DSGVO

Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO), englisch General Data Protection Regulation (GDPR), ist eine EU-Verordnung, die seit dem 25. Mai 2018 in allen EU-Mitgliedstaaten unmittelbar gilt. Sie löste die EU-Datenschutzrichtlinie von 1995 ab und schafft einen einheitlichen Rechtsrahmen für die Verarbeitung personenbezogener Daten. Wer eine Website betreibt, die Personen aus der EU erreicht, ist gebunden — unabhängig davon, wo der Betreiber sitzt.

Was regelt die DSGVO konkret?

Die DSGVO definiert, unter welchen Voraussetzungen personenbezogene Daten erhoben, gespeichert, übermittelt oder anderweitig verarbeitet werden dürfen. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen — darunter Name, E-Mail-Adresse, IP-Adresse, Cookie-ID oder Standortdaten.

Kernprinzipien der Verordnung (Art. 5 DSGVO):

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz — Es muss eine Rechtsgrundlage nach DSGVO Art. 6 vorliegen.
• Zweckbindung — Daten dürfen nur für den festgelegten Zweck verwendet werden.
• Datenminimierung — Es dürfen nur die wirklich benötigten Daten erhoben werden.
• Richtigkeit — Unrichtige Daten sind zu berichtigen oder zu löschen.
• Speicherbegrenzung — Daten sind zu löschen, sobald der Zweck erfüllt ist.
• Integrität und Vertraulichkeit — Technische und organisatorische Schutzmaßnahmen (TOMs) sind Pflicht.
• Rechenschaftspflicht — Der Verantwortliche muss die Einhaltung nachweisen können.

DSGVO für WordPress-Webseitenbetreiber

Für einen typischen WordPress-Betreiber ergeben sich folgende konkrete Pflichten:

Datenschutzerklärung (Art. 13/14 DSGVO): Jede Website muss eine vollständige, verständliche Datenschutzerklärung enthalten. Sie muss beschreiben, welche Daten zu welchem Zweck auf welcher Rechtsgrundlage verarbeitet werden.

Einwilligung (Art. 7 DSGVO): Wo die Einwilligung als Rechtsgrundlage genutzt wird (z. B. Newsletter, Tracking-Cookies), muss sie freiwillig, informiert, unmissverständlich und nachweisbar erteilt werden. Ein vorangehaktes Kästchen genügt nicht.

Cookie-Banner: Cookies, die nicht technisch notwendig sind (Analytics, Marketing, Social-Media-Plugins), dürfen erst nach aktiver Einwilligung gesetzt werden. Der Banner muss eine echte Ablehnoption bieten — gleichwertig zur Zustimmung.

Auftragsverarbeitungsverträge (AVV, Art. 28 DSGVO): Wer externe Dienstleister (Hosting, E-Mail-Versand, Analytics) nutzt, die personenbezogene Daten verarbeiten, muss mit diesen einen AVV abschließen.

Verarbeitungsverzeichnis (Art. 30 DSGVO): Ab 250 Mitarbeitern verpflichtend, für kleinere Betreiber empfohlen. Dokumentiert alle Verarbeitungstätigkeiten.

Betroffenenrechte umsetzen (Art. 15–22 DSGVO): Auskunft, Berichtigung, Löschung ("Recht auf Vergessenwerden"), Datenportabilität — auf Anfrage innerhalb eines Monats.

Datenpannen melden (Art. 33/34 DSGVO): Datenschutzverletzungen mit Risiko für Betroffene müssen innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden.

Häufige Verstöße und wie man sie vermeidet

Google Fonts direkt eingebunden: Das Laden von Google Fonts über die Google-Server überträgt die IP-Adresse der Besucher an Google in den USA ohne Rechtsgrundlage. Lösung: Fonts lokal hosten.

Gravatar ohne Hinweis: WordPress lädt Gravatare standardmäßig von Gravatar-Servern. Das überträgt eine gehashte E-Mail-Adresse an Automattic. Ohne Information in der Datenschutzerklärung problematisch.

Google Analytics ohne Einwilligung: Universal Analytics und GA4 übertragen personenbezogene Daten in die USA. Ohne valide Einwilligung und gültige Standardvertragsklauseln rechtswidrig.

oEmbed-Einbettungen: WordPress bettet YouTube-Videos und Twitter-Posts via oEmbed ein. Dabei werden schon beim Laden der Seite Verbindungen zu externen Servern hergestellt — ohne Nutzereinwilligung ein Verstoß.

Kein AVV mit dem Hosting-Anbieter: Viele Betreiber vergessen den AVV. Die meisten seriösen Hoster bieten ihn im Kundenportal an.

Häufige Fragen

Gilt die DSGVO auch für kleine Blogs ohne kommerzielle Absicht? Ja. Die DSGVO unterscheidet nicht nach Unternehmensgröße oder Gewinnabsicht. Ausnahme: rein persönliche oder familiäre Tätigkeiten ohne öffentliche Reichweite (Art. 2 Abs. 2 lit. c DSGVO). Ein öffentlich zugänglicher Blog fällt nicht darunter.

Was ist der Unterschied zwischen DSGVO und BDSG? Die DSGVO ist EU-Recht und gilt unmittelbar in allen Mitgliedstaaten. Das Bundesdatenschutzgesetz (BDSG) ist deutsches Ausführungsgesetz und füllt nationale Öffnungsklauseln aus (z. B. Beschäftigtendatenschutz). Im Konfliktfall hat die DSGVO Vorrang.

Können Bußgelder tatsächlich kleine Betreiber treffen? Die Behörden verhängen Bußgelder nach Ermessen und berücksichtigen die wirtschaftliche Leistungsfähigkeit. Für Privatpersonen und Kleinstunternehmen fallen Bußgelder entsprechend geringer aus. Abmahnungen durch Mitbewerber oder Verbände sind in der Praxis oft das größere Risiko.