Zwei Tabs offen, zwei Angebote nebeneinander, und in beiden steht dasselbe Wort in fett: Auftragsverarbeitung. Ich vergleiche gerade, wie ich meine ersten Online-Kurse DSGVO-konform hosten kann, ohne dass am Ende ein Kursteilnehmer eine Abmahnung schickt. Für eine Solopreneurin, die sich gerade erst selbstständig macht, ist das keine akademische Frage, sondern geht direkt an die Substanz einer rechtssicheren Website. Also lege ich die zwei Wege, die ich am Ende wirklich ausprobiert habe, nebeneinander: einmal alles selbst hosten, einmal die technische Arbeit an einen externen Anbieter abgeben.
Der Irrtum, den ich zuerst hatte: eigenes Hosting sei automatisch sicherer, weil die Daten ja nicht das Land verlassen. Falsch gedacht - sobald ich Videos, Namen und E-Mail-Adressen auf einem eigenen Server verwalte, trage ich die technische Verantwortung ganz allein, ohne einen großen Anbieter im Rücken, der im Ernstfall mithaftet.
An der Stadtbibliothek Leipzig, direkt am Wilhelm-Leuschner-Platz, sitze ich manchmal mit Laptop und Kopfhörern, wenn zuhause der Router streikt und ich ein Testvideo hochladen will. Das Prinzip dahinter kannte ich schon aus einem kleineren Projekt, nämlich wie ich meinen ersten Lead Magnet DSGVO konform auf der Website anbiete - ein ganzer Kurs ist einfach die nächste Stufe davon, nur mit mehr beweglichen Teilen.
Online-Kurse selbst hosten: Kontrolle gegen Aufwand
Der erste Weg ist die Holzhammer-Methode: Alles bleibt auf der eigenen Website, ein WordPress-Plugin verwaltet die Kursmodule, und die Videodateien liegen direkt auf meinem eigenen Server. Kein Datentransfer zu einem fremden Anbieter, keine Cookie-Warnung wegen eingebetteter Ressourcen von außen. Klingt nach der sichersten Lösung, und ein paar Grundprinzipien der Datenschutz-Grundverordnung sprechen durchaus dafür: Je weniger Dienstleister im Spiel sind, desto weniger Verträge mit externen Anbietern ich abschließen muss und desto weniger Stellen gibt es, an denen etwas schiefgehen kann.
Ich hatte damit schon einmal Bauchschmerzen, als ich in einem älteren Projekt Google Fonts einfach im WordPress-Theme belassen habe, in der Hoffnung, dass es schon gutgeht. Erst nach einem Plugin-Update, als ich zufällig in den Seitenquelltext geschaut habe und kein einziger Google-Fonts-Link mehr auftauchte, wurde mir klar, wie leicht man ungefragt Daten an Dritte schickt, ohne es zu merken - Schriftarten lokal einzubinden ist noch mal ein eigenes Thema für sich.
Der Haken beim Self-Hosting ist die Haftung, die komplett bei mir landet: Wenn mein eigener Server eine Sicherheitslücke hat oder das LMS-Plugin schlecht gepflegt ist, kann ich nicht auf einen großen Anbieter zeigen, der im Zweifel selbst geradesteht. Für eine Solopreneurin ohne IT-Abteilung im Hintergrund ist das ein Risiko, das beim ersten Begeisterungsschub für 'volle Kontrolle' leicht unterschätzt wird.
Der externe EU-Anbieter als zweiter Weg
Beim zweiten Weg übernimmt ein europäischer Streaming-Anbieter die Videos, ein deutscher Hoster liegt darunter, und für jeden Baustein gibt es einen eigenen Vertrag zur Auftragsverarbeitung, der genau regelt, was der Anbieter mit den Daten machen darf und was nicht. Das nimmt mir die technische Last ab, weil ich nicht selbst für die Serversicherheit geradestehen muss - aber ich bin darauf angewiesen, dass der Anbieter tut, was im Vertrag steht, und dass er wirklich in der EU bleibt, statt Daten heimlich weiterzureichen. Wichtig ist dabei außerdem, dass eingebettete Videos ohne Tracking von Drittanbietern laufen, sonst braucht die Website plötzlich eine Cookie-Einwilligung, die vorher gar nicht nötig war.
