Ist Bubble.io DSGVO-konform?

Ist Bubble.io DSGVO-konform?

Ich weiß, dass Sie wissen möchten, ob Bubble.io DSGVO-konform ist, aber tatsächlich gibt es hier DREI FRAGEN. Nicht eine, sondern drei. Aber keine Sorge – wir werden sie alle nacheinander beantworten. Nachfolgend sehen Sie die Liste der Kurzantworten, dann eine grundlegende Einführung in die DSGVO und schließlich eine Liste der ausführlichen Antworten.

Ist Bubble.io DSGVO-konform: Kurzantworten auf 3 Fragen

‍Die DSGVO ist ein Regelwerk, das erklärt, wie Sie mit personenbezogenen Daten umgehen sollten, die Sie von Ihren Nutzern erhalten. Es handelt sich um ein Gesetz der EU, das jedoch für jeden gilt, der an EU-Bürger verkauft. Also für jeden und seinen Onkel. Sollen wir?

Frage 1: Ist Bubble.io DSGVO-konform in Bezug auf EU-US-Datenübertragungen?

Ja.

Bubble.io verfügt über eine spezielle Vereinbarung, die EU-US- und US-EU-Übertragungen regelt. Frage 1 ist damit erledigt.

Frage 2: Woher weiß ich, dass Bubble.io nur mit DSGVO-konformen Anbietern arbeitet?

Auch hier hat Bubble.io Vereinbarungen mit seinen eigenen „Unterauftragsverarbeitern“, die ihre Beziehungen regeln. Bubble.io ist ein bedeutender No-Code-Anbieter und wird niemals wissentlich gegen die DSGVO-Regeln verstoßen wollen. Mit wem sie zusammenarbeiten, ist deren Sache, nicht Ihre. Sie sind nicht allmächtig. Frage 2 wurde ebenfalls zügig geklärt.

Frage 3: Woher weiß ich, dass meine auf Bubble.io basierende App DSGVO-konform ist?

Hier liegt alles bei Ihnen. Beängstigend, aber lukrativ, oder? Sie sind der Entwickler, und es ist Ihre Pflicht, sicherzustellen, dass Ihre App vollständig DSGVO-konform ist.

Um Ihnen das Leben zu erleichtern, haben wir eine Checkliste erstellt, die Sie in der ausführlichen Version weiter unten finden. Sie deckt Cookies, Datenschutzerklärung, Plugins und unbeabsichtigte Datenoffenlegung ab.

Um diese Kurzversion abzuschließen, möchten wir die folgenden Punkte hervorheben:

• Die Fragen 1 und 2 liegen nicht in Ihrem Verantwortungsbereich.
• Die Antwort darauf lautet „Ja, mein Herr“, und Sie müssen nichts dafür tun.
• Frage 3 liegt vollständig bei Ihnen, und Sie müssen alles dafür tun.

Bereit, ein wenig mehr über die DSGVO zu erfahren?

Einführung in die DSGVO-Konformität

Während das Internet reift, streben die Regulierungsbehörden danach, mehr Ordnung zu schaffen. Angesichts der Tatsache, dass Facebook und andere unsere personenbezogenen Daten missbraucht haben, wurden Gesetze erlassen, die regeln, wie Unternehmen personenbezogene Daten verarbeiten sollten.

Die EU hat die DSGVO (Datenschutz-Grundverordnung) erlassen, ein umfangreiches Dokument, das einen umfassenden Rahmen für die Verarbeitung personenbezogener Daten schaffen will.

Die DSGVO gilt für alle Unternehmen auf diesem Planeten (und auch für andere – okay, Elon), da jeder global verkauft.

Wenn Sie sich nicht daran halten, drohen Ihrem Unternehmen hohe Geldstrafen. Sie müssen also jederzeit konform bleiben!

Es spielt keine Rolle, ob Sie auf Bubble.io, einer anderen No-Code-Lösung aufbauen oder nativen Code verwenden. Es kommt auf die Form an, doch was zählt, ist der Inhalt. Sie müssen die Regeln einhalten, die wir in der Checkliste festlegen, und dann sind Sie auf der sicheren Seite.

Natürlich sollten Sie sich bewusst sein, dass dieser Artikel das Ergebnis unserer Recherchen ist, und Sie sollten Ihr Rechtsteam konsultieren, falls Unsicherheiten oder Bedenken bestehen. Dieser Artikel ist nicht als Rechtsberatung zu verstehen.

