dsgvo und wordpress technische massnahmen

DSGVO & WordPress: Technische Maßnahmen, die du jetzt umsetzen solltest

Am 25.05.2018 ist die EU-DSGVO in Kraft getreten. Wir zeigen dir die technischen Maßnahmen, die du umsetzen solltest, um deine WordPress-Webseite rechtssicher zu betreiben. Ohne auf den Panik-Zug aufzuspringen, bieten wir dir eine Übersicht der technischen Vorkehrungen, die wir vor dem Hintergrund der DSGVO als wichtig erachten.

Aktualisiert am 21.08.2018

Update Info: Wir haben unsere gesammelte Erfahrung bei der Umstellung von RAIDBOXES auf die Anforderungen der DSGVO in einem kostenlosen WordPress DSGVO-Guide zusammengefasst. Dieser beinhaltet auch die technischen WordPress-Maßnahmen dieses Artikels.

Disclaimer: Unser Blogbeitrag ist keine Rechtsberatung! Im Rahmen unserer Arbeit als WordPress-Hoster haben wir uns sehr intensiv mit den geltenden deutschen Datenschutzbestimmungen und der kommenden EU-DSGVO beschäftigt. Wir sind aber weder Juristen noch Datenschutz-Experten. Für die Vollständigkeit, Aktualität und Richtigkeit der von von uns bereitgestellten Maßnahmen und Inhalte wird keine Haftung von uns übernommen.

Automattic WordPress Plugins

DSGVO-bedenkliche WordPress-Plugins entfernen und mit DSGVO-konformen Alternativen ersetzen

Selbst alle Plugins, die vom kommerziellen WordPress-Unternehmen Automattic selbst zur Verfügung gestellt werden, benötigen eine gültige Verbindung zu wordpress.com und damit auch eine direkte Verbindung nicht nur deiner Daten, sondern auch z.B. die persönlichen IP deiner Webseitenbesucher. Sie sind das perfekte Beispiel für die Art von Plugins, die du seit dem 25. Mai 2018 besser mit einer EU-DSGVO-konformen Alternative ersetzt – zumindest bis die Hersteller eine rechtskonforme Version ihrer Plugins veröffentlichen.

Exemplarisch stehen folgende Automattic WordPress-Plugins für alle Vertreter ihrer jeweiligen Sparte im WordPress Plugin-Verzeichnis als Beispiel für diesen Artikel:

Um deine Webseite weiterhin deinen Ansprüchen entsprechend betreiben zu können, kannst du auf folgende Alternativen zurückgreifen, die keinerlei persönliche Daten deiner Besucher weitergeben.

Anonyme Besucher-Statistiken erheben

Auch wir möchten natürlich gerne wissen, was auf unserer Webseite besonders gut funktioniert, was gerne gelesen oder geteilt wird, wie lange Besucher verweilen oder wie hoch die Absprungrate ist. Mit der EU-DSGVO wird die Gesetzeslage noch ein wenig verschärft. Du musst wie bereits unter der vorigen deutschen Datenschutzgrundverordnung jeden Besucher deiner Webseite vollständig anonymisieren. Jedoch dürfen darüber hinaus keine persönlichen Daten an andere Dienste übertragen werden.

Aus diesem Grund empfehlen wir Statify, damit alle anonymisierten personenbezogenen Daten auf deiner Webseite verbleiben und an keine weiteren Dienste weitergegeben werden.

Laut Angaben der Entwickler von Statify verarbeitet, versendet und speichert das Plugin keinerlei personenbezogene Daten, wie Cookies oder IP-Adressen außerhalb deiner Webseite.

Rechtskonforme Avatare für Blog und Kommentare verwenden

Avatar Privacy von Johannes Freudendahl bietet für die Umsetzung der DSGVO folgende Features an: Zum einen wird der Hash von E-Mail-Adressen nicht veröffentlicht, wenn es dazu keinen Gravatar-Account gibt. Zum anderen bietet es einen Opt-in bzw. ein Opt-out für die Anzeige des Gravatars bei Kommentaren und im Nutzerprofil. Außerdem liefert das Plugin neue Standard-Avatare mit, die vom lokalen Server an Stelle der gravatar.com Server in den USA geladen werden.

