WordPress und DSGVO 2026: der vollständige Compliance-Leitfaden für KMU

Die DSGVO ist acht Jahre alt, und doch bleibt die Mehrheit der KMU-WordPress-Sites teilweise nicht konform. Nicht aus bösem Willen — aus technischer Unkenntnis. Ein hastig hingeworfenes Cookie-Banner, ein Contact Form 7, das Daten ohne Rahmen sendet, Drittanbieter-Plugins, die ohne Ihr Wissen tracken: so viele rechtliche Risiken, die unter der Haube schlummern. Dieser Leitfaden tourt durch die DSGVO-Konformität einer WordPress-Site 2026, ohne unnötigen Jargon.

Seien wir klar über die Einsätze: Die Aufsichtsbehörden haben die Kontrollen verschärft, und Sanktionen zielen nicht mehr nur auf die Giganten. Ein KMU kann für ein nicht konformes Cookie-Banner oder ein Datenleck über ein vernachlässigtes Plugin belangt werden. Die gute Nachricht: Eine WordPress-Site in Konformität zu bringen ist mit einer Methode durchaus erreichbar. Zielgruppe: KMU-Inhaber, Datenschutzbeauftragte und IT-Verantwortliche.

Was sich seit 2018 geändert hat

Die DSGVO selbst hat sich nicht geändert, aber ihre Anwendung hat sich verschärft und präzisiert. Drei große Entwicklungen wiegen 2026:

• Die Cookie-Einwilligung ist streng geworden. Vorbei das „durch Fortfahren stimmen Sie zu“-Banner. Die Einwilligung muss explizit, granular (nach Zweck), so leicht abzulehnen wie anzunehmen und widerrufbar sein. Eine Site, die Tracking-Cookies vor der Einwilligung setzt, verstößt.
• Datentransfers außerhalb der EU werden geprüft. Nach der Invalidierung und Ersetzung transatlantischer Transferrahmen ist die Nutzung eines US-Dienstes (Analytics, Fonts, CDN) ohne angemessene Garantien ein wichtiger Achtungspunkt.
• Die Haftung erstreckt sich auf Auftragsverarbeiter. Sie sind für die Plugins und Drittanbieter-Dienste verantwortlich, die die Daten Ihrer Besucher verarbeiten. „Das macht das Plugin“ ist keine Verteidigung.

Cookies und Tracker: das Ende der impliziten Einwilligung

Das ist der sichtbarste und am häufigsten falsch gehandhabte Punkt. Die Regel 2026: kein nicht-essenzielles Cookie darf vor der expliziten Einwilligung des Nutzers gesetzt werden. Das impliziert:

• Eine echte Consent-Management-Plattform (CMP), kein bloß kosmetisches Banner.
• Die effektive Blockierung von Tracking-Skripten (Google Analytics, Werbe-Pixel, eingebettete Videos), solange keine Einwilligung gegeben ist.
• Granulare Wahlmöglichkeiten: der Nutzer akzeptiert Statistiken, lehnt aber Werbung ab, zum Beispiel.
• Eine Ablehnung so einfach wie die Annahme — ein „Alle ablehnen“-Button auf derselben Ebene wie „Alle akzeptieren“.
• Die Protokollierung der Einwilligung (Beweis, dass Sie sie ordnungsgemäß eingeholt haben).

Viele WordPress-Sites haben ein Banner, das informiert, aber nichts blockiert: das ist genau der Fall, der einer Sanktion aussetzt.

Kontaktformulare: was Contact Form 7 nicht von allein macht

Ein Formular sammelt personenbezogene Daten (Name, E-Mail, manchmal mehr). Contact Form 7, sehr verbreitet, integriert Konformität nicht nativ: Sie müssen sie hinzufügen. Konkret:

• Eine explizite Einwilligungs-Checkbox (nicht vorangekreuzt) mit Zweckangabe und Link zur Datenschutzerklärung.
• Eine definierte Aufbewahrungsdauer: unbegrenzt gespeicherte Nachrichten (via Flamingo zum Beispiel) sind ein Risiko. Planen Sie eine automatische Bereinigung.
• Die Sicherung der Übertragung: Formulardaten dürfen nicht im Klartext übertragen werden.
• Die Minimierung: fragen Sie nur nach wirklich notwendigen Daten.

