COMMOSSO Rezensionenmanager

Datenschutz-, Sicherheits- und Google-API-Compliance-Audit

Projekt

WordPress-Plugin: COMMOSSO Rezensionenmanager
Website: https://rezensionen.commosso.de/
Hosting: ALL-INKL
Google Business Profile API mit OAuth 2.0

Ziel

Untersuche das bestehende WordPress-Plugin vollständig auf die Einhaltung der geltenden europäischen und deutschen Datenschutzvorschriften sowie der aktuellen Google Business Profile API Policies.

Das Plugin wird ausschließlich auf der Subdomain rezensionen.commosso.de betrieben.

Es dient autorisierten Mitarbeitern und Kunden zur Verwaltung von Google-Unternehmensprofilen und deren Rezensionen.

WICHTIG: Untersuche zuerst den tatsächlichen Quellcode. Triff keine unbelegten Annahmen über vorhandene Funktionen.

Phase 1 – Vollständige Bestandsaufnahme

Untersuche insbesondere:

Welche personenbezogenen Daten werden verarbeitet?
Welche Daten werden über die Google Business Profile API abgerufen?
Werden Rezensionen dauerhaft oder temporär gespeichert?
Werden Namen und Profilbilder von Rezensenten gespeichert?
Wo und wie werden OAuth Access Tokens und Refresh Tokens gespeichert?
Werden Tokens verschlüsselt?
Welche WordPress-Datenbanktabellen und Optionen werden verwendet?
Existieren automatische Löschmechanismen?
Werden API-Daten in Logdateien geschrieben?
Welche Daten werden beim Entfernen eines Kundenkontos gelöscht?
Können Kunden ausschließlich auf ihre eigenen Unternehmensprofile zugreifen?
Welche externen Dienste werden eingebunden?
Werden Cookies oder vergleichbare Technologien eingesetzt?
Werden personenbezogene Daten an OpenAI oder andere KI-Dienste übermittelt?

Dokumentiere die Ergebnisse mit konkreten Dateipfaden, Funktionen und Codezeilen.

Phase 2 – Rechtliche und technische Anforderungen

Prüfe die technische Umsetzung anhand folgender Vorschriften:

EU-Datenschutz-Grundverordnung (DSGVO)
Bundesdatenschutzgesetz (BDSG)
Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG)
Google Business Profile API Policies
Google OAuth 2.0 Policies
Google API Services User Data Policy, soweit anwendbar

Nutze die jeweils aktuellen offiziellen Rechtsquellen und Google-Dokumentationen.

Unterscheide verbindliche Anforderungen, Empfehlungen und noch rechtlich zu klärende Fragen.

Phase 3 – Datenspeicherung und Löschung

Prüfe insbesondere die 30-Tage-Regel der Google Business Profile API.

Ermittle:

Welche API-Daten zwischengespeichert werden dürfen.
Welche Daten möglicherweise länger gespeichert werden dürfen.
Welche Daten unverzüglich gelöscht werden müssen.
Ob eine automatische Löschung bereits implementiert ist.
Ob WordPress-Cron zuverlässig eingesetzt werden kann.

Entwickle bei Bedarf ein datensparsames Löschkonzept.

Keine pauschale Löschung sämtlicher Daten nach 30 Tagen ohne vorherige Prüfung der jeweiligen Anforderungen.

Phase 4 – OAuth und Sicherheit

Prüfe:

OAuth Client ID und Client Secret
Access Tokens und Refresh Tokens
Verschlüsselung beziehungsweise geeigneten Schutz gespeicherter Zugangsdaten
Berechtigungsprüfung
Nonces und CSRF-Schutz
Sichere OAuth-Weiterleitungen
HTTPS
Mandantentrennung
Schutz vor unbefugten API-Zugriffen
WordPress REST API und AJAX-Endpunkte
Fehlerprotokollierung
Möglichkeiten zum Widerruf der Google-Autorisierung

Zugangsdaten dürfen niemals in Berichten oder Protokollen ausgegeben werden.

Phase 5 – Datenschutzerklärung

Erstelle auf Grundlage der tatsächlich implementierten Datenverarbeitung einen vollständigen Entwurf einer Datenschutzerklärung für:

Datenschutzerklärung

Berücksichtige:

Verantwortliche Stelle
Hosting bei ALL-INKL
Verarbeitung personenbezogener Daten
Google OAuth 2.0
Google Business Profile API
Verarbeitung von Rezensionen
Speicherung und Löschfristen
Rechtsgrundlagen nach DSGVO
Empfänger und mögliche Drittlandübermittlungen
Betroffenenrechte
Technische Sicherheitsmaßnahmen
Cookies und vergleichbare Technologien
Kontaktmöglichkeiten

Recherchiere die erforderlichen Unternehmensangaben anhand der offiziellen Website commosso.de.

Nicht nachweisbare Angaben müssen ausdrücklich als offene Punkte gekennzeichnet werden.

Erstelle zusätzlich einen Entwurf für gegebenenfalls erforderliche Nutzungsbedingungen.

Phase 6 – Maßnahmenplan

Erstelle einen priorisierten Maßnahmenplan:

Kritisch: Datenschutz- oder Sicherheitsprobleme mit unmittelbarem Handlungsbedarf.

Hoch: Verstöße gegen verbindliche Google-API-Vorgaben oder wesentliche Datenschutzanforderungen.

Mittel: Fehlende technische Schutzmaßnahmen oder unvollständige Dokumentation.

Niedrig: Verbesserungen und Empfehlungen.

Für jede Feststellung dokumentiere:

Betroffene Datei
Betroffene Funktion
Beschreibung
Rechtliche beziehungsweise technische Grundlage
Risikobewertung
Empfohlene Korrektur
Testverfahren

Phase 7 – Technische Umsetzung

Nach Abschluss der Analyse:

Sichere den aktuellen Projektstand.
Erstelle einen nachvollziehbaren Änderungsplan.
Implementiere eindeutig erforderliche technische Sicherheitskorrekturen.
Ergänze erforderliche Löschmechanismen.
Verbessere bei Bedarf den Schutz der OAuth-Zugangsdaten.
Implementiere erforderliche Datenschutzfunktionen.
Erstelle automatisierte Tests.
Prüfe die Kompatibilität mit der vorhandenen WordPress-Installation.

Bestehende Funktionen müssen erhalten bleiben.

Keine produktiven Daten löschen.

Keine produktiven Zugangsdaten verändern.

Keine Änderungen auf dem Liveserver ohne ausdrückliche Freigabe.

Phase 8 – Abschlussbericht

Erstelle folgende Dateien im Projekt:

docs/COMPLIANCE-AUDIT.md
docs/DATENSCHUTZERKLAERUNG.md
docs/GOOGLE-API-COMPLIANCE.md
docs/DATENSPEICHERUNG-LOESCHKONZEPT.md
docs/SICHERHEITSKONZEPT.md
docs/MASSNAHMENPLAN.md

Dokumentiere alle Quellen mit URL und Abrufdatum.

Arbeitsweise

Arbeite die Phasen selbstständig nacheinander ab.

Nach erfolgreicher Prüfung einer Phase beginne automatisch die nächste.

Frage nur nach, wenn wesentliche Informationen fehlen, rechtliche Entscheidungen erforderlich sind oder Änderungen produktive Daten beziehungsweise Systeme gefährden.

Eine technische Prüfung ersetzt keine abschließende juristische Prüfung. Kennzeichne alle Punkte, die rechtlich freigegeben werden müssen.

Beginne jetzt mit Phase 1 und untersuche das bestehende Projekt.