Ablage und Sicherheit

Datenschutz und Sicherheit

Dieses Kapitel beschreibt die Version 0.119.0. In neueren Versionen kann etwas anders heißen.

Ihre Mitglieder vertrauen Ihnen ihre Bankdaten an, manchmal auch Angaben zu ihren Kindern. Das Plugin ist darauf ausgelegt, so wenig wie möglich zu speichern und das Gespeicherte zu schützen.

• Verschlüsselung. IBANs, Hinweise von Teilnehmenden, die Passwörter von PDF-Dienst und SMTP-Server und der Lexoffice-Schlüssel werden mit libsodium verschlüsselt. Der Schlüssel liegt nie in der Datenbank, möglichst außerhalb des Web-Verzeichnisses und wird nur gelesen, nie ausgeführt. Solange Daten damit verschlüsselt sind, lässt er sich nicht löschen.
• Geschützte Ablage. PDFs, Scans und Dokumente liegen in einem gesperrten Ordner, mit Dateinamen ohne Personennamen. Herunterladen dürfen nur Berechtigte; jeder Abruf wird protokolliert.
• Datensparsamkeit. Keine IP-Adressen, nur ein kurzlebiger Prüfwert. Unterschriften nur im PDF. Mails an den Verein ohne IBAN.
• Absicherung. Jede Aktion prüft Berechtigung und Sicherheitstoken. Datenbankabfragen sind gegen Einschleusung geschützt. Löschen verlangt das Wort LÖSCHEN. Updates nur mit Signatur von DigElite.

Datentrennung: Vereinsdaten nur für den Verein

Liegt der Verein auf der Website einer anderen Einrichtung, etwa der Schule, soll deren Administrator die Mitgliederdaten nicht sehen. Die Datentrennung sorgt dafür. Einschalten kann sie nur der Vereinszugang (Einstellungen → Verein → Datentrennung), nicht ein Administrator der Website; wer es nicht darf, sieht die drei Schritte dahin.

• Danach sehen nur die freigegebenen Vereinskonten Mitglieder, Spenden, Anfragen, Lastschriften, Kassenbuch und Dokumente. Administratoren sehen unter „Verein“ nur eine Technik-Seite mit Updates und Cronjob. Wer sich selbst die Rolle „Vereinsverwaltung“ gibt, bleibt draußen, bis der Verein ihn freigibt.
• Die Datenschutz-Werkzeuge von WordPress geben Administratoren keine Vereinsdaten heraus.
• Warnung per Mail an den Verein, wenn jemand die Datentrennung abschaltet, das Plugin deaktiviert, Rolle, Passwort oder E-Mail-Adresse eines Vereinskontos ändert, ein Vereinskonto löscht oder sich ohne Passwort als Vereinskonto anmeldet.
• Mitglieder endgültig löschen und Bereiche zurücksetzen dürfen dann die Vereinskonten statt der Administratoren.

Die Karte sagt offen, was die Datentrennung nicht leistet: Wer die Website technisch betreut, kommt weiter an Datenbank und Dateien. Rechtlich braucht es zusätzlich einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Die Karte bietet dafür eine Vorlage zum Herunterladen, mit Vereinsname, Anschrift und Website schon eingetragen; offene Stellen sind gelb markiert. Der unterschriebene Vertrag lässt sich dort hochladen und liegt dann unter Dokumente.

Rechte der Betroffenen (DSGVO)

• Auskunft: Über die Datenschutz-Werkzeuge von WordPress exportiert das Plugin alles zu einer Person: Mitgliedschaft, Angaben, Mandate (IBAN gekürzt), Beiträge, Spenden, Buchungen, Vorgänge, Zahlungen, Zuwendungsbestätigungen und die Werbefreigabe.
• Einwilligung in Werbung: Die Werbefreigabe ist freiwillig und nie vorab angekreuzt. Zeitpunkt, Weg und Widerruf bleiben als Nachweis gespeichert; ein Abmeldelink in jeder Werbe-Mail beendet sie sofort (Kapitel „Rundmail und Werbefreigabe“). Beim Löschen der Person endet sie.
• Löschung unter Beachtung der Aufbewahrungsfristen: SEPA-Mandate 14 Monate nach dem letzten Einzug, Spendenbelege 10 Jahre. Anonymisiert werden auch Spenden, die unter einer anderen Adresse der Person eingetragen sind, soweit keine Aufbewahrungspflicht besteht. Laufende Mitgliedschaften, Dauerspenden und laufende Buchungen werden nicht gelöscht. „Person löschen“ in der Akte entfernt auch ihre Buchungen mit Teilnehmenden und Hinweisen; das Fenster nennt vorher, was gelöscht wird.
• Datenschutzerklärung: Ein Textvorschlag erscheint im Datenschutz-Leitfaden von WordPress und als Baustein unter Rechtstexte, mit einem Absatz zum Mail-Protokoll.

Weitere Sicherungen

• Werbefreigabe und Kündigung mit Bestätigungslink: So kann niemand mit fremder E-Mail-Adresse Werbung bestellen oder für jemand anderen kündigen (Kapitel „Kündigung“ und „Rundmail und Werbefreigabe“).
• Mitgliedsnummer nicht durchprobierbar: Nach 10 falschen Versuchen (Nummer passt nicht zum Nachnamen) ist eine Stunde Pause.
• Passwörter bleiben beim Server: Ändert sich SMTP-Server oder Adresse des PDF-Dienstes, muss das Passwort neu eingegeben werden. Der PDF-Dienst darf nicht im internen Netz liegen.
• Zwei-Faktor-Anmeldung richtet die Vereinsverwaltung selbst ein (Kapitel „Die Oberfläche und die Rollen“).
• Warenkorb nur im Browser, als technisch nötiges Cookie für 14 Tage.

Löschfristen im täglichen Lauf

Personen selbst löscht das Plugin nie von sich aus. Der tägliche Lauf plant sich selbst neu ein, falls er fehlt. Hat er über zwei Tage nicht stattgefunden, erscheint eine Warnung. Wie Sie ihn beim Hoster als Cronjob absichern, erklärt die Karte „Zeitgesteuerte Aufgaben“ auf der Übersicht.

Was nach außen geht

• Lizenzserver von DigElite: nur Lizenzschlüssel, Adresse der Website und Version des Plugins – bei der Freischaltung, der täglichen Prüfung und beim Update. Der Paket-Download folgt keinen Weiterleitungen, der Schlüssel geht nur an den Update-Server.
• Lexoffice (nur wenn eingeschaltet): je Rechnung Name und Anschrift der buchenden Person und die Positionen, keine E-Mail, kein Telefon, keine Teilnehmenden. Der Datenschutz-Baustein bekommt dann einen Absatz dazu.
• PDF-Dienst und SMTP-Server: die, die der Verein selbst einträgt.

Deinstallation

Beim Entfernen des Plugins bleiben die Vereinsdaten erhalten – ein versehentliches Löschen kostet so keine Mitgliederliste. Nur wenn in der wp-config.php die Konstante DGV_UNINSTALL_DELETE_DATA gesetzt ist, werden Tabellen, Ablage und Einstellungen mitgelöscht, dazu Lizenz, Rechtstexte und Rundmail-Vorlagen.