Die drei Begriffe, denen Sie bei der Recherche zur DSGVO-Konformität begegnen werden, sind: „betroffene Person“ – ein Endnutzer, der sich mit Ihrer App verbindet und dessen personenbezogene Daten Sie erhalten, „Verantwortlicher“ – eine Einheit, die die Daten erhält, „Auftragsverarbeiter“ – jede Einheit, die die Daten im Auftrag des Verantwortlichen verarbeitet (Bubble fungiert in Bezug auf Ihre App als Auftragsverarbeiter), „Unterauftragsverarbeiter“ – alle Dienste, die der Auftragsverarbeiter zur Unterstützung der Datenverarbeitung heranzieht.

Andere Rechtsräume setzen ihre eigenen Vorschriften um, darunter CPPA aus den USA, PIPEDA aus Kanada und andere. Wenn Ihr Unternehmen viel Traffic aus solchen Regionen erhält, sollten Sie die Einhaltung dieser Vorschriften in Betracht ziehen.

Ist Bubble.io DSGVO-konform: ausführliche Antworten auf 3 Fragen

Nachdem wir nun die Grundlagen der DSGVO wiederholt haben, schauen wir uns die 3 Fragen genauer an.

Ausführliche Antwort auf Frage 1: Ist Bubble.io DSGVO-konform in Bezug auf EU-US-Datenübertragungen?

Es gibt eine gewisse Unsicherheit und Kontroverse in Bezug auf die DSGVO und die Übertragungen zwischen der EU und den USA. Der Grund dafür ist, dass eine Reihe von Regulierungspaketen umgesetzt und von den europäischen Gerichten gekippt wurden.

Derzeit setzen Unternehmen wie Bubble.io die AVV (Auftragsverarbeitungsvereinbarungen) um, die die SCC (Standardvertragsklauseln) beinhalten. Die SCC sind das derzeit verwendete Paket solcher Regulierungsdokumente.

Warum gibt es Kontroversen in Bezug auf die Verwendung von SCC? Das liegt daran, dass die SCC nicht offiziell als der wichtigste Vertrag akzeptiert wurden, den Unternehmen verwenden können, um die Datenübertragungen zwischen der EU und den USA zu untermauern.

Gleichzeitig verwenden alle IT-Unternehmen derzeit SCC, und Bubble.io bildet da keine Ausnahme.

Sollten Sie einen dedizierten, in der EU ansässigen Server von Bubble.io beziehen, um die DSGVO-Konformität sicherzustellen?

Wenn Sie ein wenig googeln, stoßen Sie auf bestimmte Threads im Bubble.io-Forum, die sich mit der DSGVO-Konformität befassen. Hier ist der beliebteste davon.

Er beginnt mit der Korrespondenz zwischen den Bubble.io-Nutzern, die Apps auf der Plattform aufbauen, und dem Kundensupport. Die Überschrift ist ominös und besagt, dass Bubbl.io nicht DSGVO-konform sei!

Nach einer Weile stoßen Sie jedoch auf Nachrichten von anderen Nutzern, die professionelle Anwaltskanzleien beauftragt haben, um zu bestätigen, dass Bubble.io tatsächlich DSGVO-konform ist. So wie die folgende (hier ist ein Link dazu).

Was ist die Ursache dieses Debakels? Sie ist recht prosaisch – das Aufsetzen eines dedizierten, in der EU ansässigen Servers würde Ihr Unternehmen bis zu 5.000 $ pro Monat kosten, was ein hoher Preis für ein junges SaaS-Vorhaben ist. Es ist ziemlich klar, dass Bubble.io hier möglicherweise an einer übermäßig enthusiastischen Werbekampagne beteiligt ist.

Sie müssen keinen dedizierten, in der EU ansässigen Server beziehen, und die Verwendung der SCC innerhalb der AVV reicht vollständig aus.

Mögliche Umsetzung von Privacy Shield 2.0

Eine weitere Quelle der Kontroverse ist die mögliche Umsetzung von Privacy Shield 2.0, die angeblich für viel Unsicherheit sorgt. Tut sie aber nicht. Sie können bedenkenlos auf Bubble.io aufbauen, Ihr MVP starten und mit Ihrer Roadmap fortfahren.

Hier ist eine kurze Geschichte zu Privacy Shield 2.0. Seit etwa 20 Jahren gibt es verschiedene Dokumentationspakete, die sich mit den EU-US-Übertragungen befassen. Wie wir oben besprochen haben, wurden alle vorherigen Versionen gekippt. Die Branche fiel auf die SCC zurück, und damit gibt es kein Problem.

