Sind Sie verwirrt von der GDPR und wie sie sich auf Ihre WordPress-Website auswirkt?
Die GDPR, kurz für General Data Protection Regulation, ist ein Gesetz der Europäischen Union, von dem Sie wahrscheinlich schon gehört haben. Wir haben Dutzende von E-Mails von Nutzern erhalten, die uns gebeten haben, die GDPR in einfachem Englisch zu erklären und Tipps zu geben, wie Sie Ihre WordPress-Website GDPR-konform machen können.
In diesem Artikel erklären wir Ihnen alles, was Sie über die Datenschutzgrundverordnung und WordPress wissen müssen (ohne den komplexen rechtlichen Kram).
Haftungsausschluss
Wir sind keine Rechtsanwälte, und nichts auf dieser Website sollte als Rechtsberatung angesehen werden.
Um Ihnen die Navigation durch unseren ultimativen Leitfaden für WordPress und die Einhaltung der GDPR zu erleichtern, haben wir unten ein Inhaltsverzeichnis erstellt:
- What Is the GDPR?
- Does the GDPR Apply to My WordPress Website?
- What Is Required of Website Owners Under the GDPR?
- Is WordPress GDPR Compliant?
- Additional Areas on Your Website to Check for GDPR Compliance
- Best WordPress Plugins for GDPR Compliance
- Final Thoughts
- Expert Guides on Making Your WordPress Site GDPR-Compliant
- Additional Resources
Was ist die GDPR?
Die Allgemeine Datenschutzverordnung (GDPR) ist ein Gesetz der Europäischen Union (EU), das am 25. Mai 2018 in Kraft trat. Ziel der GDPR ist es, den EU-Bürgern die Kontrolle über ihre personenbezogenen Daten zu geben und den Datenschutzansatz von Organisationen auf der ganzen Welt zu ändern.
Im Laufe der Jahre haben Sie wahrscheinlich Dutzende von E-Mails von Unternehmen wie Google über die Datenschutz-Grundverordnung, ihre neuen Datenschutzrichtlinien und einen Haufen anderer rechtlicher Dinge erhalten. Das liegt daran, dass die EU hohe Strafen für Personen vorgesehen hat, die sich nicht an die Vorschriften halten.
Unternehmen, die die Anforderungen der Datenschutz-Grundverordnung nicht erfüllen, können mit hohen Geldstrafen von bis zu 4 % des weltweiten Jahresumsatzes eines Unternehmens oder 20 Millionen Euro (je nachdem, welcher Betrag höher ist) belegt werden. Dies ist Grund genug, um bei Unternehmen auf der ganzen Welt Panik auszulösen.
Was ist die CCPA?
Der Bundesstaat Kalifornien hat am 1. Januar 2020 ein ähnliches Datenschutzgesetz eingeführt, allerdings sind die möglichen Bußgelder wesentlich geringer.
Das kalifornische Gesetz zum Schutz der Privatsphäre der Verbraucher (CCPA) dient dem Schutz der persönlichen Daten der Einwohner Kaliforniens. Es gibt ihnen das Recht zu erfahren, welche persönlichen Daten über sie gesammelt werden, deren Löschung zu verlangen und dem Verkauf ihrer Daten zu widersprechen.
In diesem Artikel konzentrieren wir uns auf die GDPR, aber viele der in diesem Artikel aufgeführten Schritte werden Ihnen auch helfen, CCPA-konform zu werden.
Das bringt uns zu der großen Frage, über die Sie vielleicht nachdenken:
Gilt die GDPR für meine WordPress-Website?
Die Antwort lautet JA. Sie gilt für jedes Unternehmen, ob groß oder klein, auf der ganzen Welt (nicht nur in der Europäischen Union).
Wenn Ihre WordPress-Website Besucher aus Ländern der Europäischen Union hat, dann gilt dieses Gesetz für Sie.
Aber keine Panik. Das ist nicht das Ende der Welt.
Die DSGVO kann zwar zu diesen hohen Geldstrafen führen, aber zunächst wird es eine Verwarnung, dann einen Verweis und schließlich eine Aussetzung der Datenverarbeitung geben.
Und nur wenn Sie weiterhin gegen das Gesetz verstoßen, werden die hohen Bußgelder fällig.
Die EU ist nicht irgendeine böse Regierung, die es auf Sie abgesehen hat. Ihr Ziel ist es, unschuldige Verbraucher vor einem rücksichtslosen Umgang mit Daten zu schützen, der zu einer Verletzung ihrer Privatsphäre führen könnte.
