DSGVO und WordPress Plugins: The Good, The Bad and The Ugly

WordPress Plugins und DSGVO – was haben Plugins mit Datenschutz zu tun? Naja, eine ganze Menge. Denn es gibt einige Plugins, die personenbezogene Daten speichern oder übermitteln.

Das können IP Adressen sein, Emailadresse, Name, Geburtsdatum…

Dieser Artikel ist Teil 3 meiner Artikelserie DSGVO und Dein Online-Business. Im ersten Teil gehe ich auf die Grundlagen ein und versuche einen kleinen Leitfaden zu geben. In Teil 2 findest du ein kleines Tutorial, wie Du YouTube Videos DSGVO konform einbettest.

Hier liste ich einige der gebräuchlichsten Plugins auf, nach Kategorien geordnet und zeige Dir Alternativen für kritische Plugins. Dieser Artikel erhebt natürlich keinen Anspruch auf Vollständigkeit und falls Du eine Ergänzung für mich hast, gerne in den Kommentaren posten!

An dieser Stelle auch wieder mein Disclaimer:

Social Plugins

Meiner Meinung nach die ganz großen „Bads“ und „Uglys“ hier in der Liste. Dabei beziehe ich mich vor allem auf die sogenannten Sharing Plugins, mit denen Deine Leser Deine Blogbeiträge bequem in den sozialen Netzwerken teilen können. Die meisten Social Plugins kommunizieren allerdings bereits direkt beim Betreten Deiner Website mit dem jeweiligen Social Network und übertragen Daten Deiner Besucher.

Social Sharing Plugins

Bekannte Sharing Plugins sind:

• Monarch
• Share This
• AddThis
• JetPack
• Mashshare (laut Entwickler DSGVO-konform, allerdings wird der Facebook Social Graph geladen, wodurch Daten übertragen werden)

Eins der wenigen datenschutzkonformen Sharing-Plugins ist das Plugin Shariff Wrapper, da hier Daten erst übertragen werden, nachdem der Nutzer auf den Button geklickt hat.

Ein weiteres datenschutzkonformes Plugin ist das Sharing-Plugin von eRecht24, das Premium-Mitgliedern zur Verfügung steht.

Like Box Plugin

Die Facebook Like Box ist auch problematisch. Hier ist es besser, einfach einen Link zu setzen.

Social Button Plugins

Solange die Plugins einfach nur Buttons auf Deiner Seite einfügen mit Links zum jeweiligen Social Network, ist das in der Regel unkritisch. Allerdings solltest Du hier bedenken, dass diese Plugins häufig auch Webfonts (Schriftarten) nutzen, um die Social Icons anzuzeigen. Diese Webfonts wiederum übertragen auch Daten an den jeweiligen Font Anbieter. Alternative wäre hier, die Font auf dem eigenen Server abzulegen (Anleitung folgt), als Grafik abzulegen oder reine Textlinks anzubieten. Zumindest sollte aber ein Hinweis in die Datenschutzerklärung rein. Ich nutze hier Links mit Icons von Font Awesome, die ich auf meinem Server abgelegt habe.
Bekannte Social Button Plugins sind:

• Simple Social Icons
• Lightweight Social Icons
• Social Media Feather | social media sharing – Hier handelt es sich auch um ein Sharing Plugin, also eher ungeeignet.

Sicherheitsplugins & Anti Spam Plugins

Sicherheitsplugins wie Wordfence, Ninja Firewall, iThemes Security und Limit Login Attempts speichern in der Regel IP Adressen Deiner Nutzer und einige legen auch Logfiles an. Hier gilt es zum einen zu klären, ob IP Adressen auf Deinem Server oder dem des Anbieters gespeichert werden (in diesem Fall ist ein Vertrag zur Auftragsdatenverarbeitung erforderlich). Gut wäre es, wenn die Speicherung und Übertragung der IP Adressen deaktiviert werden könnte. iThemes Security und WordFence speichern die Daten auf den Anbieter Servern, deshalb brauchst Du hier einen ADV-Vertrag!

