaltet die Mail nur die begründete Bitte, einen eventuellen Opt-Out noch einmal zu tätigen, sehe ich nicht, wo hier ein Wettbewerbsvorteil entstehen soll^[1].

Grüße,

RIDER

---

1. außer vielleicht, wenn man das einbezieht, dass der User sich bei der zweiten Opt-Out-Möglichkeit ja anders entscheiden könnte und konkurrierende Unternehmen haben diese „zweite Chance“ ja nicht. Das ist aber eine schon insofern problematische Argumentation, da sie dem User unterstellt, eben nicht seine Meinung zu vertreten - und ganz insgesamt glaub ich kaum, dass man mit dieser Argumentation vor Gericht weit käme. ↩︎

[Rolf B]

Hallo at, hallo Janosch,

danke schön für eure Einschätzung.

Rolf

[Pit]

Hallo Rolf,

ich hätte es nicht besser formulieren können...

Ich stell mir auch grad vor, wie das funktionieren soll:

Ich habe z.b. einen SQL-Dump der letzten 90 Tage (habe ich nicht, aber ich stelle mir vor, ich hätte...), wie soll ich aus diesem die Daten eines Users löschen? Das ist zwar theoretisch möglich, aber ein paar böse User könnte hieraus für einen unternehmer bereits einen Full-Time-Job kreieren. Wer soll das bezahlen?

Pit

[Christian Kruse]

Hallo Rolf,

gängige Rechtsauffassung scheint zu sein, dass Löschwünsche auch in Backups nachgekommen werden muss. Wobei ein „unsere Backups rotieren, deine Daten sind in spätestens einem Monat weg“ in Ordnung zu sein scheint.

LG,
CK

[Camping_RIDER]

Aloha ;)

gängige Rechtsauffassung scheint zu sein, dass Löschwünsche auch in Backups nachgekommen werden muss. Wobei ein „unsere Backups rotieren, deine Daten sind in spätestens einem Monat weg“ in Ordnung zu sein scheint.

Eben. Und rotierende Backups sind sowieso zu empfehlen. Nun haben wir also nur noch einen Grund mehr.

Grüße,

RIDER

[Wille]

Wie passt das zusammen? Muss bspw. ein Arzt regelmäßig seine Backups durchgehen, um Patientendaten herauszunehmen, die mehr als 10 Jahre nicht mehr bei ihm waren?

Alte Patientenakten werden sicher nicht einzeln, Stück für Stück von Hand gelöscht, sondern in einem Rutsch automatisch. Tauchen mit der Wiederherstellung alte Daten auf, werden sie also von ganz alleine beim nächsten regulären Löschdurchlauf ebenfalls entsorgt.

Insofern verstehe ich dein Problem nicht.

Susi Spamminger hat einen Newsletter-Verteiler, für den sie im Januar '18 Norbert Nervenich eine Opt-Out Meldung bekommt. Sie streicht ihn, und am Montag, den 11.06.'18, stellt sie fest, dass in ihrem PC ein hässlicher Locky steckt, der nun mit Verschlüsseln fertig ist und Bitcoins will. Sie stellt fest, dass der Bursche seit Weihnachten in ihrer Kiste steckt, d.h. die Backups des letzten halben Jahres sind kompromittiert und sie muss die Nikolaus-Version einspielen. Und schon bekommt Norbert Nervenich den nächten Newsletter und rennt zum Abwalt.

Locky steckt sicher nicht in der Adressdatenbank. Warum Susi Spamminger unbedingt die Nikolaus-Version der Adressen einspielen muss und nicht die der letzten Sicherung, erschließt sich mir nicht so recht.

Vielleicht hat sie ganz beschissene Backupsoftware, die keine Zugriffe auf einzelne Dateien zulässt. Oder sie ist mit der ganzen Sache deutlich überfordert und sollte besser jemanden fragen, der sich damit auskennt. Darauf deutet auch der Locky-Befall hin, für sich und in der Dauer.

Sehr wahrscheinlich aber hat Susi, sollten tatsächlich sämtliche Daten des letzten halben Geschäftsjahres verloren sein, gänzlich andere Probleme als eine dusselige Adressliste.

[Rolf B]

Hallo Wille,

herzlichen Glückwunsch. Du hast die Fragestellung exakt identifiziert. Andernfalls wäre es Dir nicht gelungen, sie derart präzise zu umgehen.

Rolf

[beatovich]

Wie passt das zusammen? Muss bspw. ein Arzt regelmäßig seine Backups durchgehen, um Patientendaten herauszunehmen, die mehr als 10 Jahre nicht mehr bei ihm waren?

