Datenschutzerklärung für WordPress: Was Theme, Plugins und Kommentare hineinzwingen

Für eine WordPress-Seite gelten dieselben Regeln wie für jede Website, ihre Datenschutzerklärung fällt aber umfangreicher aus. Schon der Kern verarbeitet ohne ein einziges Plugin Daten, etwa bei Kommentaren, beim Login und bei eingebetteten Inhalten. Jedes Theme und jedes Plugin kann weitere Datenflüsse hinzufügen, und alle gehören in den Text.

Eine frische WordPress-Installation kann Daten an fremde Server schicken, bevor Du irgendetwas eingerichtet hast. Das macht WordPress beim Datenschutz tückisch. Ich zeige Dir, welche Bausteine Kern, Theme und Plugins in Deine Datenschutzerklärung zwingen und wie Du herausfindest, was Deine Installation tatsächlich tut.

Warum reicht eine allgemeine Datenschutzerklärung bei WordPress nicht?

Die Datenschutzerklärung erfüllt die Informationspflicht aus Art. 13 DSGVO. Sie beschreibt, welche Daten Deine Seite erhebt, zu welchem Zweck, auf welcher Rechtsgrundlage, an wen sie gehen und wie lange Du sie speicherst. Die Grundbausteine erkläre ich im Artikel Wie erstelle ich eine Datenschutzerklärung?

Das Kernproblem bei WordPress: Die Datenverarbeitung hängt nicht an Dir allein, sondern an jedem Stück Code, das Du installierst. Eine allgemeine Datenschutzerklärung beschreibt eine gedachte Website. Deine Pflicht bezieht sich auf die echte.

Merke: Maßgeblich ist, was Deine Seite technisch tut, nicht was Du eingebaut zu haben glaubst.

Was bringt der WordPress-Kern schon mit?

Auch ohne Plugins verarbeitet WordPress personenbezogene Daten. Für jede Verarbeitung brauchst Du eine Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO, und jede gehört in den Text.

Kommentare und Gravatar

Schreibt jemand einen Kommentar, speichert WordPress Name, E-Mail-Adresse, Website, IP-Adresse und den User-Agent des Browsers. IP-Adresse und User-Agent dienen unter anderem der Spam-Erkennung.

Zeigt Dein Theme Avatare an, fragt die Seite beim Dienst Gravatar nach, ob zur E-Mail-Adresse des Kommentators ein Profilbild existiert. Dafür geht ein Hashwert der E-Mail-Adresse an Gravatar, einen Dienst von Automattic. Beim Laden des Bildes erfährt der Gravatar-Server außerdem die IP-Adresse des Besuchers. Automattic sitzt in den USA. Die Datenschutzerklärung nennt deshalb auch die Übermittlung in ein Drittland und ihre Grundlage, etwa die Zertifizierung nach dem EU-US Data Privacy Framework. Ob sie aktuell besteht, zeigt die offizielle Liste unter dataprivacyframework.gov.

Heißt praktisch für Dich: Nutzt Du Kommentare, beschreibt Deine Datenschutzerklärung die gespeicherten Daten, die Speicherdauer und Gravatar. Brauchst Du keine Avatare, schaltest Du sie unter Einstellungen → Diskussion ab. Dann entfällt der Gravatar-Baustein.

Cookies von Login und Kommentar

Beim Login setzt WordPress Cookies, die Dich als angemeldeten Nutzer erkennen. Ohne sie funktioniert der Login nicht. Für Kommentatoren kann WordPress Name, E-Mail-Adresse und Website in Cookies ablegen, damit sie beim nächsten Kommentar nicht alles neu eintippen müssen. Diese Cookies gelten knapp ein Jahr.

Rechtlich greift hier zusätzlich § 25 TDDDG. Wer Informationen auf dem Endgerät speichert oder dort ausliest, braucht eine Einwilligung. Ausgenommen ist, was unbedingt erforderlich ist, damit ein Dienst funktioniert, den der Nutzer ausdrücklich wünscht.

• Login-Cookies: unbedingt erforderlich, keine Einwilligung nötig, in der Datenschutzerklärung trotzdem zu nennen.
• Kommentar-Cookies: eine Komfortfunktion. WordPress setzt sie nur, wenn der Kommentator die Checkbox unter dem Formular anhakt. Diese Checkbox ist die Einwilligung. Entferne sie nicht.

Eingebettete Inhalte, Emojis und Schriften

Fügst Du einen YouTube-Link in einen Beitrag ein, bettet WordPress das Video automatisch ein. Dann lädt der Browser Deines Besuchers Daten direkt vom fremden Anbieter, und dieser erfährt mindestens die IP-Adresse. Das passiert beim Seitenaufruf, nicht erst beim Klick.

