WordPress und die DSGVO: Darauf müssen Sie achten

Die EU-Datenschutzgrundverordnung (DSGVO) ist nun schon seit ein paar Jahren in Kraft, doch viele Website-Betreiber haben immer noch damit zu kämpfen. Was genau regelt die Verordnung, welche Anforderungen stellt sie an den Datenschutz – und was müssen Sie tun, um rechtlich auf der sicheren Seite zu sein? Das und mehr klären wir in diesem Artikel.

Bei der Datenschutz-Grundverordnung (DSGVO), die seit dem 25. Mai 2018 in der gesamten EU in Kraft ist, handelt es sich um eine umfassende Verordnung zum Schutz personenbezogener Daten. Sie soll die Art und Weise, wie personenbezogene Daten innerhalb der EU verarbeitet werden, vereinheitlichen und den Menschen mehr Kontrolle über ihre persönlichen Daten geben. Den Gesetzestext finden Sie hier.

Die DSGVO betrifft praktisch jede Organisation, die personenbezogene Daten von Personen in der Europäischen Union verarbeitet. Dazu zählen:

Natürlich müssen somit alle Websites, Online-Shop-Plattformen und andere Online-Dienste, die personenbezogene Daten von EU-Bürgern erfassen oder verarbeiten, die Vorschriften der DSGVO befolgen.

Unter personenbezogenen Daten im Sinne der DSGVO versteht man im Allgemeinen folgende Daten von Einzelpersonen:

Grundsätzlich reicht die Möglichkeit der Identifizierbarkeit aus, damit Daten als personenbezogen klassifiziert werden können. Ein Name ist dafür gar nicht zwingend notwendig: Auch wenn ein vermeintlich anonymer Nutzer über ein Pseudonym Informationen an Sie weitergibt, handelt es sich durch die Verarbeitung seiner IP-Adresse – und gegebenenfalls auch durch das Pseudonym – um personenbezogene Daten.

Besonders relevant für Webseitenbetreiber: Auch Kaufverhalten, Surfverhalten und Klickverhalten sind personenbezogene Daten, da die IP-Adresse des Besuchers verarbeitet wird und diese ist schließlich einzigartig. Daher braucht streng genommen jede Webseite eine Datenschutzerklärung, denn vom Hoster wird die IP verarbeitet, was laut DSGVO bereits ein datenschutzrelevanter Vorgang ist.  

In weiten Teilen ersetzt die DSGVO das alte Bundesdatenschutzgesetz, das aber nach wie vor ebenfalls in Deutschland gültig ist. So war es bereits laut Bundesdatenschutzgesetz verboten, personenbezogene Daten zu erheben und zu verarbeiten, sofern keine vorherige Einwilligung vorlag.

Das Thema Informationspflicht und Einwilligung ist also eigentlich nicht erst seit der DSGVO relevant. Allerdings wurde es durch Webseitenbetreiber in der Vergangenheit oft ignoriert und nicht so streng gehandhabt. Der Grund lag schlichtweg darin, dass die Bußgelder für große Unternehmen überschaubar waren.

Die nun möglichen Bußgelder haben sich mit der DSGVO deutlich erhöht (laut TÜV Nord sind bis zu 20 Millionen oder bei Unternehmen bis zu 4 % des weltweiten Konzernumsatzes eines Webseitenbetreibers möglich).

Kommen wir zur Rolle der DSGVO in WordPress-Projekten aller Art. In diesem Kapitel klären wir vor allem vier Fragen:

Die kurze Antwort: im Prinzip alle. Wie bereits erwähnt verarbeitet der Hoster nämlich selbst bei einer leeren Seite die IP-Adresse des Besuchers. Ein Datenschutzhinweis ist somit immer erforderlich.

Zudem benötigt jede Form der Datenverarbeitung auf Ihrer WordPress-Website eine rechtliche Grundlage. Fehlt diese, ist die Verarbeitung der Daten nicht gestattet.

Alle Bereiche Ihrer Website, die datenschutzrechtlich relevant sind, sollten in Ihrer Datenschutzerklärung detailliert und transparent aufgeführt werden. Explizit geht es dabei vor allem um folgende Aspekte:

Falls Sie Daten auf Ihrer Website verarbeiten, für die keine klare Rechtsgrundlage ersichtlich ist, sollten Sie sorgfältig prüfen, ob diese Verarbeitung tatsächlich rechtskonform ist.

