TYPO3 und Datenschutz — die Technik umsetzen, die andere festlegen.

Welche Daten anfallen.

Die beiden letzten Zeilen werden am häufigsten vergessen — und sind bei einer Prüfung die ersten Fragen.

Cookies und Einwilligung.

TYPO3 setzt von sich aus nur wenige Cookies, und die sind technisch notwendig: eines für die Backend-Anmeldung, eines für Frontend-Sitzungen, wenn sie gebraucht werden. Dafür braucht es keine Einwilligung — wohl aber einen Hinweis in der Datenschutzerklärung.

Einwilligungspflichtig wird es bei allem, was darüber hinausgeht: Statistik, Werbe-Pixel, eingebundene Dienste von Dritten. Entscheidend ist dabei, dass diese Dienste erst nach der Zustimmung laden — ein Banner, das nur fragt, während im Hintergrund schon geladen wird, erfüllt den Zweck nicht. Technisch heißt das: Die Einbindung muss bis zur Zustimmung zurückgehalten werden, nicht nur das Setzen eines Cookies (Cookie-Banner).

Externe Einbindungen.

Jede Einbindung von einem fremden Server überträgt die IP-Adresse des Besuchers dorthin — auch ohne Cookie. Das betrifft Karten, Videos, Schriften, Symbolsammlungen, Bewertungssysteme und Chat-Fenster.

Für zwei Fälle gibt es eine einfache technische Lösung, die das Thema erledigt: Schriften lokal einbinden statt von einem Dienst zu laden, und Symbole ebenso. Beides ist nebenbei schneller. Für Karten und Videos bleibt die Zwei-Klick-Lösung: ein Platzhalter, der erst nach Zustimmung die echte Einbindung lädt (Schriften lokal, Videos und Karten).

Formulardaten.

Formulare sind der wichtigste Ort personenbezogener Daten in einer typischen TYPO3-Website. Drei Punkte gehören geregelt: Welche Felder sind wirklich nötig — jedes zusätzliche Pflichtfeld erzeugt Pflichten und senkt die Abschlussquote. Wie lange werden Einsendungen gespeichert, wenn die Speicherung aktiv ist. Und wer hat Zugriff darauf.

Die Speicherung selbst ist sinnvoll, weil sonst Anfragen verloren gehen, wenn der Mailversand scheitert. Sie braucht aber eine Frist und einen Ablauf, der sie umsetzt (Formulare in TYPO3).

Löschfristen umsetzen.

Eine Frist, die nur im Konzept steht, ist keine. TYPO3 kann das Löschen über geplante Vorgänge erledigen — für Protokolle, Verlaufsdaten, Sitzungen und je nach Erweiterung auch für Formulareinsendungen. Voraussetzung ist, dass der Zeitplan auf dem Server überhaupt läuft; in vielen Installationen tut er das nicht, und dann passiert trotz Einstellung nichts.

Prüf das konkret: Laufen die eingerichteten Vorgänge, wann zuletzt, und gibt es Fehlschläge? Das ist einer der häufigsten Fälle, in denen ein dokumentiertes Löschkonzept und die Wirklichkeit auseinanderfallen (Zeitplan einrichten).

Protokolle und Verlauf.

TYPO3 protokolliert Backend-Aktivitäten und führt einen Verlauf früherer Fassungen. Beides ist nützlich und wächst unbegrenzt, wenn niemand aufräumt. Im Verlauf stecken dabei auch Inhalte, die längst gelöscht wurden — einschließlich personenbezogener Daten, die eigentlich weg sein sollten.

Dazu kommt: Gelöschte Datensätze werden in TYPO3 zunächst nur markiert, nicht entfernt. Das ist praktisch für Wiederherstellungen und ein Problem für Löschpflichten. Im Wartungsbereich lassen sich diese Altlasten endgültig entfernen — das gehört in den regelmäßigen Ablauf (Datenbank aufräumen).

Auskunft und Löschung.

Bei einer Anfrage musst du sagen können, welche Daten zu einer Person gespeichert sind. In TYPO3 heißt das praktisch: Formulareinsendungen durchsuchen, Frontend-Benutzerkonten prüfen, Newsletter-Daten einbeziehen, falls vorhanden, und an Protokolle und Verlauf denken.