Derzeit wird ein neues Paket namens Privacy Shield 2.0 verhandelt. Es gibt gewisse Bestrebungen, ein Gericht einzurichten, das die Anfragen der betroffenen Personen prüfen wird, und die Behörden auf beiden Seiten des Atlantiks versuchen, verschiedene Definitionen von „personenbezogenen Daten“, „betroffener Person“ und „Datenschutzrechten“ zu harmonisieren.

Derzeit gibt es keine Gewissheit, wann Privacy Shield 2.0 zum Gesetz wird. Es könnte ebenfalls gekippt werden, genau wie die vorherigen Pakete.

Auch hier gilt: Bubble.io ist vollständig DSGVO-konform, und Sie können bedenkenlos auf der Plattform veröffentlichen.

Ausführliche Antwort auf Frage 2: Woher weiß ich, dass Bubble.io nur mit DSGVO-konformen Anbietern arbeitet?

Es ist klar, dass wir das in der Kurzversion gut geklärt haben, also machen wir weiter!

Ausführliche Antwort auf Frage 3: Woher weiß ich, dass meine auf Bubble.io basierende App DSGVO-konform ist?

Wie wir in der Kurzversion erwähnt haben, ist der beste Weg, diese Frage anzugehen, eine Checkliste durchzugehen und alle Probleme zu beheben, die Sie haben. Auf diese Weise können Sie sicherstellen, dass Ihre auf Bubble.io basierende App vollständig DSGVO-konform ist. (Stellen Sie sicher, dass Sie Ihr Rechtsteam konsultieren, um mögliche Probleme zu berücksichtigen. Dies ist keine Rechtsberatung.)

Hier ist unsere Checkliste für die DSGVO-Konformität.

Schritt 1. Erstellen Sie eine DSGVO-konforme Datenschutzerklärung für Ihre Bubble.io-App

Beginnen Sie mit der Erstellung Ihrer Datenschutzhinweise. Hier ist ein guter Artikel über alles rund um die Datenschutzerklärung als Ausgangspunkt.

Generell sollten Sie immer mehrdeutige Formulierungen vermeiden, die die Aktivitäten, die Sie in Bezug auf die personenbezogenen Daten der Nutzer durchführen, nicht klar beschreiben.

Sagen Sie nicht dies: „Wir können Ihre personenbezogenen Daten verwenden, um neue Dienste zu entwickeln“. Sagen Sie stattdessen dies: „Wir werden Informationen über Ihre kürzlichen Besuche auf unserer Website und darüber, wie Sie sich durch verschiedene Bereiche unserer Website bewegen, zu Analysezwecken speichern und auswerten, um zu verstehen, wie Menschen unsere Website nutzen, damit wir sie intuitiver gestalten können“.

Am Ende des verlinkten Artikels finden Sie außerdem eine Vorlage für die DSGVO-konforme Datenschutzerklärung. Sie können sie problemlos verwenden und mit Ihrem Prozess fortfahren.

Es gibt eine Reihe von „automatisierten“ Generatoren für Ihre Datenschutzerklärung, Cookie-Richtlinie und Cookie-Banner. Sie müssen keine Zeit und Mühe investieren, um sich mit diesen zu befassen. Bleiben Sie stattdessen einfach bei den DSGVO-konformen Datenschutzhinweisen wie denen im Artikel.

Schritt 2. Richten Sie ein Cookie-Einwilligungsbanner ein, das vollständig der DSGVO entspricht

Es gibt eine gewisse Kontroverse, da einige Verfasser im Bubble.io-Forum behaupten, dass Sie unbedingt ein Cookie-Einwilligungsbanner einbinden müssen und Nutzern erlauben, bestimmte Cookie-Gruppen zu akzeptieren oder abzulehnen. Das Bild unten zeigt ein Beispiel für ein solches Banner.

Ein solches Einwilligungsbanner wird üblicherweise als „feinkörnigere Steuerung“ bezeichnet. Obwohl es eine bessere UX bietet, ist es kein Muss (wie hier vom Produktteam von Bubble bestätigt). Darüber hinaus hat Bubble.io gewisse Probleme bei der Nachverfolgung der spezifischen Cookies, die Plugins hinzufügen.

Ein guter Anfang ist eine einfache Cookie-Einwilligung, die es Nutzern ermöglicht, alle Cookies, die Sie in Ihrer App sammeln, entweder zu akzeptieren oder abzulehnen. Hier ist ein Beispiel für ein solches Banner.

Sie können nach einem beliebten Plugin für ein Cookie-Einwilligungsbanner suchen, das für die native Verwendung mit Bubble.io entwickelt wurde.