Alte Patientenakten werden sicher nicht einzeln, Stück für Stück von Hand gelöscht, sondern in einem Rutsch automatisch.

Eigentlich sollten sie dem Patienten zugeschickt werden. Und dafür dass man das gemacht hat, muss man wieder eine Akte führen, nicht dass es dann heisst, Patient XY hätte die Akte XY nicht erhalten.

So ist das denn mit dem Gesetz, dass ich mein Tun protokollieren muss gegenüber jedem, der einen Rechtsanspruch geltend macht oder gemacht hat.

wieher

[marctrix]

Hej encoder,

Alle sonstigen Daten die jemand bei Registrierung eingibt kann man im Griff haben. Wenn man überhaupt etwas zu registrieren hat. Nun ist die IP-Adresse seit kürzlich ebenfalls ein persönliches Datum. Und sie steht im Serverlog, auf das ein Seiteninhaber keinen Einfluss hat.

Mein Anwalt sieht das anders, aber egal.

Auf den Log solltest du Einfluss haben. Bei meinem Provider ist das jedenfalls so. Da wird gespeichert, was ich festlege. Wenn das nicht so ist, sammelst du keine Daten, sondern der Provider.

Ich habe übrigens festgelegt, dass gar nichts gespeichert wird. Es wird kein log angelegt.

Ist das evtl. durch die Aufbewahrungspflicht gewisser Dinge nicht nötig?

Wieso solltest du verpflichtet sein personenbezogene Daten zu sammeln? Hat schon mal ein Staatsanwalt bei dir nachgefragt deswegen? Bei welcher Verbrechensaufklärung sollte es helfen?

• Was ist über die Aufbewahrungsdauer der Serverlogs zu sagen? Das alles hat man als Seitenbetreiber ja nicht selbst in der Hand.

Wechsel den Provider, dann bist du all diese Fragen los!

Muss beispielsweise ein Verein der Mitgliederdaten hält, auf seiner Webseite auch über diese Daten informieren, auch wenn diese Mitgliederdaten NICHT beim Besuch der Webseite entstehen?

Meines Wissens nach nicht, es ist aber vielleicht praktischer, falls das erlaubt ist, das so zu handhaben als auf Papier…

Marc

[Auge]

Hallo

[die IP-Adresse] steht im Serverlog, auf das ein Seiteninhaber keinen Einfluss hat.

Mein Anwalt sieht das anders, aber egal.

Drei Anwälte, fünf Rechtsauffassungen …

Auf den Log solltest du Einfluss haben. Bei meinem Provider ist das jedenfalls so.

Bei vielen anderen Hostern ist das nicht so.

Da wird gespeichert, was ich festlege. Wenn das nicht so ist, sammelst du keine Daten, sondern der Provider.

Eben, von daher ist das harmlos. Bisher haben alle Datenschutzerklärungsgeneratoren ^[1], denen ich begegnet bin, eine Beschreibung dessen, was die Hoster sammeln, in die generierten Erklärungen eingefügt. Keine Ahnung, ob ich wirklich darüber informieren muss, was der Hoster sammelt. Letztlich ist es dem Besucher gegenüber zumindest fair, anzusagen, was außerhalb der eigenen Verantwortlichkeit passiert, wenn er meine Seite besucht. Informiert ist informiert.

Ist das evtl. durch die Aufbewahrungspflicht gewisser Dinge nicht nötig?

Wieso solltest du verpflichtet sein personenbezogene Daten zu sammeln? Hat schon mal ein Staatsanwalt bei dir nachgefragt deswegen? Bei welcher Verbrechensaufklärung sollte es helfen?

Da die Vorratsdatenspeicherung in Deutschland ausgesetzt ist, kann eine Strafverfolgungsbehörde wohl den ISP eines Besuchers ermitteln und, solange beim ISP z.B. zu Abrechnungszwecken gespeichert bleibt, wem zu Zeitpunkt X die IP Y zugewiesen war, der Anschlussinhaber, bei dem die IP Y benutzt wurde. Wird die IP, wie bei Flatrates üblich, nicht gespeichert ^[2], ist beim ISP Schluss.

Muss beispielsweise ein Verein der Mitgliederdaten hält, auf seiner Webseite auch über diese Daten informieren, auch wenn diese Mitgliederdaten NICHT beim Besuch der Webseite entstehen?

