WordPress Wartung & Support in Essen

Viele WordPress-Seiten in Essen hat jemand gebaut, der heute nicht mehr erreichbar ist: eine Agentur, die den Besitzer gewechselt hat, ein Freiberufler, ein Mitarbeiter, der gegangen ist. Ich bin Mariusz Szatkowski, WordPress-Entwickler in Gdynia, ohne Büro in Essen. Ich übernehme solche Seiten und halte sie danach laufend instand. Alles geschieht schriftlich und remote in MEZ, Gestaltung bringen Sie mit, ich setze um.

#Warum eine Übernahme mehr ist als ein Passwort

Wer eine fremde Seite übernimmt, übernimmt auch deren Entscheidungen: welche Plugins laufen, wer die Lizenzen hält, wo die Daten liegen und welche Verträge dahinterstehen. Fehlt davon etwas, merkt man es meist erst im Ernstfall. Dann ist die Premium-Lizenz abgelaufen, das Backup liegt im selben Hosting-Konto wie die Seite, oder niemand weiß, wer die Domain verwaltet.

Das Thema gehört zur Unternehmensübergabe im Ganzen. Die IHK zu Essen, zuständig für Essen, Mülheim an der Ruhr und Oberhausen, bietet zur Unternehmensnachfolge Checklisten, Sprechtage und eine Börse für Nachfolgesuchende an. Die Website taucht in solchen Listen selten auf, steht aber in jeder Übergabe: Wer einen Betrieb übernimmt oder abgibt, übergibt auch Domain, Hosting und Seite.

Foto: Tuxyso, CC BY-SA 3.0, Wikimedia Commons.

#Die Übergabe-Checkliste

Die Liste ist so gebaut, dass Sie sie auch ohne mich abarbeiten können. Gehen Sie sie mit dem bisherigen Entwickler oder, falls der nicht mehr da ist, mit Ihrem Hoster durch.

#Zugänge

Ich bitte um eigene Benutzer, nie um das Passwort des früheren Entwicklers. Ein eigener Benutzer lässt sich später entziehen, und im Protokoll steht, wer was getan hat. Das gilt für WordPress selbst, das Hosting-Panel, die DNS-Verwaltung und die Konten der Plugin-Hersteller.

#Hosting und Domain

Mich interessiert, wo die Seite liegt, welche PHP-Version läuft und ob die Sicherungen des Hosters ein eigenes Konto haben. Liegt die Domain beim früheren Dienstleister, lösen Sie das vor allem anderen, denn die Domain entscheidet über E-Mail, Auffindbarkeit und jede Weiterleitung. Die Änderung machen Sie als Inhaber, ich sage nur, was geändert werden muss.

#Plugins und Lizenzen

Ich lege ein Inventar an: Name, Version, Hersteller, Quelle, Lizenzinhaber, Ablaufdatum, Zweck. Drei Gruppen verlangen unterschiedliche Aufmerksamkeit. Plugins aus dem Verzeichnis auf wordpress.org lassen sich über die Konsole auf Abweichungen von der ausgelieferten Version prüfen. Kommerzielle Plugins aktualisieren sich nur, solange die Lizenz läuft, und sie hängt an einem Konto. Code, den jemand von Hand in den Plugin-Ordner gelegt hat, ist kein Plugin im Sinne der Wartung, sondern Teil der Codebasis und braucht einen Verantwortlichen.

Was ich nach der Bestandsaufnahme nicht mehr brauche, schlage ich zur Entfernung vor. Ich lösche nie, ohne dass Sie bestätigen, dass die Funktion niemand mehr nutzt. Erst wird auf Staging deaktiviert, dann live, dann beobachtet, dann entfernt.

#Eigener Code

Gibt es ein Child-Theme, eigene Plugins oder Snippets in einem Snippet-Plugin, kopiere ich alles in ein Repository. Dort sehe ich, was geändert wurde und wann. Ohne diesen Schritt hängt jeder PHP-Wechsel des Hosters an Code, den niemand lesen kann.

