So richten Sie eine Datenschutzerklärung auf Ihrer WordPress-Website ein

Datenschutz in WordPress: Datenschutzerklärung, SSL und typische Datenquellen richtig prüfen

Datenschutz ist ein wichtiger Bestandteil jeder professionellen WordPress-Website. Sobald auf Ihrer Website Personendaten verarbeitet werden, sollten Besucher klar und verständlich informiert werden. Das betrifft nicht nur grosse Online-Shops oder Mitgliederbereiche. Auch eine einfache Website mit Kontaktformular, Kommentarfunktion, Analyse-Tool, eingebetteten Karten, Newsletter-Anmeldung oder externen Schriftarten kann datenschutzrelevante Vorgänge auslösen.

WordPress bietet integrierte Funktionen, die bei der Erstellung und Verwaltung einer Datenschutzerklärung helfen. Diese Funktionen ersetzen jedoch keine rechtliche Prüfung. Die Datenschutzerklärung muss immer zur tatsächlichen Website, den verwendeten Plugins, externen Diensten, Formularen, Cookies und Hosting-Gegebenheiten passen.

Warum Datenschutz bei WordPress wichtig ist

WordPress selbst ist nur die technische Grundlage. Datenschutzrelevant wird eine Website vor allem durch die konkrete Nutzung: Formulare, Kommentare, Benutzerkonten, Shop-Funktionen, Tracking, Newsletter, Sicherheitsplugins, eingebettete Medien und externe Dienste können personenbezogene Daten verarbeiten.

Typische Personendaten auf WordPress-Websites sind zum Beispiel:

• Name und E-Mail-Adresse: etwa bei Kontaktformularen, Kommentaren oder Benutzerkonten.
• IP-Adresse: zum Beispiel in Server-Logs, Sicherheitsplugins oder Kommentarverwaltung.
• Bestelldaten: bei WooCommerce-Shops.
• Nutzungsdaten: bei Analytics-, Tracking- oder Statistiktools.
• Cookie-Daten: bei Marketing-, Analyse- oder Komfortfunktionen.
• Nachrichteninhalte: bei Formularen, Supportanfragen oder Kommentaren.
• Zahlungs- und Versanddaten: bei Shops oder Buchungssystemen.

Der EDÖB beschreibt die Informationspflicht so, dass betroffene Personen darüber informiert werden müssen, wenn ihre Personendaten beschafft und bearbeitet werden. Ohne diese Information können betroffene Personen ihre Rechte nicht sinnvoll wahrnehmen. 

1. Die WordPress-Datenschutzseite verwenden

WordPress bringt eine eigene Datenschutzfunktion mit. Sie finden diese im Dashboard unter:

Einstellungen > Datenschutz

Dort können Sie eine bestehende Seite als Datenschutzerklärung festlegen oder eine neue Datenschutzseite erstellen. WordPress bietet ausserdem einen Datenschutz-Leitfaden, der Hinweise zu möglichen Inhalten gibt. Laut Learn WordPress können Sie in diesem Bereich die Datenschutzseite erstellen, ändern, ansehen und den Privacy Policy Guide nutzen.

Diese WordPress-Funktion ist hilfreich, weil sie die Datenschutzseite systematisch im Backend verwaltbar macht. Sie erstellt aber keine automatisch vollständige, rechtlich geprüfte Datenschutzerklärung für Ihre konkrete Website.

2. WordPress-Funktionen für Auskunft und Löschung

WordPress enthält integrierte Werkzeuge für Datenschutzanfragen. Unter Werkzeuge finden Sie Funktionen zum Exportieren und Löschen personenbezogener Daten. Diese können helfen, Anfragen betroffener Personen technisch zu bearbeiten.

Typische Funktionen sind:

• Personenbezogene Daten exportieren: Erstellt einen Export vorhandener personenbezogener Daten zu einer E-Mail-Adresse.
• Personenbezogene Daten löschen: Unterstützt beim Löschen oder Anonymisieren bestimmter gespeicherter Daten.