Eine Alternative ist es, die Gravatare auf der eigenen Webseite vollständig zu deaktivieren:

Um Gravatar allerdings vollständig in WordPress zu deaktivieren, musst du noch folgende Einstellungen im WordPress Admin-Bereich unter dem Menüpunkt “Einstellungen” tätigen: Scrolle im Untermenü unter Diskussionen ganz nach unten, bis du den Bereich Avatare erreicht hast. Anschließend deaktivierst du das Auswahlfeld: „Avataranzeige – Zeige Avatare“. Klicke auf Speichern um die Einstellungen zu übernehmen und lösche den Cache deiner Seite. Nun sollte deine Webseite nicht mehr mit wordpress.com kommunizieren.

Double-Opt-In-Verfahren für Kommentare

Hier ist vorab gesagt, dass die Benachrichtigung von weiteren Kommentaren zum eigenen Kommentar bereits voraussetzt, dass Daten weitergegeben werden. Wenn du eine negative Interpretation dieser „Grauzone“ ausschließen möchtest, nutze das kostenlose Plugin Subscribe to Double-Opt-In Comments. Dadurch muss der Besucher vorab aktiv bestätigen, dass er wirklich Benachrichtigung über Folgekommentare erhalten möchte.

Antispam-Schutz auf die eigene Webseite beschränken

Antispam Bee lässt sich DSGVO-konform nutzen, wenn du folgende Einstellung des Plugins beachtest: Die Funktion “Öffentliche Spamdatenbank berücksichtigen“ muss deaktiviert sein, um zu verhindern, dass die IP-Adressen deiner Besucher an den Dienst Stop Forum Spam übermittelt werden. Der Sprachfilter, welcher die Google-API verwendet, ist entgegen der Vermutung vieler Datenschutz-technisch unproblematisch:

Wurde der Sprachfilter aktiviert, werden die ersten zehn Worte jedes Kommentars an den Google Dienst zur Spracherkennung gesendet. Drei Worte des Kommentar-Inhalts. Nicht die E-Mail-Adresse, nicht der Name der kommentierenden Person, nicht die IP-Adresse. Unterm Strich: keine personenbezogenen Daten und damit auch kein Problem. – Simon Kraft, Mitglied des Pluginkollektivs

WordPress-Backup-Plugins mit alternativen Lösungen ersetzen

Um der Übertragung von personenbezogenen Daten auf bspw. US-Server entgegenzuwirken und als positiven Nebeneffekt weitere Performance-Kapazitäten deiner Webseite freizumachen, empfehlen wir, auf spezielle WordPress-Backup-Plugins zukünftig zu verzichten.

Eine bessere Alternative ist das Nutzen von automatischen WordPress-Backups über deinen WordPress-Hoster wie z.B. bei RAIDBOXES.

Webserver-Caching statt WordPress-Caching-Plugin nutzen

Viele Caching-Plugins, auch das von Automattic, machen einen guten Job, wenn es darum geht, deine Webseite zwischenzuspeichern. Durch das Caching kann die Webseite schneller ausgeliefert werden. Allerdings geht das Zwischenspeichern auch mit Kontrollverlust über die Daten einher.

Eine rechtssichere Alternative, die zudem dafür sorgt, dass die Performance-lastigen Plugins verschwinden, ist es, den serverseitigen Cache spezialisierter WordPress-Hoster zu nutzen.

Der Vorteil: Die Daten werden bereits beim Ausliefern gespeichert und befinden sich zumindest bei RAIDBOXES nur auf deutschen Servern mit garantierter ISO 27001-Zertifizierung.