Meines Wissens nach nicht, es ist aber vielleicht praktischer, falls das erlaubt ist, das so zu handhaben als auf Papier…

Die Einsparung von Papier dürfte wohl nur ein Nebeneffekt sein aber für praktischer halte ich eine Datenschutzerklärung einer Stelle für alle Zwecke auch. Was mir bei den mehreren mehr oder minder kategorisch vorgetragenen Neins zu dieser Frage in diesem Thread ein wenig aufstößt, ist der Umstand, dass eine solche Erklärung zwar nur für elektronisch gespeicherte Daten gilt, ein Verein heutzutage aber EDV einsetzt und wohl seltenst zwei/mehrere verschiedene Datenschutzerklärungen für verschiedene Zwecke erstellen lässt (eine für die Website und eine andere für die Datenhaltung auf dem PC im Büro des Vereinsvorstands, et cetera).

Typischerweise wird es für beide (oder allgemeiner alle) Fälle eine Datenschutzerklärung geben. Die wird sehr wahrscheinlich sowohl die Datenerhebung für die Vereinsverwaltung als auch die Besuche der Website und was sonst noch so anfällt erfassen.

Tschö, Auge

---

1. Ich finde Zusammensetzungen toll! 😀 ↩︎

2. Bei Flatrates braucht man diese Information nicht (Datenminimierung). ↩︎

[marctrix]

Hej Auge,

[die IP-Adresse] steht im Serverlog, auf das ein Seiteninhaber keinen Einfluss hat.

Mein Anwalt sieht das anders, aber egal.

Drei Anwälte, fünf Rechtsauffassungen …

Besonders was di DSGVO angeht. So extrem ist das echt selten.

Dass ein Anwalt zwei Auffassungen verdienen kann, liegt sicher da dran, ob er jemanden verteidigt oder eine Klage führt. Je nach Perspektive kann die eine oder andere Auffassung lohnender sein 😟

Auf den Log solltest du Einfluss haben. Bei meinem Provider ist das jedenfalls so.

Bei vielen anderen Hostern ist das nicht so.

bei domainfactory sieht das so aus. Kann ich nur jedem empfehlen!

Eben, von daher ist das harmlos. Bisher haben alle Datenschutzerklärungsgeneratoren [^1], denen ich begegnet bin, eine Beschreibung dessen, was die Hoster sammeln, in die generierten Erklärungen eingefügt. Keine Ahnung, ob ich wirklich darüber informieren muss, was der Hoster sammelt. Letztlich ist es dem Besucher gegenüber zumindest fair, anzusagen, was außerhalb der eigenen Verantwortlichkeit passiert, wenn er meine Seite besucht. Informiert ist informiert.

Schon. Aber das ist so, als würde an jeder Ampel ein Schild stehen, dass man nur bei "grün" fahren darf. Ich finde, manche Dinge darf man voraussetzen. Wer im Web surft und cniht weiß, dass er Spuren hinterlässt (welche im Detail ist für den Enduser doch egal), sollte was auf den Hinterkopf bekommen!

Ist das evtl. durch die Aufbewahrungspflicht gewisser Dinge nicht nötig?

Wieso solltest du verpflichtet sein personenbezogene Daten zu sammeln? Hat schon mal ein Staatsanwalt bei dir nachgefragt deswegen? Bei welcher Verbrechensaufklärung sollte es helfen?

Da die Vorratsdatenspeicherung in Deutschland ausgesetzt ist, kann eine Strafverfolgungsbehörde wohl den ISP eines Besuchers ermitteln und, solange beim ISP z.B. zu Abrechnungszwecken gespeichert bleibt, wem zu Zeitpunkt X die IP Y zugewiesen war, der Anschlussinhaber, bei dem die IP Y benutzt wurde. Wird die IP, wie bei Flatrates üblich, nicht gespeichert [^2], ist beim ISP Schluss.

Und wie soll dann eine IP auf Deinem Server mit einer Person in Verbindung gebracht werden?

Da du die IP nciht zu Abrechnungszwecken benötigst, darfst du auch gar nciht speichern (Zweckgebundenheit nicht gegeben).

Ansonsten volle Zustimmung!

Marc

[Auge]

Hallo

Drei Anwälte, fünf Rechtsauffassungen …

Besonders was di DSGVO angeht. So extrem ist das echt selten.

Dass ein Anwalt zwei Auffassungen verdienen kann, liegt sicher da dran, ob er jemanden verteidigt oder eine Klage führt. Je nach Perspektive kann die eine oder andere Auffassung lohnender sein 😟

Tja, man mag das moralisch bewerten, wie man will, aber der Anwalt soll das Mögliche für seinen Mandanten tun. Oft missfällt vielen das Mögliche.