Das lässt sich erheblich vereinfachen, wenn man es vorbereitet: Eine Liste, welche Datenquellen es überhaupt gibt und wo sie liegen, erstellt in einer ruhigen Stunde, macht aus einer Anfrage eine halbe Stunde Arbeit statt eines halben Tages. Für die Löschung gilt: Aufbewahrungspflichten können entgegenstehen — dann wird die Verarbeitung eingeschränkt statt gelöscht, mit Begründung.

Auftragsverarbeitung.

Jeder, der in deinem Auftrag personenbezogene Daten verarbeitet, braucht eine vertragliche Grundlage: der Hoster, ein externer Mailversand, Statistikdienste, eingebundene Bewertungssysteme — und der Dienstleister, der die Website betreut. Die großen Anbieter stellen dafür vorbereitete Verträge bereit.

Führ eine Liste, welche Dienste du einsetzt und wo der jeweilige Vertrag liegt. Bei einer Prüfung ist das die erste Frage, und sie lässt sich mit einer vorbereiteten Übersicht in einer Minute beantworten.

Hosting und Serverprotokolle.

Der Webserver protokolliert Zugriffe mit IP-Adresse, Zeitpunkt und aufgerufener Seite. Diese Protokolle liegen beim Hoster, unterliegen eigenen Fristen und gehören in die Betrachtung. Kläre mit dem Anbieter, wie lange gespeichert wird und ob gekürzt wird.

Ein weiterer Punkt, der oft übersehen wird: Testumgebungen und Backups enthalten dieselben personenbezogenen Daten wie die Live-Installation. Für beide gelten dieselben Pflichten — Zugriffsschutz, Fristen, Verträge (Testumgebung, Backup).

Prüfliste.

1. Welche Datenquellen gibt es? Liste erstellen.
2. Laden externe Dienste erst nach Zustimmung?
3. Sind Schriften und Symbole lokal eingebunden?
4. Haben Formulare nur die nötigen Felder, mit Hinweis und Verlinkung?
5. Gibt es Löschfristen — und laufen die Vorgänge, die sie umsetzen?
6. Werden Protokolle, Verlauf und gelöschte Datensätze bereinigt?
7. Liegen die Verträge zur Auftragsverarbeitung vor?
8. Sind Testumgebungen und Backups geschützt?

Diese acht Punkte decken den technischen Teil ab. Die rechtliche Bewertung — Rechtsgrundlagen, Fristen, Erforderlichkeit eines Datenschutzbeauftragten — gehört zur Fachberatung. Ich setze um, was dort festgelegt wird, und sage dir, was im System tatsächlich passiert.

Wenn du nicht weiterkommst.

Wenn du wissen willst, welche Daten deine Installation wirklich verarbeitet und ob die Fristen greifen, mache ich die technische Bestandsaufnahme. Schreib mir mit Domain, TYPO3-Version und einer kurzen Beschreibung — du bekommst eine ehrliche Einschätzung, ob ich der Richtige bin. Den Überblick über alle Themen gibt TYPO3-Fehler beheben. Wenn sich am Ende herausstellt, dass ein Wechsel die bessere Lösung ist: TYPO3 zu WordPress.

Orientierungswerte, keine Fixpreise — nach einem kurzen Gespräch bekommst du ein Festpreisangebot.

Wer hilft.

Ich bin Manuel Killert, Web-Entwickler aus Quakenbrück. Mein Schwerpunkt liegt auf WordPress — an TYPO3-Installationen arbeite ich dort, wo es um Betrieb und Fehlersuche geht: Ausfälle, Serverthemen, Datenbank, Mailversand, Updates und die Frage, wie es mit einer alten Installation weitergehen soll. Das sind die Probleme, bei denen die Ursache meist nicht im System selbst liegt, sondern darunter. Geht es um tiefe Entwicklung in TYPO3 — eigene Extensions, komplexe Mehrsprachigkeit, große Redaktionssysteme —, sage ich dir das offen und empfehle jemanden, der genau das macht. Ehrlich beraten heißt für mich auch, eine Anfrage abzugeben.