#Dokumentation

Am Ende der Übernahme liegt ein kurzes schriftliches Betriebsdokument bei Ihnen: Zugänge (ohne Passwörter), Hosting, Lizenzen, angebundene Dienste, Wiederherstellungsweg. Es gehört Ihnen und bleibt, auch wenn die Zusammenarbeit endet.

#Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Eine Wartung bedeutet Zugriff auf Datenbank, Formulareinträge, Benutzerkonten und Backups. Darin stehen personenbezogene Daten Ihrer Kunden, Bewerber oder Mitarbeiter. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) beschreibt Auftragsverarbeitung so: Ein externer Dienstleister verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen, ist an dessen Weisungen gebunden, und beide müssen einen Vertrag schließen. Die Landesbeauftragte hält fest, dass der Verantwortliche nur mit Auftragsverarbeitern zusammenarbeiten darf, die geeignete technische und organisatorische Maßnahmen ergreifen und ihre Kompetenz vor Vertragsabschluss belegen können.

Der Inhalt des Vertrags ist in Art. 28 DSGVO vorgegeben. Absatz 3 verlangt unter anderem:

• Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der Daten und Kategorien betroffener Personen,
• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen,
• Vertraulichkeitsverpflichtung der Personen, die Zugriff haben,
• Maßnahmen nach Art. 32, also technische und organisatorische Sicherheit,
• Unterstützung bei Betroffenenrechten und bei den Pflichten nach den Artikeln 32 bis 36,
• Löschung oder Rückgabe aller Daten nach Ende der Leistung, nach Ihrer Wahl,
• Nachweise und Überprüfungen, die der Verantwortliche verlangen darf.

Absatz 2 und 4 betreffen weitere Auftragsverarbeiter. Setze ich zum Beispiel einen Backup-Speicher außerhalb Ihres Hostings ein, ist das ein Unterauftragnehmer, den Sie schriftlich genehmigen. Er steht deshalb mit Namen im Vertrag.

Für Verantwortliche hat die LDI NRW eine Service-Seite für kleine und mittlere Unternehmen zusammengestellt, mit Musterhilfen zu Auftragsverarbeitung, technischen und organisatorischen Maßnahmen, Verarbeitungsverzeichnis und Datenpanne. Eine Vorlage bietet die LDI NRW auf ihrer KMU-Seite. Das ist keine Rechtsberatung: Ob und wie Ihr Fall unter Art. 28 fällt, klären Sie mit Ihrem Datenschutzbeauftragten oder einer Kanzlei.

#Wenn etwas passiert

Eine Datenpanne mit mehr als geringem Risiko meldet der Verantwortliche unverzüglich, möglichst binnen 72 Stunden, an die LDI NRW (Art. 33 DSGVO). Die Meldung macht also Ihr Unternehmen, nicht ich. Ich liefere Protokolle, Zeitpunkte und die Liste betroffener Daten, soweit die Backups und Logs sie hergeben. Das setzt voraus, dass die Protokolle vor dem Vorfall aufbewahrt wurden, und deshalb richte ich die Aufbewahrung beim Start ein.

#Was nach der Übernahme jeden Monat läuft

Der Umfang steht vorher in einer E-Mail. Danach läuft jeden Monat dasselbe:

1. Updates zuerst auf Staging. Core, Plugins, Theme und PHP laufen auf einer Kopie. Ich rufe Kontaktformular und gegebenenfalls Bestellweg auf und vergleiche beide Seiten.
2. Live-Seite nachziehen. Erst wenn die Kopie sauber läuft. Wie ich notfalls zurückrolle, steht vorher fest.
3. Backups außerhalb des Hostings. Ein kompromittiertes Hosting-Konto nimmt die Sicherungen nicht mit. Eine Wiederherstellung spiele ich in Abständen testweise durch.
4. Monitoring. Eine Prüfung ruft die Seite regelmäßig auf. Bei einem Ausfall gehen Alarmmails an Sie und an mich.
5. Schriftlicher Monatsbericht. Was geändert wurde, was auffiel, was Sie entscheiden müssen.

Nach jedem Update sehe ich mir außerdem an, ob Impressum und Datenschutzerklärung erreichbar sind und ob eingebundene Dienste zum Cookie-Banner passen. Das ist die technische Seite, keine Rechtsberatung.