Die Höchststrafe dient unserer Meinung nach vor allem dazu, die Aufmerksamkeit großer Unternehmen wie Facebook und Google zu wecken, damit diese Verordnung nicht ignoriert wird. Außerdem ermutigt dies die Unternehmen, mehr Wert auf den Schutz der Rechte der Menschen zu legen.
Wenn Sie erst einmal verstanden haben, was die Datenschutz-Grundverordnung vorschreibt und was der Sinn des Gesetzes ist, dann werden Sie feststellen, dass das alles gar nicht so verrückt ist.
Wir werden auch Tools und Tipps austauschen, um Ihre WordPress-Website GDPR-konform zu machen.
Was wird von Website-Betreibern im Rahmen der GDPR verlangt?
Das Ziel der GDPR ist es, die persönlichen Daten der Nutzer zu schützen und die Unternehmen an einen höheren Standard zu binden, wenn es darum geht, wie sie diese Daten erfassen, speichern und verwenden.
Zu diesen persönlichen Daten gehören Namen, E-Mail-Adressen, Adressen, IP-Adressen, Gesundheitsinformationen, Einkommen und vieles mehr.
Die DSGVO ist zwar 200 Seiten lang, aber hier sind die wichtigsten Säulen, die Sie kennen müssen:
Sie müssen die ausdrückliche Zustimmung zur Erfassung persönlicher Daten einholen
Wenn Sie personenbezogene Daten von in der EU ansässigen Personen erheben, müssen Sie eine ausdrückliche Zustimmung oder Erlaubnis einholen, die spezifisch und unmissverständlich ist.
Mit anderen Worten: Sie können nicht einfach unaufgefordert E-Mails an jemanden senden, der Ihnen seine Visitenkarte gegeben oder das Kontaktformular Ihrer Website ausgefüllt hat. Das ist Spam. Stattdessen müssen Sie ihnen erlauben, sich für Ihren Marketing-Newsletter anzumelden.
Um als ausdrückliche Zustimmung zu gelten, müssen Sie ein positives Opt-in verlangen. Das Kontrollkästchen darf nicht standardmäßig angekreuzt sein, muss einen klaren Wortlaut haben (kein Juristendeutsch) und muss von anderen Bedingungen und Konditionen getrennt sein.
Ihre Nutzer haben ein Recht auf ihre persönlichen Daten
Sie müssen Personen darüber informieren, wo, warum und wie ihre Daten verarbeitet und gespeichert werden.
Der Einzelne hat das Recht, seine persönlichen Daten herunterzuladen, und das Recht, vergessen zu werden.
Das bedeutet, dass sie das Recht haben, von Ihnen zu verlangen, dass Sie ihre personenbezogenen Daten löschen. Wenn ein Nutzer auf einen Abmeldelink klickt oder Sie bittet, sein Profil zu löschen, müssen Sie das tatsächlich tun.
Sie müssen zeitnah über Datenschutzverletzungen benachrichtigen
Unternehmen müssen bestimmte Arten von Datenschutzverletzungen innerhalb von 72 Stunden den zuständigen Behörden melden, es sei denn, die Verletzung wird als harmlos eingestuft und stellt kein Risiko für einzelne Daten dar.
Wenn eine Sicherheitsverletzung jedoch ein hohes Risiko darstellt, muss das Unternehmen auch die betroffenen Personen sofort informieren.
Dies wird hoffentlich Vertuschungen wie bei Yahoo verhindern, die bis zur Übernahme nicht aufgedeckt wurden.
Sie müssen möglicherweise einen Datenschutzbeauftragten ernennen
Wenn Sie ein öffentliches Unternehmen sind oder große Mengen personenbezogener Daten verarbeiten, müssen Sie einen Datenschutzbeauftragten benennen.
Für kleine Unternehmen ist dies nicht erforderlich. Wenden Sie sich im Zweifelsfall an einen Anwalt.
Klartext-Zusammenfassung dessen, was erforderlich ist
Im Klartext bedeutet dies, dass die Datenschutz-Grundverordnung dafür sorgt, dass Unternehmen keine Spam-Mails an Personen versenden dürfen, die sie nicht darum gebeten haben. Außerdem dürfen Unternehmen die Daten von Menschen nicht ohne deren ausdrückliche Zustimmung verkaufen.
Unternehmen müssen die Konten von Nutzern löschen und sie von E-Mail-Listen abmelden, wenn sie dazu aufgefordert werden. Die Unternehmen müssen auch Datenschutzverletzungen melden und sich insgesamt besser um den Datenschutz kümmern.
Klingt ziemlich gut, zumindest in der Theorie.