Social Media WordPress DSGVO konform

Problematische Social Plugins, wie der Facebook Like Button, Like Box oder Twitter Widgets, unterbinden

Share-Dienste verwenden häufig schon Daten, sobald sich deine Besucher auf der Webseite mit aktivem Social Plugin befinden. Auch, wenn ein Nutzer noch gar nichts geteilt hat, werden die Daten bereits weitergegeben. Dies ist noch weitestgehend unbekannt, im Sinne der DSGVO allerdings kritisch. Bei der Recherche nach rechtskonformen Lösungen sind wir nur auf ein einziges kostenloses Social Plugin gestoßen, was die Weitergabe von Daten noch vor deinem Klicken eines Share-Buttons verhindert.

Wir empfehlen daher zum jetzigen Zeitpunkt, integrierte Twitter Widgets, Facebook Like Buttons oder das Like Box Widget zu löschen und für Sharing-Buttons in Beiträgen auf das Social Plugin von Shariff Wrapper zu setzen.

Formulare DSGVO WordPress

Kontaktformular-Plugins wie z.B. Contact Form 7 & Gravity Forms auch mit der EU-DSGVO nutzen

Neue Anforderungen an Kontaktformulare

Laut der Datenschutz-Grundverordnung setzt das Versenden eines Formulars die Einwilligung des Versenders voraus. Als Daten gelten nicht nur die persönliche IP, sondern auch die E-Mail-Adresse und der Inhalt an sich. Ein Opt-In für die Zustimmung der Datenspeicherung lässt sich per zusätzlicher Acceptance Checkbox bei Contact Form 7 und Gravity Forms bspw. mit dem kostenlosen Plugin WP GDPR Compliance umsetzen.

Mittel- bis langfristig sind wir davon überzeugt, dass alle bekannten Plugin-Entwickler die nötigen Bestimmungen umsetzen werden, um der DSGVO gerecht zu werden. Bis dahin können DSGVO-Plugins wirklich gute Dienste leisten!

Newsletter & E-Mail-Marketing DSGVO WordPress

Newsletter & E-Mail Marketing

In deinen Newsletter-Formularen sollte nur die E-Mail-Adresse ein Pflichtfeld sein, alle anderen Daten wie z.B. Vor- und Nachname sollten nur optional abgefragt werden. Wie für alle Formulare gilt auch beim Newsletter-Formular das Double-Opt-In-Verfahren sowie größtmögliche Transparenz bei den Angaben darüber, was du genau mit dem Newsletter bezweckst oder anbietest.

Double Opt-In-Verfahren bleibt Standard

Wenn du es bisher noch nicht getan hast, dann nutze ab sofort immer das Double-Opt-In-Verfahren! Beim Double-Opt-In muss der E-Mail-Empfänger nach der ersten Anmeldung ein zweites Mal explizit auf den Link in einer Bestätigungsmail klicken, um in den Verteiler aufgenommen zu werden. So ist sichergestellt, dass sich niemand in deinem Namen für einen Newsletter anmeldet und die tatsächliche Anmeldung auch von dir gewünscht ist.

Technische Maßnahmen EU-DSGVO

Technische Maßnahmen außerhalb deiner WordPress-Plugins

SSL-Verschlüsselung

SSL-Verschlüsselung ist zwar keine Pflicht in der DSGVO, aber ohne eine SSL-Verbindung ist eine sichere Datenübertragung rund um deine Webseite nicht möglich. Mehr über SSL erfährst du auch in unserem ausgiebigen Let’s Encrypt SSL-Kompendium.

Du möchtest das SSL-Zertifikat nicht selbst einrichten? Dann nutze zum Beispiel SSL-Zertifikate von Let’s Encrypt, die du kostenlos per 1-Klick-Installation schnell und einfach für deine WordPress-Webseite aktivieren kannst.

