WordPress und DSGVO: Was Sie brauchen, wie Sie es umsetzen und 4 empfehlenswerte Plugins

WordPress und DSGVO gehören bei jeder geschäftlichen Website zusammen. Schon beim Seitenaufruf können IP-Adressen verarbeitet werden. Formulare, Kommentare, Statistikdienste und eingebettete Videos bringen weitere Datenflüsse hinzu. Ein Cookie-Banner allein löst diese Aufgaben nicht: Entscheidend ist, welche Daten Ihre Website tatsächlich verarbeitet, auf welcher Grundlage sie das tut und ob die technische Umsetzung dazu passt.

Dieser Leitfaden zeigt, was Sie für eine datenschutzbewusste WordPress-Website benötigen, wie Sie die wichtigsten Maßnahmen umsetzen und welche vier Plugins dabei sinnvoll unterstützen können. Schwerpunkt sind Unternehmenswebsites und WooCommerce-Shops in Deutschland. Stand: 14. November 2026.

WordPress DSGVO: Was braucht eine Website?

Beginnen Sie mit einer Bestandsaufnahme statt mit einer Plugin-Installation. Für jede Funktion sollten Zweck, Datenarten, Empfänger, Rechtsgrundlage und Aufbewahrung geklärt sein. Die DSGVO verlangt unter anderem zweckgebundene, auf das notwendige Maß beschränkte Verarbeitung und angemessenen Schutz. Auch die interne Organisation gehört dazu. Die DSGVO-Broschüre der BfDI enthält die maßgeblichen Vorschriften.

• Datenübersicht: Hosting, Serverprotokolle, Formulare, Kommentare, Shop, Newsletter, Statistik, externe Medien und eingesetzte Dienstleister erfassen.
• Rechtsgrundlagen: Pro Verarbeitung prüfen, ob beispielsweise Vertrag, gesetzliche Pflicht, berechtigtes Interesse oder Einwilligung einschlägig ist.
• Datenschutzerklärung: Die tatsächlichen Verarbeitungen verständlich beschreiben und die Informationen leicht erreichbar bereitstellen.
• Einwilligungsmanagement: Wo erforderlich, optionale Dienste vor einer wirksamen Zustimmung blockieren.
• Dienstleister und Übermittlungen: Rollen, erforderliche Auftragsverarbeitungsverträge und gegebenenfalls Drittlandtransfers prüfen.
• Sicherheit und Abläufe: Zugriffe begrenzen, Updates einspielen, Daten schützen sowie Auskunft, Löschung und Vorfälle organisatorisch bearbeiten können.

Ein Impressum ist bei vielen Unternehmenswebsites ebenfalls erforderlich, ersetzt jedoch keine Datenschutzerklärung. Welche zusätzlichen Pflichten im Einzelfall bestehen, hängt von Angebot, Datenverarbeitung und Organisation ab.

DSGVO und TDDDG: Wann braucht WordPress einen Cookie-Banner?

In Deutschland sind zwei Ebenen zu unterscheiden: § 25 TDDDG betrifft das Speichern von Informationen auf Endgeräten und den Zugriff darauf. Die DSGVO betrifft die Verarbeitung personenbezogener Daten. Die Zustimmung zu einem Cookie beantwortet deshalb nicht automatisch alle Fragen zur anschließenden Datenverarbeitung.

Für nicht unbedingt erforderliche Speicherungen oder Zugriffe ist grundsätzlich eine Einwilligung nötig. Die Ausnahmen sind eng: Ein Warenkorb kann beispielsweise für die ausdrücklich gewünschte Einkaufsfunktion erforderlich sein. Werbetracking wird nicht allein dadurch erforderlich, dass es für das Marketing nützlich ist. Auch Local Storage und ähnliche Technologien sind zu berücksichtigen. Einzelheiten erläutert der Landesdatenschutzbeauftragte Niedersachsen.

Nicht jede WordPress-Website braucht einen Einwilligungsbanner. Wenn Sie auf einwilligungsbedürftige Technologien verzichten, kann er entbehrlich sein. Informationspflichten und andere Datenschutzanforderungen bleiben bestehen. Die Aussage „Wir setzen keine Cookies“ reicht als Prüfung nicht aus.