Bisher haben alle Datenschutzerklärungsgeneratoren, denen ich begegnet bin, eine Beschreibung dessen, was die Hoster sammeln, in die generierten Erklärungen eingefügt.

Schon. Aber das ist so, als würde an jeder Ampel ein Schild stehen, dass man nur bei "grün" fahren darf. Ich finde, manche Dinge darf man voraussetzen. Wer im Web surft und cniht weiß, dass er Spuren hinterlässt (welche im Detail ist für den Enduser doch egal), sollte was auf den Hinterkopf bekommen!

Das möchte ich mir unter keinen Umständen zueigen machen! Nach meiner Erfahrung darf man nie und nimmer nicht annehmen, die Leute (im statistischen Mittel) wüssten auch nur im Ansatz, was da passiert. Du würdest aus der Aufgabe, Kopfnüsse zu verteilen, nie wieder herauskommen.

Da die Vorratsdatenspeicherung in Deutschland ausgesetzt ist, kann eine Strafverfolgungsbehörde wohl den ISP eines Besuchers ermitteln und, solange beim ISP z.B. zu Abrechnungszwecken gespeichert bleibt, wem zu Zeitpunkt X die IP Y zugewiesen war, der Anschlussinhaber, bei dem die IP Y benutzt wurde. Wird die IP, wie bei Flatrates üblich, nicht gespeichert [^2], ist beim ISP Schluss.

Und wie soll dann eine IP auf Deinem Server mit einer Person in Verbindung gebracht werden?

Berechtigten Stellen, wie Strafverfolgungsbehörden, können diese Informationen über den ISP ermitteln und verknüpfen. Wer hat heute schon noch eine Flatrate …?

Da du die IP nciht zu Abrechnungszwecken benötigst, darfst du auch gar nciht speichern (Zweckgebundenheit nicht gegeben).

Der ISP darf das für den Anteil „Wer hatte wann welche IP?“ zu Abrechnungszwecken (wenn das der Fall ist). Mein Hoster darf das für den Anteil „Mit welcher IP wurde wann auf welche Ressource zugegriffen?“ für die Sicherstellung des technischen Betriebs (wie es überall heißt). Selbst wenn ich IPs nicht speichern darf, weil ich keinen zweck nachweisen kann, andere können das.

Tschö, Auge

[marctrix]

Hej Auge,

Schon. Aber das ist so, als würde an jeder Ampel ein Schild stehen, dass man nur bei "grün" fahren darf. Ich finde, manche Dinge darf man voraussetzen. Wer im Web surft und cniht weiß, dass er Spuren hinterlässt (welche im Detail ist für den Enduser doch egal), sollte was auf den Hinterkopf bekommen!

Das möchte ich mir unter keinen Umständen zueigen machen! Nach meiner Erfahrung darf man nie und nimmer nicht annehmen, die Leute (im statistischen Mittel) wüssten auch nur im Ansatz, was da passiert. Du würdest aus der Aufgabe, Kopfnüsse zu verteilen, nie wieder herauskommen.

Ich weiß schon. Aber das kann IMHO nicht die Aufgabe der Webseitenbetreiber sein. Ganz abgesehen davon, dass diejenigen, denen es wurscht ist, die Belehrungen eh nciht lesen oder gar daraus lernen…

Ich würde ja sagen, dann müssen sie halt mit den Konsequenzen leben. Leider müssen wir alle mit den Konsequenzen leben…

Da die Vorratsdatenspeicherung in Deutschland ausgesetzt ist, kann eine Strafverfolgungsbehörde wohl den ISP eines Besuchers ermitteln und, solange beim ISP z.B. zu Abrechnungszwecken gespeichert bleibt, wem zu Zeitpunkt X die IP Y zugewiesen war, der Anschlussinhaber, bei dem die IP Y benutzt wurde. Wird die IP, wie bei Flatrates üblich, nicht gespeichert [^2], ist beim ISP Schluss.

Und wie soll dann eine IP auf Deinem Server mit einer Person in Verbindung gebracht werden?

Berechtigten Stellen, wie Strafverfolgungsbehörden, können diese Informationen über den ISP ermitteln und verknüpfen. Wer hat heute schon noch eine Flatrate …?

(Fast) jeder?!?

Da du die IP nciht zu Abrechnungszwecken benötigst, darfst du auch gar nciht speichern (Zweckgebundenheit nicht gegeben).