Google Analytics Opt-Out schaffen

In diesem Zusammenhang ist noch einmal darauf hinzuweisen, dass bereits vor der EU-DSGVO die vorangegangene noch gültige deutsche DSGVO bereits die vollständige Anonymisierung von Besuchern seit Jahren vorschreibt. Um dies zu gewährleisten ist spätestens jetzt das sehr oft benutzte Google Analytics um folgende Code-Zeile zu erweitern:

ga('set', 'anonymizeIp', true);

Sollte dein Javascript Snippet vorab so ausgesehen haben:

<script>
(function(i,s,o,g,r,a,m){i['GoogleAnalyticsObject']=r;i[r]=i[r]||function(){
(i[r].q=i[r].q||[]).push(arguments)},i[r].l=1*new Date();a=s.createElement(o),
m=s.getElementsByTagName(o)[0];a.async=1;a.src=g;m.parentNode.insertBefore(a,m)
})(window,document,'script','https://www.google-analytics.com/analytics.js','ga');
ga('create', 'UA-XXXXXXXX-X', 'auto');
ga('require', 'displayfeatures');
ga('require', 'linkid', 'linkid.js');
ga('send', 'pageview');
</script>

sieht der Code nach dem Hinzufügen folgendermaßen aus:

<script>
(function(i,s,o,g,r,a,m){i['GoogleAnalyticsObject']=r;i[r]=i[r]||function(){
(i[r].q=i[r].q||[]).push(arguments)},i[r].l=1*new Date();a=s.createElement(o),
m=s.getElementsByTagName(o)[0];a.async=1;a.src=g;m.parentNode.insertBefore(a,m)
})(window,document,'script','https://www.google-analytics.com/analytics.js','ga');
ga('create', 'UA-XXXXXXXX-X', 'auto');
ga('require', 'displayfeatures');
ga('require', 'linkid', 'linkid.js');
ga('set', 'anonymizeIp', true);
ga('send', 'pageview');
</script>

Des Weiteren musst du in deinen Datenschutzbestimmungen eine Möglichkeit schaffen, dass Besucher deiner Webseite sich vollständig aus der Google-Analyse ausschließen lassen können. Ein kostenloses Opt-Out Plugin für Google Analytics findest du mit dem Namen Google Analytics Opt-Out im WordPress-Plugin-Verzeichnis. Dieses installiert einen Cookie, welches analytics.js davon abhält, die Daten zu sammeln.

Anonymisierte IP-Adressen in Blog-Kommentaren

WordPress speichert standardmäßig die IP-Adressen der Kommentarschreiber. Die Erfassung der IP-Adresse ist aber nach der EU-DSGVO nicht datenschutzkonform. Du kannst mithilfe eines kleinen PHP-Codes in deiner functions.php das zukünftige Speichern der IP-Adressen verhindern. Wir empfehlen, dafür eine Child-Theme zu nutzen, damit der Code auch nach der nächsten Aktualisierung deines Themes noch integriert ist. Der einzufügende Code lautet:

function  wpb_remove_commentsip( $comment_author_ip ) {
	return '';
	}
add_filter( 'pre_comment_user_ip', 'wpb_remove_commentsip' );

Abschließend musst du noch bestehende IP-Adressen rückwirkend in der Datenbank deiner Webseite einmalig manuell löschen. Eine gute Anleitung, wie du dies erledigen kannst, findest du hier.

Die EU-DSGVO hat viele weitere (neue) Anforderungen an dich als Webseitenbetreiber als nur die vorab erläuterten technischen Maßnahmen auf deiner WordPress-Webseite.

Eine gute Investition ist bspw. das kostenpflichtige E-Book zur EU-DSGVO der t3n, um die Vorgaben der europäischen Datenschutz-Grundverordnung in allen Belangen, die dich als Unternehmer betreffen, umzusetzen.

Wir freuen uns über jedes Feedback und jeden Kommentar unter dem Artikel.

Du möchtest alle 2 Wochen die neusten Blog-Artikel und News rund um WordPress erhalten?

Dann abonniere jetzt unsere kostenlosen WP-News!

Ja, ich bin mit der Datenverarbeitung einverstanden.