Dazu kommen zwei unauffällige Kandidaten:

• Emojis: WordPress bindet ein Emoji-Script ein. Kann der Browser ein Emoji nicht selbst darstellen, lädt das Script Grafiken vom WordPress-Server s.w.org nach.
• Schriften: Viele Themes haben Schriften lange direkt von Google-Servern geladen. Das LG München I hat eine solche Einbindung ohne Einwilligung als Rechtsverletzung gewertet und dem Kläger 100 Euro Schadensersatz zugesprochen (Urteil vom 20.01.2022 – 3 O 17493/20). Wie Du Schriften lokal einbindest, steht im Artikel zu Google Fonts und DSGVO.

Achtung: Ein Theme-Update kann die Schrifteinbindung ändern, in beide Richtungen. Prüfe nach jedem größeren Update, woher Deine Schriften kommen.

Welche Plugins tauchen in der Datenschutzerklärung auf?

Nicht jedes Plugin verarbeitet personenbezogene Daten. Ein Plugin, das nur das Backend umgestaltet, braucht keinen eigenen Absatz. Relevant ist jedes Plugin, das Besucherdaten speichert, versendet oder einen fremden Server anspricht. Typisch sind:

• Kontaktformular: Die Eingaben gehen per E-Mail an Dich, manche Plugins speichern sie zusätzlich in der Datenbank. Beides gehört hinein, samt Speicherdauer.
• Statistik: Entscheidend ist, wo die Daten landen. Ein Plugin, das Aufrufe auf Deinem Server zählt, beschreibst Du anders als eines, das Daten an einen Analysedienst schickt. Setzt die Statistik Cookies oder liest sie Informationen vom Gerät aus, brauchst Du in der Regel eine Einwilligung.
• Caching und CDN: Reines Caching auf Deinem Server ändert datenschutzrechtlich wenig. Ein CDN dagegen liefert Dateien von fremden Servern aus und erhält dabei die IP-Adressen Deiner Besucher.
• Newsletter: Hinein gehören Anmeldung, Double-Opt-in, Versanddienstleister und eine etwaige Öffnungsmessung. Die Einwilligung musst Du nachweisen können.
• Spam-Schutz: Akismet schickt Kommentardaten, darunter IP-Adresse und User-Agent, zur Prüfung an Server von Automattic. Google reCAPTCHA wertet das Verhalten des Besuchers auf der Seite aus. Warum reCAPTCHA ohne Einwilligung angreifbar ist, erkläre ich im Artikel zu reCAPTCHA und DSGVO.

Bequem ist nicht automatisch erlaubt. Ein Plugin, das mit einem Klick eine fremde Funktion anbindet, bindet meist auch einen fremden Server an.

Hosting und Auftragsverarbeitung: Wer verarbeitet mit?

Dein Hoster speichert Deine WordPress-Datenbank mit allen Kommentaren und Formulareingaben. In der Regel führt er auch Server-Logfiles mit IP-Adressen. Damit ist er Auftragsverarbeiter, und Du brauchst mit ihm einen Vertrag nach Art. 28 DSGVO.

Dasselbe gilt oft für CDN-Anbieter, Newsletter-Dienste und externe Backup-Lösungen. Bei den meisten Hostern schließt Du den Vertrag im Kundenmenü ab. Was darin stehen muss, liest Du im Artikel zum Auftragsverarbeitungsvertrag.

Wichtig: Die Datenschutzerklärung nennt die Empfänger. Den Vertrag mit ihnen ersetzt sie nicht. Du brauchst beides.

So findest Du heraus, was Deine Installation wirklich tut

Die Plugin-Liste im Backend zeigt Dir, was installiert ist. Was davon Daten verarbeitet, zeigt sie nicht. So gehst Du vor:

1. Plugins und Theme auflisten: Notiere jedes aktive Plugin und das aktive Theme. Plugins, die Du nicht brauchst, löschst Du.
2. Leitfaden von WordPress lesen: Unter Einstellungen → Datenschutz findest Du einen Leitfaden. Viele Plugins hinterlegen dort Textvorschläge. Sie zeigen Dir, was das Plugin selbst meldet. Vollständig sind sie nicht.
3. Netzwerkverkehr prüfen: Öffne Deine Seite in einem privaten Browserfenster, starte die Entwicklertools (F12) und lade die Seite im Reiter „Netzwerk“ neu. Jede Domain, die nicht Deine eigene ist, ist ein Datenempfänger.
4. Cookies prüfen: Im Reiter „Speicher“ oder „Anwendung“ siehst Du, welche Cookies vor und nach Deiner Auswahl im Cookie-Banner gesetzt werden.
5. Unterseiten prüfen: Kontaktseite, Blogbeitrag mit Kommentaren, Seite mit Video. Viele Dienste laden nur dort.

