Was ist NinjaFirewall?
NinjaFirewall ist ein Plugin für das Content-Management-System WordPress. Unternehmen können darüber ihre Webseite vor Angriffen und unberechtigten Zugriffen schützen. Das Plugin sichert nicht nur alle Skripte in Installations- und Unterverzeichnissen, sondern auch die, die nicht Teil des WordPress-Paketes sind. NinjaFirewall filtert dabei auch verschlüsselte PHP-Skripte, Backdoors und Hacker Shell Skripte. Die Software stammt vom in Hongkong ansässigen Anbieter NinTechNet Limited und wird von rund 70.000 Unternehmen genutzt. Was müssen Unternehmen datenschutzrechtlich beachten, wenn sie NinjaFirewall verwenden?
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellenWarum ist NinjaFirewall datenschutzrechtlich relevant?
Um Angriffe und unberechtigte Zugriffe zu erkennen, speichert NinjaFirewall die IP-Adressen der Nutzer. Bei IP-Adressen handelt es sich um personenbezogene Daten. Unternehmen müssen daher besondere datenschutzrechtliche Pflichten der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG (ehemals TTDSG)) berücksichtigen.
Wie können Seitenbetreiber NinjaFirewall datenschutzkonform nutzen?
Unternehmen können NinjaFirewall entweder auf den Servern des Anbieters oder auf eigenen Servern hosten. Je nachdem, für welche Variante sie sich entscheiden, müssen sie andere datenschutzrechtliche Pflichten erfüllen:
NinjaFirewall auf Servern des Anbieters hosten
Hosten Seitenbetreiber das Plugin beim Anbieter, müssen sie diese Vorgaben aus dem Gesetz beachten:
Nutzer-Einwilligung einholen
NinjaFirewall erhebt personenbezogene Daten in Form von IP-Adressen. Dafür benötigen Seitenbetreiber die Einwilligung der Nutzer. Sie können diese zum Beispiel über den Einsatz eines Cookie Consent Tools einholen.
IP-Adressen anonymisieren
Um User nicht ihrem Zugriffsort zuordnen zu können, müssen Unternehmen ihre IP-Adressen anonymisieren. Sie können das in den Einstellungen des Plugins vornehmen. Einmal aktiviert, ersetzt das Plugin die letzten 3 Ziffern der IP-Adressen durch ein „X“.
Daten regelmäßig löschen
NinTechNet empfiehlt, die Firewall-Protokolle für digitale forensische Zwecke mindestens einen Monat lang aufzubewahren. Danach sollten die Daten jedoch gelöscht werden. Auch das können Unternehmen in den Einstellungen des Plugins vornehmen. Sie sollten die Daten dabei nicht länger als 45 Tage speichern.
Vertrag zur Auftragsverarbeitung abschließen
Unternehmen erheben über NinjaFirewall personenbezogene Daten und geben diese an einen Dritten, den Anbieter NinTechNet, weiter. Dafür müssen sie mit diesem einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Sie sollten dabei überprüfen, ob der Vertrag klärt,
- welche personenbezogenen Daten NinjaFirewall sammelt und speichert,
- warum das Plugin diese Daten speichert,
- wie lange es die Daten behalten will und
- welche Rechte und Pflichten die Verantwortlichen haben.
Datenschutzerklärung anpassen
Unternehmen müssen in ihrer Datenschutzerklärung aufführen, dass sie NinjaFirewall nutzen, um ihre Seite vor unberechtigten Zugriffen und Angriffen zu schützen. Dabei sollten sie User informieren,
- dass sie mit NinTechNet einen AV-Vertrag geschlossen haben,
- warum sie IP-Adressen über die Software erheben,
- wie lange sie diese Daten speichern wollen,
- welche Rechtsgrundlage ihnen das erlaubt (Art. 6 Abs. 1 lit. f DSGVO) und
- dass Nutzer der Erhebung und Speicherung ihrer Daten jederzeit widersprechen können.
Damit Nutzer wissen, wie NinjaFirewall ihre Daten verarbeitet, sollten Unternehmen in ihrer Datenschutzerklärung auch auf die Datenschutzbestimmungen und Nutzungsbestimmungen des Anbieters verweisen. Seitenbesucher können dann selbst überprüfen, wie dieser ihre Daten sammelt und speichert.
Standardvertragsklauseln notwendig?
Der Anbieter hinter NinjaFirewall gibt an, nur die Daten zu erheben, die für den Schutz einer Webseite notwendig sind. Er speichert diese Daten ausschließlich auf Servern in Deutschland, Frankreich und Luxemburg. Sie genießen dort den Schutz der DSGVO. Das heißt: Seitenbetreiber müssen mit dem Anbieter keine Standardvertragsklauseln schließen.
NinjaFirewall auf eigenen Servern hosten
Hosten Unternehmen NinjaFirewall auf ihrem eigenen Server, müssen sie keinen AV-Vertrag mit dem Anbieter schließen. Alle gesammelten Daten bleiben dann in der eigenen Serverumgebung und gehen nicht an den hinter dem Plugin stehenden Anbieter. Das ist die datenschutzfreundlichere Variante.
Rechtsprechung zu NinjaFirewall
Hosten Unternehmen NinjaFirewall auf den Servern des Anbieters, ist diese Rechtsprechung relevant:
Datenschutzbehörde Hamburg zum AV-Vertrag
Unternehmen benötigen einen AV-Vertrag, wenn sie personenbezogene Daten erheben und diese an einen Dritten weitergeben. Das stellte die Datenschutzbehörde Hamburg im Dezember 2018 fest. Ein Versandunternehmen hatte personenbezogene Daten erhoben und an einen Dienstleister in Spanien weitergereicht – ohne dafür mit diesem einen AV-Vertrag zu schließen. Das Versandunternehmen musste daher eine Strafe in Höhe von 5.000 Euro zahlen.
Datenschutzbehörde Baden-Württemberg zum AV-Vertrag
Der Fußballverein VfB Stuttgart musste im März 2021 ein Bußgeld in Höhe von 300.000 Euro zahlen. Er hatte mehrere tausend Mitgliederdaten an Dienstleister weitergereicht, ohne mit diesen einen AV-Vertrag abzuschließen. Das wertete die Datenschutzbehörde Baden-Württemberg als schweren Verstoß gegen die DSGVO.
