1. Art. 4. Hier sind zahlreiche Definitionen zu finden. Vor allem die erste, nämlich was "personenbezogene Daten" sind, ist wichtig. Das ist nämlich alles, was man einer Person zuordnen kann. (Also alle Datenbanktabellen mit "uid"-Eintrag.) Weiter wird definiert, was "Verarbeitung" ist. Das ist sehr umfangreich definiert; eigentlich alles, was man mit Daten so tun kann. Als Informatiker würde ich sagen: Speichern, Auslesen, Verändern, Löschen (also die vier grundlegenden SQL-Befehle).
   
2. Art. 5, Abs. 1b) Vor der Erhebung und Verarbeitung muss bereits der Zweck festgelegt werden. (Im Falle eines Forums ist der Zweck: Betrieb eines Forums zum Thema "xxx".) Dieser bestimmt die Dauer der Speicherung. (Bis zur Benutzerlöschung. Benutzerbeiträge sind Teil des Archivs und werden deswegen erst gelöscht, wenn das Forum dauerhaft vom Netz geht, s.u.) Verarbeitung, die nicht mit diesem Zweck übereinstimmt, darf dann mit den Daten nicht mehr durchgeführt werden. (Irgendwelche Datenbankanfragen, die mit dem Betrieb des Forums nichts mehr zu tun haben, sind nicht erlaubt. Geschweige denn, Webseiten, auf denen solche Informationen angegeben werden.) Ausnahme: Im öffentlichen Interesse liegende Archivzwecke/Statistik. (Muss man für jedes Forum separat prüfen, aber oftmals dürfte das Archivieren der Posts im öffentlichen Interesse liegen.)
   
3. Art. 5, Abs. 1f) Schutz vor unbefugter Verarbeitung. (Wer hat Zugriff auf die Datenbank? Diese Personen sollten auf das Datengeheimnis verpflichtet werden. Weiterhin sollten Verträge mit den Auftragsverarbeitern (also Provider) geschlossen werden.)
   
4. Art. 6, Abs. 1) Die Verarbeitung muss rechtmäßig erfolgen. (Für Foren heißt das in aller Regel, dass der Benutzer zugestimmt hat. Hier gibt es zumindest schon mal das Plugin von doylecc.)
   
5. Art. 7 Die Zustimmung des Benutzers muss freiwillig erfolgen und er muss diese jederzeit auf genauso einfache Weise widerrufen können, wie er zugestimmt hat. (Die Einwilligungserklärung sollte also irgendwo zugänglich sein und darunter die Möglichkeit, diese zu widerrufen. Da sollte auch über die Folgen des Widerrufs aufgeklärt werden - Datenlöschung halte ich da für am sinnvollsten.) Außerdem muss die Einwilligungserklärung klar und einfach zu Verstehen sein, und von anderem gut zu unterscheiden.
   
6. Art. 8 Im Falle eines Kindes müssen die Erziehungsberechtigten die Einwilligungserklärung unterschreiben oder zugestimmt haben, dass das Kind diese unterzeichnet. (Wie das im Internet sinnvoll gehandhabt werden kann, da sind sich die Experten derzeit uneinig. Ich würde es so lösen, dass man zusätzlich zu "Ich stimme zu" auch noch "Ich bin älter als 16 oder meine Erziehungsberechtigten haben zugestimmt." mit aufnimmt. (In Österreich muss die 16 durch eine 13 ersetzt werden. Unklar ist mir, wie das gehandhabt wird, wenn jetzt ein 14jähriger Österreicher sich in einem deutschen Forum anmeldet und umgekehrt.))
   
7. Art. 13 Bei der Erhebung von Daten müssen die betroffenen Personen über eine ganze Liste an Dingen informiert werden. (Da man das nicht bei jedem einzelnen Posting wieder machen will, sollte man diese Informationen komplett mit in die Einwilligungserklärung aufnehmen, dass ist laut Abs. 4 nämlich auch OK.) - Das sind folgende Informationen: Name und Kontaktdaten des Verantwortlichen, die Zwecke (s.o.), wer die Daten alles einsehen kann, Dauer der Speicherung, Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Übertragbarkeit, Beschwerderecht, Folgen der Nichtbereitstellung der Daten, ob Profiling stattfindet. (Schwierig ist das alles allerdings, wenn Daten von "Gästen" erhoben werden. Ich glaube, man kann das Forum auch so einstellen, das Postings von Gästen erlaubt sind. Außerdem werden in der DB-Tabelle mybb_session auch personenbezogene Daten (von Nichtangemeldeten) gespeichert, da dort auch die IP gespeichert wird. Wie man damit umgehen will, ist mir unklar.)
   
