Was fordert die DSGVO von WordPress-Betreibern?
Die Datenschutz-Grundverordnung (DSGVO / GDPR) gilt seit Mai 2018 EU-weit für alle Websites, die personenbezogene Daten von EU-Bürgern verarbeiten — also praktisch jede WordPress-Website. Betroffen sind Sie, wenn Ihre Website:
- Kontaktformulare verwendet (Namen, E-Mail-Adressen)
- Kommentare ermöglicht (IP-Adressen werden gespeichert)
- Google Analytics, Facebook Pixel oder ähnliche Tracking-Tools nutzt
- Social-Media-Buttons einbindet (Like-Button, Share-Button)
- Google Fonts oder externe Ressourcen lädt (IP-Übertragung an US-Server)
- Cookies setzt (technische, analytische oder Marketing-Cookies)
- Newsletter-Anmeldungen verwaltet
Kurz gesagt: Jede WordPress-Website verarbeitet personenbezogene Daten und muss DSGVO-konform sein — auch private Blogs und kleine Unternehmensseiten.
Datenschutzerklärung für WordPress: Was muss rein?
Die Datenschutzerklärung muss alle Datenverarbeitungsvorgänge auf Ihrer Website transparent erläutern. Sie muss jederzeit leicht zugänglich sein — typischerweise im Footer verlinkt.
| Pflichtinhalt | Rechtsgrundlage | Hinweis |
|---|---|---|
| Name & Kontakt des Verantwortlichen | Art. 13 DSGVO | Entspricht dem Impressum |
| Hosting-Anbieter & Server-Logs | Art. 6 Abs. 1 lit. f | IP-Speicherung erwähnen |
| Kontaktformular-Daten | Art. 6 Abs. 1 lit. b/f | Zweck + Speicherdauer |
| Cookies & Tracking-Tools | Art. 6 Abs. 1 lit. a | Je Tool eigener Abschnitt |
| Betroffenenrechte | Art. 15–22 DSGVO | Auskunft, Löschung, Widerspruch |
| Beschwerderecht Aufsichtsbehörde | Art. 77 DSGVO | Zuständige Landesbehörde nennen |
Empfehlung für Datenschutzerklärungen: Generatoren wie Datenschutz-Generator.de (Dr. Thomas Schwenke, kostenlos), e-recht24.de (kostenpflichtig, aber aktuell) oder der Generator der IT-Recht Kanzlei (ab 9,90 €/Monat). Die Erklärung muss individuell angepasst werden — keine generischen Vorlagen einfach kopieren.
Cookie-Consent: So setzen Sie ihn rechtssicher um
Seit dem EuGH-Urteil „Planet49“ (2019) und der Bestätigung durch den BGH ist klar: Cookies, die nicht technisch notwendig sind, benötigen eine aktive, informierte Einwilligung — vorab angekreuzte Checkboxen sind ungültig.
- Klare Ablehnoption gleichwertig sichtbar
- Keine vorausgewählten Cookies
- Einzelne Kategorien abwählbar
- Einwilligung widerrufbar (Einstellungen)
- Consent-Nachweis gespeichert
- „Durch Nutzung stimmen Sie zu“
- Nur OK-Button, kein Ablehnen
- Cookies vor Einwilligung gesetzt
- Nicht alle Kategorien erklärbar
- Kein Widerruf möglich
Empfohlene Cookie-Consent-Plugins für WordPress
| Plugin | Preis | Bewertung |
|---|---|---|
| Complianz | kostenlos / ab 49 €/Jahr | ⭐ Empfehlung — automatische Erkennung |
| Borlabs Cookie | ab 39 €/Jahr | Sehr mächtig, Profi-Lösung |
| Cookiebot | kostenlos bis 100 Unterseiten | Gut für kleinere Websites |
| DSGVO All in One | kostenlos | Einfach, für kleine Blogs |
DSGVO-konforme WordPress Plugins: Worauf achten?