So setzen Sie die Einwilligung praktisch um

• Optionale Dienste erst nach der passenden Zustimmung ausführen – auch dann, wenn sie über ein Theme, einen Tag Manager oder ein anderes Plugin eingebunden werden.
• Anbieter, Zwecke und Auswahlmöglichkeiten verständlich erklären; optionale Kategorien nicht vorauswählen.
• Eine klar erkennbare Ablehnung auf der ersten Ebene ermöglichen und die Gestaltung nicht auf Zustimmung ausrichten.
• Einwilligungen nachvollziehbar dokumentieren und einen dauerhaft erreichbaren Weg zum Ändern oder Widerrufen anbieten.
• Nach einer wesentlichen Änderung der Zwecke oder Dienste prüfen, ob eine erneute Einwilligung erforderlich ist.

Bloßes Scrollen oder Weitersurfen ist keine wirksame Zustimmung. Ein ansprechend gestaltetes Banner genügt außerdem nicht, wenn die betreffenden Skripte bereits vorher laden. Maßgeblich ist die Orientierungshilfe der Datenschutzkonferenz zu digitalen Diensten.

DSGVO in WordPress umsetzen: sieben praktische Schritte

1. Datenflüsse und Dienstleister erfassen

Öffnen Sie Ihre Website ausgeloggt und prüfen Sie die tatsächlich geladenen Verbindungen. Vergleichen Sie die Befunde mit der Plugin-Liste: Auch Schriftarten, Kartendienste, Zahlungsanbieter, CDN, Spamfilter und externe Backups können relevant sein. Notieren Sie pro Dienst, welche Informationen wohin fließen. Ein Hostingstandort in Deutschland klärt noch nicht sämtliche Unterauftragnehmer oder Datenzugriffe.

Prüfen Sie mit Ihren Dienstleistern, ob eine Auftragsverarbeitung vorliegt und ein Vertrag nach Artikel 28 DSGVO erforderlich ist. Bei Empfängern außerhalb des Europäischen Wirtschaftsraums ist zusätzlich die passende Übermittlungsgrundlage zu prüfen. Ein Cookie-Plugin übernimmt diese Einordnung nicht. Eine rechtliche Grundlage dafür bietet die BfDI-Gesetzessammlung.

2. Datenschutzerklärung an die echte Website anpassen

Erklären Sie insbesondere Verantwortliche und Kontaktmöglichkeiten, Verarbeitungszwecke und Rechtsgrundlagen, Empfänger, Speicherfristen beziehungsweise Kriterien und Betroffenenrechte. Weitere Angaben können je nach Fall hinzukommen, etwa zu Datenschutzbeauftragten oder Drittlandübermittlungen. Die sächsische Datenschutzaufsicht erläutert die Informationspflichten.

Wählen Sie die Seite unter Einstellungen → Datenschutz aus und verlinken Sie sie im Footer sowie an passenden Erhebungsstellen. WordPress liefert Textvorschläge; diese sind keine vollständige Bestandsaufnahme Ihrer Website. Externe Dienste und nicht unterstützte Erweiterungen müssen Sie ergänzen. Darauf weist auch die WordPress-Dokumentation zum Datenschutz hin.

3. Schriftarten und externe Medien kontrollieren

Binden Sie Webfonts nach Möglichkeit lokal ein und kontrollieren Sie, ob Theme, Builder oder Plugins trotzdem externe Schriftdateien abrufen. Prüfen Sie auch Vorschaubilder, Avatare und Social-Media-Komponenten. Ein lokales Vorschaubild mit einem normalen Link zum Video kann eine einfache Alternative zur direkten Einbettung sein.

Bei einwilligungsbedürftigen Einbettungen sollte ein Platzhalter den Anbieter und die Folgen des Ladens erklären. Erst die passende aktive Auswahl darf die Verbindung freigeben. Testen Sie jede verwendete Einbettungsart: Ein Blocker für WordPress-Embeds erfasst nicht automatisch jeden manuell eingefügten JavaScript-Code.

