Wie ich meine Online Kurse DSGVO konform auf der eigenen Website hoste

Es ist dieser eine Moment, in dem die Euphorie plötzlich gegen eine Wand aus Paragrafen klatscht. Ich saß in meiner kleinen Schreib-Ecke in Leipzig, draußen war es stockfinster und das einzige Licht kam vom bläulichen Schimmer meines Monitors, der sich in meiner kalten Kaffeetasse spiegelte. Ich wollte doch nur mein Wissen über Texte teilen. Aber statt über Kursmodule nachzudenken, starrte ich panisch auf die Server-Standorte eines US-Anbieters und fragte mich, ob ich mit einem Bein im Gefängnis stehe, wenn ich dort ein Video hochlade.

Eines frostigen Abends im Januar

An diesem Abend fing alles an. Ich hatte mein Tagebuch aufgeschlagen, das mittlerweile mehr wie ein Logbuch für eine Expedition ins Ungewisse aussah. Mit meinem Kugelschreiber zog ich eine dicke Linie unter das Wort Haftung. Das kratzende Geräusch meines Kugelschreibers im Tagebuch, als ich das Wort dreimal dick unterstreiche, klang in der Stille fast schon bedrohlich. Ich liebe meine Tools, wirklich. Aber als ich realisierte, dass fast alles, was die Kurs-Erstellung einfach macht, seine Wurzeln irgendwo im Silicon Valley hat, bekam ich weiche Knie.

Ich dachte kurz: 'Vielleicht verkaufe ich einfach PDFs per E-Mail, das ist sicherer' – nur um dann sofort über die Verschlüsselung und den Datenschutz beim Mailversand nachzudenken. Es ist wie beim ersten Mal, als ich meine Steuererklärung allein gemacht habe: Man hat ständig das Gefühl, etwas Elementares zu übersehen, das einem später auf die Füße fällt. Ich bin keine Juristin – ich bin nur eine Texterin, die versucht, ihre Online-Präsenz auf solide Beine zu stellen, ohne bei jeder neuen Anmeldung eines Kursteilnehmers Schweißausbrüche zu bekommen.

Nach etwa drei Wochen intensiver Recherche

Mein Kopf fühlte sich an wie ein Apothekenbeipackzettel – voller Warnhinweise und kleingedruckter Risiken. Ich lernte, dass es nicht reicht, einfach nur ein 'schönes' Plugin zu haben. Wenn wir über Online-Kurse sprechen, sprechen wir über die Verarbeitung von personenbezogenen Daten im großen Stil. Namen, E-Mail-Adressen, Zahlungsdaten und sogar die IP-Adressen, die in den Server-Logfiles landen, wenn jemand eine Lektion anschaut. Laut Datenschutz-Grundverordnung (DSGVO) ist das alles hochsensibel.

Ich stieß immer wieder auf den Art. 28 DSGVO. Das klingt trocken, ist aber das Herzstück meiner neuen Website-Struktur: Der Vertrag zur Auftragsverarbeitung (AV-Vertrag). Ohne diesen Wisch darf ich eigentlich gar nichts an externe Dienstleister auslagern. Und dann ist da noch der Art. 13 DSGVO, der mir vorschreibt, meine Teilnehmer glasklar darüber zu informieren, was mit ihren Daten passiert. Es ist ein bisschen wie ein Behördengang, bei dem man fünf verschiedene Formulare in dreifacher Ausführung braucht, nur um eine Parkgenehmigung zu bekommen.

Besonders knifflig wurde es bei den Videos. Ich wollte meine Inhalte in ordentlicher Qualität anbieten, also in der Standard-Videoauflösung Full HD, was dem Wert von 1080p entspricht. Aber wohin mit diesen riesigen Dateien? Wenn ich sie einfach auf meine Website hochlade, geht mein Server in die Knie. Nutze ich einen US-Hoster, habe ich das Problem mit dem Datentransfer in Drittstaaten. Selbst wenn das EU-U.S. Data Privacy Framework existiert, muss man die Zertifizierung des Anbieters ganz genau prüfen. Ich fühlte mich wie eine Detektivin, die nach versteckten Datenströmen sucht.

An einem regnerischen Dienstagvormittag

Inzwischen war es März und der Regen peitschte gegen meine Fensterscheiben, während ich versuchte, eine Entscheidung zu treffen. Überall las ich den Rat: 'Hoste alles selbst auf deiner eigenen WordPress-Seite, dann hast du die volle Kontrolle und keine Probleme mit Drittanbietern!' Das klingt im ersten Moment wie die Rettung, fast schon heroisch. Aber während ich so recherchierte, kam mir ein ganz anderer Gedanke, der mich innehalten ließ.