Aber Sie fragen sich wahrscheinlich, was Sie tun müssen, um sicherzustellen, dass Ihre WordPress-Website GDPR-konform ist.
Nun, das hängt wirklich von Ihrer spezifischen Website ab (mehr dazu später).
Beginnen wir mit der Beantwortung der wichtigsten Frage, die wir von Nutzern erhalten haben:
Ist WordPress GDPR-konform?
Ja, die WordPress-Kernsoftware ist seit WordPress 4.9.6, das am 17. Mai 2018 veröffentlicht wurde, GDPR-konform. Um dies zu erreichen, wurden mehrere GDPR-Verbesserungen hinzugefügt.
Es ist wichtig zu wissen, dass wir, wenn wir über WordPress sprechen, über das selbst gehostete WordPress.org sprechen. Dies unterscheidet sich von WordPress.com. Den Unterschied können Sie in unserem Leitfaden zu WordPress.com vs. WordPress.org nachlesen.
Aufgrund der dynamischen Natur von Websites kann jedoch keine einzelne Plattform, kein Plugin und keine Lösung eine 100-prozentige GDPR-Konformität bieten. Der Prozess der Einhaltung der DSGVO hängt davon ab, welche Art von Website Sie haben, welche Daten Sie speichern und wie Sie Daten auf Ihrer Website verarbeiten.
Sie fragen sich jetzt vielleicht, was das im Klartext bedeutet?
WordPress wird standardmäßig mit den folgenden GDPR-Verbesserungstools geliefert:
Kommentare Zustimmungs-Checkbox
Vor Mai 2018 speicherte WordPress standardmäßig den Namen, die E-Mail-Adresse und die Website des Kommentators in einem Cookie im Browser des Nutzers. Dies erleichterte es den Nutzern, Kommentare auf ihren Lieblingsblogs zu hinterlassen, da diese Felder bereits ausgefüllt waren.
Aufgrund der in der GDPR geforderten Zustimmung hat WordPress dem Kommentarformular ein Kontrollkästchen für die Zustimmung hinzugefügt.
Der Nutzer kann einen Kommentar hinterlassen, ohne dieses Kästchen zu markieren. Dies bedeutet lediglich, dass er jedes Mal, wenn er einen Kommentar hinterlässt, seinen Namen, seine E-Mail-Adresse und seine Website manuell eingeben muss.
Tipp: Vergewissern Sie sich, dass Sie beim Testen abgemeldet sind, um zu sehen, ob das Kontrollkästchen vorhanden ist.
Wenn das Kontrollkästchen immer noch nicht angezeigt wird, dann überschreibt Ihr Theme wahrscheinlich das Standard-WordPress-Kommentarformular. Hier finden Sie eine Schritt-für-Schritt-Anleitung , wie Sie ein GDPR-Kontrollkästchen für den Datenschutz in Ihrem WordPress-Theme hinzufügen.
Funktionen zum Exportieren und Löschen von persönlichen Daten
WordPress bietet Website-Besitzern die Werkzeuge, die sie benötigen, um die Anforderungen der Datenschutz-Grundverordnung (DSGVO) zu erfüllen und die Anfragen von Nutzern zum Export personenbezogener Daten sowie zur Löschung personenbezogener Daten von Nutzern zu erfüllen.
Die Datenverarbeitungsfunktionen finden Sie im Menü Tools im WordPress-Admin. Von hier aus können Sie zu Persönliche Daten exportieren oder Persönliche Daten löschen gehen.
Generator für Datenschutzrichtlinien
WordPress verfügt über einen integrierten Generator für Datenschutzrichtlinien. Er verfügt über eine vorgefertigte Vorlage für Datenschutzrichtlinien und bietet Ihnen Hinweise, was Sie noch hinzufügen sollten. Dies hilft Ihnen, für die Nutzer transparenter zu machen, welche Daten Sie speichern und wie Sie mit ihren Daten umgehen.
Weitere Informationen finden Sie in unserem Leitfaden zum Erstellen einer Datenschutzrichtlinie in WordPress.
Diese drei Funktionen reichen aus, um einen Standard-WordPress-Blog GDPR-konform zu machen. Ihre Website wird jedoch wahrscheinlich weitere Bereiche haben, die ebenfalls konform sein müssen.
Zusätzliche Bereiche auf Ihrer Website zur Überprüfung der GDPR-Konformität
Als Website-Besitzer verwenden Sie möglicherweise verschiedene WordPress-Plugins, die Daten speichern oder verarbeiten, und diese können Ihre GDPR-Compliance beeinträchtigen. Gängige Beispiele sind:
Je nachdem, welche WordPress-Plugins Sie auf Ihrer Website verwenden, müssen Sie entsprechend handeln, um sicherzustellen, dass Ihre Website GDPR-konform ist.