4. Formulare, Kommentare und Newsletter aufräumen

Fragen Sie nur Angaben ab, die für den jeweiligen Zweck benötigt werden. Markieren Sie optionale Felder und legen Sie fest, wer die Nachrichten erhält und wann sie gelöscht werden. Prüfen Sie auch Kopien im WordPress-Backend, im E-Mail-Postfach und im CRM.

Eine pauschale Pflicht-Checkbox „Ich akzeptiere den Datenschutz“ ist keine universelle Rechtsgrundlage. Bei einer konkreten Angebotsanfrage kann etwa die vorvertragliche Verarbeitung einschlägig sein; die Datenschutzhinweise müssen dennoch zugänglich sein. Trennen Sie eine Newsletter-Anmeldung von der Kontaktanfrage. Für Werbe-E-Mails sind zusätzlich die dafür geltenden Regeln zu beachten; Double-Opt-in hilft, die Anmeldung nachzuweisen.

5. WordPress absichern und Zugriffe begrenzen

Nutzen Sie HTTPS, individuelle Benutzerkonten, passende Rollen und einen zusätzlichen Anmeldeschutz für besonders berechtigte Konten. Entfernen Sie ungenutzte Erweiterungen, schließen Sie Sicherheitslücken durch Updates und schützen Sie Sicherungen vor unberechtigtem Zugriff. Testen Sie auch, ob eine Wiederherstellung funktioniert. Die Maßnahmen müssen zu Art und Risiko der Verarbeitung passen; die sächsische Datenschutzaufsicht erläutert den technischen und organisatorischen Datenschutz.

Backups können ebenfalls personenbezogene Daten enthalten. Bestimmen Sie deshalb Speicherort, Zugriffsrechte und einen sinnvollen Aufbewahrungszyklus. Für den laufenden Betrieb unterstützt Sie unsere WordPress Wartung; organisatorische und rechtliche Aufgaben bleiben zusätzlich erforderlich.

6. Auskunft, Löschung und Aufbewahrung organisieren

Definieren Sie, wer Betroffenenanfragen entgegennimmt, die Identität angemessen prüft und die benötigten Systeme einbezieht. Eine Antwort ist grundsätzlich innerhalb eines Monats erforderlich; gesetzliche Ausnahmen und Verlängerungsmöglichkeiten sind gesondert zu prüfen. Nicht jeder Löschwunsch erlaubt die sofortige Entfernung aller Daten, etwa bei gesetzlichen Aufbewahrungspflichten. Einen Überblick bietet die Datenschutzaufsicht Niedersachsen zu Betroffenenrechten.

Unter Werkzeuge → Personenbezogene Daten exportieren beziehungsweise löschen unterstützt WordPress Teile des Prozesses. Prüfen Sie zusätzlich Postfächer, Newsletteranbieter, Shop-Erweiterungen und sonstige Systeme. Die Werkzeuge erreichen nur Daten, für die entsprechende WordPress- beziehungsweise Plugin-Unterstützung besteht.

7. Consent und Datenflüsse selbst testen

1. Öffnen Sie ein frisches Browserprofil ohne gespeicherte Einwilligungen.
2. Prüfen Sie in den Entwicklerwerkzeugen Netzwerkzugriffe, Cookies und Local Storage vor einer Auswahl.
3. Lehnen Sie optionale Dienste ab und kontrollieren Sie, dass diese blockiert bleiben.
4. Aktivieren Sie nur einen Dienst und prüfen Sie, ob ausschließlich die gewählte Funktion startet.
5. Widerrufen Sie die Auswahl und testen Sie das Verhalten beim erneuten Seitenaufruf.
6. Wiederholen Sie die Prüfung für Videos, Formulare, mobile Ansichten und gegebenenfalls den Checkout.

Dokumentieren Sie Datum, geprüfte Seiten und Ergebnis. Wiederholen Sie den Test nach Änderungen an Plugins, Tracking und Cache-Konfiguration. Ein automatischer Scanner ist eine Hilfe, kann aber nicht alle ausgelösten Funktionen oder die passende Rechtsgrundlage beurteilen.

