WordPress und Datenschutz – Pflichten und Stolperfallen
Warum die Datenschutzpflichten für jede Website gelten – und wo WordPress eigene Fallstricke mitbringt
Datenschutz ist keine WordPress-Frage. Die Pflichten aus DSGVO und TDDDG gelten für jede Website. WordPress bringt aber eigene Stolperfallen mit: Ein Teil der Datenschutz-Befunde schleicht sich huckepack über Themes und Plugins ein, oft unbemerkt, teils durch Theme-Updates, die installiert, aber in ihrer Wirkung nie geprüft werden. Dazu weiter unten mehr.
In unseren Audits deutschsprachiger Business-Websites ist WordPress das mit Abstand häufigste CMS. Bei 50,4 % der geprüften WordPress-Websites haben wir keine datenschutzrechtlichen Verstöße erkannt (Stand: Juli 2026). Bei 19,9 % haben wir Verbesserungspotenzial erkannt, bei 29,7 % mindestens einen schwerwiegenden Befund. Anders gesagt: Nicht jede der übrigen Websites hat akuten Handlungsbedarf, aber viele haben mindestens einen Ansatzpunkt, den man kennen sollte.
Unsere Datenbasis umfasst über 1,9 Mio. Websites mit einem erkannten Content-Management-System, eine umfangreiche Stichprobe deutschsprachiger Business-Seiten, aber nur ein Ausschnitt des Webs. Die Zahlen zeigen Tendenzen, keine absoluten Marktwerte.
Die folgenden Ausführungen haben wir ausführlich recherchiert; sie stellen jedoch keine Rechtsberatung dar. Die datenschutzrechtliche Bewertung hängt häufig vom konkreten Einsatz ab und bedarf stets der Einschätzung des im Projekt eingebundenen Datenschutzbeauftragten. Statistische Angaben beziehen sich auf die von uns in automatisierten Tests durchgeführten über 3 Mio. Audits.
Welche personenbezogenen Daten WordPress verarbeitet
Schon eine Standard-Installation verarbeitet personenbezogene Daten, auch ohne ein einziges Marketing-Tool. Wer das kennt, kann gezielt vorsorgen:
- Kommentare – Name, E-Mail-Adresse und IP-Adresse werden gespeichert; für die Profilbilder kommt zusätzlich der externe Dienst Gravatar ins Spiel (dazu gleich mehr).
- Kontaktformulare – die eingegebenen Daten werden gespeichert und je nach Plugin per E-Mail oder an einen externen Dienst übertragen.
- Server-Logs – der Webserver speichert IP-Adressen der Besucher, oft länger als nötig.
- Medien-Uploads – Fotos enthalten häufig versteckte Standortdaten, die ungewollt öffentlich werden.
- Nutzerkonten – bei Login-Bereichen und Shops kommen Profil- und Bestelldaten hinzu.
Zwei dieser Verbindungen stellt WordPress schon im Standard her, ganz ohne zusätzliches Theme oder Plugin, und beide enden auf Servern in den USA:
- Gravatar für Profilbilder – für die Avatare neben Kommentaren überträgt WordPress einen Hash der E-Mail-Adresse zusammen mit der IP-Adresse des Besuchers an Gravatar, einen Dienst des US-Anbieters Automattic. Diese Übertragung in die USA ist nach gängiger Rechtsauslegung – ähnlich wie bei extern eingebundenen Google Fonts – voraussichtlich erst nach einer Einwilligung zulässig. Im WordPress-Standard ist Gravatar dennoch aktiv.
- Emoji-Skript im Seitenkopf – WordPress bindet auf jeder Seite ein Emoji-Skript (
wp-emoji-release.min.js) in den Kopfbereich ein und kann darüber Emoji-Grafiken von einem externen Server (s.w.org) nachladen. Auch das läuft standardmäßig mit, solange man es nicht abschaltet.
Tipp zur Umsetzung: Kürzen Sie IP-Adressen in den Server-Logs früh, deaktivieren Sie Gravatar in den Diskussions-Einstellungen, schalten Sie das Emoji-Skript ab (per Code-Snippet oder Plugin) und entfernen Sie Standortdaten beim Bild-Upload. Diese Handgriffe reduzieren die verarbeiteten Daten und die externen Verbindungen spürbar, bevor überhaupt ein zusätzliches Tool ins Spiel kommt.
Schon diese Daten unterliegen der DSGVO: Es sind personenbezogene Informationen, über die Ihre Website Auskunft geben muss. Wer weiß, welche personenbezogenen Daten anfallen, kann sie sparsam halten und in der Datenschutzerklärung korrekt abbilden. Genau hier setzen die meisten Pflichten an, die für jede Website gelten.