Diese Funktionen können zum Beispiel bei Kommentaren oder Benutzerkonten relevant sein. Sie erfassen jedoch nicht automatisch jede Datenverarbeitung durch jedes Plugin oder jeden externen Dienst. Prüfen Sie daher immer auch die eingesetzten Erweiterungen.

3. Welche Inhalte gehören in eine Datenschutzerklärung?

Eine Datenschutzerklärung sollte verständlich erklären, welche Daten verarbeitet werden und warum. Sie sollte nicht nur aus allgemeinen Textbausteinen bestehen, sondern zur tatsächlichen Website passen.

Typische Inhalte sind:

• Verantwortlicher: Wer betreibt die Website?
• Kontaktangaben: Wie können betroffene Personen Kontakt aufnehmen?
• Hosting: Wo und durch wen wird die Website gehostet?
• Server-Logs: Welche technischen Daten werden beim Aufruf gespeichert?
• Kontaktformulare: Welche Daten werden bei Anfragen verarbeitet?
• Kommentare: Welche Daten werden bei Kommentaren gespeichert?
• Cookies: Welche Cookies werden gesetzt und wofür?
• Analyse-Tools: Werden Statistik- oder Trackingdienste verwendet?
• Newsletter: Wie erfolgt Anmeldung, Versand und Abmeldung?
• Externe Medien: YouTube, Google Maps, Social Media, Schriftarten oder andere Dienste.
• Empfänger und Dritte: Werden Daten an Dienstleister weitergegeben?
• Speicherdauer: Wie lange werden Daten aufbewahrt?
• Rechte betroffener Personen: Auskunft, Berichtigung, Löschung und weitere Rechte.

Nach den Transparenzgrundsätzen der DSGVO sollen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form bereitgestellt werden. Diese Grundidee ist auch praktisch sinnvoll: Besucher sollten verstehen können, was mit ihren Daten geschieht.

4. Schweizer Datenschutzgesetz und DSGVO unterscheiden

Für Schweizer Websites ist das Schweizer Datenschutzgesetz relevant. Wenn Ihre Website zusätzlich Personen in der EU oder im EWR anspricht, kann auch die DSGVO eine Rolle spielen. Das ist besonders wichtig bei mehrsprachigen Websites, EU-Kunden, EU-Tracking, EU-Versand, digitalen Produkten oder gezielter Werbung in EU-Ländern.

Prüfen Sie deshalb:

• Richtet sich Ihre Website nur an die Schweiz oder auch an die EU?
• Haben Sie Kunden, Nutzer oder Newsletter-Abonnenten aus der EU?
• Verwenden Sie Dienste mit Datenübermittlung in Drittländer?
• Werden Cookies, Tracking oder Marketingtools eingesetzt?
• Betreiben Sie einen Shop mit EU-Lieferung?

Wenn EU-Bezug besteht, sollten DSGVO-Anforderungen sorgfältig geprüft werden. Das betrifft insbesondere Rechtsgrundlagen, Einwilligungen, Betroffenenrechte, Auftragsverarbeitung, Drittlandübermittlungen und Cookie-/Tracking-Themen.

5. Hosting-Standort Schweiz richtig einordnen

Der Serverstandort ist ein wichtiger Punkt in der Datenschutzerklärung. Bei CURIAWEB profitieren Sie vom Serverstandort Schweiz. Das kann für Schweizer Unternehmen und Kunden ein Vorteil sein, weil Datenverarbeitung und Hosting-Infrastruktur lokal nachvollziehbarer sind.

Wichtig ist aber: Ein Schweizer Serverstandort macht eine Website nicht automatisch vollständig datenschutzkonform. Entscheidend ist das gesamte Setup. Wenn Sie beispielsweise Google Analytics, YouTube, Google Maps, externe Schriftarten, Zahlungsanbieter, Newsletterdienste oder Social-Media-Plugins verwenden, können trotzdem externe Datenverarbeitungen und Datenübermittlungen stattfinden.

