Was macht CleanTalk?
CleanTalk ist ein Security-Plugin für WordPress, mit dem Unternehmen ihre Webseite vor Angriffen und unberechtigten Zugriffen schützen können. Dabei fungiert das Tool als eine Firewall, die IP-Adressen, Netzwerke und Ländern filtern und so die Sicherheit von Webseiten steigern kann. Es führt unter anderem tägliche Malware- und Viren-Scans durch und stoppt Brute-Force-Attacken zum Hacken von Passwörtern. Insgesamt setzen rund 740.000 Seiten auf CleanTalk. Anbieter ist das gleichnamige Unternehmen mit Sitz in Nevada in den USA.
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen
Warum ist CleanTalk datenschutzrechtlich relevant?
Um Angriffe und unberechtigte Zugriffe abwehren zu können, speichert CleanTalk unter anderem IP-Adressen. Dabei handelt es sich um personenbezogene Daten. Seitenbetreiber müssen daher datenschutzrechtliche Vorgaben der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG (ehemals TTDSG)) berücksichtigen.
CleanTalk datenschutzkonform verwenden
Um CleanTalk datenschutzkonform einzusetzen, müssen Unternehmen diese Pflichten aus dem Gesetz beachten:
Nutzer-Einwilligung einholen
Um personenbezogene Daten wie IP-Adressen erheben zu dürfen, benötigen Seitenbetreiber die Einwilligung der Nutzer. Sie können diese zum Beispiel über ein Cookie Consent Tools einholen.
Vertrag zur Auftragsverarbeitung abschließen
Über CleanTalk erheben Seitenbetreiber Userdaten und geben diese an den Anbieter weiter. Der Anbieter verarbeitet die Daten dann weisungsgebunden – damit Webseiten vor Angriffen geschützt sind. Für diese Datenweitergabe und -verarbeitung müssen Seitenbetreiber mit CleanTalk einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Dieser Vertrag muss klären,
- welche Userdaten CleanTalk speichert,
- wie lange CleanTalk die Daten speichert,
- zu welchem Zweck der Anbieter die Daten verarbeitet und
- welche sonstigen Rechte und Pflichten beide Parteien haben.
Datenschutzerklärung aktualisieren
Seitenbetreiber müssen den Einsatz von CleanTalk in ihrer Datenschutzerklärung erwähnen. Dazu sollten sie darauf hinweisen,
- warum sie über CleanTalk Daten erheben,
- welche Nutzerdaten sie sammeln,
- wie lange sie die Daten speichern (maximal 45 Tage),
- welche Rechtsgrundlage ihnen das erlaubt (Art. 6 Abs. 1 lit. a DSGVO) und
- dass sie für die Datenverarbeitung und Datenweitergabe mit CleanTalk einen AV-Vertrag geschlossen haben.
Standardvertragsklauseln abschließen
Der Anbieter von CleanTalk hat seinen Sitz in den USA. Er speichert die Daten seiner europäischen Kunden jedoch in Rechenzentren in der EU. Dennoch ist nicht auszuschließen, dass der Anbieter die Daten auch an seinen Hauptsitz in den USA weiterleitet. Seitenbetreiber sollten daher mit CleanTalk Standardvertragsklauseln abschließen. Dabei müssen sie auch eine Risikoabschätzung vornehmen. Diese zeigt, wie eine mögliche Datenübertragung von Europa in die USA ablaufen würde. Sie dokumentiert,
- welche Art von Daten Seitenbetreiber an CleanTalk weitergeben,
- welche Rechtsvorschriften in den USA gelten und
- ob CleanTalk Maßnahmen ergreift, um die über das Plugin erhobenen Daten zu schützen.
Rechtsprechung zu CleanTalk
Bisher liegt – soweit ersichtlich – keine Rechtsprechung zu CleanTalk vor. Für den Einsatz des Tools sind jedoch diese Urteile und Bußgelder relevant:
Europäischer Gerichtshof zum Privacy Shield
Der Privacy Shield ist unwirksam. Zu diesem Ergebnis kam der Europäische Gerichtshof (EuGH) im Juli 2020. Er stellte fest: Die USA verwenden Überwachungsprogramme, die über das zwingend erforderliche Maß hinausgehen. Zudem können europäische User nicht gegen US-amerikanische Unternehmen vorgehen, sollten diese ihre Daten missbrauchen. Für die Praxis heißt das: Um personenbezogene Daten von Europa in die USA rechtlich sicher verschicken zu können, benötigen Unternehmen eine andere rechtliche Grundlage. Der Privacy Shield eignet sich nicht mehr dafür.
Europäischer Gerichtshof zur Verwendung von Cookies
Der EuGH stellte im Oktober 2019 fest: Um Tracking Cookies einzusetzen, benötigen Seitenbetreiber die Einwilligung der Nutzer. Dabei spielt es keine Rolle, ob die Cookies personenbezogene Daten erheben oder nicht (Az. C-673/17).
Bundesgerichtshof zur Verwendung von Cookies
Der Bundesgerichtshof (BGH) stellte im Mai 2020 fest: Tracking Cookies sind stets einwilligungsbedürftig. Um die Erlaubnis der User dafür einzuholen, dürfen Seitenbetreiber das Häkchen in der Checkbox für das Einverständnis nicht vormarkieren (I ZR 7/16).
Datenschutzbehörde Hamburg zum AV-Vertrag
Um Daten weisungsgebunden von Dritten verarbeiten zu lassen, müssen Seitenbetreiber mit diesen einen AV-Vertrag schließen. Versäumen sie dies, droht ihnen ein Bußgeld. Das musste auch ein deutsches Versandunternehmen feststellen. Dies hatte Nutzerdaten an einen spanischen Dienstleister weitergeleitet, ohne einen AV-Vertrag mit diesem abzuschließen. Das bestrafte die Datenschutzbehörde Hamburg im Dezember 2018 mit einem Bußgeld in Höhe von 5.000 Euro.
Datenschutzbehörde Baden-Württemberg zum AV-Vertrag
Der VfB Stuttgart hatte keinen AV-Vertrag abgeschlossen, obwohl er mehrere tausend Mitgliederdaten an Dienstleister zur weisungsgebundenen Verarbeitung weitergeleitet hatte. Das stufte die Datenschutzbehörde Baden-Württemberg als schweren DSGVO-Verstoß ein. Sie sprach daher im März 2021 eine Strafe in Höhe von 300.000 Euro gegen den Verein aus.
