Drupal

Was ist Drupal

Drupal ist ein etabliertes Open Source Content Management System auf PHP Basis, gepflegt von der Drupal Association und einer weltweiten Community. Es betreibt hunderttausende europäische Websites: nationale Behörden, Universitäten, öffentlich rechtliche Sender und gemeinnützige Organisationen. Drupal wird selbst gehostet, der Betreiber kontrolliert also Server, Datenbank und alle Cookies, die im Browser der Besucher gesetzt werden.

Cookies und Tracking Technologien

Eine saubere Drupal 9 oder 10 Installation setzt nur wenige Erstanbieter Cookies: ein PHP Session Cookie namens SESS oder SSESS mit Hash Präfix, das Erkennungs Cookie has_js sowie Drupal.visitor.* Cookies, die Präferenzen wie Formular Entwürfe speichern. Angemeldete Redakteure erhalten zusätzlich Drupal.toolbar.collapsed und Drupal.tableDrag.showWeight für die Admin Oberfläche. Alle sind Erstanbieter und unbedingt erforderlich.

DSGVO und ePrivacy Implikationen

Drupal Core Cookies fallen unter die Ausnahme der unbedingt erforderlichen Cookies in Artikel 5(3) der ePrivacy Richtlinie, eine Einwilligung ist also nicht erforderlich. Drupal verarbeitet dennoch personenbezogene Daten wie IP Adressen in Server Logs und Formular Übermittlungen, die der Betreiber im Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO dokumentieren muss. Das Risikoprofil ändert sich drastisch, sobald Erweiterungen wie Google Analytics, Matomo, Facebook Pixel, reCAPTCHA oder Webform Handler aktiviert werden.

Einwilligungsanforderungen

Drupal Core benötigt kein Cookie Banner, da standardmäßig keine Profiling oder Marketing Cookies gesetzt werden. Sobald Analyse, Video oder Social Embed Module aktiviert werden, muss der Betreiber vor der Ausführung der Drittanbieter Skripte eine vorherige, freiwillige, spezifische, informierte und unmissverständliche Einwilligung einholen, im Einklang mit den Vorgaben von DSK, CNIL, AEPD und Garante. Eine Consent Management Plattform muss die Tags blockieren, bis der Besucher zustimmt.

Datenübermittlungen außerhalb des EWR

Selbst gehostetes Drupal überträgt keine Besucherdaten außerhalb des EWR. Der Update Manager und das Composer Repository kontaktieren jedoch die drupal.org Infrastruktur (USA und Europa) zur Versionsprüfung. Ein EU Hoster und das Deaktivieren automatischer Updateprüfungen reichen aus, um Besucherdaten innerhalb des EWR zu halten. Jedes Erweiterungsmodul, das Skripte von US Anbietern lädt, muss unter Schrems II geprüft werden.

Praktische Schritte zur Compliance

Hosten Sie in der EU, dokumentieren Sie Drupal Core Cookies in der Cookie Richtlinie als unbedingt erforderlich und prüfen Sie jedes Erweiterungsmodul vor dem Go Live. Kombinieren Sie Drupal mit einer Consent Management Plattform, die Google Tag Manager, YouTube Embeds und reCAPTCHA bis zur Einwilligung blockiert. Spielen Sie Sicherheitsupdates zeitnah ein, beschränken Sie den Admin Zugang auf bestimmte IPs und halten Sie Datenbank, Backups und Logs innerhalb des EWR, um Datenminimierung und Speicherbegrenzung zu wahren.