Kurz gesagt: WordPress selbst gehört nicht in deine Datenschutzerklärung. Es ist Software auf deinem Server und bekommt keine Daten von dir. Hinein gehören dein Hosting-Anbieter, alle Erweiterungen, die Daten nach aussen geben, und alles, was dein Theme im Hintergrund nachlädt.
In meiner Erhebung über 206 Schweizer KMU-Websites lief auf 91 Seiten WordPress, das sind 44 Prozent. Im Schnitt trugen sie 3.8 Erweiterungen, eine davon zwölf. Fast keine dieser Erklärungen nennt den Hoster.
Der häufigste Irrtum: „Ich habe ja nichts eingebaut“
Der Satz stimmt meistens, und trotzdem läuft etwas. Ein Theme lädt Schriftarten von Google, ein Seitenbaukasten holt Symbole von einem fremden Server, ein Kontaktformular-Plugin bindet reCAPTCHA ein. Auf 37% der geprüften Seiten fand ich extern eingebundene Google Fonts, und praktisch nie stand das in der Erklärung. Niemand hat sie bewusst aktiviert, sie kamen mit.
Das ist der Grund, warum ein Fragebogen allein bei WordPress nicht reicht: Du kannst nur ankreuzen, was du weisst.
Was in die Erklärung gehört
Dein Hosting-Anbieter. Bei ihm laufen alle Aufrufe deiner Besucher durch, er speichert die Server-Logfiles mit IP-Adresse. Er ist Auftragsbearbeiter und gehört genannt, mit Land. Mehr dazu im Artikel Wer meine Website hostet.
Erweiterungen, die nach aussen senden. Ein Cookie-Banner-Plugin, eine Statistik wie Jetpack, ein Newsletter-Anschluss, ein Karten- oder Video-Block, ein Spamschutz. Alles, was beim Aufruf deiner Seite eine fremde Adresse kontaktiert.
Was dein Theme mitbringt. Schriftarten, Symbolsätze, Animationsbibliotheken von einem CDN.
Was NICHT hineingehört
- WordPress selbst. Software auf deinem Server, kein Empfänger von Daten.
- Erweiterungen, die nur lokal arbeiten. Ein Seitenbaukasten wie Elementor, ein Cache-Plugin, ein SEO-Plugin, ein Backup-Werkzeug. Sie geben nichts nach aussen.
- Das Theme als solches. Nur das, was es lädt.
Wer alles hineinschreibt, was im Plugin-Verzeichnis steht, produziert ein Dokument, das niemand liest und das bei der nächsten Aktualisierung nicht mehr stimmt.
Selbst gehostet oder WordPress.com?
Der Unterschied ist wichtig. Bei einem selbst betriebenen WordPress liegt die Seite bei deinem Hoster, und der gehört in die Erklärung. Bei WordPress.com ist Automattic mit Sitz in den USA der Betreiber, dann kommt eine Auslandbekanntgabe dazu. Läuft zusätzlich Jetpack, gehen Bilder und Zugriffszahlen ebenfalls an Automattic, auch wenn deine Seite sonst in der Schweiz liegt.
Was das Gesetz verlangt
Das revidierte Datenschutzgesetz (revDSG) verlangt in Art. 19, dass du bei der Beschaffung von Personendaten angemessen informierst: wer verantwortlich ist, zu welchem Zweck du bearbeitest und wer die Daten sonst noch zu sehen bekommt. Geht etwas ins Ausland, kommt nach Art. 19 Abs. 4 der Staat dazu und die Grundlage dafür.
Empfänger sind nicht nur die grossen Namen. Auch dein Hosting-Anbieter ist einer, ebenso das Terminwerkzeug, der Newsletter-Versand und die Treuhandstelle, die deine Buchhaltung macht. Das Gesetz lässt zu, sie als Kategorien zu nennen statt einzeln, aber weglassen darfst du sie nicht.
Wie du herausfindest, was wirklich läuft
Der Scan liest den Quelltext deiner Startseite und deiner Rechtsseiten, erkennt eingebundene Dienste, das System und die sichtbaren Erweiterungen. Was er nicht sieht, sind Werkzeuge, die nur im Hintergrund arbeiten: Newsletter-Versand, Buchhaltung, Terminverwaltung. Danach wirst du gefragt, statt übergangen.
Bussen bis CHF 250'000 sieht Art. 60 revDSG vor, allerdings nur bei Vorsatz, nur auf Strafantrag und gegen die verantwortliche natürliche Person statt gegen die Firma. In der Praxis ist das selten der Anlass. Häufiger ist eine Anfrage: jemand will wissen, welche Daten du über ihn hast, oder eine Kundin fragt, warum ihre Adresse bei einem Anbieter in den USA liegt. Wer dann nichts vorzuweisen hat, steht schlecht da, und zwar vor der Kundschaft, nicht vor einer Behörde.