Viele der besten WordPress-Plugins haben Funktionen zur Verbesserung der GDPR hinzugefügt. Werfen wir einen Blick auf einige der üblichen Bereiche, die Sie berücksichtigen müssen.
Google Analytics
Wie die meisten Website-Besitzer verwenden Sie wahrscheinlich Google Analytics, um Website-Statistiken zu erhalten. Das bedeutet, dass Sie möglicherweise personenbezogene Daten wie IP-Adressen, Nutzer-IDs, Cookies und andere Daten zur Erstellung von Verhaltensprofilen sammeln oder verfolgen.
Um GDPR-konform zu sein, müssen Sie eine der folgenden Maßnahmen ergreifen:
- Anonymisierung der Daten vor Beginn der Speicherung und Verarbeitung.
- Fügen Sie ein Overlay ein, das auf Cookies hinweist und die Nutzer vor dem Tracking um Zustimmung bittet.
Beides ist ziemlich schwierig zu bewerkstelligen, wenn Sie den Google Analytics-Code einfach manuell auf Ihrer Website einfügen. Wenn Sie jedoch MonsterInsights verwenden, das beliebteste Google Analytics-Plugin für WordPress, dann haben Sie Glück.
Das Unternehmen hat ein Addon zur Einhaltung der EU-Vorschriften veröffentlicht, mit dem sich der oben beschriebene Prozess automatisieren lässt.
MonsterInsights hat auch einen sehr guten Blogbeitrag, der über die GDPR und Google Analytics spricht. Dies ist eine Pflichtlektüre, wenn Sie Google Analytics auf Ihrer Website verwenden.
Kontaktformulare
Wenn Sie ein Kontaktformular in WordPress verwenden, müssen Sie unter Umständen zusätzliche Transparenzmaßnahmen einführen. Dies gilt insbesondere, wenn Sie die Formulareinträge speichern oder die Daten für Marketingzwecke verwenden.
Hier sind einige Dinge zu beachten, wenn Sie Ihre WordPress-Formulare GDPR-konform machen:
- Holen Sie die ausdrückliche Zustimmung der Nutzer zur Speicherung ihrer Daten ein.
- Holen Sie die ausdrückliche Zustimmung der Nutzer ein, wenn Sie ihre Daten für Marketingzwecke verwenden wollen, z. B. um sie in Ihre E-Mail-Liste aufzunehmen.
- Deaktivieren Sie Cookies, User-Agent- und IP-Tracking für Formulare.
- Befolgung von Anträgen auf Löschung von Daten.
- Stellen Sie sicher, dass Sie eine Datenverarbeitungsvereinbarung mit Ihren Formularanbietern haben, wenn Sie eine SaaS-Formularlösung verwenden.
Die gute Nachricht ist, dass Sie keine Datenverarbeitungsvereinbarung organisieren müssen, wenn Sie ein WordPress-Plugin wie WPForms, Gravity Forms oder Ninja Forms verwenden.
Diese Plugins speichern Ihre Formulareinträge in Ihrer WordPress-Datenbank, so dass Sie nur ein Einwilligungskästchen mit einer klaren Erklärung hinzufügen müssen, um GDPR-konform zu bleiben.
WPForms, das Kontaktformular-Plugin, das wir auf WPBeginner verwenden, verfügt über mehrere GDPR-Verbesserungen, die es Ihnen leicht machen, ein GDPR-Einwilligungsfeld hinzuzufügen, Benutzer-Cookies zu deaktivieren, die Sammlung von Benutzer-IP zu deaktivieren und Einträge mit einem einzigen Klick zu deaktivieren.
In unserer Schritt-für-Schritt-Anleitung können Sie nachlesen, wie Sie GDPR-konforme Formulare in WordPress erstellen.
E-Mail-Marketing Opt-in-Formulare
Ähnlich wie bei Kontaktformularen müssen Sie auch bei Opt-in-Formularen für das E-Mail-Marketing wie Popups, schwebenden Leisten, Inline-Formularen usw. sicherstellen, dass Sie die ausdrückliche Zustimmung der Nutzer einholen, bevor Sie sie zu Ihrer Liste hinzufügen.
Dies kann entweder durch:
- Hinzufügen eines Kontrollkästchens, das der Benutzer anklicken muss, bevor er sich anmelden kann.
- Sie benötigen lediglich ein Double-Optin für Ihre E-Mail-Liste.