Ich nenne keine Reaktionszeit und biete keinen Bereitschaftsdienst an. Ich antworte schriftlich an Werktagen. Stunden aus dem Monatsumfang verfallen am Monatsende und werden nicht in den nächsten übertragen.

#Was Essen zu dieser Arbeit beiträgt

Die Stadt Essen nennt sich auf essen.de einen Wissenschaftsstandort mit mehr als 30.000 Studierenden an verschiedenen Hochschulen sowie vielen Forschungs- und Bildungseinrichtungen. Dort steht auch, dass sich Stadt und Essener Wirtschaftsförderungsgesellschaft (EWG) im Handlungsfeld Essen.erfolgreich um einen vernetzten Innovations- und Wissenschaftsstandort bemühen. Für Webseiten heißt das: Viele Auftraggeber in Essen sind Einrichtungen, Institute und Betriebe mit wechselnden Zuständigkeiten, bei denen eine Seite über die Jahre durch mehrere Hände geht. Genau dort fehlt später die Übergabe.

Ich war nicht in Ihrem Betrieb und behaupte nicht, Ihre Branche besser zu kennen als Sie. Ich kenne die technische Lage fremd gebauter WordPress-Seiten: alte PHP-Versionen, Backups ohne Wiederherstellungstest, Lizenzen auf fremden Konten.

#Was Sie vorbereiten

• die Adresse der Seite und, falls bekannt, den bisherigen Entwickler oder Hoster,
• Zugang zum Hosting-Konto, damit Sie mir einen eigenen Benutzer anlegen können,
• Ihren Datenschutzbeauftragten oder die verantwortliche Person im Unternehmen für den Vertrag,
• Grafik, Layout und Texte für alles Neue, denn Gestaltung liegt nicht bei mir, ich setze Ihre Vorgaben um.

Weitere Entwicklungsarbeit an Ihrer Seite finden Sie unter WordPress-Entwicklung in Essen. Einen Relaunch oder neue Funktionen beschreibe und beauftrage ich getrennt von der Wartung.

#Häufige Fragen

Kann ich eine Seite abgeben, die jemand anderes gebaut hat? Ja. Erst kommt die Bestandsaufnahme anhand der Übergabe-Checkliste, dann der Umfang in Textform. Der frühere Entwickler muss dafür nicht mitwirken, solange Sie Zugang zu Hosting und WordPress haben.

Brauche ich für die Wartung einen Auftragsverarbeitungsvertrag? In der Regel ja, sobald ich Zugriff auf Datenbank, Formulareinträge oder Backups habe, in denen personenbezogene Daten liegen. Art. 28 Abs. 3 DSGVO verlangt dann einen Vertrag mit festem Inhalt. Das ist keine Rechtsberatung, die Einordnung für Ihren Fall treffen Sie oder Ihr Datenschutzbeauftragter.

Welche Behörde ist in Essen für Datenschutz zuständig? Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW). Eine Datenpanne mit mehr als geringem Risiko meldet Ihr Unternehmen dort unverzüglich, möglichst binnen 72 Stunden.

Was passiert mit den Daten, wenn die Wartung endet? Nach Art. 28 Abs. 3 Buchstabe g DSGVO löscht der Auftragsverarbeiter alle personenbezogenen Daten nach Ihrer Wahl oder gibt sie zurück und löscht vorhandene Kopien. Das gilt auch für meine Backups.

Müssen Sie dafür nach Essen kommen? Nein. Ich sitze in Gdynia und arbeite remote in MEZ. Besprechungen und Telefonate biete ich nicht an, Abstimmung läuft per E-Mail und bleibt dadurch nachvollziehbar.

Verfallen nicht genutzte Stunden? Ja. Stunden gelten für den Monat, in dem sie vereinbart sind, und werden nicht in den nächsten Monat übertragen.

#Anfrage

Schreiben Sie mir über die Kontaktseite: Adresse der Seite, was Sie absichern oder beheben möchten, bis wann, und wer sie bisher betreut hat. Ich lese die Installation und antworte schriftlich mit dem, was ich prüfen würde und was ich dafür von Ihnen brauche. Eine erste schriftliche Einschätzung kostet Sie nichts.