Nochmal Glück gehabt, die über Österreich hereingebrochene Abmahnwelle wegen der Verwendung von Google Fonts ebbte ab. Betroffene können aufatmen. Das ändert allerdings nicht an der Anforderung, seine Website datenschutzkonform zu betreiben.

Bei WordPress fängt das bereits mit der Installation an. WordPress frisch installiert, mit dem (mittlerweile) Schriften lokalhostenden aktuellen Standardtheme (twentytwentytwo) sollte doch eigentlich den Anforderungen einer die Privatshäre schützenden Website genügen. Richtig?

Falsch.

Gravatar

Die Kommentarfunktion von WordPress (zum Beispiel wenn man es als / mit Blog betreibt) zeigt neben dem angegeben Namen kommentierender Personen auch ein Profilbild an. Das Profilbild wird jedoch von einer externen Plattform (gravatar.com) geladen, sofern die Person einen Account dort hat. Um das zu prüfen, stellt WordPress eine Verbindung zu gravatar.com her, um einen E-Mail-Adressen-Abgleich zu machen.

Die dabei stattfindende Übermittlung personenbezogener Daten ist laut DSGVO unzulässig. Doch die Funktionalität lässt sich deaktivieren. Dafür zu „Einstellungen“ gehen und „Diskussion“ auswählen.

Unter „Avatare“ das Häkchen nach „Avataranzeige“ entfernen, und mit dem Button „Änderungen speichern“ bestätigen.

Emojis-Support abschalten

Wer in einem Blogbeitrag eingibt, war hier innerhalb der eckigen Klammer steht: [:-)] , erhählt standardmäßig durch Umwandlung ein Emoji wie das zurück:

Der Haken daran ist, dass dieses kleine SVG-Smilie von einem Server mit der Adresse https://s.w.org geholt wird. Dabei wird die IP-Adresse des Besuchers also an den fremden Server übermittelt, um die kleine Grafik darzustellen.

Diese Funktion lässt sich allerdings nicht einfach mit dem Entfernen eines Häkchens deaktivieren. Wer nicht selber skripten möchte oder kann, hat die Auswahl zwischen mehreren Plugins (unter „Plugins“ > „Installieren“ suchen nach „disable Emojis“), die entweder nur Emojis deaktivieren, oder zusätzlich noch ein paar Optimierungsfunktionen anbieten.

Es kann sein, dass Emojis dennoch angezeigt werden. Die Quelle ist dann jedoch der Besucherrechner, nicht mehr s.w.org (vorsichtshalber aber prüfen).

Akisment ersetzen

Ein frisch installiertes WordPress kommt üblicherweise mit zwei Plugins. „Hello Dolly“ (kann man löschen, erfüllt keine Funktion) und dem Spamfilter Akismet. Da Akismet Daten in die USA übermittelt und dort verarbeitet, berührt der Einsatz des Plugins die Privatshäre kommentierender Besucher. Wer seine Website von Haus aus datenschutzkonform halten will, kann Akismet also nicht zum Schutz vor Spam-Kommentaren verwenden.

Man kann sich unter anderem vor Spam schützen, indem die entsprechende Option in verschiedenen Sicherheitsplugins gewählt wird, zum Beispiel All in one Security & Firewall. Eine beliebte Alternative zu Akismet ist außerdem das Plugin Antispam Bee.

Zudem muss man Kommentare nicht einfach ungeprüft durchlassen, sondern kann in den Diskussionseinstellungen festlegen, dass man Kommentare erst nach manueller Freigabe öffentlich sichtbar werden lässt.

Selbst wenn man Kommentare moderiert ist ein Spamschutz sinnvoll, da nach einer gewissen Zeit Spambots mithin 100erte von Kommentaren „abgeben“ werden. Ein Spamschutz-Plugin schiebt diese gleich dahin wo sie hingehören – in den Spamordner, oder den Papierkorb (je nach Einstellung).

Jetpack – besser nicht

Wer sein WordPress erweitern möchte, und dafür ein Plugin sucht, dem wird Jetpack recht prominent zur Installation angeboten. Wie Gravatar kommt auch Jetpack aus dem Hause Automattic. Jetpack ist, wie der Name schon sagt, ein Funktionspaket, das WordPress unter anderem mit CDN für statische Dateien, aber auch Statistik-Funktionen erweitert. Dafür werden nicht nur persönliche Daten an Server in den USA übermittelt, es kommen auch Cookies zum Einsatz.

Um Jetpack zu verwenden, benötigt man außerdem ein Konto bei WordPress.com, und muss seine WordPress-Installation damit verbinden.

In manchen Fällen führt die Verwendung von Jetpack-Modulen zu einer starken Verlangsamung der Website.

Persönliche Daten in Kommentaren

Ich ziehe es vor, dass die Angabe von Namen und E-Mail-Adresse in der Kommentarfunktion optional ist. Dafür unter „Einstellungen“ > „Diskussion“ im Abschnitt „Weitere Kommentareinstellungen“ das Häkchen vor „Benutzer müssen zum Kommentieren Name und E-Mail-Adresse angeben“ entfernen.

Allerdings wird mit jedem Kommentar automatisch auch die IP-Adresse des Verfassers gespeichert. Unterbunden werden kann dies zum Beispiel mit

add_filter ( 'pre_comment_user_ip' , function ( $comment_author_ip ) { return '127.0.0.1'; } );

Hier werden jedoch nicht die IP-Adressen in bereits gespeicherten Kommentaren berücksichtigt. Für bestehende Kommentare kannst Du zum Beispiel das Plugin DSGVO Tools: Kommentar-IP entfernen verwenden.

Wer einen Kommentar schreibt, kann jederzeit die Löschung seiner persönlichen Daten verlangen. WordPress selbst hat dafür sogar die Funktionalität implementiert. Unter Werkzeuge können personenbezogene Daten nach Usernamen oder E-Mail-Adresse exportiert oder gelöscht werden.

Dies ist keine Rechtsberatung. Sicherheit besteht nur nach Prüfung durch einen datenschutzrechtlichen Experten. Ist eine Website erst einmal auf DSGVO-Konformitität geprüft, sollten nicht ohne gründliche vorherige Prüfung neue Komponenten (Plugins) hinzugefügt werden.

Der Fokus sollte auf den Datenschutzmaßnahmen liegen, nicht der Datenschutzerklärung. Letztere aus einem Generator zu holen suggeriert leicht mal, man kann alles machen, so lange man es in den Ausführungen erwähnt, aber so ist es nicht.