8. Art. 15 Recht auf Auskunft, ob Daten verarbeitet werden, und wenn ja zahlreiche Details dazu, u.a. Rechte, Zwecke, Dauer, Empfänger, etc. und auch die kompletten Daten (Letzteres macht das Export-Plugin von MrBrechreiz. Ich habe mir das Plugin noch nicht im Detail angeschaut, vermute aber, dass es den Begriff "personenbezogene Daten" zu eng fasst. Laut Gesetztestext (Art.4) fällt da alles drunter, was man irgendwie einer Person zuordnen kann, also insbesondere auch jeder Post und jede PN, jede Bewertung etc.)
   
9. Art. 17 Recht auf Löschung. Wenn der Benutzer das will (und in aller Regel auch wenn er die Einwilligung widerruft) und auch wenn die Einwilligung nicht erteilt wird, müssen alle Daten gelöscht werden, soweit dies nicht in die Rechte Dritter eingreift. Hinzu kommt noch das mit dem Archiv/Statistik-Zeugs von oben. (Es ist mir unklar, ob hier die Funktion "Benutzer löschen" aus dem Admin-CP ausreicht, oder ob darüberhinaus weitere Daten gelöscht werden müssen. Meiner Ansicht nach müssen Posts nicht gelöscht werden, weil hier ein öffentliches Interesse am Archiv vorhanden ist. - Kann aber sein, dass das in einigen Foren nicht der Fall ist. Auch unklar ist beim Löschen von Posts, ob hier in die Rechte Dritter eingegriffen wird. Wenn jemand auf einen gelöschten Post geantwortet hat, steht der möglicherweise blöd da, weil sein Posting keinen Sinn mehr ergibt. Ein weiteres Problem sind PNs. Sind diese dem Sender, dem Empfänger oder beiden zuzuordnen? Wann genau müssen sie gelöscht werden?)
   
10. Art. 18 Recht auf Einschränkung. Das meint, dass die Daten eingefroren werden; also noch vorhanden sind, aber nicht mehr genutzt werden. (Mir ist unklar, wie man das im Forum umsetzen will; es könnte einen massiven Aufwand bedeuten, bei dem bei allen Routinen noch das "Eingeschränkt"-Häckchen aus der DB überprüft werden muss. Evtl. ist es einfacher, die Daten zuerst zu Exportieren - muss man ja eh können, und dann zu löschen und im Zweifelsfalle von Hand den Export wieder einfügen.)
    
11. Art. 20 Recht auf Datenübertragbarkeit - die Daten müssen auf Wunsch des Benutzers in einem gängigen, maschinenlesbaren Format an Dritte weitergegeben werden. (Idealerweise setzt man die Export-Funktion so um, dass diese bereits ein entsprechendes Format ausgibt (z.B YAML, weil das auch für Menschen noch ganz gut lesbar ist). Dann muss man beim Benutzer nur noch abfragen, an welche E-Mail diese Daten geschickt werden sollen...)
    
12. Art. 22 Profiling - darunter versteht man, Daten so zusammenzufügen, dass man so viel wie möglich über den Benutzer kennenlernt. (Ich denke, sowas sollte man im Forum einfach komplett ausschließen. Wer das machen möchte, soll sich selber kundig machen, was er da zu berücksichtigen hat.)
    
13. Art. 25 Benutzerfreundliche Voreinstellung (da müsste man auch mal durchsehen, was man da ändern muss; beispielsweise, dass das Geburtsdatum nicht automatisch angezeigt wird, sondern nur, wenn der Benutzer das irgendwo freigeschaltet hat.)
    
14. Art. 28 Regeln für Auftragsverarbeiter. (Das betrifft bei Foren in der Regel nur den Provider. Also nochmal, steht schon oben: Mit dem Provider einen entsprechenden Vertrag abschließen! - Die Provider haben dafür meist schon Musterverträge vorbereitet. Könnte sich aber auch auf Moderatoren und dergleichen beziehen.)
    
15. Art. 30 Man muss ein Verzeichnis der Verarbeitungstätigkeiten erstellen und ggfs. der Aufsichtsbehörde zur Verfügung stellen. Zu jeder solchen Tätigkeit müssen auch wieder diverse Informationen gespeichert werden: Name/Kontaktdaten des Verantwortlichen, Zwecke, betroffene Personen, Empfänger der Daten, Löschfristen, organisatorische Maßnahmen für die Sicherheit etc. (Das dürfte einiges werden, was für alle gleich ist. Es wäre gut, sowas gemeinsam zu erstellen. Beispielsweise: Anzeigen eines Threads. Anzeigen der Benutzerdaten im Admin-CP. Speichern einer PN. Und so fort. Scheint mir ziemlich umfangreich zu sein und mir ist unklar, was das Forum so alles kann... Aber das muss alles in dieses Verzeichnis rein.)
    
