WordPress DSGVO technisch umsetzen

Stand: August 2026

Ein Cookie-Banner allein macht eine WordPress-Website noch nicht datenschutzkonform. Entscheidend ist, welche Skripte und externen Inhalte bereits vor einer Auswahl geladen werden, wie einfach sich optionale Dienste ablehnen und später widerrufen lassen und ob die Datenschutzerklärung zur tatsächlichen Technik passt.

Ich übernehme die technische Datenschutz-Umsetzung für kleine und mittlere WordPress-Websites: vom Bestandscheck über den Consent-Banner bis zum abschließenden Funktionstest. Eine ausführliche Anleitung für die eigene Kontrolle finden Sie im Beitrag WordPress Cookie-Einstellungen 2026 richtig prüfen.

Was ich technisch prüfe und umsetze

1. Bestandsaufnahme der Website

• aktive Plugins, Theme und eingebundene Skripte prüfen
• Cookies, Local Storage und externe Verbindungen erfassen
• Tracking, Marketing-Tags und eingebettete Drittinhalte identifizieren
• auffällige oder technisch nicht mehr benötigte Dienste dokumentieren

2. Consent-Banner korrekt konfigurieren

Wenn einwilligungspflichtige Dienste eingesetzt werden, richte ich eine geeignete Consent-Management-Lösung ein oder optimiere die vorhandene Konfiguration – in der Regel mit Borlabs Cookie 3.

• notwendige und optionale Dienste sauber trennen
• Dienste, Anbieter, Zwecke, Laufzeiten und Cookies nachvollziehbar hinterlegen
• optionale Kategorien nicht vorauswählen
• „Alle akzeptieren“, „Ablehnen“ und individuelle Einstellungen verständlich und ohne unnötige Hürden anbieten
• Einwilligungen dokumentieren und einen jederzeit erreichbaren Widerruf ermöglichen
• Banner auf Desktop und Mobilgeräten auf Bedienbarkeit und grundlegende Barrierefreiheit prüfen

Eine reine Opt-out-Lösung, bei der Tracking schon vor einer Entscheidung startet, ist für einwilligungspflichtige Dienste keine belastbare Alternative.

3. Tracking und Marketing-Tags steuern

Ich binde beispielsweise Google Analytics 4, Google Ads, den Google Tag Manager, Meta Pixel oder vergleichbare Marketing-Dienste so ein, dass die gewählte Consent-Strategie technisch umgesetzt wird. Dazu gehören bei Google-Diensten gegebenenfalls auch die Signale des Google Consent Mode v2.

Der Advanced Consent Mode sendet bereits vor einer Einwilligung sogenannte cookieless pings. Er wird deshalb nicht automatisch aktiviert, sondern nur nach einer bewussten und dokumentierten Entscheidung. Wenn Datenvermeidung im Vordergrund steht, ist eine Umsetzung sinnvoll, bei der Google-Tags bis zur Einwilligung vollständig blockiert bleiben.

4. Externe Inhalte und Ressourcen absichern

• YouTube- und Vimeo-Videos vor der Einwilligung blockieren oder über datensparsame Vorschaulösungen einbinden
• Google Maps, Social-Media-Feeds und andere externe Einbettungen kontrollieren
• Google Fonts und andere Webfonts möglichst lokal hosten
• externe Bibliotheken, Icon-Fonts und Content-Delivery-Networks auf unnötige Datenübertragungen prüfen

5. Formulare, Kommentare und WordPress-Funktionen prüfen

• Kontakt- und Anfrageformulare um passende Datenschutzinformationen ergänzen
• Formulardaten, Speicherfristen und E-Mail-Versand technisch nachvollziehen
• Spam-Schutz auf externe Datenübertragungen prüfen und möglichst datensparsam konfigurieren
• Kommentarfunktion, Avatare und Gravatar kontrollieren
• WordPress-Core-Cookies von optionalen Erweiterungen unterscheiden

Eine Pflicht-Checkbox mit „Ich akzeptiere die Datenschutzerklärung“ ist nicht für jedes Kontaktformular automatisch die richtige Lösung. Die passende Rechtsgrundlage und Formulierung hängen vom Zweck der Anfrage ab und sollten rechtlich festgelegt werden.