Der ISP darf das für den Anteil „Wer hatte wann welche IP?“ zu Abrechnungszwecken (wenn das der Fall ist). Mein Hoster darf das für den Anteil „Mit welcher IP wurde wann auf welche Ressource zugegriffen?“ für die Sicherstellung des technischen Betriebs (wie es überall heißt). Selbst wenn ich IPs nicht speichern darf, weil ich keinen zweck nachweisen kann, andere können das.

Welche Gründe kann es denn geben, IPs zur Aufrechterhaltung des technischen Betriebes zu speichern?

Sobald die Site ausgeliefert wurde, kann die IP des clients doch verworfen werden?!?

Marc

[Christian Kruse]

Hallo marctrix,

Da du die IP nciht zu Abrechnungszwecken benötigst, darfst du auch gar nciht speichern (Zweckgebundenheit nicht gegeben).

Der ISP darf das für den Anteil „Wer hatte wann welche IP?“ zu Abrechnungszwecken (wenn das der Fall ist). Mein Hoster darf das für den Anteil „Mit welcher IP wurde wann auf welche Ressource zugegriffen?“ für die Sicherstellung des technischen Betriebs (wie es überall heißt). Selbst wenn ich IPs nicht speichern darf, weil ich keinen zweck nachweisen kann, andere können das.

Welche Gründe kann es denn geben, IPs zur Aufrechterhaltung des technischen Betriebes zu speichern?

Sobald die Site ausgeliefert wurde, kann die IP des clients doch verworfen werden?!?

Da fällt mir als erstes ein: automatisches blockieren von IPs, etwa mit fail2ban. Um Scans und Angriffe zu verlangsamen und zu erschweren.

LG,
CK

[marctrix]

Hej Christian,

Sobald die Site ausgeliefert wurde, kann die IP des clients doch verworfen werden?!?

Da fällt mir als erstes ein: automatisches blockieren von IPs, etwa mit fail2ban. Um Scans und Angriffe zu verlangsamen und zu erschweren.

Interessant! — Als Laie würde ich nun erwarten, dass nur „auffällige“ IPs geblockt werden?!?

Marc

[Auge]

Hallo

Sobald die Site ausgeliefert wurde, kann die IP des clients doch verworfen werden?!?

Da fällt mir als erstes ein: automatisches blockieren von IPs, etwa mit fail2ban. Um Scans und Angriffe zu verlangsamen und zu erschweren.

Interessant! — Als Laie würde ich nun erwarten, dass nur „auffällige“ IPs geblockt werden?!?

Wie findest du ohne Logs heraus, welche IP „auffällig“ ist?

Tschö, Auge

[marctrix]

Hej Auge,

Sobald die Site ausgeliefert wurde, kann die IP des clients doch verworfen werden?!?

Da fällt mir als erstes ein: automatisches blockieren von IPs, etwa mit fail2ban. Um Scans und Angriffe zu verlangsamen und zu erschweren.

Interessant! — Als Laie würde ich nun erwarten, dass nur „auffällige“ IPs geblockt werden?!?

Wie findest du ohne Logs heraus, welche IP „auffällig“ ist?

Ich hatte gedacht, indem man feststellt, dass von einer IP sehr oft sehr viele Anfragen kommen. Aber selbst wenn man nur wenige Sekunden loggen würde, würde man ja doch loggen.

Aber wie du in Deinem anderen Post schon gesagt hast, reichen vermutlich sehr kurze Einstellungen für das loggen, die aber scheinen mir nach Deinen Erklärungen in vielen Fällen durchauch sinnvoll - unter bestimmten Umständen. Ich arbeite mit ein paar Dutzend Webseiten, die in 20 Jahren noch nie angegriffen wurden.

Mir scheint, um als Angriffsziel interessant zu sein, mus man eine gewisse Reichweite haben.

Wurde SELFHTML schon mal mit DDOS o.ä. angegriffen?

Marc

[Christian Kruse]

Hallo marctrix,

Mir scheint, um als Angriffsziel interessant zu sein, mus man eine gewisse Reichweite haben.

Das ist ein Irrtum. Solche Scans und Angriffe passieren voll automatisch, vor allem aus China hat man ein ständiges Hintergrundrauschen von Bots, die den Server auf Schwachstellen abklopfen und bei Fund vollautomatisiert die Büchse aufmachen.

LG,
CK

[marctrix]

Hej @Christian Kruse , @Auge , @beatovich

Mir scheint, um als Angriffsziel interessant zu sein, mus man eine gewisse Reichweite haben.

