WP Engine

Nein, die WP Engine Hosting Infrastruktur setzt selbst keine Cookies im Browser der Besucher. Cookies erscheinen nur im WP Engine Kundenportal (my.wpengine.com) und auf der Marketingseite (wpengine.com), wo sie für Authentifizierung, Session Management und Analyse genutzt werden. Bei aktivierter Funktion Global Edge Security kann Cloudflare zwingend erforderliche Sicherheits Cookies (__cf_bm, cf_clearance) vor Ihrer Website setzen.

Nein, für die WP Engine Hosting Schicht selbst ist keine Einwilligung erforderlich, da keine Informationen auf dem Endgerät des Besuchers gespeichert werden. Einwilligung ist jedoch für Drittwerkzeuge erforderlich, die Sie auf WordPress installieren, etwa Google Analytics, Meta Pixel oder Marketing Skripte. Nennen Sie WP Engine in Ihrer Datenschutzerklärung als Unterauftragsverarbeiter, ohne Consent Banner.

Die Verarbeitung stützt sich auf Vertragserfüllung (Art. 6(1)(b) DSGVO) zwischen Ihnen und dem Besucher zur Bereitstellung der Website sowie auf berechtigtes Interesse (Art. 6(1)(f) DSGVO) für Sicherheits Logs, DDoS Schutz und Missbrauchsprävention. WP Engine handelt als Auftragsverarbeiter gemäß Art. 28 DSGVO über den mit Ihnen geschlossenen AVV.

Standardmäßig werden Kundenwebsites auf Google Cloud Platform Infrastruktur in den USA gehostet. Sie können beim Provisionieren EU Regionen in Frankfurt (europe-west3) oder London (europe-west2) wählen. Auch mit EU Region greifen US Support und bestimmte globale Dienste auf Daten zu, was einen Drittlandtransfer darstellt, abgedeckt durch Standardvertragsklauseln und, sofern anwendbar, das EU US Data Privacy Framework.

Eine DSFA ist allein für das Hosting nicht zwingend, aber sehr empfehlenswert, wenn Sie besondere Kategorien personenbezogener Daten verarbeiten, eine Website mit hohem Traffic betreiben oder das US Rechenzentrum nutzen. Wesentliche Risiken zur Dokumentation: Drittlandtransfers, Zugriffe durch Unterauftragsverarbeiter (insbesondere Cloudflare für Global Edge Security) und die Aufbewahrung von Serverprotokollen mit Besucher IPs.

Schließen Sie den WP Engine AVV im Kundenportal ab, wählen Sie beim Provisionieren ein EU Rechenzentrum, dokumentieren Sie WP Engine und Cloudflare in Ihrer Liste der Unterauftragsverarbeiter, führen Sie eine Transfer Impact Assessment durch, wenn US Zugriff im Geltungsbereich ist, konfigurieren Sie WordPress so, dass unnötige Cookies vermieden werden, und überprüfen Sie die Liste der Unterauftragsverarbeiter mindestens einmal jährlich.

In Europa ansässige Managed WordPress Hoster sind unter anderem Kinsta (mit EU Regionen auf GCP), Raidboxes (Deutschland), Savvii (Niederlande), 20i (Großbritannien), Pressidium (Großbritannien) sowie Hetzner mit Managed WordPress Add ons. Die Wahl eines EU Verantwortlichen und EU Rechenzentrums vereinfacht die Compliance, da die Frage des Drittlandtransfers entfällt.

Fügen Sie WP Engine als Hosting Unterauftragsverarbeiter in Ihre Datenschutzerklärung ein, nennen Sie die gewählte Region, erwähnen Sie Cookies des Kundenportals, falls Besucher Zugang haben, und nennen Sie Cloudflare, wenn Global Edge Security aktiv ist. Verlinken Sie die WP Engine Liste der Unterauftragsverarbeiter und den AVV. Bei US Region dokumentieren Sie Ihre Transfer Impact Assessment und verweisen auf die Standardvertragsklauseln.