CMS

WordPress

WordPress ist das beliebteste CMS der Welt und betreibt über 40 % aller Websites. Für DSGVO-Zwecke hat die WordPress-Core-Software minimale Datenschutzimplikationen, da sie nur Sitzungs-Cookies und Kommentar-Cookies setzt, die technisch notwendig sind. Die DSGVO-Komplexität entsteht durch das Plugin-Ökosystem. Selbst-gehostetes WordPress liegt in der Verantwortung des Betreibers; WordPress.com (Automattic) ist US-gehostet und erfordert SCC.

WordPress bis zur Einwilligung blockieren Meine Website scannen

Überblick

Was macht WordPress?

Was ist WordPress?

WordPress ist das weltweit meistgenutzte Content-Management-System und treibt über 40 Prozent aller Websites im Internet an. Die quelloffene Plattform ermöglicht die einfache Erstellung und Verwaltung von Websites ohne tiefe Programmierkenntnisse. Aus Datenschutzsicht ist WordPress jedoch nicht ohne Herausforderungen, da Kern-Cookies, Plugins und externe Dienste personenbezogene Daten verarbeiten können.

WordPress-Core-Cookies

WordPress selbst setzt einige technisch notwendige Erstanbieter-Cookies. Der wordpress_logged_in-Cookie authentifiziert angemeldete Nutzer, während wordpress_sec die Sicherheit beim Login-Prozess gewährleistet. Diese Cookies sind für den Betrieb der Website erforderlich und benötigen in der Regel keine ausdrückliche Einwilligung. Weitere Cookies entstehen durch installierte Themes und Plugins, die gesondert bewertet werden müssen.

Die Plugin-DSGVO-Problematik

Die größte Datenschutzherausforderung bei WordPress liegt in der Plugin-Architektur. Jedes installierte Plugin kann eigene Cookies setzen und Daten an Drittanbieter übertragen. Beliebte Plugins wie Jetpack, Contact Form 7 oder WooCommerce verarbeiten personenbezogene Daten. Websitebetreiber tragen die volle Verantwortung, alle von Plugins verarbeiteten Daten transparent zu machen und gegebenenfalls Einwilligungen einzuholen.

WordPress.com versus selbst-gehostetes WordPress

Zwischen WordPress.com und selbst-gehostetem WordPress.org bestehen erhebliche Datenschutzunterschiede. Bei WordPress.com ist Automattic der Verantwortliche und verarbeitet Nutzerdaten auf eigenen Servern, häufig in den USA. Bei WordPress.org liegt die vollständige Kontrolle beim Websitebetreiber, der selbst für DSGVO-Konformität verantwortlich ist. Die Wahl eines EU-Hosting-Standorts ist dabei ein entscheidender Faktor.

Praktische Compliance-Schritte

Für DSGVO-konforme WordPress-Websites empfehlen sich folgende Maßnahmen: Inventarisierung aller installierten Plugins und deren Datenverarbeitung, Implementierung einer Cookie-Consent-Lösung, Aktualisierung der Datenschutzerklärung, Abschluss von Auftragsverarbeitungsverträgen mit relevanten Diensteanbietern sowie regelmäßige Prüfung neuer Plugins vor der Installation. Ein EU-Hosting-Anbieter reduziert Drittlandtransferrisiken erheblich.

Datenschutz

WordPress und die DSGVO

WordPress ist als „Nicht eingestuft“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein.

Rechtsgrundlage: WordPress core sets strictly necessary cookies (wordpress_logged_in, comment_author) that do not require consent. Any additional tracking, analytics, or advertising plugins require appropriate legal bases and consent management. Legitimate interest may apply for security and anti-spam measures (Akismet).
Risikostufe: low
Anwendbare Vorschriften: GDPR compliance depends on server location, plugins, and embedded services. WordPress.com requires SCCs for EU users. Self-hosted WordPress GDPR compliance is entirely the deployer's responsibility.

Datenschutz-Folgenabschätzung (DSFA)

Eine DSFA ist für Standard-WordPress-Websites nicht erforderlich. Sie kann für Membership-Sites mit umfangreicher Verarbeitung personenbezogener Daten, Gesundheits- oder sensible Datenseiten oder Sites mit großangelegtem Verhaltens-Tracking durch Werbe-Plugins relevant werden.

