Ist meine WordPress-Website DSGVO-konform? Die Checkliste

Vorweg, damit es klar ist: Ich bin kein Anwalt, und dieser Beitrag ist keine Rechtsberatung. Was ich beitragen kann, ist die technische Seite — welche Stellen einer WordPress-Installation in der Praxis Probleme machen und wie man sie findet.

Denn die meisten Verstöße, die ich bei Übernahmen sehe, sind keine Rechtsfragen. Es sind Plugins, die etwas nachladen, von dem der Betreiber nichts weiß.

Die fünf häufigsten Fundstellen

1. Schriften von externen Servern

Bindet Ihr Theme Google Fonts direkt von Googles Servern ein, wird bei jedem Seitenaufruf die IP-Adresse des Besuchers dorthin übertragen — ohne Einwilligung. Das Landgericht München hat dazu 2022 entschieden, und seither wandern Abmahnschreiben durchs Land.

Die Lösung ist technisch banal: Schriften lokal einbinden. In den meisten Themes und in Elementor lässt sich das umstellen; sonst erledigt es ein Plugin. Prüfen lässt es sich in einer Minute, siehe unten.

2. Cookie-Banner, das keine echte Wahl lässt

Ein Banner mit einer großen grünen Schaltfläche „Alle akzeptieren“ und einem grauen Textlink „Einstellungen“ erfüllt die Anforderungen nicht. Ablehnen muss genauso einfach sein wie Zustimmen — gleiche Ebene, gleiche Gewichtung.

Zweiter Klassiker: Das Banner erscheint, aber die Werkzeuge laden trotzdem schon. Dann ist das Banner Dekoration.

Und der dritte: Ein Banner, obwohl die Seite gar keine einwilligungspflichtigen Cookies setzt. Das kostet Sie unnötig Besucher.

3. Analyse und Tracking vor der Einwilligung

Google Analytics, Meta-Pixel, Hotjar und ähnliche Werkzeuge dürfen erst nach aktiver Einwilligung geladen werden. In WordPress passiert der Fehler oft über Umwege: ein Plugin für Bewertungssterne, ein eingebettetes Video, ein Chat-Fenster.

Wenn Sie nur wissen wollen, welche Seiten gelesen werden, kommen Sie oft ohne Einwilligung aus — mit serverseitiger Statistik oder einem Werkzeug wie Matomo in EU-Hosting und ohne Cookies.

4. Kontaktformular ohne saubere Grundlage

• Datenschutzhinweis mit Verlinkung direkt am Formular.
• Nur die Felder, die Sie wirklich brauchen. Die Telefonnummer als Pflichtfeld ist selten begründbar.
• Kein automatischer Eintrag in einen Newsletter-Verteiler — dafür braucht es eine eigene Einwilligung mit Double-Opt-in.
• Keine Weitergabe an ein US-Werkzeug ohne Vertrag und Prüfung.
• Ein Löschkonzept: Formulareinsendungen, die seit drei Jahren in der Datenbank liegen, gehören gelöscht.

5. Eingebettete Inhalte

YouTube-Videos, Google Maps, Schriftsymbole, Social-Media-Feeds: Jedes eingebettete Element baut beim Seitenaufruf eine Verbindung zu einem fremden Server auf. Entweder Sie holen vorher die Einwilligung ein — etwa über eine Vorschaubild-Lösung, die erst auf Klick lädt — oder Sie hosten selbst.

Was außerdem dazugehört

• Verschlüsselung. HTTPS auf allen Seiten, ohne gemischte Inhalte. Sonst warnt schon der Browser.
• Auftragsverarbeitungsverträge mit Hoster, Newsletter-Dienst, Analysewerkzeug und Backup-Speicher.
• Verzeichnis der Verarbeitungstätigkeiten. Auch kleine Unternehmen brauchen es in aller Regel.
• Datenschutzerklärung, die zur Technik passt. Eine Erklärung, in der Dienste stehen, die es nicht mehr gibt, ist genauso ein Problem wie eine fehlende.
• Backups mitdenken. In jeder Sicherung stecken personenbezogene Daten. Wo die liegt und wie lange, gehört ins Konzept — dazu mein Beitrag zum WordPress-Backup.