Top-Lead-Generierungslösungen wie OptinMonster haben Kontrollkästchen für die GDPR-Zustimmung und andere notwendige Funktionen hinzugefügt, um Ihnen zu helfen, Ihre E-Mail-Opt-in-Formulare konform zu machen.
Mehr über GDPR-Strategien für Vermarkter können Sie im OptinMonster-Blog lesen.
eCommerce und WooCommerce-Geschäfte
Wenn Sie WooCommerce, das beliebteste eCommerce-Plugin für WordPress, verwenden, müssen Sie sicherstellen, dass Ihre Website mit der GDPR konform ist.
Glücklicherweise hat das WooCommerce-Team einen umfassenden Leitfaden für Shop-Betreiber erstellt, der ihnen dabei hilft, GDPR-konform zu sein.
Retargeting-Anzeigen
Wenn Ihre Website Retargeting-Pixel oder Retargeting-Anzeigen einsetzt, müssen Sie die Zustimmung des Nutzers einholen.
Sie können dies mit einem Plugin wie Cookie Notice tun. Detaillierte Anweisungen finden Sie in unserem Leitfaden zum Hinzufügen eines Cookie-Popups in WordPress für GDPR/CCPA.
Google-Schriftarten
Google Fonts sind eine großartige Möglichkeit, die Typografie auf Ihrer WordPress-Website anzupassen.
Es wurde jedoch festgestellt, dass Google Fonts gegen die GDPR-Vorschriften verstoßen. Das liegt daran, dass Google jedes Mal, wenn eine Schriftart geladen wird, die IP-Adresse des Besuchers protokolliert.
Zum Glück gibt es einige Möglichkeiten, dies so zu handhaben, dass Ihre Website GDPR-konform ist. Sie können zum Beispiel Ihre Schriftarten lokal laden, Google Fonts durch eine andere Option ersetzen oder sie deaktivieren.
Wie Sie Google Fonts datenschutzfreundlich gestalten können, erfahren Sie in unserem Leitfaden.
Die besten WordPress-Plugins für die Einhaltung der GDPR
Es gibt mehrere WordPress-Plugins, die Ihnen helfen können, einige Teile der GDPR-Compliance zu automatisieren.
Aufgrund der dynamischen Natur von Websites kann jedoch kein Plugin eine 100 %ige Übereinstimmung bieten.
Hüten Sie sich vor jedem WordPress-Plugin, das behauptet, 100 % GDPR-Konformität zu bieten. Sie wissen wahrscheinlich nicht, wovon sie reden, und es ist das Beste für Sie, sie komplett zu vermeiden.
Nachfolgend finden Sie eine Liste der von uns empfohlenen Plugins für die Einhaltung der GDPR:
- Wenn Sie Google Analytics verwenden, empfehlen wir Ihnen, MonsterInsights zu verwenden und das EU-Addon zu aktivieren.
- WPForms ist das benutzerfreundlichste WordPress-Kontaktformular-Plugin und bietet GDPR-Felder und andere Funktionen.
- Cookie Notice ist ein beliebtes kostenloses Plugin für das Hinzufügen eines EU-Cookie-Hinweises, das sich gut mit Top-Plugins wie MonsterInsights und anderen integrieren lässt.
- Mit derGDPR-Cookie-Zustimmung können Sie eine Warnleiste auf Ihrer Website erstellen, damit der Nutzer entscheiden kann, ob er Cookies annehmen oder ablehnen möchte.
- WP Frontend Delete Account ist ein kostenloses Plugin, mit dem Benutzer ihr Profil auf Ihrer Website automatisch löschen können.
- OptinMonster ist eine fortschrittliche Software zur Lead-Generierung, die clevere Targeting-Funktionen zur Steigerung der Konversionen bietet und gleichzeitig GDPR-konform ist.
- PushEngage ermöglicht es Ihnen, gezielte Push-Nachrichten an Besucher zu senden, nachdem diese Ihre Website verlassen haben, und ist vollständig GDPR-konform.
- Smash Balloon bietet Ihnen eine GDPR-konforme Möglichkeit, Live-Feeds einzubetten und Beiträge von Facebook, Twitter, Instagram, YouTube, TripAdvisor und anderen zu zeigen.
- Anstatt die Standard-Share-Buttons mit Tracking-Cookies zu laden, lädt das Shared Counts-Plugin statische Share-Buttons, während es die Share-Zahlen anzeigt.
Weitere Optionen finden Sie in unserer Expertenauswahl der besten WordPress GDPR-Plugins zur Verbesserung der Compliance.
