Eine durchschnittliche WordPress-Seite lädt im Hintergrund Dutzende externe Ressourcen: Schriften von Google, eine eingebettete Karte, ein YouTube-Video, ein Analyse-Tool, vielleicht ein Chat-Widget. Jeder dieser Dienste kann Daten deiner Besucher an Dritte übertragen – oft in die USA, oft ohne dass es jemandem auffällt. Und genau das ist aus DSGVO-Sicht das Problem.
In diesem Artikel zeige ich dir, wo die typischen Stolperfallen liegen und wie du externe Dienste in WordPress datenschutzkonform einbindest. Ein Hinweis vorweg: Ich bin Webentwickler, kein Anwalt. Das hier ist praktisches Erfahrungswissen, keine Rechtsberatung. Im Zweifel sprich mit einem auf IT-Recht spezialisierten Juristen.
Warum externe Dienste ein Datenschutzthema sind
Sobald deine Seite eine Ressource von einem fremden Server lädt, erfährt dieser Server die IP-Adresse des Besuchers. Die IP-Adresse gilt als personenbezogenes Datum. Wird sie ohne Rechtsgrundlage an einen Dritten übertragen – besonders in ein Land außerhalb der EU – ist das ein DSGVO-Verstoß.
Das ist keine Theorie. Das Landgericht München I sprach 2022 einem Kläger Schadenersatz zu, weil eine Website Google Fonts dynamisch von Googles Servern lud und damit seine IP-Adresse in die USA übertrug. Danach gingen Abmahnwellen durchs Land. Die Lehre daraus: Bequemlichkeit beim Einbinden externer Dienste kann teuer werden.
Google Fonts: lokal hosten statt dynamisch laden
Der Klassiker. Viele Themes binden Google Fonts standardmäßig direkt von Googles Servern ein. Bei jedem Seitenaufruf wandert die IP des Besuchers zu Google.
Die Lösung ist einfach: Lade die Schriften lokal. Du legst die Font-Dateien auf deinen eigenen Server, und es findet kein externer Abruf mehr statt. Moderne Themes und Page Builder wie Bricks bieten dafür oft eine Einstellung; andernfalls erledigt es ein kleines Plugin oder eine manuelle Einbindung per CSS. Das hat sogar einen Nebeneffekt: Lokale Fonts laden meist schneller.
Google Maps und YouTube: erst nach Einwilligung laden
Eingebettete Karten und Videos laden umfangreiche Skripte und setzen Cookies – noch bevor der Besucher irgendetwas angeklickt hat. Das ist ohne vorherige Einwilligung nicht zulässig.
Die Lösung: Eine sogenannte Zwei-Klick- oder Consent-Lösung. Statt die Karte oder das Video sofort zu laden, zeigst du zunächst eine Vorschau mit einem Hinweis. Erst wenn der Besucher aktiv zustimmt, wird der externe Inhalt geladen. Bei YouTube hilft zusätzlich der erweiterte Datenschutzmodus (youtube-nocookie.com). Für WordPress gibt es Plugins, die genau das übernehmen und mit deinem Cookie-Banner zusammenspielen.
Analytics und Tracking: Einwilligung ist Pflicht
Reichweitenmessung ist legitim, aber Tools wie Google Analytics setzen Tracking-Cookies und übertragen Daten. Solche Dienste dürfen erst nach aktiver Einwilligung des Besuchers starten.
Die Lösung: Tracking-Dienste werden über ein Consent-Management-Tool gesteuert und erst nach Zustimmung geladen. Zum Thema Datenübertragung in die USA hat sich die Lage 2023 etwas entspannt: Mit dem EU-US Data Privacy Framework gibt es wieder eine Grundlage für Übertragungen an zertifizierte US-Unternehmen. Trotzdem brauchst du die Einwilligung, und du solltest prüfen, ob der jeweilige Anbieter unter dem Framework zertifiziert ist. Wer ganz auf der sicheren Seite sein will, nutzt datenschutzfreundliche Alternativen mit EU-Hosting, etwa Matomo (auch selbst gehostet) oder Plausible.
Das Cookie-Banner: mehr als nur Optik
Ein Cookie-Banner ist kein Deko-Element, sondern das Werkzeug, mit dem du Einwilligungen rechtssicher einholst und dokumentierst. Damit es funktioniert, muss es ein paar Dinge erfüllen.
