- 3 Minuten - 586 Wörter

Bei der Einbindung des JavaScript-Echtzeit-Tickers gibt es aus Sicht der DSGVO einen zentralen Knackpunkt: Die dynamische IP-Adresse des Website-Besuchers. [1] Da das Skript (fetch und WebSocket) direkt im Browser des Nutzers ausgeführt wird, verbindet sich das Endgerät des Besuchers ohne Umwege mit dem Mastodon-Server. Dabei wird die IP-Adresse automatisch an den Instanzbetreiber übermittelt. Da IP-Adressen als personenbezogene Daten gelten (EuGH-Urteil), handelt es sich hierbei um eine datenschutzrelevante Drittland- oder Drittanbieter-Übermittlung. [1, 2, 3] Um den Ticker rechtssicher zu betreiben, musst du folgende vier Bereiche beachten:

1. Das Problem mit der Rechtsgrundlage (Einwilligung vs. Berechtigtes Interesse)

Ähnlich wie beim berüchtigten Urteil zu Google Fonts oder externen YouTube-Embeds argumentieren Aufsichtsbehörden oft, dass das ungefragte Laden von Drittanbieter-Skripten, die IP-Adressen abgreifen, nicht ohne Weiteres über das „Berechtigte Interesse“ (Art. 6 Abs. 1 lit. f DSGVO) abgedeckt ist. Ein Ticker ist für den rein technischen Betrieb deiner Hugo-Website meistens nicht „zwingend erforderlich“. [3] Zwei Lösungswege stehen dir zur Auswahl:

Du blockierst das JavaScript so lange, bis der Nutzer im Consent-Banner (z. B. Klaro!, Cookiebot oder einem Hugo-eigenen Consent-Skript) aktiv zustimmt. [3]

  • Vorteil: Absolut DSGVO-konform.
  • Nachteil: Wer die Einwilligung verweigert, sieht den Ticker und damit eventuelle Absagen nicht. [3]

Lösung B: Berechtigtes Interesse + Opt-Out (Praxisnah, aber mit Restrisiko)

Du bindest das Skript direkt ein und argumentierst über das Berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO): Die unverzügliche Warnung von Event-Teilnehmern vor Absagen dient der Schadensminderung und der Sicherheit der Veranstaltung.

  • Bedingung: Du musst die Instanz extrem sorgfältig wählen (siehe Punkt 2) und den Nutzer in der Datenschutzerklärung transparent informieren (siehe Punkt 3).

2. Die Wahl der Mastodon-Instanz ist entscheidend

Wenn dein Ticker auf mastodon.social (betrieben von der Mastodon gGmbH in Deutschland) liegt, ist das datenschutzrechtlich wesentlich unbedenklicher als eine Instanz, deren Server in den USA oder anderen Drittländern stehen. [4]

  • Empfehlung: Nutze für geschäftliche oder Vereins-Websites eine Instanz, die vollständig in der EU gehostet wird, eine transparente, DSGVO-konforme Datenschutzerklärung besitzt und Logs (IP-Adressen) extrem datensparsam löscht. [4, 5]
  • Die Premium-Alternative: Du hostest eine eigene, kleine Mastodon-Instanz (Single-User) auf deinem eigenen Server. Damit fließen keine Daten an Dritte und du hast die volle Kontrolle über die IP-Logs. [5, 6, 7, 8]

3. Pflicht zur Anpassung der Datenschutzerklärung (Art. 13 DSGVO)

Du musst die Einbindung des Tickers zwingend in deine Datenschutzerklärung aufnehmen. Dort muss Folgendes stehen: [2, 4, 9, 10]

  1. Was wird verarbeitet: IP-Adresse, User-Agent, Zeitpunkt des Zugriffs.
  2. Zweck: Bereitstellung eines Echtzeit-Informationskanals für kurzfristige Event-Absagen.
  3. Rechtsgrundlage: Entweder Einwilligung (Art. 6 Abs. 1 lit. a) oder Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
  4. Empfänger: Name und Anschrift des Betreibers der genutzten Mastodon-Instanz (inkl. Link zu deren Datenschutzerklärung). [2, 3, 4, 5, 10]

4. Technische Alternative: Der “Proxy-Ansatz” (100 % DSGVO-sicher)

Wenn du das IP-Problem komplett umgehen willst, darf kein Client-Anruf zu Mastodon stattfinden. Stattdessen holt dein Server (oder ein Cronjob) die Daten ab. Da Hugo statisch ist, könntest du einen kleinen Serverless-Dienst (z.B. per Netlify Functions, Cloudflare Workers oder ein PHP-Skript auf deinem Server) dazwischenschalten:

  1. Dein JavaScript auf der Homepage fragt deine eigene API-Schnittstelle ab (z. B. deinedomain.de/api/ticker).
  2. Dein Server holt im Hintergrund die Daten von Mastodon ab und reicht sie an den Besucher weiter.
  3. Ergebnis: Die IP-Adresse des Nutzers verlässt niemals deine eigene Infrastruktur. Mastodon sieht nur noch die IP-Adresse deines Webservers.

Möchtest du den Ticker über ein Consent-Banner absichern, oder interessiert dich der Proxy-Ansatz, um den Banner-Zwang komplett zu umgehen?

[1] https://dr-dsgvo.de [2] https://www.iqwig.de [3] https://github.com [4] https://thenextstanhope.de [5] https://stiftungdatenschutz.org [6] https://stiftungdatenschutz.org [7] https://blog.riemann.cc [8] https://stiftungdatenschutz.org [9] https://thenextstanhope.de [10] https://github.com