Nicht jedes WordPress-Plugin ist DSGVO-konform. Besonders kritisch sind Plugins, die externe Ressourcen laden oder Daten an Drittserver übertragen. Checkliste vor der Plugin-Installation:
- Serverstandort — Werden Daten in die USA übertragen? (Stichwort: Schrems II)
- Auftragsverarbeitungsvertrag (AVV) — Muss mit jedem Dienstleister geschlossen werden
- Google Fonts lokal laden — Nicht über Google CDN, sondern eigenen Server
- Gravatar deaktivieren — Überträgt E-Mail-Hashes an Gravatar-Server (USA)
- Embeds blockieren — YouTube, Vimeo, Google Maps erst nach Einwilligung laden
- WooCommerce — Bestell- und Kundendaten, Zahlungsanbieter AVV beachten
Besonders kritisch: Google Fonts. Das LG München hat 2022 geurteilt, dass das Laden von Google Fonts über das Google CDN ohne Einwilligung eine DSGVO-Verletzung darstellt. Lösung: Google Fonts lokal herunterladen und vom eigenen Server ausliefern.
Google Fonts lokal einbinden: Schritt für Schritt
Das Laden von Google Fonts über das Google CDN (fonts.googleapis.com) überträgt die IP-Adresse jedes Besuchers an US-Server — ohne Einwilligung eine klare DSGVO-Verletzung (LG München, Az. 3 O 17493/20). Die einzige rechtssichere Lösung: Fonts selbst hosten.
- Öffnen Sie google-webfonts-helper.vercel.app
- Schriftart suchen und alle benötigten Schnitte auswählen
- ZIP-Paket mit allen Font-Dateien herunterladen
- Dateien per FTP hochladen:
/wp-content/themes/ihr-theme/fonts/ - Generierten CSS-Code in Ihre
style.cssoderfunctions.phpeinfügen - Alle
<link>-Tags und@import-Aufrufe auffonts.googleapis.comentfernen
Das kostenlose Plugin OMGF automatisiert den gesamten Prozess: Es erkennt alle Google Fonts-Aufrufe, lädt die Dateien lokal herunter und ersetzt alle externen Anfragen automatisch. Empfohlen für Elementor, Divi und andere Page-Builder, die eigene Font-Instanzen laden.
Gravatar & WordPress Emojis deaktivieren
WordPress lädt standardmäßig zwei externe Ressourcen, die IP-Adressen an US-Server übertragen, ohne dass die meisten Betreiber es wissen: Gravatar (Kommentar-Avatare von Automattic/USA) und das WordPress Emoji-Skript (von s.w.org).
| Problem | Lösung |
|---|---|
| Gravatar (Kommentar-Avatare) | Dashboard → Einstellungen → Diskussion → Avatare anzeigen: deaktivieren |
| WordPress Emoji-Skript | In functions.php: remove_action('wp_head', 'print_emoji_detection_script', 7); und remove_action('wp_print_styles', 'print_emoji_styles'); |
| Beide automatisch deaktivieren | Plugin „Disable Emojis (GDPR friendly)“ (kostenlos) oder „Perfmatters“ |
Google Analytics & DSGVO: So geht es richtig
Google Analytics 4 (GA4) ist DSGVO-konform einsetzbar — aber nur unter bestimmten Bedingungen. Die alte Version Universal Analytics (UA) ist seit Juli 2023 abgeschaltet.
- AVV mit Google abschließen
- IP-Anonymisierung aktivieren
- Datenspeicherung auf 14 Monate begrenzen
- Nur nach Einwilligung laden (Cookie-Consent)
- In Datenschutzerklärung erwähnen
- Matomo — selbst gehostet, kein Cookie nötig
- Plausible — EU-Server, kein Cookie
- Fathom — datenschutzfreundlich
- etracker — deutsches Unternehmen
Für kleinere Websites empfehle ich Plausible Analytics (ab 9 $/Monat): kein Cookie-Consent nötig, EU-Server, DSGVO-konform by design, und ein übersichtliches Dashboard. Spart den Cookie-Consent-Aufwand für Analytics komplett.
Kontaktformulare DSGVO-konform gestalten
Kontaktformulare erfassen personenbezogene Daten und müssen entsprechend gestaltet sein. Die häufigsten Fehler und ihre Lösung:
| Anforderung | Umsetzung |
|---|---|
| Datenschutzhinweis | Link zur Datenschutzerklärung direkt beim Formular |
| Minimale Datenerhebung | Nur erforderliche Felder (Name + E-Mail reicht meist) |
| E-Mail-Speicherung | Speicherdauer definieren und in DSE angeben |
| Spam-Schutz | Honeypot statt reCAPTCHA (reCAPTCHA = Google = AVV nötig) |
| Plugin-Auswahl | Contact Form 7 + Flamingo, Gravity Forms oder Forminator |
Auftragsverarbeitungsvertrag (AVV): Wer braucht ihn?