Das ist ein Irrtum. Solche Scans und Angriffe passieren voll automatisch, vor allem aus China hat man ein ständiges Hintergrundrauschen von Bots, die den Server auf Schwachstellen abklopfen und bei Fund vollautomatisiert die Büchse aufmachen.

Das schon — aber wir sind noch bei Angriffen, denen durch Loggen von IP-Adressen beizukommen ist? — Wenn Blacklists mit IPs bereit stehen, muss ich ja beispielsweise nicht selber loggen?

Mir geht es ja um die Frage, ob das Loggen der IP notwendig ist, um die technische Funktionalität einer Website sicherzustellen.

Marc

[Christian Kruse]

Hallo marctrix,

Das schon — aber wir sind noch bei Angriffen, denen durch Loggen von IP-Adressen beizukommen ist?

Ja. Nach der dritten Auffälligkeit sperren und fertig.

Mir geht es ja um die Frage, ob das Loggen der IP notwendig ist, um die technische Funktionalität einer Website sicherzustellen.

Das hängt davon ab wie sicher man sich ist, dass am eigenen Server alles einwandfrei ist. Das loggen der IP ist immer dann sinnvoll, wenn man 3rd-Party-Software einsetzt, die halbwegs bekannt ist.

LG,
CK

[Auge]

Hallo

Mir scheint, um als Angriffsziel interessant zu sein, mus man eine gewisse Reichweite haben.

Das ist ein Irrtum. Solche Scans und Angriffe passieren voll automatisch, vor allem aus China hat man ein ständiges Hintergrundrauschen von Bots, die den Server auf Schwachstellen abklopfen und bei Fund vollautomatisiert die Büchse aufmachen.

Das schon — aber wir sind noch bei Angriffen, denen durch Loggen von IP-Adressen beizukommen ist? — Wenn Blacklists mit IPs bereit stehen, muss ich ja beispielsweise nicht selber loggen?

Wie lange, glaubst du, wird eine solche vorgefertigte Liste auch nur einigermaßen aktuell sein? Woher stammen diese IP-Listen? Irgendwer hat die IPs gesammelt. Was ist der Unterschied zwischen der eigenen Sammlung von IPs, mit denen auf die eigene Seite zugegriffen wurde und IPs, die irgendwer zusammengetragen hat?

Wenn ich Techniken zur Abwehr von Angriffen benutze, die die IPs der Besucher als Datenpunkte heranzieht, will ich diese Liste aktualisieren können. Das wiederum bedingt die Speicherung von IPs.

Tschö, Auge

[marctrix]

Hej Auge,

Das schon — aber wir sind noch bei Angriffen, denen durch Loggen von IP-Adressen beizukommen ist? — Wenn Blacklists mit IPs bereit stehen, muss ich ja beispielsweise nicht selber loggen?

Wie lange, glaubst du, wird eine solche vorgefertigte Liste auch nur einigermaßen aktuell sein?

In meiner Naivität hätte ich gedacht, dass die von einer Community gepflegt werden und nicht nur aktuell sind, sondern auch mehr gefährliche IPs kennen, als mein eigener Server, so dass ich mich auch gegen Probleme absichern könnte, die ich selber noch nicht bemerkt habe?!?

Dann wäre das Selber-Loggen unsinnig…

Marc

[Christian Kruse]

Hallo marctrix,

In meiner Naivität hätte ich gedacht, dass die von einer Community gepflegt werden und nicht nur aktuell sind, sondern auch mehr gefährliche IPs kennen, als mein eigener Server, so dass ich mich auch gegen Probleme absichern könnte, die ich selber noch nicht bemerkt habe?!?

Es gibt solche Listen, aber die sind ausgesprochen problematisch. Kleines Beispiel: ich kann mir bei Anbietern wie DigitalOcean oder Linode oder so eine VM für einen halben Tag mieten, kostet mich nur ein paar Cent. Dann schmeiss ich sie weg und mache eine neue VM - und habe damit auch eine neue IP.

Oder ich mache das aus dem Pool von dynamisch vergebenen IPs.

Für Email-Server ist sowas relativ weit verbreitet, auf bestehende Blacklists zu setzen. Das hat dazu geführt, dass die überwiegende Mehrzahl der Unternehmen und Admins keinen eigenen Mailserver mehr betreiben, weil die Mails nicht ankommen. Reputation der IP ist zu schlecht, da findet massives overblocking statt. Stattdessen konzentriert sich das auf ein paar wenige wirklich grosse Mailprovider.