Mein Favorit Ninja Firewall, den ich auf vielen Seiten im Einsatz habe und Limit Login Attempts Reloaded speichern IP Adressen auf Deinem Server. Das ist natürlich hier nötig zum Schutz vor Brute-Force-Angriffen, hier sollte auf jeden Fall ein Passus in die Datenschutzerklärung mit rein! Bei Ninja Firewall kannst Du die IP Adressen in den Firewall-Optionen anonymisieren. Außerdem kannst Du einstellen, wie lange Logfiles gespeichert werden können. So kannst Du z.B. alle Logdateien löschen lassen, die älter als 7 Tage sind.

Wirklich empfehlenswert finde ich in diesem Zusammenhang übrigens nur Ninja Firewall und Limit Login Attempts Reloaded. Da das A und O in der Sicherheit ein sicheres Passwort sowie regelmäßige Updates und Backups sind und die meisten Sicherheitsplugins darüber hinaus nicht wirklich viel Nutzen bieten, kannst Du ggf. das Plugin auch deaktivieren.

Kontaktformulare

Kontaktformulare sind natürlich der Knackpunkt für den Datenschutz auf Deiner Website, da hier personenbezogene Daten erfasst werden. Hier gilt das Motto: Datensparsamkeit – nur so viel wie dringend nötig. Hier sollten Daten wenn möglich nicht oder nur wenn eine Rechtsgrundlage vorliegt (Einwilligung des Nutzers, Vertragserfüllung, berechtigtes Interesse… siehe Art. 6 DSGVO) gespeichert werden.

Mittlerweile unterstützen die meisten Formular-Plugins Checkboxen, so dass Du kein separates Plugin mehr dafür brauchst.

Contact-Form 7 speichert keine Daten auf dem Server, auch Ninja Forms nicht. 

Bei Gravity Forms kannst Du unter Einstellungen – Personenbezogene Daten die Speicherung von IP Adressen unterbinden.

Warum die Einwilligung nicht unbedingt die beste Rechtsgrundlage für das Verarbeiten von Kontaktformulardaten ist und welche Rechtsgrundlagen stattdessen greifen, das erklärt Rechtsanwalt Stephan Hansen-Oest in seinem neuesten Podcast: Braucht mein Kontaktformular jetzt eine Checkbox?. Anders sieht es natürlich aus, wenn Du besonders sensible Daten abfragst. Und eben beim Newsletterversand:

Newsletterplugins, Lead Plugins & Popup Plugins

Darunter fallen Plugins wie Mailpoet oder Newsletter. Achte hier darauf, dass Du Double-Optin nutzt und nur so viele Daten wie nötig erhebst (also strenggenommen nur die Email Adresse).

Bekannte Lead-Plugins sind

• Thrive Leads
• Optin Monster
• Bloom

Achte hier auch auf die Checkbox zur Einwilligung!

Thrive Leads hat diese Erweiterung bereits zugesagt.

Für Bloom (und die DIVI Formulare) gibt es eine kostenpflichtige Erweiterung, die das Plugin DSGVO-konform macht: Bloom GDPR Overlay Plugin

Bei Popup Plugins wie Thrive Leads, Popup Ally, Bloom etc., die Exit Intent anbieten, werden Cookies gesetzt (damit nicht andauernd Popups bei Deinen Besuchern auftauchen).

Hier sollte auf jeden Fall ein Hinweis in die Datenschutzerklärung zum Thema Cookies mit rein. Ggf. auf diese Werbemittel verzichten.

Kommentarplugins & Blogabos & Anti-Spam Plugins

Zum Thema Kommentare hatte ich in meinem vorherigen Artikel schon einiges geschrieben, trotzdem nochmal hier an dieser Stelle:

In Kommentaren solltest Du per functions.php oder Plugin die Speicherung der IP Adresse unterbinden.