Drittanbieter-Plugins: die Risikozone

Jedes Plugin, das eine externe Ressource lädt oder Daten verarbeitet, ist ein potenzieller Auftragsverarbeiter. Die häufigen Schuldigen: Google-Fonts von Googles Servern geladen (lokal zu hosten), Karten, Social-Media-Widgets, Chat-Tools, Marketing-Pixel. Das Audit der Plugins ist unerlässlich: für jedes identifizieren Sie, welche Daten es verarbeitet, wohin sie gehen und ob eine Einwilligung erforderlich ist. Ein verlassenes oder ungewartetes Plugin ist ein Doppelrisiko — DSGVO und Sicherheit.

Backups und Datenlokalisierung

Ihre Backups enthalten personenbezogene Daten. Wo sind sie gespeichert? Wenn es auf einer Nicht-EU-Cloud ohne Garantien ist, ist das ein Nicht-Konformitätspunkt. Ebenso das Hosting der Site: ein EU-Host vereinfacht die Konformität erheblich. Die Datenlokalisierung — Site, Backups, Logs, E-Mails — ist integraler Bestandteil des DSGVO-Audits.

Recht auf Löschung in der Praxis

Ein Nutzer kann die Löschung seiner Daten verlangen. In der Praxis auf WordPress bedeutet das, seine Daten überall finden und löschen zu können: Konten, Bestellungen (innerhalb gesetzlicher buchhalterischer Grenzen), Formularnachrichten, Kommentare und Daten in Drittanbieter-Plugins. WordPress bietet native Tools zum Exportieren und Löschen personenbezogener Daten (seit Version 4.9.6) — Sie müssen sie aber konfiguriert und getestet haben. Ein Recht auf Löschung, das Sie technisch nicht ausführen können, ist eine Nicht-Konformität.

Checkliste: 12-Punkte-WordPress-DSGVO-Audit

1. CMP installiert und nicht-essenzielle Cookies vor Einwilligung tatsächlich blockierend.
2. „Alle ablehnen“-Button auf derselben Ebene wie „Alle akzeptieren“.
3. Google Analytics (oder Äquivalent) anonymisiert und an Einwilligung gekoppelt.
4. Externe Fonts und Ressourcen lokal gehostet, wo möglich.
5. Formulare mit expliziter, nicht vorangekreuzter Einwilligungs-Checkbox.
6. Definierte Aufbewahrungsdauer und automatische Nachrichtenbereinigung.
7. Datenschutzerklärung aktuell, klar und zugänglich.
8. Verarbeitungsverzeichnis geführt und aktuell.
9. Audit der Drittanbieter-Plugins und ihrer Datenflüsse.
10. Hosting und Backups in der EU lokalisiert (oder angemessene Garantien).
11. Recht-auf-Löschung-Verfahren getestet und betriebsbereit.
12. Sicherheitsupdates aktuell (eine gehackte Site = Datenleck).

In der Praxis

DSGVO-Konformität einer WordPress-Site ist kein einmalig abzuhakendes Kästchen: Es ist ein zu erhaltender Zustand, der das Rechtliche, das Technische und die Sicherheit kreuzt. Die meisten Nicht-Konformitäten kommen von unsichtbaren technischen Details — ein Skript, das zu früh lädt, ein Plugin, das trackt, ein schlecht lokalisiertes Backup. Ein methodisches Audit bringt sie ans Licht.

Bei Seganiko führen wir WordPress-DSGVO-Konformitäts-Audits im Rahmen unserer Wartungs– und WordPress-Entwicklungs-Leistungen durch. Wir prüfen Ihre Site anhand der 12 Punkte oben und liefern einen priorisierten Konformitätsplan. Das erste Audit ist kostenlos.

Kostenloses WordPress-DSGVO-Audit

Foto via Pexels