Hier kommt nämlich die große Falle, in die viele von uns Solopreneuren tappen: Die technische Haftung. Ja, wenn ich alles selbst hoste, wandern keine Daten ungefragt über den Atlantik. Aber in dem Moment, in dem ich das alles auf meinem eigenen Server verwalte, bin ich auch ganz allein dafür verantwortlich, dass dieser Server sicher ist. Wenn mein Learning Management System (LMS) eine Sicherheitslücke hat und die Daten meiner Kunden gestohlen werden, kann ich nicht auf den großen Anbieter zeigen. Ich bin diejenige, die gerade stehen muss. Diese Eigen-Lösung erhöht das unternehmerische Risiko massiv, weil wir eben keine IT-Sicherheitsabteilung im Keller sitzen haben. Das ist ein Aspekt, den viele 'DSGVO-Experten' gerne mal verschweigen, wenn sie zum Self-Hosting raten.

Ich erinnerte mich daran, wie ich vor einiger Zeit gelernt habe, wie ich meinen ersten Lead Magnet DSGVO konform auf der Website anbiete. Damals war es schon ein Kraftakt, aber ein ganzer Online-Kurs ist noch mal eine ganz andere Hausnummer. Man muss die Balance finden zwischen technischer Machbarkeit und rechtlichem Risiko.

Der Wendepunkt: Die Entdeckung der hybriden Lösung

Nachdem ich fast aufgegeben hätte, fand ich einen Weg, der sich endlich 'richtig' anfühlte. Die Lösung war eine Kombination aus einem deutschen Hoster, der seine Server wirklich in Frankfurt stehen hat, und einem spezifischen WordPress-LMS-Plugin, das keine 'Nach-Hause-Telefonieren'-Funktionen hat. Das Wichtigste: Ich habe für jeden einzelnen Baustein einen AV-Vertrag abgeschlossen. Das geht heute zum Glück oft elektronisch mit zwei Klicks, aber man muss es eben machen.

Für die Videos habe ich einen europäischen Streaming-Anbieter gefunden, der die Daten DSGVO-konform verarbeitet. Keine Cookies, kein Tracking durch Drittanbieter, nur das Video. Als ich das erste Test-Video erfolgreich eingebunden hatte, ohne dass mein Cookie-Banner direkt eine Warnmeldung wegen 'fremder Ressourcen' spuckte, hätte ich fast vor Freude meinen Tee verschüttet. Es funktionierte! Die Daten blieben im EU-Raum, die Verträge waren unterzeichnet und ich konnte endlich wieder über das Schreiben von Texten nachdenken.

Natürlich war das alles ein Lernprozess. Letzten Mittwoch saß ich noch mal über meiner Datenschutzerklärung und habe alles kleinteilig ergänzt. Es ist ein bisschen wie Unkraut jäten im Garten: Man ist nie wirklich fertig, aber wenn man einmal eine Grundordnung hat, reicht es, regelmäßig mal drüberzuschauen. Ich nutze übrigens für meine Beratungen ganz ähnliche Prinzipien, wie ich schon mal aufgeschrieben habe, als es darum ging, welche Videokonferenz Tools ich für meine Kundenberatung DSGVO konform nutze.

Kurz vor dem offiziellen Launch im Mai

Die letzten Wochen vor dem Launch waren geprägt von Tests. Ich habe mich selbst als Teilnehmerin angemeldet, habe geschaut, welche Mails verschickt werden und ob überall der Link zur Datenschutzerklärung auftaucht. Es ist dieses befreiende Gefühl, den 'Live'-Button zu drücken und dabei nicht das Gefühl zu haben, eine tickende Zeitbombe zu aktivieren. Das Impressum stimmt, die Kursvideos liegen sicher in Frankfurt und ich habe meine Hausaufgaben gemacht.

Was ich gelernt habe? Man muss nicht alles wissen, aber man muss wissen, wen man fragen kann. Ich habe im Zweifel sogar beim Datenschutzbeauftragten hier in der Stadt nachgefragt, weil ich mir bei einer Formulierung unsicher war. Die beißen nicht! Und sie schätzen es, wenn man sich ehrlich bemüht, statt alles nur irgendwie hinzuschludern. Wenn ihr selbst gerade an eurem Kurs bastelt: Lasst euch nicht von der Panik lähmen. Schritt für Schritt, ein AV-Vertrag nach dem anderen. Und denkt immer daran, dass die 'einfachste' technische Lösung nicht immer die rechtlich sicherste ist – aber die komplizierteste Eigenbau-Lösung eben auch neue Risiken birgt.

Am Ende des Tages will ich Texte schreiben, die bewegen, und nicht nur Gesetzestexte wälzen. Aber jetzt, wo das Grundgerüst steht, fühlt sich die kreative Arbeit viel leichter an. Falls ihr unsicher seid, fragt im Zweifel euren eigenen Datenschutzbeauftragten oder einen Anwalt, denn wie gesagt: Ich lerne auch nur während ich mache, in meinem kleinen Büro in Leipzig, mit viel Kaffee und einer gesunden Portion Selbstironie.