Die Sache mit den US-Diensten

Seit Juli 2023 gibt es das EU-US Data Privacy Framework. Zertifizierte US-Anbieter gelten damit als angemessenes Datenschutzniveau, was den Einsatz von Google, Meta und ähnlichen Diensten grundsätzlich wieder zulässig macht.

Das Europäische Gericht hat die erste Klage dagegen am 3. September 2025 abgewiesen. Die Berufung liegt seit Oktober 2025 beim Europäischen Gerichtshof und ist nicht entschieden — also genau bei dem Gericht, das die beiden Vorgängerregelungen gekippt hat.

Praktisch heißt das: Das Framework gilt, aber es wäre unklug, die gesamte Infrastruktur allein darauf zu stützen. Wo es eine europäische Alternative gibt, die dasselbe leistet, nehme ich sie — bei Statistik und Newsletter ist das ohne Komfortverlust möglich. Wo nicht, sollten Standardvertragsklauseln als zweite Grundlage vorliegen.

So prüfen Sie Ihre Seite in zehn Minuten

1. Browser öffnen, Entwicklerwerkzeuge starten (F12), Reiter „Netzwerk“, Seite neu laden.
2. Nach fonts.gstatic und fonts.googleapis filtern. Treffer heißt: Schriften kommen von Google.
3. Nach google-analytics, googletagmanager, facebook und doubleclick filtern — bevor Sie im Banner auf etwas geklickt haben. Treffer heißt: Es lädt vor der Einwilligung.
4. Im Banner auf „Ablehnen“ klicken und die Prüfung wiederholen. Es darf danach nichts mehr kommen.
5. Alle gefundenen fremden Domains mit Ihrer Datenschutzerklärung abgleichen. Was lädt, muss dort stehen.

Das findet den Großteil der technischen Probleme. Die rechtliche Bewertung gehört danach in die Hände von jemandem mit entsprechender Zulassung.

Was die DSGVO nicht ist

Sie ist kein Grund, auf Statistik zu verzichten, und kein Grund für ein Banner auf jeder Seite. Sie verlangt, dass Sie wissen, welche Daten Ihre Website verarbeitet, warum, und wie lange. Die meisten Websites scheitern nicht an der Vorschrift, sondern daran, dass niemand weiß, was das eigene System eigentlich tut.

Übrigens kommt gerade eine zweite Pflicht dazu, die technisch ähnlich gelagert ist: die Barrierefreiheit. Was da auf Sie zukommt, steht in den Webdesign-Trends 2027.

Häufige Fragen

Gibt es ein Plugin, das meine Seite DSGVO-konform macht?

Nein. Ein Consent-Werkzeug kann das Einholen der Einwilligung technisch sauber lösen — das ist ein Baustein, nicht die Lösung. Verträge, Löschfristen und die Datenschutzerklärung erledigt kein Plugin.

Wie hoch ist das Abmahnrisiko wirklich?

Bei Google Fonts war die Welle real und hat viele kleine Betreiber getroffen. Bei den übrigen Punkten ist das Risiko geringer, aber vorhanden — insbesondere, wenn ein Wettbewerber oder ein verärgerter Besucher hinsieht. Der Aufwand, die Technik in Ordnung zu bringen, ist in jedem Fall kleiner als der Ärger danach.

Darf ich Google Analytics einsetzen?

Mit korrekt eingeholter Einwilligung, IP-Anonymisierung und den nötigen Verträgen: nach aktuellem Stand ja. Ob Ihnen das die Abhängigkeit von einem laufenden Gerichtsverfahren wert ist, ist eine unternehmerische Entscheidung.

Gilt das auch für meine kleine Firmenwebsite?

Ja. Die DSGVO kennt bei den Grundpflichten keine Untergrenze nach Unternehmensgröße. Erleichterungen gibt es nur an einzelnen Stellen, etwa beim Datenschutzbeauftragten.

Fazit

DSGVO-Konformität ist zu neunzig Prozent Inventur: Finden Sie heraus, was Ihre Website lädt und speichert. Danach ist die Hälfte der Probleme ein Häkchen in einer Einstellung.

Wenn Sie den technischen Teil nicht selbst durchgehen möchten: schreiben Sie mir kurz, dann sehe ich mir Ihre Installation an. Wie ich Websites von vornherein aufsetze, damit die Frage gar nicht erst aufkommt, steht unter WordPress-Webdesign.