Plugins, die Blogabos anbieten wie JetPack und Subscribe to Comments Reloaded sollten mit einem Double Optin versehen sein oder gleich Subscribe to „Double-Opt-In“ Comments nutzen.

Als Alternative für die Gravatar-Funktion bietet sich das Plugin WP User Avatar an, das ich auch für meine Kommentare einsetze. Du kannst hier Avatar-Bilder auf Deinen Server hochladen und in den Einstellungen Gravatar deaktivieren und nur lokale Avatare verwenden.

Kommentarspam solltest Du übrigens nach wie vor aus Datenschutzgründen nicht mit dem WordPress-Standard-Plugin Akismet, sondern mit Antispam Bee bekämpfen. Hier solltest du allerdings noch eine kleine Einstellung machen, um AntiSpamBee wirklich datenschutzkonform zu nutzen: „Öffentliche Spamdatenbank berücksichtigen“ solltest Du deaktivieren bzw. deaktiviert lassen (denn in der Standardeinstellung ist es nicht aktiv). Die Funktion „Bestimmte Länder blockieren bzw. erlauben“ überträgt die IP-Adressen nur anonymisiert, und in der Einstellung „Kommentare nur in einer Sprache zulassen“ wird nur der Kommentartext, nicht aber Email, IP oder Name des Kommentierenden an Google übertragen. Siehe auch hier oder hier Statement des Entwicklers.

Backup-Plugins

Bekannte Backup-Plugins sind BackWPUp oder Updraft Plus. Hier solltest Du wissen, dass wenn Du personenbezogene Daten auf Deiner Website speicherst (wie Email, IP, Name…), diese auch im Backup gespeichert werden. So solltest Du hier wie immer auf Datensicherheit achten. Solltest Du Deine Backups noch dazu auf Cloud-Diensten wie Dropbox, OneDrive, Amazon S3 speichern, ist besondere Vorsicht geboten, denn hier werden die Daten auf fremde Server übertragen.

SEO-Plugins

[UPDATE 20.05.]: Hier solltest Du ein besonderes Auge auf Redirection Plugins werfen, also Plugins, mit deren Hilfe Du eine Seite umleiten kannst auf eine andere.

Das Plugin „Redirection“ speichert von Haus aus IP-Adressen, was Du aber in den Einstellungen deaktivieren kannst:

Damit wäre das Plugin dann konform.

Das Plugin „SEO Redirection“ hingegen bietet diese Möglichkeit derzeit nicht an, ist damit also nicht DSGVO-konform.

Im Prinzip brauchst Du solche Plugins allerdings gar nicht, sondern kannst Umleitungen auch in Deiner .htaccess Datei einrichten (sofern Du einen Apache-Server nutzt).

Community & Member Plugins

Hierunter fallen Foren Plugins wie BuddyPress, aber auch Member Plugins wie Digimember oder Ultimate Member und Learning Management Systeme wie LearnDash. Auch hier werden personenbezogene Daten gespeichert und ggf. an Drittserver übertragen.

Hier sind bei lokaler Speicherung Datenschutzhinweise und bei Übermittlung an Drittserver ADV-Verträge wichtig.

Wichtig bei Digimember: unbedingt auf Version 3 updaten, da bei Version 2 Passwörter im Klartext gespeichert werden.

Affiliate & Ecommerce Plugins

WooCommerce, wohl das bekannteste Ecommerce Plugin, speichert Daten auf dem Webserver und je nach Addon können Daten an Drittserver übertragen werden.

Bei Affiliate Plugins wie Pretty Links sollte das Tracking unterbunden werden und bestehende Klickstatistiken gelöscht werden.

Multifunktionsplugins

Hier fällt das allseits bekannte JetPack darunter, bei dem einige Funktionen datenschutzrechtlich bedenklich sind:

• Social Sharing Buttons
• Kommentar-Abo-Funktion
• Statistikfunktion speichert IP-Adressen

Hier findest Du eine Übersicht, was JetPack alles an Daten überträgt.