Schritt 3. Erstellen Sie einen detaillierten Cookie-Hinweis

Wie Sie sehen, gibt dieses niedliche und einfache Banner einfach an, dass Ihre App Cookies sammelt, und bietet einen „Mehr erfahren“-Link.

Sie können entweder eine eigenständige Cookie-Richtlinie einrichten und die Hinweise in die globale Datenschutzerklärung einbinden, wie im obigen Beispiel. Die zweite Option ist einfacher umzusetzen und spart Ihnen Zeit, wenn Sie bestimmte Aktualisierungen vornehmen müssen. Hier ist erneut ein Link zu diesem Artikel mit einer Vorlage für eine Datenschutzerklärung, die einen Cookie-Hinweis enthält.

Nehmen Sie sich Zeit, um jeden Cookie durchzugehen und seinen Zweck zu beschreiben und ihn detailliert zu verwenden. Dies ist eine äußerst vorteilhafte Praxis, die von der DSGVO vorgeschrieben wird.

Schritt 4. Beheben Sie das Problem mit dem ersten Laden von Cookies und erlauben Sie Nutzern, ihre Einwilligung zu widerrufen

Standardmäßig sammelt Bubble.io automatisch die Cookies für jeden neuen Besucher Ihrer App. Dies wurde vor der Umsetzung der DSGVO eingerichtet und ist eine nützliche Funktion zu Testzwecken.

Wenn Sie jedoch bereit sind, die App in die Produktionsphase zu überführen, müssen Sie diese Funktionalität verhindern. Andernfalls wird Ihre App zunächst die Cookies des Nutzers sammeln und erst danach fragen, ob er damit einverstanden ist oder nicht.

Um diese Funktion zu verhindern, müssen Sie die folgenden Schritte durchführen.  

Aktion 1. Verhindern Sie das erste Laden von Cookies

Gehen Sie zu Einstellungen > Allgemein und suchen Sie dann die Einstellung mit dem Namen „Do not set cookies on new users by default“. Setzen Sie ein Häkchen. Auf diese Weise können Sie das erste Laden von Cookies abschalten.

Aktion 2. Erstellen Sie den Workflow für „Opt-in zu Cookies“

Richten Sie als Nächstes einen Workflow ein, der es Nutzern ermöglicht, sich für Cookies zu entscheiden, indem Sie die Aktionen mit dem Cookie-Einwilligungsbanner verbinden.

Aktion 3. Ermöglichen Sie Nutzern, ihre Einwilligung zu widerrufen

In Übereinstimmung mit den von der DSGVO festgelegten Anforderungen sollten Sie es Nutzern ermöglichen, ihre Einwilligung zur Sammlung von Cookies auf Ihrer Website schnell zu widerrufen.

Eine gute Möglichkeit, dies umzusetzen, besteht darin, eine Schaltfläche in der Fußzeile einzurichten, die zur Cookie-Seite führt, auf der Nutzer die Schaltfläche „Einwilligung widerrufen“ anklicken können, um die Ausführung des Cookie-Einwilligungsprozesses zu verhindern.

Weitere Kommentare zu der Lösung finden Sie in diesem Beitrag.

Schritt 5. Beheben Sie das Problem mit Google Fonts

Wie dieser Thread aus dem Bubble.io-Forum besagt, werden Google Fonts automatisch von einem in den USA ansässigen Server hochgeladen. Dies kann außerhalb der Standard-Backend-Operationen geschehen, die vollständig über Bubble.io laufen. Wenn die Schriftarten geladen werden, werden die Informationen über die IP-Adresse des Nutzers an den US-Server gesendet.

Ohne ins Detail zu gehen, müssen Sie direkt in die JSON-Datei gehen und alle Instanzen bereinigen, in denen die Google Fonts vom US-Server abgerufen werden. Leider kann dies nicht über den nativen visuellen Editor erfolgen, den Bubble.io anbietet, da in einigen Fällen die Google Fonts an die übergeordneten Elemente angehängt werden, ohne dass ein Hinweis auf ihre Verwendung innerhalb von Bubble.io vorliegt.

Bekämpfen Sie diese potenzielle Bedrohung für Ihre DSGVO-Konformitätsbemühungen im Keim.

Schritt 6. Ermöglichen Sie Nutzern einfachen Zugang zu Ihrem Team

Stellen Sie in Ihrer Datenschutzerklärung sicher, den Namen und die Kontaktinformationen anzugeben für den verantwortlichen Mitarbeiter, der sich mit allen Anfragen der betroffenen Personen befassen kann.