Wie sich Befunde über Themes und Plugins einschleichen
Hier liegt die eigentliche WordPress-Besonderheit, und der oben angekündigte Punkt. Viele Datenschutz-Befunde entstehen nicht durch eine bewusste Entscheidung des Betreibers, sondern reisen mit Themes, Page-Buildern und Plugins mit:
- Themes und Page-Builder binden häufig externe Schriftarten, Icon-Bibliotheken oder Kartendienste ein – standardmäßig, ohne Hinweis.
- Plugins stellen eigene externe Verbindungen her: ein Formular bindet einen Spam-Schutz ein, ein Element lädt von einem fremden Server.
- Updates sind der unterschätzte Faktor: Ein Theme-Update kann eine zuvor lokal eingebundene Schriftart wieder auf den externen Server umstellen. Installiert wird das Update schnell – seine Wirkung auf den Datenschutz prüft kaum jemand nach.
So driftet der Datenschutz-Stand einer WordPress-Website mit der Zeit – ähnlich einem Türschloss, das nach jedem Umbau neu geprüft werden will. Tipp zur Umsetzung: Behandeln Sie jedes Theme- und Plugin-Update als Anlass für eine kurze Nachkontrolle der externen Verbindungen, nicht nur als Funktions-Update.
Was in die Datenschutzerklärung einer WordPress-Website gehört
Die Datenschutzerklärung muss nach DSGVO jeden Dienst nennen, der personenbezogene Daten verarbeitet, mit Zweck, Rechtsgrundlage und Speicherdauer. Bei WordPress wird sie oft unvollständig gepflegt, weil neue Plugins stillschweigend neue Datenverarbeitungen hinzufügen.
- Verarbeitungszweck und Rechtsgrundlage je Dienst.
- Speicherdauer – wie lange werden Kommentare, Logs und Formulardaten aufbewahrt.
- Auftragsverarbeitung – für Hosting, Newsletter und externe Dienste ist ein AVV erforderlich; viele Anbieter stellen ihn im Account bereit.
- Empfänger der Daten – jeder externe Dienst, an den Daten fließen, auch ohne Cookie.
Tipp zur Umsetzung: Führen Sie eine kurze Liste aller aktiven Plugins mit der Frage „Welche Daten verlassen hier die Website und wohin?" Gleichen Sie sie dann nach jedem größeren Update mit Ihrer Datenschutzerklärung ab.
Die Datenschutzerklärung lässt sich für WordPress-Websites mit verschiedenen Werkzeugen erstellen, von Generatoren bis zu Plugins, die einen Textbaustein erzeugen. Entscheidend ist nicht das Werkzeug, sondern dass die Erklärung alle tatsächlich verwendeten Dienste und die dabei verarbeiteten personenbezogenen Daten vollständig benennt. Jeder neue Dienst, jedes Formular und jede eingebundene Schriftart müssen dort auftauchen, inklusive der Informationen, wozu die Daten verwendet werden und wie lange sie gespeichert bleiben. Eine veraltete Datenschutzerklärung ist ein eigener Befund, unabhängig davon, wie sauber die übrige Website konfiguriert ist.
Hosting, Serverstandort und Auftragsverarbeitung
Jede WordPress-Website läuft auf einem Server, und schon damit verarbeitet ein fremdes Unternehmen Daten für Sie. Ihr Hoster verarbeitet in Ihrem Auftrag personenbezogene Daten, etwa die IP-Adressen aus den Server-Logs. Die DSGVO verlangt dafür einen Auftragsverarbeitungsvertrag zwischen Ihnen und dem Anbieter.
- Auftragsverarbeitung – ein AVV ist für Hosting, Newsletter-Versand, Backups und jeden externen Dienst nötig, der Daten in Ihrem Auftrag verarbeitet. Viele Anbieter stellen ihn im Kundenkonto bereit, abgeschlossen sein muss er trotzdem aktiv.
- Serverstandort – liegt der Server in der EU, vereinfacht das die Bewertung. Bei Diensten mit Verarbeitung in den USA – wie zuvor bei Gravatar beschrieben – kommt die Frage der Übermittlung in ein Drittland hinzu.
- Backups – auch Sicherungskopien enthalten alle personenbezogenen Daten und gehören in dieselbe Betrachtung, inklusive Speicherort und Aufbewahrungsdauer.
Führen Sie am besten eine kurze Liste aller Unternehmen, die in Ihrem Auftrag Daten verarbeiten: Hoster, Maildienst, Backup-Ziel, externe Tools – und prüfen Sie für jedes, ob ein AVV vorliegt. Diese Liste ist zugleich die Grundlage für Ihr Verzeichnis von Verarbeitungstätigkeiten.