LG,
CK

[Auge]

Hallo

Das schon — aber wir sind noch bei Angriffen, denen durch Loggen von IP-Adressen beizukommen ist? — Wenn Blacklists mit IPs bereit stehen, muss ich ja beispielsweise nicht selber loggen?

Wie lange, glaubst du, wird eine solche vorgefertigte Liste auch nur einigermaßen aktuell sein?

In meiner Naivität hätte ich gedacht, dass die von einer Community gepflegt werden und nicht nur aktuell sind, sondern auch mehr gefährliche IPs kennen, als mein eigener Server, so dass ich mich auch gegen Probleme absichern könnte, die ich selber noch nicht bemerkt habe?!?

O.k., nochmal bohren: Woher bekommt die Community (oder wer auch immer Dienst X betreibt) die IPs?

Egal, ob es sich um eine Person, eine Gruppe oder eine Firma handelt, irgendwer sammelt IPs. Und natürlich ist die Datenbasis, wenn mehr als nur ich allein sammle, größer, als es die eigene Sammlung je sein kann. Typischerweise setzt sich eine solche Liste aber zumindest teilweise aus Meldungen von Mitgliedern einer Community oder Kunden einer Firma zusammen, also auch aus meiner Sammlung.

Dann wäre das Selber-Loggen unsinnig…

Wenn das alle so halten, bleibt die Liste leer. Davon abgesehen bleibt, zumindest bei mir, immer noch der Wunsch, eine solche Liste erweitern zu können. Spätestens dann brauche ich eine eigene Sammlung von IPs, die ich nach Auffälligkeiten durchstöbern kann.

Tschö, Auge

[Auge]

Hallo

automatisches blockieren von IPs, etwa mit fail2ban.

Interessant! — Als Laie würde ich nun erwarten, dass nur „auffällige“ IPs geblockt werden?!?

Wie findest du ohne Logs heraus, welche IP „auffällig“ ist?

Ich hatte gedacht, indem man feststellt, dass von einer IP sehr oft sehr viele Anfragen kommen. Aber selbst wenn man nur wenige Sekunden loggen würde, würde man ja doch loggen.

Wenn man es grundsätzlich sieht, loggt man, wenn man loggt. Und man speichert diese Daten nicht nur, man verarbeitet sie auch, wenn man sie z.B. für fail2ban oder ähnliche Tools weiterbenutzt.

Aber wie du in Deinem anderen Post schon gesagt hast, reichen vermutlich sehr kurze Einstellungen für das loggen, die aber scheinen mir nach Deinen Erklärungen in vielen Fällen durchauch sinnvoll - unter bestimmten Umständen. Ich arbeite mit ein paar Dutzend Webseiten, die in 20 Jahren noch nie angegriffen wurden.

Mir scheint, um als Angriffsziel interessant zu sein, mus man eine gewisse Reichweite haben.

Nö, sehr oft reicht es, bestimmte Software zu benutzen. Von angreifbaren CMS- und Blogsystemen haben wir vermutlich alle schon gelesen. Foren- und Blogbetreiber lassen oft die IP und/oder Teile der Eingaben von Besuchern von externen Diensten wie Akismet oder Stop Forum Spam vergleichen, um mutmaßlichen Spam von vornherein auszusondern ^[1]. Das ist auch eine Verarbeitung (inklusive Weitergabe an Dritte), selbst wenn sie auf der eigenen Seite ohne Speicherung auskommen sollte.

Tschö, Auge

---

1. Ich kann aus eigener Erfahrung sagen, dass es erschreckend ist, wenn binnen etwa einer halben Stunde mehrere hundert Postings in einem Forum auftauchen und man dem nicht effektiv Einhalt gebieten kann. ↩︎

[beatovich]

hallo

Ich arbeite mit ein paar Dutzend Webseiten, die in 20 Jahren noch nie angegriffen wurden.

Mir scheint, um als Angriffsziel interessant zu sein, mus man eine gewisse Reichweite haben.

Nö! Es reicht allein, dass die Domain bekannt ist.

Heute wird jede erreichbare Site systematisch auf Angriffsvektoren gescannt. Und nicht jeder Angriff nimmt gleich die Form eines DDOS an.

[Auge]

Hallo

Da die Vorratsdatenspeicherung in Deutschland ausgesetzt ist, kann eine Strafverfolgungsbehörde wohl den ISP eines Besuchers ermitteln und, solange beim ISP z.B. zu Abrechnungszwecken gespeichert bleibt, wem zu Zeitpunkt X die IP Y zugewiesen war, der Anschlussinhaber, bei dem die IP Y benutzt wurde. Wird die IP, wie bei Flatrates üblich, nicht gespeichert, ist beim ISP Schluss.