Der Auftragsverarbeitungsvertrag (AVV) ist nach Art. 28 DSGVO Pflicht, sobald Sie personenbezogene Daten durch einen externen Dienstleister verarbeiten lassen. Das betrifft nahezu jede WordPress-Website — denn Hosting, Analytics und Kontaktformulare sind alle Auftragsverarbeitung.
- Hosting-Anbieter (Ionos, Strato, Hetzner, All-Inkl.) — AVV im Kundenportal unter Datenschutz abschließen
- Google Analytics / GA4 — AVV in den Google-Kontoeinstellungen → Datenschutz & Sicherheit → Datenverarbeitung
- Newsletter-Tools (Mailchimp, CleverReach, Brevo) — jeweils im jeweiligen Konto unter Datenschutz/Legal
- Zahlungsanbieter (PayPal, Stripe, Klarna) — AVV-Regelungen sind in den AGB / DPA-Dokumenten enthalten
- E-Mail-Anbieter (Google Workspace, Microsoft 365) — bei Nutzung für geschäftliche Kommunikation
Die gute Nachricht: Die meisten großen Anbieter stellen den AVV als Online-Formular oder standardisiertes DPA-Dokument bereit, das Sie digital unterzeichnen können. Bei Hetzner und Ionos finden Sie den AVV direkt im Kundenportal. Bei Google aktivieren Sie ihn in den Kontoeinstellungen. Bewahren Sie abgeschlossene AVVs dokumentiert auf — Aufsichtsbehörden können diese anfordern.
WordPress DSGVO Checkliste 2026
Diese Checkliste deckt die wichtigsten DSGVO-Pflichten für WordPress-Websites ab. Haken Sie jeden Punkt ab, bevor Sie Ihre Website live schalten:
- ☐ Impressum — vollständig nach § 5 TMG
- ☐ Datenschutzerklärung — alle Verarbeitungsvorgänge abgedeckt
- ☐ Cookie-Consent-Banner — rechtskonform mit Ablehnoption
- ☐ Google Fonts — lokal gehostet, nicht via Google CDN
- ☐ Google Analytics — AVV, IP-Anonymisierung, nur nach Consent
- ☐ Kontaktformular — Datenschutzhinweis, minimale Daten
- ☐ SSL-Zertifikat — HTTPS auf allen Seiten
- ☐ Auftragsverarbeitungsverträge — mit Hosting-Anbieter, Google, Newsletter-Tool
- ☐ Social-Media-Buttons — nur als 2-Klick-Lösung oder nach Consent
- ☐ Eingebettete Videos — YouTube/Vimeo erst nach Einwilligung laden
- ☐ Kommentarfunktion — IP-Speicherung in DSE erwähnen
- ☐ Newsletter — Double-Opt-In, Widerrufsmöglichkeit
Häufige Fragen zur WordPress DSGVO
Gilt die DSGVO auch für private Websites und Blogs? +
Brauche ich für technisch notwendige Cookies keinen Banner? +
Was droht bei DSGVO-Verstößen wirklich? +
Muss ich Google Analytics wegen der DSGVO abschalten? +
Wie oft muss ich die Datenschutzerklärung aktualisieren? +
Fazit: WordPress DSGVO ist lösbar
Die DSGVO klingt kompliziert — ist aber bei WordPress mit den richtigen Maßnahmen gut umsetzbar. Die wichtigsten Schritte: Datenschutzerklärung erstellen, Cookie-Consent korrekt implementieren, Google Fonts lokal laden und alle externen Dienste erst nach Einwilligung aktivieren.
Wer seine WordPress-Website neu aufbauen lässt, sollte DSGVO-Konformität von Anfang an einplanen — nachträgliches Korrigieren ist aufwändiger und teurer als ein sauberer Aufbau von Beginn an.
→ WordPress Website erstellen lassen
→ WordPress Online Shop erstellen lassen