6. Abschlusstest und Dokumentation

Nach der Umsetzung teste ich die Website in einer frischen Browser-Sitzung vor der Auswahl, nach einer Ablehnung und nach einer Einwilligung. Dabei prüfe ich unter anderem Netzwerkaufrufe, Cookies, eingebettete Inhalte, Widerruf, mobile Darstellung und die wichtigsten Website-Funktionen. Offene rechtliche oder redaktionelle Punkte dokumentiere ich transparent.

Rechtlicher Rahmen: DSGVO und TDDDG

Für Cookies und vergleichbare Zugriffe auf das Endgerät ist in Deutschland vor allem § 25 TDDDG relevant. Nicht unbedingt erforderliche Speicherungen und Zugriffe benötigen grundsätzlich eine vorherige Einwilligung. Werden dabei personenbezogene Daten verarbeitet, gelten zusätzlich die Anforderungen der DSGVO. Orientierung zur praktischen Auslegung geben unter anderem die Orientierungshilfen der Datenschutzkonferenz.

Wichtig: Ich leiste technische Umsetzung, aber keine Rechtsberatung. Ich kann weder eine individuelle juristische Prüfung noch eine Garantie für vollständige Rechtskonformität übernehmen. Datenschutzerklärung, Rechtsgrundlagen, Drittlandtransfers, Auftragsverarbeitungsverträge und besondere Verarbeitungssituationen sollten bei Bedarf durch eine fachkundige Rechtsberatung oder eine:n Datenschutzbeauftragte:n geprüft werden.

Was nicht automatisch im Auftrag enthalten ist

• Erstellung oder rechtliche Prüfung von Datenschutz- und Einwilligungstexten
• Prüfung von Verträgen, Auftragsverarbeitung oder internationalen Datentransfers
• Datenschutz-Folgenabschätzungen und organisatorische Datenschutzprozesse
• umfangreiche Sonderlösungen für Shops, Mitgliederbereiche, Lernplattformen oder individuell programmierte Plugins

Solche Punkte können zusätzlichen technischen Aufwand verursachen. Den stimme ich vor der Umsetzung mit Ihnen ab.

Ablauf und Preis

1. Kurzcheck: Ich prüfe Website, eingesetzte Dienste und vorhandene Consent-Lösung.
2. Aufwandseinschätzung: Sie erhalten eine transparente Einschätzung der nötigen Arbeiten und der offenen rechtlichen Punkte.
3. Umsetzung: Ich konfiguriere die vereinbarten technischen Maßnahmen.
4. Kontrolle: Anschließend teste und dokumentiere ich die wichtigsten Consent-Szenarien.

Abrechnung nach tatsächlichem Aufwand: 150 € pro Stunde zzgl. MwSt. Wenn während der Prüfung unerwartete Plugins, individuelle Skripte oder technische Sonderfälle auftauchen, stimme ich den Mehraufwand vorher mit Ihnen ab.

Häufige Fragen

Braucht jede WordPress-Website einen Cookie-Banner?

Nein. Wenn ausschließlich technisch unbedingt erforderliche Speicherungen und Zugriffe stattfinden, kann ein Consent-Banner entbehrlich sein. Das muss jedoch technisch geprüft werden; bereits ein extern geladenes Video, Tracking-Skript oder eingebundener Drittanbieter kann die Bewertung verändern.

Ist eine Website mit Borlabs Cookie automatisch datenschutzkonform?

Nein. Borlabs Cookie stellt die Technik bereit. Entscheidend sind die konkrete Konfiguration, vollständig erfasste Dienste, korrekt blockierte Skripte, verständliche Auswahlmöglichkeiten und passende Datenschutzinformationen.

Kann Google Analytics weiterhin eingesetzt werden?

Technisch ja – in der Regel mit vorheriger Einwilligung und einer sorgfältigen Konfiguration. Zusätzlich müssen die datenschutzrechtliche Rechtsgrundlage, die Informationen in der Datenschutzerklärung, Vertragsfragen und mögliche Drittlandtransfers bewertet werden.

Garantiert die technische Umsetzung eine rechtssichere Website?

Nein. Technik ist nur ein Teil der Datenschutz-Compliance. Inhalte, Verträge, interne Abläufe und die konkrete Datenverarbeitung müssen ebenfalls passen.

WordPress-Datenschutz technisch prüfen lassen

Beschreiben Sie kurz Ihre Website, die eingesetzten Tracking- oder Marketing-Dienste und – falls vorhanden – Ihre aktuelle Consent-Lösung. Ich melde mich mit einer ersten technischen Einschätzung.