Und wie soll dann eine IP auf Deinem Server mit einer Person in Verbindung gebracht werden?

Berechtigten Stellen, wie Strafverfolgungsbehörden, können diese Informationen über den ISP ermitteln und verknüpfen. Wer hat heute schon noch eine Flatrate …?

(Fast) jeder?!?

Hmm, wird nicht gerade hier gebetsmühlenartig propagiert, dass mittlerweile über die Hälfte der Zugriffe auf Websites über Mobilgeräte erfolgt? Ich kenne einige Personen, die sich den Festnetzanschluss mit Internetzugang, an denen eine Internet-Flatrate noch(!) durchaus üblich ist, sparen. Mobiltarife, auf die sich diese Personen verlassen, sind aber bis auf Ausnahmen eben keine Flatrates sondern üblicherweise Volumentarife. „Fast jeder“ trifft heutzutage auf „Wer hat schon noch Flatrates?“ definitiv nicht zu.

Der ISP darf das für den Anteil „Wer hatte wann welche IP?“ zu Abrechnungszwecken (wenn das der Fall ist). Mein Hoster darf das für den Anteil „Mit welcher IP wurde wann auf welche Ressource zugegriffen?“ für die Sicherstellung des technischen Betriebs (wie es überall heißt).

Welche Gründe kann es denn geben, IPs zur Aufrechterhaltung des technischen Betriebes zu speichern?

Frage bitte nicht mich, sondern die Hoster. Ich schaue jedenfalls dann und wann, gerade nach erfolgten Änderungen, in die Logfiles, um tote Links zu identifizieren. Die IP interessiert mich dabei nicht sonderlich, meist reicht der zeitliche Zusammenhang aus, um herauszufinden, zu welchem „Hauptrequest“ beispielsweise die Anforderung eines Bildes, die in einen 404-er Status mündet, gehört. Das liegt aber an dem niedrigen Traffic auf meiner Seite. bei stärker frequentierten Seiten kann es hilfreich sein, diese Zuordnung (zusätzlich) über die IP des Aufrufers herzustellen.

Über die Person, die zum Zeitpunkt des geloggten Ereignisses hinter der IP steckte, sagt das ja ohne die Verknüpfung mit den Daten dessen ISP nichts aus. Von diesem Punkt aus gesehen halte ich es nicht für unsinnig und auch nicht für fragwürdig diese Info zu erzeugen und einzusehen. Was die Begründung der Hoster, die die Daten erheben, betrifft, frage bitte nicht mich. Die Logfiles nach X Tagen zu löschen, wie es dein Hoster deinem Screenshot nach anbietet, halte ich daher für einen gangbaren Kompromiss.

Tschö, Auge

[marctrix]

Hej Auge,

Berechtigten Stellen, wie Strafverfolgungsbehörden, können diese Informationen über den ISP ermitteln und verknüpfen. Wer hat heute schon noch eine Flatrate …?

(Fast) jeder?!?

Hmm, wird nicht gerade hier gebetsmühlenartig propagiert, dass mittlerweile über die Hälfte der Zugriffe auf Websites über Mobilgeräte erfolgt?

Autsch! - Jetzt verstehe ich. Klar, die Mobilfunkanbieter sind natürlich auch ISPs…

Danke auch für die weiteren interessanten Erläuterungen!

Marc

[at]

Hallo marctrix,

Mein Anwalt sieht das anders, aber egal.

Drei Anwälte, fünf Rechtsauffassungen …

Besonders was di DSGVO angeht. So extrem ist das echt selten.

Dezeit hoffen alle auf zwei Dinge:

1. rechtskräftige Grundsatzentscheidungen zur Umsetzung der DSGVO
2. nicht selbst der Präzedenzfall zu sein

MfG, at

[Rolf B]

Hallo at,

leider ja. Und das gilt auch für die Richter, die diese Präzedenzfälle schaffen müssen. Sie müssen dann die Fehler derjenigen, die dieses gut gemeinte^[1] Gesetz geschrieben haben, ausbaden.

Rolf

---

1. bekanntlich das Gegenteil von gut gemacht ↩︎

[pl]

Moin,

Am Besten Du redest mal mit Deinem Provider und mit Sicherheit hat der auch eine DS ERklärung die Du Dir mal durchlesen könntest. Danach dürfte das Erstellen Deiner DS Erklärung kein Problem mehr sein.

MfG