DSGVO-Checkliste für WordPress-Websites

1. Allgemeine rechtliche Grundlagen

• Impressum: Vollständig und leicht auffindbar, idealerweise in der Hauptnavigation oder im Footer.
• Datenschutzerklärung:
  • Zugänglich von jeder Seite (z. B. im Footer).
  • Klar und verständlich formuliert.
  • Auflistung aller erhobenen Daten und ihrer Zwecke.
  • Angabe der Rechtsgrundlage (Art. 6 DSGVO).
  • Informationen zu Diensten von Drittanbietern inkl. deren Standorte.
  • Information über Betroffenenrechte.
  • Hinweis auf Kontaktmöglichkeit für Datenschutzanfragen.

2. Technisch-organisatorische Maßnahmen (TOMs)

• SSL-Verschlüsselung (HTTPS): Pflicht für jede DSGVO-konforme Seite.
• Backups & Datenzugriffsschutz:
  • Regelmäßige Backups der Website.
  • Zugriff auf WP-Admin nur für autorisierte Nutzer.
  • Starke Passwörter & ggf. Zwei-Faktor-Authentifizierung (z. B. mit „WP 2FA“).
• Updates: WordPress-Core, Themes und Plugins regelmäßig aktualisieren.
• Vertrag zur Auftragsverarbeitung (AVV) mit Hosting-Anbieter abgeschlossen.

3. Cookies & Tracking

• Cookie-Consent-Banner, z. B. mit:
  • „Borlabs Cookie“, „Complianz“ oder „Real Cookie Banner“.
  • Opt-in für nicht notwendige Cookies.
  • Kein Setzen von Cookies vor Zustimmung.
  • Möglichkeit zum Widerruf der Einwilligung (z. B. über Footer-Link).
• Cookie-Richtlinie / -Auflistung in der Datenschutzerklärung.

4. Formulare & Kontaktaufnahme

• Kontaktformular mit DSGVO-Checkbox:
  • Keine vorausgefüllten oder verpflichtenden Einwilligungen.
  • Nur notwendige Felder.
  • Hinweis auf Datenschutzerklärung vor dem Absenden.
• Newsletter-Anmeldung:
  • Nur mit Double-Opt-In.
  • Nachweisbare Einwilligung (z. B. durch Protokollierung).
  • Hinweis auf Widerrufsrecht.
  • Angabe des Anbieters (z. B. MailerLite, Brevo, Mailchimp) in der Datenschutzerklärung.
  • AVV mit dem Anbieter vorhanden.

5. Einbindung externer Inhalte & Dienste

• Google Fonts lokal eingebunden, nicht über Google-Server.
• YouTube-Videos datenschutzfreundlich eingebettet:
  • z. B. über „nocookie“-Domain oder Zwei-Klick-Lösung.
• Google Maps: Nur nach expliziter Einwilligung laden.
• reCAPTCHA: Vermeiden oder DSGVO-konform absichern (Einwilligung, Hinweise).
• Statistik-/Tracking-Tools (z. B. Google Analytics, Matomo):
  • Nur mit vorheriger Einwilligung.
  • Anonymisierung der IP-Adressen.
  • AVV mit dem Anbieter.
  • Opt-out-Möglichkeit bieten.
• Social Media Plugins (z. B. Teilen-Buttons):
  • Datenschutzfreundliche Varianten (Shariff, heise-Lösung).

6. Kommentare & Benutzerregistrierung

• Kommentare deaktivieren oder DSGVO-konform gestalten:
  • IP-Adresse anonymisieren oder nicht speichern.
  • Hinweis auf Datenschutz bei Kommentarabgabe.
• Benutzerregistrierung & Login:
  • Nur wenn notwendig.
  • Zugriffsrechte klar regeln.
  • Datenminimierung: Nur notwendige Infos abfragen.

7. Weitere Empfehlungen

• Datenverarbeitung dokumentieren (Verarbeitungsverzeichnis) – Pflicht für Unternehmen und bei regelmäßig automatisierter Verarbeitung.
• Datenschutz-Folgenabschätzung (DSFA) bei hohem Risiko prüfen.
• Löschkonzept: Welche Daten wann gelöscht werden.
• Hinweis auf automatisierte Entscheidungsfindung (wenn zutreffend).
• Kein Drittland-Transfer ohne Schutzmaßnahmen (z. B. USA ohne EU-Standardvertragsklauseln = kritisch).

🔧 Empfohlene Plugins für Datenschutz in WordPress

✅ Beispiel für Pflichtangaben unter einem Formular:

„Mit dem Absenden des Formulars erklärst Du Dich mit der Verarbeitung Deiner Daten gemäß unserer Datenschutzerklärung einverstanden.“