Datenschutzerklärung für Wordfence

Warum ist Wordfence datenschutzrechtlich relevant?

Um Brute-Force- und DDoS-Angriffe zu erkennen, speichert Wordfence die IP-Adressen der User. Dafür setzt es 3 verschiedene First-Party-Cookies. Unbedenklich eingestufte IP-Adressen setzt die Software auf eine White List. Bedenkliche IP-Adressen landen auf einer Blacklist. Wordfence versendet die gesammelten Daten an seine Server in den USA.

Bei IP-Adressen handelt es sich um personenbezogene Daten. Seitenbetreiber müssen daher besondere datenschutzrechtliche Pflichten erfüllen.

Wie können Seitenbetreiber Wordfence datenschutzkonform nutzen?

Um Wordfence datenschutzkonform zu verwenden, müssen Seitenbetreiber diesen Anforderungen der Datenschutz-Grundverordnung (DSGVO) nachkommen:

Nutzer-Einwilligung einholen

Wordfence nutzt Cookies, um User als bedenklich oder unbedenklich einzustufen. Derzeit ist nicht abschließend geklärt, in welchem Umfang das Tool Nutzerdaten erhebt. Um datenschutzrechtlich auf der sicheren Seite zu stehen, sollten Seitenbetreiber die Einwilligung der User in die Datenerhebung einholen. Dazu können sie ein Cookie Consent Tool verwenden. Dies holt rechtssicher die Erlaubnis ein.

Vertrag zur Auftragsverarbeitung abschließen

Unternehmen geben bei der Verwendung von Wordfence personenbezogene Daten an einen Dritten weiter. Art. 28 DSGVO schreibt für so einen Fall vor, dass Seitenbetreiber mit dem Dritten einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen müssen. Sie kommen dem automatisch nach, wenn sie bei der Plugin-Installation die Nutzungsbedingungen des Tools akzeptieren. Seitenbetreiber sollten dabei überprüfen, ob der Vertrag klärt,

• welche personenbezogenen Daten Wordfence sammelt und speichert,
• warum die Software diese Daten speichert,
• wie lange sie die Daten behalten will und
• welche Rechte und Pflichten die Verantwortlichen haben.

Datenschutzerklärung anpassen

Unternehmen müssen in ihrer Datenschutzerklärung aufführen, dass sie Wordfence für die Sicherheit ihrer Seite verwenden. In diesem Kontext sollten sie darauf hinweisen, dass sie dafür einen AV-Vertrag mit Wordfence geschlossen haben. Zudem sollten sie erklären,

• warum sie personenbezogene Daten über die Software erheben,
• wie lange sie diese Daten speichern wollen,
• welche Rechtsgrundlage ihnen das erlaubt (Art. 6 Abs. 1 lit. f DSGVO) und
• dass Nutzer der Erhebung und Speicherung ihrer Daten jederzeit widersprechen können.

Damit Webseitenbesucher wissen, wie Wordfence ihre Daten verarbeitet, sollten Unternehmen in ihrer Datenschutzerklärung auch auf die Datenschutzbestimmungen und Nutzungsbestimmungen des Plugins aufmerksam machen. Seitenbesucher können dann selbst überprüfen, wie dies ihre Daten sammelt und speichert.

Standardvertragsklauseln prüfen

Wordfence versendet die gesammelten, personenbezogenen Daten aus seinem Plugin auf Basis von Standardvertragsklauseln in die USA. Seitenbetreiber müssen die Klauseln mit Wordfence abschließen. Zusätzlich müssen sie das Risiko der Datenübermittlung in die USA prüfen. Dabei sollten sie offenlegen,

• welche Art von Daten sie an Wordfence weitergeben,
• welche Rechtsvorschriften in den USA zum Schutz von Daten gelten und
• ob Wordfence zusätzliche Maßnahmen unternimmt, um Nutzerdaten zu schützen.

Rechtsprechung zu Wordfence

Zu Wordfence liegt bisher – soweit ersichtlich – keine Rechtsprechung vor. Für den Einsatz des Tools sind jedoch diese Urteile relevant:

Datenschutzbehörde Hamburg zum AV-Vertrag

Unternehmen müssen sicherstellen, dass sie mit Wordfence einen AV-Vertrag schließen. Die Datenschutzbehörde Hamburg hat in diesem Kontext im Dezember 2018 bereits ein Bußgeld in Höhe von 5.000 Euro ausgesprochen. In dem konkreten Fall hatte es ein Versandunternehmen versäumt, mit einem beauftragten Dienstleister einen entsprechenden Vertrag einzugehen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Auch der VfB Stuttgart – ein Fußballverein der Bundesliga – hatte es verpasst, einen AV-Vertrag abzuschließen. Dabei hatte er zwischen 2016 und 2018 mehrere tausend Mitgliederdaten an Dienstleister weitergegeben, um diese weisungsgebunden verarbeiten zu lassen. Das bestrafte die Datenschutzbehörde Baden-Württemberg mit einem Bußgeld von 300.000 Euro.

Europäischer Gerichtshof zur Verwendung von Cookies

Cookies, die nicht essenziell für Webseiten sind, sondern das Userverhalten tracken, benötigen eine Einwilligung der Webseitenbesucher. Diese muss aktiv erteilt werden. Das bedeutet für die Praxis: Nutzer müssen das Kästchen für ihr „OK“ selbst markieren. Zu diesem Schluss kam der Europäische Gerichtshof (EuGH) am 01.10.2019 (Az. C-673/17).

Bundesgerichtshof zur Verwendung von Cookies

Genau das stellte auch der Bundesgerichtshof (BGH) am 28.05.2020 fest: Nicht-essenzielle Cookies dürfen Seitenbetreiber nur mit Nutzer-Einwilligung verwenden. Und: Sie müssen das Einverständnis über den Einsatz einer nicht vorangekreuzten Checkbox einholen (I ZR 7/16).