6. SSL-Verschlüsselung aktivieren

SSL beziehungsweise HTTPS verschlüsselt die Verbindung zwischen Browser und Website. Das ist besonders wichtig, wenn Besucher Daten übermitteln, zum Beispiel über Kontaktformulare, Login-Seiten, Kommentarformulare, Newsletter-Anmeldungen oder Checkout-Prozesse.

Prüfen Sie:

• Ist Ihre Website über https:// erreichbar?
• Werden alle Seiten automatisch auf HTTPS weitergeleitet?
• Sind WordPress-Adresse und Website-Adresse auf HTTPS eingestellt?
• Gibt es keine gemischten Inhalte über HTTP?
• Funktionieren Formulare und Login-Bereiche über HTTPS?

• Wichtig: SSL-Verschlüsselung für sichere Datenübertragung aktivieren

7. Kontaktformulare datenschutzbewusst einsetzen

Kontaktformulare gehören zu den häufigsten Datenquellen auf WordPress-Websites. Besucher geben dort Namen, E-Mail-Adressen, Telefonnummern oder Nachrichteninhalte ein. Diese Daten werden oft per E-Mail versendet und teilweise zusätzlich in WordPress gespeichert.

Prüfen Sie bei Formularen:

• Welche Felder sind wirklich notwendig?
• Gibt es einen Hinweis auf die Datenschutzerklärung?
• Werden Formulardaten in der Datenbank gespeichert?
• Wie lange bleiben gespeicherte Anfragen erhalten?
• Wird ein Spam-Schutz eingesetzt?
• Werden externe Dienste wie reCAPTCHA verwendet?
• Ist der E-Mail-Versand sicher und korrekt konfiguriert?

Datensparsamkeit ist ein guter Grundsatz: Fragen Sie nur Daten ab, die Sie für die Bearbeitung der Anfrage wirklich benötigen.

8. Kommentare und Benutzerkonten berücksichtigen

Wenn Kommentare aktiviert sind, verarbeitet WordPress typischerweise Daten wie Name, E-Mail-Adresse, Website-URL, IP-Adresse, Kommentarinhalt und Zeitstempel. Auch Benutzerkonten sind datenschutzrelevant, da dort Zugangsdaten, Rollen, E-Mail-Adressen und Aktivitäten gespeichert sein können.

Prüfen Sie:

• Sind Kommentare überhaupt notwendig?
• Werden Kommentare manuell moderiert?
• Wie lange bleiben Kommentare gespeichert?
• Werden Gravatar oder externe Avatar-Dienste verwendet?
• Können Benutzerkonten selbst erstellt werden?
• Welche Rollen und Rechte erhalten Benutzer?

Wenn Kommentare nicht benötigt werden, können Sie diese deaktivieren und dadurch Datenschutz- sowie Spam-Risiken reduzieren.

9. Cookies und Consent-Management prüfen

Viele WordPress-Websites verwenden Cookies. Manche Cookies sind technisch notwendig, andere dienen Analyse, Marketing, Komfortfunktionen oder externen Diensten. Ob ein Cookie-Banner oder Consent-Management erforderlich ist, hängt vom konkreten Einsatz ab.

Typische Dienste, die geprüft werden sollten:

• Google Analytics oder andere Statistiktools,
• Google Ads oder Meta Pixel,
• YouTube- oder Vimeo-Einbettungen,
• Google Maps,
• Newsletter- und Marketingdienste,
• Chat-Widgets,
• Social-Media-Plugins,
• externe Schriftarten,
• WooCommerce-Cookies.

Wenn nicht notwendige Cookies oder Trackingdienste eingesetzt werden, kann eine vorherige Einwilligung erforderlich sein. Die konkrete Ausgestaltung sollte rechtlich geprüft werden.