Welche Rechte Ihre Nutzer an diesen Daten haben
Wo personenbezogene Daten verarbeitet werden, räumt die DSGVO den betroffenen Personen Rechte ein, und Ihre Website muss darauf reagieren können. Das betrifft jede WordPress-Installation, sobald Kommentare, Formulare oder Nutzerkonten im Spiel sind. Die Verarbeitung endet nicht mit dem Speichern der Daten, sondern schließt die Pflicht ein, jederzeit Auskunft über sie geben zu können.
- Auskunft – Nutzer dürfen erfragen, welche personenbezogenen Daten Sie über sie verarbeiten. Bei WordPress liegen diese verteilt in Kommentaren, Nutzerkonten und den Tabellen einzelner Plugins.
- Berichtigung und Löschung – falsche Daten müssen korrigiert, nicht mehr benötigte gelöscht werden. WordPress bringt dafür unter „Werkzeuge" eine eigene Export- und Löschfunktion mit.
- Datenübertragbarkeit – auf Wunsch sind die Daten in einem gängigen, maschinenlesbaren Format herauszugeben.
- Widerspruch – gegen bestimmte Verarbeitungen, etwa zu Analyse- und Marketingzwecken, können Nutzer widersprechen.
Selbsttest: Testen Sie einmal selbst eine Auskunfts- und eine Löschanfrage über „Werkzeuge → Daten exportieren" beziehungsweise „Personenbezogene Daten löschen". So sehen Sie, welche Daten WordPress tatsächlich herausgibt, und welche in Plugins liegen, die diese Bordmittel nicht erfassen und die Sie separat berücksichtigen müssen.
Die häufigsten Schwachstellen und wie Sie sie schließen
Drei Schwachstellen erkennen wir auf WordPress-Websites am häufigsten. Wir fassen sie hier knapp zusammen und verweisen für die Umsetzung auf die jeweiligen Detail-Ratgeber:
- Externe Schriftarten – viele Themes laden Google Fonts über externe Server und übertragen dabei die IP-Adresse der Besucher. Das Landgericht München I hat 2022 entschieden, dass dies ohne Einwilligung nicht zulässig ist. Lösung: Schriften lokal ausliefern – Schritt für Schritt im Ratgeber Google Fonts DSGVO-konform einbinden.
- Tracking ohne Einwilligung – Analytics-Dienste werden häufig am Cookie-Banner vorbei geladen. Nach gängiger Rechtsauslegung ist dafür eine vorherige Einwilligung nötig (Art. 6 DSGVO, § 25 TDDDG). Hintergrund im Ratgeber Tracking ohne Einwilligung.
- Unwirksame Cookie-Banner – ein Banner, das angezeigt wird, aber die Skripte nicht blockiert, erfüllt seinen Zweck nicht. Den Selbsttest in zwei Minuten zeigt der Ratgeber Cookie-Banner prüfen.
- WordPress-Shops – mit einem WooCommerce-Shop kommen weitere Datenverarbeitungen hinzu. Ein häufig erkannter Fall ist die Bestellungszuordnung über Sourcebuster, die ungefragt Cookies setzt – Details und Lösung im Ratgeber WooCommerce-Bestellungszuordnung.
Ihr Fahrplan zur datenschutzkonformen WordPress-Website
- Datenbestand klären – welche Daten fallen über Kommentare, Formulare, Logs und Konten an.
- Schriftarten lokal ausliefern – externe Font-Verbindungen abstellen.
- Tracking an die Einwilligung koppeln – Analytics ausschließlich über das Consent-Management laden.
- Cookie-Banner testen – im privaten Fenster ablehnen und prüfen, ob trotzdem Dienste laden.
- Datenschutzerklärung abgleichen – jeden aktiven Dienst mit Zweck und Speicherdauer aufführen.
- Nach jedem Update nachprüfen – kontrollieren, ob ein Theme- oder Plugin-Update externe Verbindungen verändert hat.
Was exatics bei WordPress-Websites prüft
Unser Audit ruft Ihre Website mit einem echten Browser auf, so wie Ihre Besucher sie erleben. Wir erkennen, welche externen Dienste vor und nach dem Cookie-Banner laden, welche Cookies gesetzt werden und ob das Consent-Management greift. Das Ergebnis ist ein Erkennungs-Befund mit konkreten Hinweisen, keine rechtliche Bewertung.
Quellen und Hinweise
- Urteil zu extern geladenen Schriftarten: Landgericht München I (2022).
- Standardverhalten von WordPress zu Gravatar (Übertragung von E-Mail-Hash und IP-Adresse an Automattic) und zum Emoji-Skript: offizielle WordPress-Dokumentation und Quellcode.
- Audit-Daten stammen aus eigenen exatics-Prüfungen deutschsprachiger Business-Websites (automatisierte technische Erkennung, kann Fehler enthalten).
- Die rechtliche Einordnung stellt keine Rechtsberatung dar.