Wir werden das Plugin-Ökosystem weiterhin beobachten, um zu sehen, ob ein anderes WordPress-Plugin herausragt und wesentliche Funktionen zur Einhaltung der GDPR bietet.
Abschließende Überlegungen
Die Datenschutz-Grundverordnung ist seit Mai 2018 in Kraft.
Vielleicht haben Sie Ihre WordPress-Website schon eine Weile und haben auf die Einhaltung der GDPR hingearbeitet. Oder Sie fangen gerade erst mit einer neuen Website an.
Wie auch immer, es besteht kein Grund zur Panik. Arbeiten Sie einfach weiter an der Einhaltung der Vorschriften und erledigen Sie sie so schnell wie möglich.
Sie sind vielleicht besorgt über die hohen Geldstrafen. Denken Sie daran, dass das Risiko, ein Bußgeld zu erhalten, minimal ist. Auf der Website der Europäischen Union heißt es, dass Sie zunächst eine Verwarnung und dann einen Verweis erhalten und dass Geldbußen der letzte Schritt sind, wenn Sie die Vorschriften nicht einhalten und wissentlich gegen das Gesetz verstoßen.
Denken Sie daran, dass die EU nicht hinter Ihnen her ist. Sie tut dies, um Nutzerdaten zu schützen und das Vertrauen der Menschen in Online-Unternehmen wiederherzustellen.
Im Zuge der Digitalisierung der Welt brauchen wir diese Standards. Angesichts der jüngsten Datenschutzverletzungen bei großen Unternehmen ist es wichtig, dass diese Standards weltweit angepasst werden.
Das wird für alle Beteiligten gut sein. Die neuen Vorschriften werden das Vertrauen der Verbraucher stärken und damit auch das Wachstum Ihres Unternehmens fördern.
Wir hoffen, dass dieses Tutorial Ihnen geholfen hat zu lernen, wie Sie Ihren WordPress-Blog GDPR-konform machen können. Vielleicht interessieren Sie sich auch für unsere Expertenanleitungen, wie Sie Ihre Website GDPR-konform machen können.
Expertenanleitungen zur Herstellung der GDPR-Konformität Ihrer WordPress-Website
- Hinzufügen eines GDPR-Kommentar-Datenschutz-Opt-in-Kontrollkästchens in WordPress
- Hinzufügen eines Cookies-Popups in WordPress für GDPR/CCPA
- Wie Sie wissen, ob Ihre WordPress-Website Cookies verwendet
- Wie man GDPR-konforme Formulare in WordPress erstellt
- Wie man Google Fonts datenschutzfreundlich macht
- So deaktivieren Sie Google Fonts auf Ihrer WordPress-Website
- Hinzufügen einer Datenschutzrichtlinie in WordPress
Wenn Ihnen dieser Artikel gefallen hat, dann abonnieren Sie bitte unseren YouTube-Kanal für WordPress-Videotutorials. Sie können uns auch auf Twitter und Facebook finden.
Rechtlicher Hinweis
Wir sind keine Anwälte, und nichts auf dieser Website sollte als Rechtsberatung angesehen werden. Aufgrund der dynamischen Natur von Websites kann kein einziges Plugin oder keine einzige Plattform 100%ige Rechtskonformität bieten.
Im Zweifelsfall ist es am besten, einen spezialisierten Anwalt für Internetrecht zu konsultieren, um festzustellen, ob Sie alle für Ihre Gerichtsbarkeit und Ihre Anwendungsfälle geltenden Gesetze einhalten.
Zusätzliche Ressourcen
- GDPR-Hysterie Teil I und Teil II von Jacques Mattheij
- Infografik zum Datenschutz von der Europäischen Kommission
- Grundsätze der GDPR durch die Europäische Kommission
- GDPR und MonsterInsights – alles, was Sie über die GDPR-Konformität von Google Analytics wissen müssen
- GDPR-Erweiterungsfunktionen für WPForms – alles, was Sie über die Einhaltung der GDPR für Ihre WordPress-Formulare wissen müssen
- WooCommerce und die GDPR – alles, was Sie über die Einhaltung der GDPR für Ihren Online-Shop wissen müssen
- OptinMonster und die GDPR – alles, was Sie über die Einhaltung der GDPR und Opt-in-Formulare für das E-Mail-Marketing wissen müssen
Syed Balkhi says
Hey WPBeginner readers,
Did you know you can win exciting prizes by commenting on WPBeginner?
Every month, our top blog commenters will win HUGE rewards, including premium WordPress plugin licenses and cash prizes.