Reagieren Sie schnell auf alle Anfragen von Nutzern bezüglich ihres Rechts zu erfahren, welche Art von Informationen Sie sammeln, sowie auf Anfragen zur Löschung der gespeicherten Daten.

Schritt 7. Führen Sie Cookie-Bewertungen durch, nachdem Sie neue Plugins installiert haben

Immer wenn Sie ein neues Plugin auf Ihrer mit Bubble.io erstellten App installieren, könnten Sie beginnen, neue Cookies und personenbezogene Informationen zu sammeln.

Die DSGVO verbietet Ihnen nicht, die personenbezogenen Daten der Nutzer zu sammeln, aber sie zielt darauf ab, die Sammlung und Verarbeitung solcher Informationen zu begrenzen.

Stellen Sie einfach sicher, die Bewertung im Testmodus durchzuführen, damit Sie sehen können, welche Art von Cookies das Plugin für Sie offenlegt. Falls Sie etwas sehen, das einer leichtfertigen Sammlungspraxis ähnelt, wenden Sie sich an den Plugin-Entwickler.

Schritt 8. Beschränken Sie Ihre Sammlung auf absolut notwendige personenbezogene Daten und kartieren Sie Ihre Datenflüsse

Dieser Punkt ist eng mit Schritt 8 verbunden, und Ihre beste Haltung besteht darin, Ihre Sammlung zu beschränken nur auf jene Cookies und personenbezogenen Daten, auf die Sie zugreifen müssen, um Ihre Operationen korrekt durchzuführen.

Geben Sie den Ton an und beginnen Sie, Ihre Datenflüsse zu kartieren ab den frühesten Iterationen Ihrer App. Sie müssen verstehen, wie Sie die personenbezogenen Daten Ihrer Nutzer erhalten, verarbeiten und löschen, damit Sie die Details Ihrer Prozesse klar belegen können, falls dies erforderlich sein sollte.

Wie Sie sehen, ist es für Ihr Team durchaus machbar, diese 9 Schritte durchzuführen, um die DSGVO-Konformität sicherzustellen. Wir haben hart daran gearbeitet, alle Details zu berücksichtigen, und werden die Entwicklungen im Auge behalten, um sie entsprechend anzupassen. Wenn Sie einen fehlenden Schritt oder eine fehlende Praxis finden, wenden Sie sich an uns, damit wir das gemeinsam herausfinden können.

Zusammenfassung

Wir haben über die wichtigsten Punkte gesprochen, wie Sie Ihre App vollständig DSGVO-konform machen. Lassen Sie uns die Hauptpunkte wiederholen.

• Datenübertragungen zwischen der EU und den USA werden geregelt durch die AVV von Bubble, die die SCC beinhaltet.  Somit ist Bubble.io in Bezug auf die grenzüberschreitenden Übertragungen vollständig DSGVO-konform.
• Bubble.io arbeitet mit verschiedenen Unterauftragsverarbeitern wie AWS, Firebase und anderen. Ihre gemeinsamen Operationen werden durch ihre Verträge geregelt, und sie haften für etwaige Verstöße gegen die DSGVO. Sie müssen sich darüber keine Sorgen machen, da Sie mit großen Dienstleistern weltweit zusammenarbeiten, denen Konformität und Reputation am Herzen liegen.
• Die Architektur Ihrer App liegt vollständig bei Ihnen. Wir haben Ihnen einen effektiven 9-Schritte-Aktionsplan vorgestellt, der Ihnen hilft sicherzustellen, dass Ihre Bubble.io-App vollständig konform ist.
• Stellen Sie immer sicher, dass Sie nur die Cookies und anderen personenbezogenen Informationen sammeln, die Sie unbedingt benötigen, damit Ihre App korrekt funktioniert.
• Kartieren Sie Ihre Datenflüsse, um im Blick zu behalten, wie Ihre App alle Informationen verarbeitet, einschließlich personenbezogener Daten und anderer Informationsflüsse.

Handeln Sie proaktiv und beheben Sie immer potenzielle Probleme, damit Sie Bedrohungen in Bezug auf die DSGVO-Konformität und die allgemeine Sicherheitslage mindern. Ihre App DSGVO-konform zu machen ist nicht schwer – Sie müssen nur bestimmte Schritte durchgehen. Die neue Verordnung wie Privacy Shield 2.0 wird noch mehr Verbesserungen dabei liefern, wie wir mit den personenbezogenen Daten unserer Nutzer umgehen. Abonnieren Sie unseren Blog und bleiben Sie über alle wichtigen Entwicklungen in der Bubble- und No-Code-/Low-Code-Branche insgesamt informiert.