Beispieltext für Ihr Banner

Diese Website verwendet Cookies. Notwendige Cookies sind für grundlegende Seitenfunktionen erforderlich. Wir verwenden zusätzliche Cookies für Analysen und Funktionsverbesserungen. Sie können Ihre Cookie-Einstellungen unten verwalten.

Cookies und Tracker

Was WordPress setzt und kontaktiert

Tracking-Methode: CMS platform, PHP-based, first-party cookies for sessions and comments, plugin ecosystem adds third-party tracking
Serverstandort: Deployer-controlled (self-hosted) or United States (WordPress.com/Automattic)
Cookieloser Modus verfügbar: Ja

Gesetzte Cookies (2)

Name	Typ	Laufzeit	Zweck
wordpress_logged_in	session	Session	WordPress authentication cookie for logged-in users: strictly necessary, no consent required
wp-settings	persistent	1 year	WordPress interface preference cookie for logged-in users: strictly necessary, no consent required

Kontaktierte Drittanbieter-Domains (3)

wordpress.org
wordpress.com
automattic.com

Fragen

Häufige Fragen zu WordPress

Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.

Schreiben Sie uns

Ist WordPress DSGVO-konform?

WordPress-Core hat ein minimales Datenschutzrisiko. Die Konformität hängt von Plugins und Hosting ab. Selbst-gehostetes WordPress auf einem EU-Server mit datenschutzbewussten Plugins kann vollständig konform sein. WordPress.com erfordert SCC. Die Verantwortung liegt beim Betreiber der Website.

Welche Cookies setzt WordPress standardmäßig?

wordpress_logged_in (Authentifizierung, Sitzung), wordpress_test_cookie (Sitzung), comment_author (1 Jahr). Keine Analyse- oder Werbe-Cookies im Core. Die ersten beiden sind unbedingt erforderlich.

Welche WordPress-Plugins haben DSGVO-Probleme?

Jetpack (US), Contact Form 7 (keine Aufbewahrungskontrollen standardmäßig), Google Site Kit (fügt GA4 hinzu), MonsterInsights, WooCommerce, Social-Share-Plugins. Prüfen Sie jedes Plugin vor der Installation auf DSGVO-Implikationen.

Erfordert WordPress.com einen Auftragsverarbeitungsvertrag?

Ja. Schließen Sie den Automattic-AVV unter automattic.com/privacy ab. WordPress.com verarbeitet alle Website-Daten auf US-Infrastruktur. Der AVV enthält SCC für EU-Übertragungen.

Wie füge ich ein Cookie-Einwilligungsbanner zu WordPress hinzu?

Installieren Sie ein CMP-Plugin: Cookiebot, CookieYes, Complianz oder Axeptio (alle mit kostenlosen WordPress-Plugins). Integrieren Sie Google Consent Mode v2 wenn Sie Google-Tools verwenden.

Wie bearbeite ich DSGVO-Anfragen in WordPress?

Auskunft: Werkzeuge, Personenbezogene Daten exportieren. Löschung: Werkzeuge, Personenbezogene Daten löschen. Für WooCommerce die integrierten Kundendaten-Tools nutzen. Antwortfrist: 30 Tage.

Erfordert WooCommerce eine spezielle DSGVO-Konfiguration?

Ja. Aktivieren Sie: Bestellungsanonymisierung nach einem festgelegten Zeitraum, Kundenlöschung, Datenschutzrichtlinie beim Checkout, Marketing-Opt-in-Checkbox. WooCommerce hat integrierte DSGVO-Tools unter WooCommerce, Einstellungen, Datenschutz.

Ist selbst-gehostetes WordPress besser für die DSGVO als WordPress.com?

Für EU-Organisationen ja: keine US-Transfers für das Hosting, volle Datensouveränität, kein AVV mit Automattic für das Hosting selbst erforderlich.

13. März 2026

Cookie-Einwilligung auf WordPress: der vollständige DSGVO-Leitfaden

WordPress verwaltet die Cookie-Einwilligung nicht von Haus aus. Plugin, externe CMP oder manuelle Integration: So machen Sie Ihre WordPress-Website DSGVO-konform.

Leitfaden lesen

Machen Sie Ihre Website noch heute konform.

Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.

Mein Banner erstellen Meine Website scannen