10. Google Fonts, Maps, YouTube und externe Dienste

Externe Dienste können beim Laden einer Seite Daten an Dritte übertragen. Das betrifft zum Beispiel eingebettete Videos, Karten, Social-Media-Feeds, externe Schriftarten oder Analyse-Tools.

Prüfen Sie bei jedem externen Dienst:

• Wird beim Seitenaufruf eine Verbindung zu einem Drittanbieter aufgebaut?
• Werden IP-Adressen oder andere technische Daten übertragen?
• Werden Cookies gesetzt?
• Ist der Dienst in der Datenschutzerklärung beschrieben?
• Ist eine Einwilligung erforderlich?
• Gibt es eine lokale oder datenschutzfreundlichere Alternative?

Bei Google Fonts kann es beispielsweise sinnvoll sein, Schriftarten lokal zu hosten, um externe Verbindungen zu vermeiden. Bei YouTube oder Maps können Zwei-Klick-Lösungen oder Consent-Blocker sinnvoll sein.

11. Analyse-Tools und Google Site Kit

Viele Website-Betreiber verwenden Google Analytics, Google Site Kit, Matomo oder andere Statistiklösungen. Diese Tools können sehr hilfreich sein, müssen aber datenschutzkonform eingebunden werden.

Prüfen Sie:

• Welches Analyse-Tool wird verwendet?
• Werden IP-Adressen gekürzt oder anonymisiert, falls möglich?
• Wird das Tool erst nach Einwilligung geladen, falls erforderlich?
• Ist das Tool in der Datenschutzerklärung beschrieben?
• Gibt es einen Auftragsverarbeitungsvertrag oder passende Vereinbarung?
• Werden Daten an Drittländer übertragen?

Google Site Kit erleichtert die technische Einbindung von Google-Diensten, ersetzt aber keine Datenschutzprüfung und kein Consent-Management.

12. WooCommerce und Shops besonders sorgfältig prüfen

Bei WooCommerce-Shops ist Datenschutz besonders wichtig, weil deutlich mehr personenbezogene Daten verarbeitet werden. Dazu gehören Bestellungen, Rechnungsdaten, Lieferadressen, Zahlungsinformationen, Kundenkonten und teilweise Steuerinformationen.

Prüfen Sie bei Shops:

• Welche Kundendaten werden erhoben?
• Welche Zahlungsanbieter werden verwendet?
• Welche Versanddienstleister erhalten Daten?
• Wie lange werden Bestelldaten gespeichert?
• Sind Gastbestellungen möglich?
• Werden Kundenkonten verpflichtend erstellt?
• Werden Marketing-Einwilligungen sauber getrennt?
• Sind AGB, Datenschutz, Widerruf und Versandinformationen aktuell?

Für Shops empfiehlt sich besonders eine individuelle rechtliche Prüfung, da Datenschutz, Steuerrecht, Verbraucherrecht und Zahlungsabwicklung zusammenkommen.

13. Plugins als Datenquellen dokumentieren

Viele Datenschutzrisiken entstehen nicht durch WordPress selbst, sondern durch Plugins. Jedes Plugin kann eigene Daten speichern, externe Dienste einbinden oder Cookies setzen.

Prüfen Sie regelmässig:

• Welche Plugins sind aktiv?
• Welche Daten verarbeitet jedes Plugin?
• Gibt es externe API-Verbindungen?
• Setzt das Plugin Cookies?
• Speichert das Plugin Formulareingaben?
• Gibt es Datenschutzinformationen des Plugin-Anbieters?
• Wird das Plugin noch gepflegt?
• Ist das Plugin wirklich notwendig?

Deaktivieren und löschen Sie Plugins, die nicht benötigt werden. Weniger Plugins bedeuten oft weniger Datenschutz-, Sicherheits- und Performance-Risiken.