Vier empfehlenswerte WordPress-Plugins für Datenschutzaufgaben

Die folgenden Empfehlungen beziehen sich auf unterschiedliche Aufgaben. Borlabs Cookie und Complianz sind Alternativen für das Einwilligungsmanagement. Installieren Sie nicht beide gleichzeitig. Zusätzliche Blocker sollten Sie nur einsetzen, wenn die Aufgabe nicht bereits zuverlässig abgedeckt ist. Kein Plugin macht eine Website allein DSGVO-konform.

1. Borlabs Cookie: Einwilligungen und Dienste gezielt steuern

Borlabs Cookie ist eine kostenpflichtige Lösung für Consent-Management und das kontrollierte Laden externer Inhalte. Die Anbieter-Dokumentation beschreibt Scanner, Dienstpakete und Blockierungsfunktionen. Empfehlenswert ist es für Betreiber, die verschiedene Dienste in WordPress ausdrücklich konfigurieren und ihre Freigabe nachvollziehbar steuern möchten.

So einsetzen: Dienstinventar anlegen, vorgeschlagene Pakete auf die eigene Einbindung abstimmen, Bannertexte und Widerruf konfigurieren und anschließend jeden Dienst testen. Ein Scan ersetzt weder die Sichtprüfung noch die juristische Einordnung. Prüfen Sie vor dem Kauf den aktuell benötigten Lizenzumfang.

2. Complianz: Geführter Einstieg ins Consent-Management

Complianz bietet einen Einrichtungsassistenten, Scan-Funktionen und Integrationen zur Steuerung von Cookies, Skripten und Einbettungen. Es gibt eine kostenlose Version und kostenpflichtige Ausstattungen. Die konkrete Funktionsverteilung sollten Sie vor der Auswahl in der aktuellen Produktbeschreibung vergleichen.

So einsetzen: Beantworten Sie die Fragen anhand Ihrer tatsächlichen Website, kontrollieren Sie erkannte Dienste und testen Sie benutzerdefinierte Skripte besonders sorgfältig. Automatisch vorbereitete Dokumente und Kategorien müssen zu Ihren Verarbeitungen passen. Sinnvoll ist das Plugin vor allem, wenn Sie einen geführten Einrichtungsprozess bevorzugen.

3. Embed Privacy: Externe Inhalte erst auf Wunsch laden

Embed Privacy ersetzt unterstützte externe Einbettungen durch Platzhalter und lädt sie nach einer aktiven Auswahl. Es unterstützt unter anderem die WordPress-Embed-Blöcke und bestimmte weitere Einbindungsarten. Das macht es zu einer passenden Lösung für redaktionelle Websites mit Videos oder anderen externen Medien.

So einsetzen: Jede verwendete Einbettung testen, Anbieterhinweise vervollständigen und bei dauerhaft freigegebenen Anbietern den angebotenen Widerrufsweg integrieren. Das Plugin ist kein umfassender Blocker für sämtliche Analyse- und Werbeskripte. Wenn Ihre Consent-Lösung bereits alle Embeds abdeckt, ist ein zusätzlicher Blocker häufig entbehrlich.

4. Antispam Bee: Kommentarspam mit bewusst gewählten Prüfungen reduzieren

Antispam Bee ist ein kostenloses Werkzeug gegen Spam in WordPress-Kommentaren. Es bietet verschiedene Prüfverfahren und ist für Blogs mit aktivierten Kommentaren eine sinnvolle Option. Für Kontaktformulare ist es kein allgemeiner Spamfilter.

So einsetzen: Starten Sie mit den benötigten lokalen Prüfverfahren und kontrollieren Sie zusätzliche Optionen anhand der offiziellen Dokumentation. Länder- oder Sprachprüfungen können je nach Verfahren externe Abfragen auslösen. Bewerten Sie deren Datenflüsse gesondert; die pauschale Aussage „keine externen Dienste“ ist für jede Konfiguration zu weitgehend. Kontrollieren Sie außerdem Speicherfristen für Kommentar- und Spamdaten.