Mal abgesehen davon ist JetPack nicht gerade ein leichtgewichtiges Plugin. Es bleibt abzuwarten, inwieweit Automattic das Plugin datenschutzkonform macht.

Nützliche Plugins

Cookie Hinweise

Laut EuGH Urteil vom 29.07.2019 ist Opt-In in Deutschland nun Pflicht! Ich empfehle dazu folgende Plugins:

• Borlabs Cookie – Opt-In Lösung für Cookies, Google Analytics & Facebook Pixel Unterstützung, Blockieren und Nachladen von iframes (Google Maps, YouTube, Vimeo…)
• Pixel Mate: Facebook Pixel datenschutzkonform einbinden mit Opt-In (inkl. Google Analytics mit IP Anonymisierung und Opt-In) und Cookie-Notice

Google Analytics & Facebook Pixel

Bei Google Analytics solltest Du ein Opt-Out in der Datenschutzerklärung bereithalten, die IP Adressen anonymisieren und ggf. DNT (Do Not Track) unterstützen. Bei Google Analytics und dem Facebook Pixel solltest Du unbedingt auf ein Optin setzen laut neuesten EuGH Urteil vom 29.07.2019

• Borlabs Cookie – Opt-In Lösung für Cookies, Google Analytics & Facebook Pixel Unterstützung, Blockieren und Nachladen von iframes (Google Maps, YouTube, Vimeo…)
• Pixel Mate: Facebook Pixel datenschutzkonform einbinden mit Opt-In (inkl. Google Analytics mit IP Anonymisierung und Opt-In) und Cookie-Notice

Kommentare

• Subscribe to „Double-Opt-In“ Comments. – Double Optin für Kommentar-Abos. Achtung: hier solltest Du in der Datenschutzerklärung darauf hinweisen, dass ein abonnieren von Kommentaren möglich ist.
• Remove Comment IPs – löscht IP Adressen von Kommentaren nach 60 Tagen aus der Datenbank

Videos einbetten

• Borlabs Cookie – Opt-In Lösung für Cookies, Google Analytics & Facebook Pixel Unterstützung, Blockieren und Nachladen von iframes (Google Maps, YouTube, Vimeo…)
• Pixel Mate: Facebook Pixel datenschutzkonform einbinden mit Opt-In (inkl. Google Analytics mit IP Anonymisierung und Opt-In) und Cookie-Notice
• WP YouTube Lyte – YouTube Videos datenschutzkonform nutzen
• Lazy Load for Videos – YouTube und Vimeo Videos datenschutzkonform einbetten
• Extra Privacy for Elementor (Addon für Pagebuilder Elementor: 2-Klick-Funktion für Videos und Google Maps)

Google Maps

• Borlabs Cookie – Opt-In Lösung für Cookies, Google Analytics & Facebook Pixel Unterstützung, Blockieren und Nachladen von iframes (Google Maps, YouTube, Vimeo…)
• Pixel Mate: Facebook Pixel datenschutzkonform einbinden mit Opt-In (inkl. Google Analytics mit IP Anonymisierung und Opt-In) und Cookie-Notice
• AWEOS Google Maps iframe load per click (2-Klick-Lösung für Google Maps – wenn über iFrame eingebunden)

Emojis, Google Fonts & Gravatare

• Disable Emojis – entfernt den zusätzlichen Code, der genutzt wird, um Emojis in älteren Browsern zu nutzen (wird über CDN geladen)
• Autoptimize (entfernt Google Fonts und Emojis)
• Custom Fonts – eigene Fonts (z.B. Google Fonts) in der Website einbetten
• Remove Google Fonts References (entfernt Google Fonts)
• Disable Google Fonts (Google Fonts deaktivieren)
• Avatar Privacy (datenschutzkonforme Nutzung von Gravatar)

Oder schau Dir mal meine Anleitung an zum Entfernen und lokalen Einbinden von Google Fonts!

Löschfunktionen für Nutzer

• Delete Me – damit können Nutzer ihren Account selbst löschen