16. Art. 37 Datenschutzbeauftragter. Steht nicht direkt im DSGVO, aber in der deutschen Ergänzung BDSG-neu: Wenn mindestens 10 Leute regelmäßig Zugriff auf die Daten haben, wird ein Datenschutzbeauftragter benötigt. (Also: Admins und Moderatoren zählen und vielleicht auch noch Leute, die auf die DB Zugriff haben.)
    

(16.05.2018, 13:26)berni3 schrieb: Die Beiträge hier im Forum dazu, empfinde ich als ziemliches Chaos.

(16.05.2018, 13:26)berni3 schrieb: Ich würde es so lösen, dass man zusätzlich zu "Ich stimme zu" auch noch "Ich bin älter als 16 oder meine Erziehungsberechtigten haben zugestimmt." mit aufnimmt.

(16.05.2018, 13:26)berni3 schrieb: Laut Gesetztestext (Art.4) fällt da alles drunter, was man irgendwie einer Person zuordnen kann, also insbesondere auch jeder Post und jede PN, jede Bewertung etc.)

(16.05.2018, 13:26)berni3 schrieb: Ganz schön viel, finde ich.

(17.05.2018, 14:35)frostschutz schrieb: Ich muss mir noch eine Datenschutzerklärung aus den Fingern saugen, den Copy-Paste von einem Generator wie man ihn jetzt schon in vielen Foren sieht, will ich eigentlich nicht mitmachen. Diese Texte entsprechen nicht der Realität und zielen mehr darauf ab, daß sie keiner lesen und verstehen kann.

Zitat:Cookies
Auf deinem Computer werden Cookies gespeichert. Cookies bedeutet auf deutsch Kekse - klingt erst mal komisch, ist aber so.

(17.05.2018, 14:35)frostschutz schrieb:

(16.05.2018, 13:26)berni3 schrieb: Die Beiträge hier im Forum dazu, empfinde ich als ziemliches Chaos.

Ja, uff. Und dein Beitrag nicht?

und schrieb:

(16.05.2018, 13:26)berni3 schrieb: Ich würde es so lösen, dass man zusätzlich zu "Ich stimme zu" auch noch "Ich bin älter als 16 oder meine Erziehungsberechtigten haben zugestimmt." mit aufnimmt.

Das ist dann eine Erhebung von Daten, die mich überhaupt nicht interessieren. Das Alter der User wird bislang nirgends abgefragt (edit: Okay, optionale Angaben im Profil könnte ich auch mal streichen) und ich weiß auch nicht, wozu das gut sein soll: überprüfen kann ich es so oder so nicht. Es sei denn ich bitte jeden User erstmal vor die Webcam und dann Hose runter äh Perso vorzeigen, wie bei SIM-Karten. Das ist doch krank.

und schrieb:

(16.05.2018, 13:26)berni3 schrieb: Laut Gesetztestext (Art.4) fällt da alles drunter, was man irgendwie einer Person zuordnen kann, also insbesondere auch jeder Post und jede PN, jede Bewertung etc.)

Mir machen solche allumfassenden Exportfunktionen etwas Angst. Es wird nicht lange dauern, bis irgendeine Seite in Verbindung mit so einer zusammengeschusterten Funktion einen Datenunfall hat und auch Daten anderer User gleich mit exportiert.

und schrieb:Dann ist die Frage, exportiert man das in Rohdaten / Sourcecode oder in HTML-geparster Form?

und schrieb:Und wie gestaltet man die Sicherheitsabfrage so einer Funktion? Denn der Schritt zu einem JavaScript-Exploit der den Usern untergejubelt wird und deren Daten ohne deren Wissen exportiert, ist dann auch nicht mehr weit.

und schrieb:Ganz schön viel Kopf- und Bauchschmerzen und wenig realer Mehrwert für Datenschutz. Aus der Sicht eines kleinen Forums, dessen Kernnutzerschaft man mal locker ins nächste Lokal auf Stammtisch einladen könnte, ohne dafür gleich einen ganzen Saal reservieren zu müssen.

Zitat:Ich muss mir noch eine Datenschutzerklärung aus den Fingern saugen, den Copy-Paste von einem Generator wie man ihn jetzt schon in vielen Foren sieht, will ich eigentlich nicht mitmachen. Diese Texte entsprechen nicht der Realität und zielen mehr darauf ab, daß sie keiner lesen und verstehen kann.

• vollständige Datenschutzerklärung
  

• Mitglieder müssen die Datenschutzerklärung (rückwirkend) bestätigen
  

• SSL-Verschlüsselung
  

• SSL-Verschlüsselung für externe und interne Bilder gewährleisten
  

• vollständiges Impressum mit Anschrift
  

• Daten dürfen nur solange wie nötig gespeichert werden
  

• Nutzer (der Admin für den Nutzer) müssen ihre Daten exportieren können
  

• Cookie-Hinweis muss installiert werden