Das Ergebnis ist Deine Liste der Datenflüsse. Gegen diese Liste prüfst Du die Datenschutzerklärung Absatz für Absatz.

Warum veraltet eine statische Datenschutzerklärung beim nächsten Plugin-Update?

WordPress-Plugins aktualisieren sich oft automatisch. Ein Update kann neue Funktionen bringen, einen externen Dienst anbinden oder ändern, wie Daten gespeichert werden. Deine Datenschutzerklärung erfährt davon nichts.

Dazu kommt die Rechtslage selbst. Gesetze, Urteile und die Auffassungen der Aufsichtsbehörden ändern sich. Ein Text, den Du einmal kopiert hast, bildet den Stand vom Tag des Kopierens ab.

Die Datenschutzerklärung für WordPress ist deshalb kein einmaliges Projekt, sondern ein laufender Abgleich. Du kannst ihn selbst organisieren, etwa mit einer festen Prüfung nach jedem größeren Update. Oder Du nutzt einen Text, der von außen aktualisiert wird. Dafür gibt es unser WordPress-Datenschutz-Plugin, das die Datenschutzerklärung in Deine Seite einbindet und bei Rechtsänderungen aktuell hält. Wer Datenschutzerklärung, Impressum und Cookie-Hinweis gemeinsam betreuen lassen will, findet das im Komplett-Schutz.

Ein Restrisiko bleibt auch dann. Welche Plugins Du installierst, weißt nur Du. Die Auswahl der Bausteine passt Du bei jeder Änderung Deiner Seite an.

Was Du jetzt tun solltest

1. Bestand aufnehmen: Theme und alle aktiven Plugins notieren, ungenutzte löschen.
2. Datenflüsse messen: Netzwerk-Reiter und Cookie-Liste prüfen, auch auf Unterseiten mit Formular, Kommentaren und Videos.
3. Kern-Bausteine abdecken: Kommentare, Gravatar, Login- und Kommentar-Cookies, Einbettungen, Emojis und Schriften.
4. Verträge schließen: Auftragsverarbeitungsvertrag mit dem Hoster und allen weiteren Dienstleistern.
5. Aktualisierung regeln: feste Prüfung nach jedem größeren Update oder ein Text, der automatisch aktualisiert wird.

Häufige Fragen

Brauche ich für WordPress ein Datenschutz-Plugin?

Gesetzlich nicht. Das Gesetz verlangt eine vollständige und aktuelle Datenschutzerklärung, kein bestimmtes Werkzeug. Ein Plugin, das den Text einbindet und bei Rechtsänderungen aktualisiert, nimmt Dir aber die laufende Pflege ab. Welche Dienste Deine Seite nutzt, musst Du trotzdem selbst festlegen.

Reicht der Datenschutz-Leitfaden, den WordPress mitbringt?

Nein. Der Leitfaden unter Einstellungen → Datenschutz ist ein guter Startpunkt, weil er Textvorschläge von WordPress und vielen Plugins sammelt. Er enthält aber nur, was die Entwickler hinterlegt haben. Rechtsgrundlagen, Speicherdauern und Dienste ohne Textvorschlag musst Du selbst ergänzen.

Muss ich Kommentare erwähnen, wenn die Kommentarfunktion abgeschaltet ist?

Nein. Beschreiben musst Du nur Verarbeitungen, die tatsächlich stattfinden. Prüfe aber, ob die Kommentare wirklich überall abgeschaltet sind. WordPress speichert die Einstellung pro Beitrag. Ältere Beiträge können noch offen sein.

Brauche ich für die Login-Cookies von WordPress eine Einwilligung?

Nein. Login-Cookies sind unbedingt erforderlich, damit der Login funktioniert, den der Nutzer selbst anstößt. Sie fallen unter die Ausnahme in § 25 Abs. 2 Nr. 2 TDDDG. In der Datenschutzerklärung nennst Du sie trotzdem.

Muss ich jedes Plugin einzeln aufführen?

Nicht jedes Plugin, aber jede Datenverarbeitung. Ein Plugin, das nur das Backend umgestaltet, braucht keinen Absatz. Ein Plugin, das Formulardaten speichert, Cookies setzt oder einen fremden Server anspricht, schon. Maßgeblich ist, was mit den Daten Deiner Besucher passiert.