14. Rechtstext-Generatoren und juristische Prüfung

Datenschutz-Generatoren können eine gute Grundlage sein, wenn sie seriös, aktuell und für Ihre Zielmärkte geeignet sind. Für Schweizer Websites sollten Generatoren genutzt werden, die das Schweizer Datenschutzgesetz berücksichtigen. Bei EU-Bezug sollte auch die DSGVO abgedeckt sein.

Achten Sie bei Generatoren darauf:

• Ist der Generator für die Schweiz geeignet?
• Berücksichtigt er die DSGVO, falls EU-Bezug besteht?
• Fragt er konkrete Dienste und Plugins ab?
• Wird der Text regelmässig aktualisiert?
• Gibt es Hinweise zu Auftragsverarbeitung und Drittlandtransfers?
• Passt der Text wirklich zu Ihrer Website?

Bei komplexen Websites, Shops, Gesundheitsdaten, Mitgliederbereichen, Tracking, internationalem Verkauf oder sensiblen Daten ist juristische Beratung besonders empfehlenswert.

15. Datenschutzerklärung gut sichtbar verlinken

Eine Datenschutzerklärung sollte leicht auffindbar sein. Üblich ist ein Link im Footer, der von jeder Seite aus erreichbar ist. Zusätzlich kann der Link an Formularen, Newsletter-Anmeldungen, Checkout-Seiten oder Kommentarbereichen erscheinen.

Gute Platzierungen sind:

• Footer-Menü,
• Kontaktformular-Hinweis,
• Newsletter-Anmeldung,
• Checkout,
• Registrierungsformular,
• Kommentarbereich,
• Cookie-Banner oder Consent-Manager.

Verstecken Sie die Datenschutzerklärung nicht in einer schwer auffindbaren Unterseite. Transparenz ist ein zentraler Datenschutzgrundsatz.

16. Datenschutz und Sicherheit gehören zusammen

Datenschutz bedeutet nicht nur gute Texte. Auch technische Sicherheit ist wichtig. Wenn personenbezogene Daten verarbeitet werden, sollte die Website angemessen geschützt sein.

Wichtige Sicherheitsmassnahmen:

• SSL aktivieren,
• WordPress aktuell halten,
• Plugins und Themes aktualisieren,
• starke Passwörter verwenden,
• Zwei-Faktor-Authentifizierung prüfen,
• regelmässige Backups erstellen,
• Administratorrechte begrenzen,
• Spam-Schutz nutzen,
• nicht benötigte Plugins löschen,
• Server- und Fehlerlogs im Blick behalten.

Eine Datenschutzerklärung beschreibt die Datenverarbeitung. Technische Sicherheit sorgt dafür, dass diese Daten angemessen geschützt werden.

17. SEO und GEO: Datenschutzseiten richtig einordnen

Datenschutzerklärungen sind keine klassischen SEO-Landingpages. Sie sollten nicht mit Keywords überladen werden. Wichtig sind Klarheit, Vollständigkeit, Aktualität und leichte Auffindbarkeit.

Für SEO und GEO dennoch hilfreich:

• klare Seitenüberschrift,
• verständliche Struktur,
• Footer-Verlinkung,
• konsistente Unternehmensangaben,
• aktuelle Informationen,
• keine widersprüchlichen Aussagen zu Tools und Diensten,
• gute Lesbarkeit auf mobilen Geräten.

GEO, also Generative Engine Optimization, profitiert von klaren, vertrauenswürdigen Informationen. Eine transparente Datenschutzseite kann zur Vertrauenswürdigkeit Ihrer gesamten Website beitragen.