Diese Fehler sollten Sie vermeiden

• Banner ohne Blockierung: Das Banner erscheint, während Tracking bereits beim ersten Aufruf aktiv ist.
• Ungeprüfte Musterdokumente: Die Erklärung nennt Dienste, die nicht eingesetzt werden, oder verschweigt tatsächlich genutzte Anbieter.
• „Cookieless“ als Freibrief: Auch ohne Cookies können personenbezogene Daten verarbeitet oder andere Endgerätezugriffe genutzt werden.
• Consent Mode als Ersatz für Einwilligung: Technische Signale an Google ersetzen nicht die Prüfung von Rechtsgrundlagen, Übermittlungen und tatsächlichen Requests.
• Mehrere überlappende Consent-Plugins: Unterschiedliche Zustände können zu widersprüchlicher Freigabe und schwer nachvollziehbaren Fehlern führen.
• Datenschutz nur im Frontend: Admin-Zugänge, Backups, Supportkonten und Exportdateien werden übersehen.

Checkliste für Ihre WordPress-Website

• Sind alle Dienste und Empfänger bekannt und ihre Zwecke dokumentiert?
• Passt die Datenschutzerklärung zur aktuellen technischen Konfiguration?
• Sind nötige Verträge und mögliche Drittlandübermittlungen geprüft?
• Bleiben einwilligungsbedürftige Dienste vor Zustimmung tatsächlich blockiert?
• Funktionieren Ablehnung, individuelle Auswahl und Widerruf?
• Werden Fonts und Medien wie vorgesehen lokal beziehungsweise kontrolliert geladen?
• Sind Formulare datensparsam und Speicherfristen festgelegt?
• Sind Zugänge, Updates und Sicherungen angemessen organisiert?
• Gibt es einen Ablauf für Betroffenenanfragen und Datenschutzvorfälle?
• Ist die technische Prüfung nach Änderungen eingeplant?

Häufige Fragen zu WordPress und DSGVO

Ist WordPress grundsätzlich DSGVO-konform?

Das lässt sich nicht allein am CMS festmachen. Entscheidend sind die verwendeten Funktionen, Dienstleister, Einstellungen und organisatorischen Abläufe. WordPress stellt dafür einige Hilfsmittel bereit, übernimmt aber nicht die vollständige Umsetzung.

Reicht ein kostenloses Cookie-Plugin?

Das hängt von Ihrer Website ab. Wichtig ist, ob alle benötigten Funktionen zuverlässig abgedeckt und korrekt eingerichtet sind. Der Preis ist kein Nachweis dafür, dass sämtliche Datenschutzanforderungen erfüllt werden.

Darf ich Google Fonts oder YouTube verwenden?

Prüfen Sie die konkrete Einbindung und Datenübermittlung. Lokal gehostete Schriftarten vermeiden den entsprechenden externen Font-Abruf. Bei Videos können Verlinkungen oder korrekt eingerichtete Einwilligungs-Platzhalter geeignete Umsetzungswege sein.

Brauche ich alle vier empfohlenen Plugins?

Nein. Wählen Sie die Werkzeuge passend zum Bedarf. Eine Website ohne Kommentare benötigt keinen Kommentar-Spamfilter. Und wenn Ihr Consent-Manager sämtliche verwendeten Einbettungen bereits zuverlässig abdeckt, brauchen Sie dafür nicht zwingend eine weitere Erweiterung.

Datenschutz in WordPress technisch sauber umsetzen

Eine überschaubare Website mit bewusst ausgewählten Diensten lässt sich leichter prüfen und pflegen. Beginnen Sie mit den Datenflüssen, reduzieren Sie unnötige Funktionen und testen Sie die Umsetzung unter realistischen Bedingungen.

Wir unterstützen Sie bei der technischen Bestandsaufnahme, der Konfiguration von Consent-Lösungen und der Prüfung externer Einbindungen. Sprechen Sie mit uns über Ihre WordPress-Website. Für dauerhafte technische Pflege finden Sie weitere Informationen zu unserer WordPress Wartung.

Dieser Beitrag bietet allgemeine technische und organisatorische Orientierung und ersetzt keine Rechtsberatung zum konkreten Einzelfall. Die rechtliche Bewertung von Texten, Rechtsgrundlagen und Übermittlungen sollte bei Bedarf mit qualifizierter Datenschutzberatung erfolgen. Plugin-Funktionen können sich ändern; maßgeblich sind die aktuelle Dokumentation und Ihre konkrete Konfiguration.