Für Live-Elemente im Kurs nutze ich übrigens ähnliche Kriterien wie bei der Frage, welche Videokonferenz Tools ich für meine Kundenberatung DSGVO konform nutze - am Ende geht es immer um denselben Serverstandort und denselben Vertrag.
Was in beiden Fällen gleich bleibt
Unabhängig vom Weg bleiben ein paar Hausaufgaben gleich: Die Datenschutzerklärung muss den neuen Kurs mit allen eingesetzten Tools aufführen, das Impressum bleibt Pflicht, und wenn Teilnehmer sich für einen Newsletter rund um den Kurs anmelden, gehört ein Double-Opt-in dazu. Für die Kursbedingungen selbst lohnt sich ein Blick in die eigenen AGB, weil Zugang, Ablauf und Rückerstattung dort geregelt gehören, und bei einem bezahlten Online-Kurs kommt fast immer die Frage nach dem Widerrufsrecht bei Fernabsatzverträgen auf. Wenn Teilnehmer eine Auskunft über ihre gespeicherten Daten verlangen, muss ich darauf antworten können, und für Kursfotos oder Screenshots aus den Modulen gelten dieselben Bildrechte wie überall sonst auf der Website. Sobald mehrere Personen am Kurs mitarbeiten, etwa eine Co-Trainerin, wird außerdem die Frage nach gemeinsamer Verantwortlichkeit relevant, auch wenn das beim ersten eigenen Kurs selten schon ein Thema ist.
Meine Nachbarin Christel Marquardt, die seit Jahren Yogastunden gibt, hat mich neulich gefragt, ob sie ihre aufgezeichneten Stunden lieber selbst hosten oder einem externen Anbieter überlassen sollte - und wie es für sie typisch ist, hat sie dieselbe Frage gleich noch zweimal anders formuliert, bevor sie sich sicher war, dass wir uns richtig verstanden hatten.
Wann lohnt sich welcher Weg?
Für die meisten Solopreneurinnen, die gerade ihren ersten Kurs starten, würde ich heute zum externen EU-Anbieter mit klarer vertraglicher Vereinbarung raten, weil das eigene Zeitbudget selten für Serverpflege und Sicherheitsupdates reicht - die Energie steckt besser in den Kursinhalten als im Patch-Management.
Volles Self-Hosting lohnt sich eher, wenn schon technisches Know-how oder eine feste IT-Betreuung vorhanden ist, oder wenn die Teilnehmerzahl so klein bleibt, dass ein einzelner gut gepflegter Server überschaubar bleibt.
Sobald mehr als eine Handvoll Menschen regelmäßig Videos abrufen und dabei persönliche Daten hinterlassen, wiegt für mich die Haftung schwerer als die Kontrolle, die man beim Self-Hosting gewinnt.
In den zwei Jahren, seit ich als Texterin selbstständig bin, gilt für mich eine einfache Faustregel: Die bequemste Lösung ist selten automatisch die unsicherste, aber eben auch nicht automatisch die sicherste.
Wer gerade selbst überlegt, wie er Online-Kurse DSGVO-konform hosten will, sollte beide Wege an der eigenen Risikobereitschaft messen und nicht nur am Aufwand.
Miroslav Hájek aus meiner Freelancer-Runde hat mich neulich gefragt, ob es dafür nicht eine einfache Checkliste zum Ausdrucken gibt, und ich schulde ihm noch eine Antwort darauf.
Rechtlicher Hinweis: Die Inhalte dieser Webseite dienen ausschließlich der allgemeinen Information und stellen keine individuelle medizinische, finanzielle oder rechtliche Beratung dar. Eine fachkundige Beurteilung Ihres Einzelfalls kann nur durch eine qualifizierte Fachperson erfolgen -- bitte konsultieren Sie diese vor wesentlichen Entscheidungen.