DSGVO

Die DSGVO (Datenschutz-Grundverordnung) ist eine EU-Verordnung, die den Umgang mit personenbezogenen Daten regelt. Sie gilt seit dem 25. Mai 2018 und betrifft jede Website, die von Personen aus der EU besucht werden kann – also praktisch jede deutschsprachige WordPress-Website. Personenbezogene Daten sind dabei alle Informationen, die sich einer Person zuordnen lassen: Name, E-Mail-Adresse, IP-Adresse, Cookies und vieles mehr.

So betrifft die DSGVO WordPress-Websites

WordPress-Websites verarbeiten personenbezogene Daten an vielen Stellen: Kontaktformulare erfassen Namen und E-Mail-Adressen, Kommentarfunktionen speichern IP-Adressen, Analyse-Tools wie Google Analytics tracken das Nutzerverhalten, und Plugins laden häufig externe Ressourcen (Schriftarten, Skripte, Videos) von Drittanbieter-Servern, wobei die IP-Adresse des Besuchers an diese Server übermittelt wird.

Die DSGVO verlangt, dass jede Datenverarbeitung einen rechtlichen Grund hat. In den meisten Fällen ist das entweder die ausdrückliche Einwilligung des Nutzers (Opt-in über einen Cookie-Banner) oder ein berechtigtes Interesse des Website-Betreibers. Die Einwilligung muss freiwillig, informiert und vor der Datenverarbeitung erfolgen. Außerdem muss sie jederzeit widerrufbar sein.

Für WordPress-Betreiber ergeben sich daraus konkrete technische Anforderungen: Ein rechtskonformer Cookie-Banner mit echtem Opt-in (kein bloßer Hinweis), eine vollständige Datenschutzerklärung, die Möglichkeit für Nutzer, ihre Daten einzusehen oder löschen zu lassen, und technische Maßnahmen zum Schutz der Daten (Verschlüsselung per HTTPS, sichere Passwörter, regelmäßige Updates).

Praxisrelevanz

Die DSGVO ist kein einmaliges Projekt, sondern eine dauerhafte Verpflichtung. Bei jedem neuen Plugin, jedem eingebundenen Drittanbieter-Dienst und jeder Funktionserweiterung muss geprüft werden, ob und welche personenbezogenen Daten verarbeitet werden. Google Fonts, YouTube-Embeds, Social-Media-Buttons, externe Analyse-Tools und Newsletter-Formulare sind typische Beispiele, die datenschutzrechtliche Relevanz haben.

Bei Verstößen drohen empfindliche Bußgelder – theoretisch bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes. In der Praxis sind es häufig Abmahnungen durch Wettbewerber oder Beschwerden bei der Datenschutzaufsichtsbehörde, die für Website-Betreiber unangenehm und kostspielig werden.

Häufige Probleme

• Google Fonts werden direkt von Google-Servern geladen, statt sie lokal einzubinden, was eine Datenübermittlung an Google ohne Einwilligung darstellt.
• Der Cookie-Banner setzt Tracking-Cookies bereits vor der Einwilligung des Nutzers (kein echtes Opt-in).
• Die Datenschutzerklärung ist veraltet, unvollständig oder listet Dienste nicht auf, die tatsächlich eingesetzt werden.
• Plugins laden im Hintergrund externe Ressourcen (CDN-Bibliotheken, Tracking-Pixel), ohne dass der Betreiber davon weiß.
• Kontaktformular-Daten werden unverschlüsselt per E-Mail versendet oder unbegrenzt in der Datenbank gespeichert.
• Es fehlt ein Auftragsverarbeitungsvertrag (AVV) mit dem Hosting-Anbieter oder anderen Dienstleistern.

Best Practices

• Einen rechtskonformen Cookie-Consent-Banner mit echtem Opt-in einsetzen, der Tracking erst nach Einwilligung aktiviert.
• Google Fonts und andere externe Ressourcen lokal auf dem eigenen Server einbinden.
• Die Datenschutzerklärung bei jeder Änderung an der Website (neue Plugins, Dienste, Formulare) aktualisieren.
• HTTPS auf der gesamten Website erzwingen, um die Datenübertragung zu verschlüsseln.
• Regelmäßig prüfen, welche externen Verbindungen die Website aufbaut (z. B. über den Netzwerk-Tab der Browser-Entwicklerwerkzeuge).
• Auftragsverarbeitungsverträge mit allen Dienstleistern abschließen, die Zugriff auf personenbezogene Daten haben.
• WordPress-eigene Datenschutz-Funktionen nutzen: Datenschutzseite festlegen, Datenexport und -löschung über das Backend ermöglichen.