Ist meine WordPress-Website DSGVO-konform?

Eine WordPress-Website ist nur dann DSGVO-konform aufgestellt, wenn Datenschutzerklärung, Consent, Plugins und tatsächliche Datenflüsse zusammenpassen. Ein Cookie-Banner allein reicht nicht, wenn externe Dienste schon vor Zustimmung laden.

WordPress ist nicht automatisch datenschutzwidrig. Problematisch wird es durch konkrete Konfigurationen: Tracking, externe Fonts, Karten, Videos, Spam-Schutz, Formular-Plugins, CDN-Anbindungen, Social-Embeds oder Analyse-Tools. Entscheidend ist, was der Browser beim Seitenaufruf wirklich lädt.

Typische DSGVO-Schwachstellen in WordPress

Häufige Prüfpunkte sind:

• Google Fonts oder andere Schriftdateien werden extern geladen
• Analytics, Marketing-Tags oder Pixel starten vor Zustimmung
• Kontaktformulare speichern oder versenden Daten ohne klare Einordnung
• reCAPTCHA, Karten, Videos oder Social-Embeds übertragen Daten an Dritte
• Cookie-Banner blockiert Dienste nicht technisch
• Datenschutzerklärung nennt andere Dienste als die Website tatsächlich nutzt
• Plugins senden Telemetrie, laden externe Skripte oder binden CDN-Dateien ein
• alte Plugins oder Themes erschweren Kontrolle und Updates

Die Datenschutzkonferenz behandelt Cookies, Tracking und ähnliche Technologien in ihrer Orientierungshilfe für Anbieter von Telemedien. Für Cookies und vergleichbare Zugriffe ist zudem § 25 TDDDG relevant, abrufbar bei Gesetze im Internet.

Warum ein Cookie-Banner allein nicht reicht

Ein Banner ist nur die Oberfläche. Entscheidend ist, ob die Website technisch verhindert, dass zustimmungspflichtige Dienste vor der Einwilligung laden. Viele WordPress-Seiten zeigen zwar ein Banner, senden aber bereits beim ersten Seitenaufruf Daten an Analyse-, Schrift-, Karten- oder Marketinganbieter.

Eine technische Prüfung schaut deshalb nicht nur in die Cookie-Tool-Einstellungen, sondern in den Netzwerkverkehr des Browsers: Welche Domains werden kontaktiert? Wann laden Skripte? Was passiert nach Ablehnen, Akzeptieren und Widerruf?

Selbst-Check für WordPress

Ein erster Check:

1. Datenschutzerklärung mit realen Diensten abgleichen.
2. Website im privaten Browserfenster ohne Zustimmung laden.
3. Netzwerk-Tab auf externe Domains prüfen.
4. Formulare, Spam-Schutz und E-Mail-Versand kontrollieren.
5. Google Fonts lokal oder kontrolliert einbinden.
6. Analytics und Marketing-Tags nur passend zur Einwilligung ausspielen.
7. Plugin-Liste auf externe Dienste und Lizenzen prüfen.

Für Google Fonts gibt es im Blog praktische Hinweise zu Divi, DSGVO und lokalen Google Fonts. Für Tracking ist der Artikel zu Cookie-Banner, Consent Mode v2 und GA4 relevant.

Technische Prüfung statt Rechtsberatung

Die Leistungsseite WordPress DSGVO und Datenschutz beschreibt die technische Perspektive: Dienste erkennen, Datenflüsse prüfen, externe Ressourcen reduzieren und Consent technisch richtig umsetzen. Die rechtliche Bewertung sollte bei Bedarf durch Datenschutzbeauftragte oder juristische Beratung erfolgen.