Warum DSGVO bei WordPress kein Nebenthema ist
Ein Cookie-Banner reicht nicht, ein Kontaktformular ist schneller ein Bußgeldrisiko als gedacht, und „mein Hoster kümmert sich schon darum“ stimmt nur teilweise. Wer als Selbstständiger seine WordPress-Seite selbst betreut, muss die DSGVO nicht auswendig kennen – aber drei Baustellen sollte man kennen: Cookie-Banner, Formulare und Hosting. Hier bekommst du keine Rechtsberatung, sondern eine technische Checkliste, mit der du die größten Risiken in ein bis zwei Nachmittagen entschärfst.
Cookie-Banner: Consent vor Skriptausführung, nicht danach
Der häufigste Fehler ist technischer, nicht rechtlicher Natur: Google Analytics, ein Facebook-Pixel oder ein YouTube-Embed laden oft schon, bevor der Besucher überhaupt geklickt hat. Das Banner blinkt zwar auf, im Hintergrund läuft aber längst ein Tracking-Skript. Das ist unabhängig vom Bannertext problematisch, weil die Einwilligung erst nach der Datenverarbeitung eingeholt wird.
- Nutze ein Consent-Management-Plugin, das Skripte tatsächlich blockiert, bis der Besucher zustimmt – etwa Real Cookie Banner, Complianz oder Borlabs Cookie. Ein reines „Banner-Overlay“ ohne technische Blockade reicht nicht.
- Biete echte Kategorien an (notwendig, Statistik, Marketing) mit granularer Auswahl statt nur „Alle akzeptieren“.
- Vermeide Dark Patterns: „Ablehnen“ muss genauso leicht erreichbar sein wie „Alle akzeptieren“, nicht versteckt in den Einstellungen.
- Google Fonts, Google Maps und ähnliche Drittanbieter-Einbindungen lokal hosten oder per Proxy einbinden – das reduziert nicht nur Cookie-Probleme, sondern auch die direkte Datenübertragung an Drittanbieter-Server beim reinen Seitenaufruf.
Formulare: Wer die Daten sieht, braucht einen Vertrag
Kontakt- und Anfrageformulare sind die unscheinbarste Datenschutzfalle, weil sie so alltäglich wirken.
- Prüfe, wohin die Formulardaten fließen. Bleiben sie lokal in der WordPress-Datenbank (z. B. bei Contact Form 7 mit lokalem Speicher), ist das Risiko geringer als beim Versand über einen Cloud-Dienst des Plugin-Anbieters. Läuft Cloud-Verarbeitung mit, brauchst du einen Auftragsverarbeitungsvertrag (AVV) mit diesem Anbieter.
- Frage nur ab, was du wirklich brauchst – Datenminimierung ist kein Bonus, sondern Pflicht. Ein Kontaktformular braucht selten Geburtsdatum oder Firmengröße.
- Newsletter-Anmeldungen über ein Formular brauchen ein Double-Opt-In: Die Adresse darf erst nach Bestätigung per Klick in die Liste, ein direktes Eintragen reicht nicht.
- Kläre, wie lange Formulareinsendungen gespeichert bleiben. Viele Plugins speichern dauerhaft in der Datenbank, ohne dass jemand je aufräumt – ein Löschkonzept mit fester Aufbewahrungsdauer gehört dazu.
- SSL-Verschlüsselung ist Grundvoraussetzung, aber 2026 eigentlich Standard – trotzdem einmal gegenprüfen, gerade bei älteren Installationen mit gemischten Inhalten.
Hosting: Serverstandort, AVV und Backups
Der Server läuft im Hintergrund, deshalb wird er beim Datenschutz gern vergessen – dabei ist er die Basis für fast alles andere.
- Schließe einen Auftragsverarbeitungsvertrag mit deinem Hoster ab. Die meisten deutschen und europäischen Anbieter stellen das inzwischen direkt im Kundenportal zum Online-Abschluss bereit.
- Bevorzuge Server mit Standort in der EU. Bei US-Anbietern oder US-nahen CDN-/Backup-Diensten lohnt ein Blick auf Standardvertragsklauseln und Zusatzmaßnahmen.
- Prüfe die Logfile-Konfiguration: IP-Adressen kürzen oder anonymisieren und eine begrenzte Aufbewahrungsdauer festlegen, statt Logs unbegrenzt vorzuhalten.
- Backup-Plugins sind ein blinder Fleck: Viele schieben Sicherungskopien automatisch in einen US-Cloud-Speicher (Dropbox, Google Drive), ohne dass das bewusst entschieden wurde. Backup-Ziel und -Standort gehören auf die Checkliste, nicht nur die Backup-Häufigkeit.
Checkliste zum Sofort-Umsetzen
- Cookie-Banner testen: Läuft im Browser-Netzwerk-Tab wirklich kein Tracking-Skript vor dem Klick?
- Google Fonts/Maps/Embeds auf lokale oder datenschutzfreundliche Alternativen prüfen
- Formular-Plugin und Versandweg der Daten dokumentieren, AVV bei Cloud-Versand einholen
- Double-Opt-In für jede Newsletter-Anmeldung verifizieren
- AVV mit Hoster abschließen (falls noch nicht vorhanden)
- Backup-Ziel prüfen und Serverstandort dokumentieren
Fazit
Keiner dieser Punkte erfordert eine Kanzlei oder ein großes Budget – die meisten lassen sich an einem Nachmittag technisch umsetzen, wenn man weiß, wo man suchen muss. Wer bei Formular-AVV oder Serverkonfiguration unsicher ist, sollte sich an dieser Stelle lieber einmal zusätzlich technischen Rat holen, statt zu raten.