You can get more details about the contest from here.
Start sharing your thoughts below to stand a chance to win!
Teresa Cuervo says
I use Jetpack plugin for my contact form and stats (among others) How to make their contact form compliant?
Thanks
Dan says
One thing that people don’t seem to be discussing is the comment section. Right here, in this very form, you just asked me for my email address, as does every standard WP comment form. But nowhere are you telling me what this email address will be used for. You aren’t using it for follow up because I’m not going to subscribe to that option.
The default WP comment behaviour is just to ask for people’s email address but with no particular purpose, which also goes against GDPR, right? You have to have a purpose to ask for someone’s data now.
This seems so obvious that I wonder what I’m missing. They clearly thought about comments and added that new cookie comment check-box, so why is nothing mentioned about the email address collection in the first place?
Faizan says
Thelanguage you use o explain this GDPR issue,is tremendously unique. ALL in one solution for small projects like mine. From this I get to know completely about GDPR and Now I can analyze where i have to improve.
Thanks
Rahadian says
Wonderful guide, I thought this compliance is not affecting me, although I wonder what is this „GDPR compliance“ people talking about, and this article provide me with clear explanation. Now I know I should update my website and must follow this compliance. Thank you for sharing this information.
Q says
Thank you for a very detailed explanation AND most of all for curbing panic. I can look at decent solutions and implement GDPR compliance on my website with ease now that I know what it entails.
Himadri Saha says
Hi, Thanks for your nice, clear and explanatory article. I am using Sumome to generate my subscriber base. Do you have any idea whether this is GDPR compliant?
Editorial Staff says
Hi Himdari,
You’d have to ask the Sumo team as to what they’re doing about GDPR
Admin
Aliyy Oke says
What a succinct and we’ll informative article. This article has quite enlightenment effect on understanding what GDPR is. Until now I never knew that this law is just going to be taking its effect from 25th of May and there has been a lot buzzes and news of it here and there for a long time now. Thank you for the wonderful post.
Waqas says
I run a cybersecurity news website and I have never collected anything from any visitor other than email for sending readers notifications about new news articles.
Do I have to go through all this headache as well? Also, do we have to show GDPR compliance popup to visitors like we do with cookie consent popup?
Thanks for the great article.
Gary Sonnenberg says
I think you’re going to get a lot of hits on this article.
I agree with others that it’s the best one out there so far. Thanks!
Jeff Coombs says
Hey!
How would I know – or – what can I do on my WordPress site to make sure there are no cookies being used so I don’t have to have the cookie warning or any other policy (GDPR etc) to worry about?
(I just have a few „how-to“ guides on there, nothing else – no comments etc or any contact boxes etc).
* Thank you for taking the time to create this GDPR post – greatly appreciated!
JC.
Cheryl Harrison says
Other sources say that GDPR applies only to people/company in the EU, NOT to EU citizens who happen to be in the US.
We have enabled country blocking so our site is simply not available anywhere but the US and Canada.
Is it your (non-legal) opinion that we therefore do not need to comply?
glenda taylor says
I have used WP Simple Membership Plug in on my website. What do I need to do to update the forms there?
WPBeginner Support says
Hi Glenda,
Individual plugins will address GDPR compliance on their own. Please reach out to plugin’s support and they will point you in the right direction.
Admin
rodrigo says
Congratulations for a very informative and well explained article. A very good starting point for further reading.
Tamara says
Thank you for this
About the plugins you recommend, so you recommend downloading ALL OF THEM right?
Thank you
Tamara
Editorial Staff says
They’re all good plugins. You can use the ones that you need
Admin
Carolyn Astfalk says
This is a very helpful article. I’d previously addressed all of these issues in the fashion you recommend, but there is one thing I cannot find an answer to despite searching and posting in multiple places:
What about WP blog subscriptions? Nothing in the WP or JetPack updates that I can find provides that check box of consent for blog subscribers. Don’t those email and WP subscriptions require consent too?
WPBeginner Support says
Hi Carolyn,
They have addressed some of these issues, to learn more please contact their support forums and they will point you in the right direction.
Admin
Dan says
Understanding Title 9 is key.
Here’s a link,
http://www.privacy-regulation.eu/en/article-9-processing-of-special-categories-of-personal-data-GDPR.htm
Dan says
This is a good resources as well,
https://www.compliancejunction.com/gdpr-for-small-business/
Quoting below –
What effect could the GDPR have on small businesses?
For the purposes of the GDPR, a small business is classified as one with fewer than 250 employees. Any business with more than 250 employees is required to comply with the GDPR and is required to nominate a Data Protection Officer (DPO).