Ablehnen muss genauso einfach sein wie Zustimmen – kein versteckter „Nur notwendige“-Link in Grau. Nicht-notwendige Dienste dürfen erst nach Einwilligung laden, nicht schon beim Seitenaufruf. Und die Einwilligung muss widerrufbar und nachweisbar gespeichert sein. Tools wie Complianz, Borlabs Cookie oder Real Cookie Banner setzen das für WordPress um – richtig konfiguriert, nicht einfach „installiert und vergessen“.
Auftragsverarbeitung: Verträge mit deinen Dienstleistern
Wenn ein externer Dienst in deinem Auftrag personenbezogene Daten verarbeitet – dein Hoster, dein Newsletter-Tool, dein Analyse-Anbieter – brauchst du mit ihm einen Auftragsverarbeitungsvertrag (AVV). Die meisten seriösen Anbieter stellen einen solchen Vertrag bereit, oft direkt im Account abrufbar.
Praktisch heißt das: Führe eine Liste, welche Dienste du nutzt und für welche ein AVV vorliegt. Das ist nicht nur Pflicht, sondern hilft dir auch, den Überblick zu behalten, was deine Seite eigentlich alles lädt.
Hosting und Formulare: die unterschätzten Punkte
Zwei Dinge gehen oft unter. Erstens das Hosting: Ein Server in der EU erspart dir einen großen Teil der Drittland-Diskussion. Es gibt viele gute Hoster in Österreich, Deutschland und der EU.
Zweitens Formulare: Erhebe nur, was du wirklich brauchst (Datensparsamkeit). Ein Kontaktformular braucht selten mehr als Name, E-Mail und Nachricht. Die Übertragung muss verschlüsselt sein (HTTPS), und ein Link zur Datenschutzerklärung gehört in die Nähe des Absende-Buttons. Verzichte auf vorab angekreuzte Einwilligungs-Häkchen – die sind unwirksam.
So gehst du das Ganze strukturiert an
Du musst nicht alles auf einmal lösen. Sinnvoll ist diese Reihenfolge: Zuerst herausfinden, welche externen Dienste deine Seite überhaupt lädt – dafür gibt es Online-Scanner, die das aufzeigen. Dann die offensichtlichen Drittland-Abrufe entschärfen (Fonts lokal, Maps und Videos hinter Consent). Anschließend das Cookie-Banner sauber konfigurieren. Und schließlich die formale Seite: Datenschutzerklärung aktualisieren, AVVs sammeln.
Das klingt nach viel, ist aber in der Praxis an einem fokussierten Tag gut machbar – wenn man weiß, wo man hinschauen muss.
FAQ
Brauche ich überhaupt ein Cookie-Banner?
Sobald du nicht-notwendige Cookies oder Tracking einsetzt: ja. Wenn deine Seite ausschließlich technisch notwendige Cookies verwendet, kann ein Banner entbehrlich sein. Das ist aber selten der Fall, sobald Karten, Videos oder Analyse im Spiel sind.
Ist Google Analytics jetzt wieder erlaubt?
Mit Einwilligung und unter Berücksichtigung des EU-US Data Privacy Frameworks ist der Einsatz möglich. Datenschutzfreundlicher sind EU-basierte Alternativen wie Matomo oder Plausible.
Reicht es, Google Fonts lokal zu hosten?
Für das Font-Problem ja. Aber Fonts sind nur ein Baustein. Prüfe ebenso Karten, Videos, Schriftsymbole (auch Icon-Fonts laden teils extern) und eingebettete Skripte.
Hafte ich als kleiner Betrieb wirklich?
Verantwortlich für die Datenverarbeitung ist der Seitenbetreiber – unabhängig von der Größe. Deshalb lohnt es sich, das einmal sauber aufzusetzen, statt auf Abmahnungen oder Beschwerden zu warten.
Mein Theme lädt externe Dienste, die ich nicht kenne. Was tun?
Das ist häufig. Ein Scan zeigt dir, was tatsächlich geladen wird. Danach lässt sich entscheiden, was lokal gehostet, hinter Consent gelegt oder ganz entfernt wird.
Dein nächster Schritt
Datenschutz auf der Website ist kein einmaliges Häkchen, sondern Teil einer sauber gewarteten Seite. Wenn du wissen willst, welche Dienste deine WordPress-Seite lädt und wo Handlungsbedarf besteht, schau ich mir das gern an – im Rahmen der laufenden Wartung und Absicherung oder als einmalige Prüfung.