Um alle Pflichten der neuen DSGVO zu erfüllen, müssen Sie eine Reihe von Grundsätzen einhalten, die nichts mit der WordPress-Installation an sich zu tun haben:

Eine umfassende Datenschutzerklärung, die alle relevanten Datenschutzaspekte abdeckt, kann schnell viele Seiten füllen – und das muss sie in der Praxis meist auch. Wir verraten, was unbedingt enthalten sein muss und wie Sie auch ohne großen Aufwand eine gute Datenschutzerklärung auf Ihrer WordPress-Website integrieren können.

Folgende Inhalte müssen Sie in der Datenschutzerklärung Ihrer WordPress-Website unbedingt berücksichtigen:

Den praktischen Teil der Erstellung Ihrer Datenschutzerklärung, nämlich die Einrichtung einer entsprechenden Unterseite auf Ihrer WordPress-Website, macht WordPress ziemlich einfach. Navigieren Sie dafür im WordPress-Dashboard einfach zu Einstellungen > Datenschutz.

Hier können Sie mit einem Klick auf „Erstellen“ automatisch eine Seite zur Datenschutzerklärung einrichten. Dabei haben Sie die Wahl, ob Sie eine komplett neue Unterseite erstellen oder eine bestehende Seite verwenden möchten.

WordPress füllt Ihre Datenschutz-Seite automatisch mit grundlegenden Inhalten, Sie sollten sie jedoch im nächsten Schritt weiter anpassen. Nur so können Sie sicherstellen, dass auch wirklich alle für Ihre Website relevanten Aspekte abgedeckt werden.

Neben rechtlichen Herausforderungen gibt es für WordPress-Nutzer auch technische Hürden, die die Einhaltung der Auskunfts- und Informationspflichten erschweren. Beispielsweise ist es nicht immer einfach, ein Pop-up einzurichten, das Nutzer über Cookies oder andere datenschutzrelevante Vorgänge informiert und ihre Zustimmung einholt.

Zum Glück gibt es für WordPress viele Plugins, die diese technischen Herausforderungen einfach und effizient lösen können. Einige Plugins stellen wir Ihnen hier kurz vor (eine Anleitung zur Plugin-Installation bei WordPress finden Sie hier):

Beim WP DSGVO Tools Plugin handelt es sich um ein Rundum-Sorglos-Paket für die Umsetzung aller DSGVO-Richtlinien. Es bietet bereits vorformulierte rechtskonforme Texte für die Datenschutzerklärung, die nur angepasst werden müssen, und ermöglicht zudem die konforme Einrichtung von Google Analytics und Facebook-Pixeln.

Darüber hinaus ist das Recht auf Vergessenwerden bereits implementiert und Sie können den Zeitraum für die Datenlöschung selbst festlegen. In der Kommentarfunktion wird eine Checkbox hinzugefügt, die die Zustimmung erfordert, wenn Nutzer Beiträge veröffentlichen. Außerdem gibt es eine rechtssichere Pseudonymisierung, kostenlose Updates und zusätzliche Tipps und Hinweise.

In der Premium-Version kommen zahlreiche Features wie Integrationen von WooCommerce oder BuddyPress oder auch das wichtige Pop-up für Cookies hinzu.

Bei Delete Me handelt es sich um ein sehr einfaches Plugin, das es Nutzern erlaubt, ihr Konto selbst zu löschen.

Cookie Notice ist ein kostenloses Plugin, mit dem Sie ein kleines Pop-up erzeugen können, das direkt beim Besuch der Seite angezeigt wird. Anwender müssen dabei dem Datenschutzhinweis zustimmen und damit erlauben, dass Cookies auf ihrem Rechner abgelegt werden dürfen.

Sie können die Nachricht anpassen; zudem gibt es verschiedene Arten von Cookies und individuelle Anpassungsmöglichkeiten. Beispielsweise lässt sich einstellen, dass die Seite nach Akzeptieren der Cookies neu geladen werden soll. Ein Link zur Datenschutzerklärung lässt sich ebenfalls einbauen.

Sie betreiben eine WordPress-Website? Dann sind Sie dazu verpflichtet, sich an die Datenschutz-Grundverordnung (DSGVO) zu halten und sicherzustellen, dass personenbezogene Daten der Nutzer korrekt verarbeitet und geschützt werden. Sie müssen die Nutzung dieser Daten in einer umfassenden Datenschutzerklärung transparent darlegen, Einwilligungen von Website-Besuchern für Cookies und Tracking einholen und die Sicherheit von Nutzerdaten gewährleisten.

Glücklicherweise sind Sie bei alldem nicht auf sich allein gestellt. Im WordPress-Dashboard können Sie per Mausklick eine Datenschutz-Seite erstellen und im Anschluss anpassen. Zudem gibt es unzählige Datenschutzerklärungs-Generatoren, mit denen Sie benutzerdefinierte Datenschutz-Texte erstellen können, sowie nützliche WordPress-Plugins.