18. Häufige Fehler beim Datenschutz in WordPress

• Standardtext unverändert verwenden: Der WordPress-Entwurf passt selten vollständig zur realen Website.
• Plugins nicht berücksichtigen: Formulare, Analytics, Shops oder Sicherheitsplugins fehlen im Text.
• Externe Dienste vergessen: YouTube, Maps, Fonts oder Social Media werden nicht erwähnt.
• Keine Footer-Verlinkung: Datenschutzerklärung ist schwer auffindbar.
• Kein SSL: Formulare oder Login laufen unsicher.
• Veraltete Texte: Neue Tools werden eingebaut, aber die Datenschutzerklärung nicht aktualisiert.
• Cookie-Banner falsch konfiguriert: Tracking startet vor Einwilligung.
• Schweizer Hosting überschätzt: Lokaler Serverstandort ersetzt keine Prüfung externer Dienste.

Empfohlene Vorgehensweise

1. Website analysieren: Welche Formulare, Plugins, Cookies und externen Dienste werden genutzt?
2. Datenschutzseite festlegen: Unter Einstellungen > Datenschutz die richtige Seite auswählen.
3. Hosting beschreiben: Serverstandort Schweiz und Hosting-Dienstleister korrekt aufführen.
4. SSL aktivieren: Website vollständig über HTTPS betreiben.
5. Formulare prüfen: Nur notwendige Daten abfragen und Datenschutzhinweise setzen.
6. Cookies prüfen: Notwendige und nicht notwendige Cookies unterscheiden.
7. Externe Dienste prüfen: Analytics, Maps, YouTube, Fonts, Newsletter und Zahlungsanbieter dokumentieren.
8. Generator oder Fachperson nutzen: Rechtstext passend zur Schweiz und ggf. EU erstellen lassen.
9. Footer-Link setzen: Datenschutzerklärung gut sichtbar verlinken.
10. Regelmässig aktualisieren: Bei neuen Plugins, Diensten oder Funktionen den Text prüfen.

Häufige Fragen zum Datenschutz in WordPress

Erstellt WordPress automatisch eine vollständige Datenschutzerklärung?

Nein. WordPress kann eine Datenschutzseite anlegen und Hinweise geben. Die Inhalte müssen aber an Ihre konkrete Website, Plugins, Formulare und externen Dienste angepasst werden.

Wo finde ich die Datenschutz-Einstellungen in WordPress?

Sie finden den Bereich unter Einstellungen > Datenschutz. Dort können Sie eine Datenschutzseite erstellen oder eine bestehende Seite festlegen.

Brauche ich eine Datenschutzerklärung, wenn ich nur eine einfache Website habe?

Wenn Personendaten verarbeitet werden, sollten Besucher informiert werden. Schon Kontaktformulare, Server-Logs, Kommentare, Analytics oder externe Dienste können datenschutzrelevant sein.

Ist Schweizer Hosting automatisch datenschutzkonform?

Nein. Schweizer Hosting ist ein wichtiger Vorteil, ersetzt aber nicht die Prüfung von Plugins, externen Diensten, Cookies, Formularen und Datenübermittlungen.

Muss ich Google Analytics in der Datenschutzerklärung erwähnen?

Ja, wenn Sie Google Analytics oder vergleichbare Analyse-Tools verwenden, sollten diese in der Datenschutzerklärung beschrieben und je nach Setup erst nach Einwilligung geladen werden.

Ist SSL für Datenschutz wichtig?

Ja. SSL schützt die Datenübertragung zwischen Besucher und Website. Besonders bei Formularen, Login, Kommentaren, Shops und Kundenbereichen ist HTTPS wichtig.

Sollte ich Datenschutztexte von einem Generator verwenden?

Ein seriöser Generator kann eine gute Grundlage sein. Bei komplexen Websites, Shops, EU-Bezug oder sensiblen Daten ist eine juristische Prüfung empfehlenswert.

Wie oft sollte ich meine Datenschutzerklärung aktualisieren?

Immer dann, wenn sich Datenverarbeitung, Plugins, externe Dienste, Tracking, Formulare, Shop-Funktionen oder rechtliche Anforderungen ändern. Eine regelmässige Prüfung ist sinnvoll.