Businesses with fewer than 250 employees are required to comply with the GDPR if their data processing could affect the rights and freedoms of individuals, if they process personal data on a regular basis, or if they process data which is covered by Article 9 of the GDPR, which includes sensitive data such as that relating to religious beliefs. If any of these apply to a small business, it needs to ensure that it complies with all aspects of the GDPR.
Dan says
You are omitting the part of GDPR that gives exemptions to companies with less than 200 employees. At least I didn’t see any mention of it.
Editorial Staff says
I believe that part is specific to requiring a Data Protection Officer. However I do agree that risk of penalty is lower for smaller businesses, but it doesn’t mean that they shouldn’t do their best to comply.
-Syed
Admin
Brian77 says
WordPress 4.9.6 is not GDPR-compliant, not at all, sorry. Core-content in backend available to all user roles including subscriber is hosted on third party servers without information and/or consent. User IPs are stored in database without notice, just look for session_token. User IPs are stored for comments. User email is used in filename for GDPR data export. Exported meta fields from user profile are hardcoded, export will be incomplete in most cases. And there are a lot of of bugs like privacy policy page can not be edited by editors, your clients need full admin access to edit that page now, good luck with that.
Wayne Rose says
What a great article, the first bit of sense i have read about the mysterious GDPR, I found that this was informative to start off with and also helpful with advising on plug-ins to add to my website to help make it compliant.
Thank you very much, i can now breathe a sigh of relief!
Dawson Johnson says
Amazing article, thanks so much.
A few questions:
— With regard to MonsterInsights, is the „anonymize IP“ feature in the free version sufficient for GDPR compliance with regard to Google Analytics? Or is there critical functionality associated with the paid version (and EU Compliance Addon)?
— I’m a bit concerned about third-party ads (via networks like Taboola, RevContent, etc). What exactly is and isn’t required of publishers given that we in no way control or process the data that they collect / cookies they store?
— With regard to Cookie Plugins, are there any that A) actually block third-party cookies on your site based on a lack of consent or opt-out and B) can be geotargeted to EU users?
I’m a US based publisher, so I don’t want to show opt-out messages (and risk losing track / ad dollars) to visitors who are outside Europe.
WPBeginner Support says
Hi Dawson,
Please see MonsterInsights‘ blog post for more details.
You will need to reach out to each network, and most likely they will already have documentation on how to prepare for GDPR compliance.
As for cookie plugins, surely there will be more plugins coming out to address different requirements.
Admin
stefan says
Hi,
Not identifying people that post on your blog can be dangerous for many sites. If someone threatens to sue you and you have insurance, I think you need to inform about it and be able to identify the person so that you can protect yourself against legal claims. As a result, you can’t ask for consent because if you do, the person have to right to be forgotten. So, I am using legitimate interest. By the way, I think the privacy policy offers by WordPress is missing some GDRP requirements such as the identification of the legal basis for each processing.
Stephanie Markou says
By far one of the best articles on GDPR compliance when it comes to plugins and websites. Do you have any examples of privacy policies that show data categories and GDPR compliant terms that would cover plugins in general (in lieu of listing every single plugin used on a website). Thank you!
Elvis Nyamekye says
Hi, I just wanted to say thanks for writing this article. Didn’t really understand this GPDR Update until today. Thanks so much.
McCool Travel says
Wonderful guide to GDPR. Answers many of the question I had. Thank you.
Riccardo says
The best article about GDPR compliance for WordPress that I have read so far! Thank you!
Editorial Staff says
Thanks Ricardo
Admin
Eleni says
Hello, thanks for all these information but I do have one last question. My blog is personal, which means I do not give analytics or data to no-one, or I don’t have advertises.
Do I still have the obligation to obey to the new regulations?
Thanks in advance
Editorial Staff says
Hi Eleni,
According to the regulation, yes if you have a website (personal or business or anything else) you would still have to comply. You can wait and see how they enforce it on small personal blogs since there is no precedent of that yet, but if all you have to do is anonymize IP addresses on your analytics, then it’s not that big of a deal
Admin
Trish says
Thanks for the great article. I’m using your Insert Headers and Footers plug-in, how do I anonymize IP addresses on that?
Editorial Staff says
That plugin only offers you the ability to add scripts. It does not have functionality like anonymizing IPs because that’s specific to individual scripts that you might be loading.
Andrei says
Hi guys,
First of all thank you for this great article.
I have a question regarding the export personal data tool.
If my understanding is correct, a user can access his personal data by contacting the admin and waiting for an email response. I may be wrong, but it’s not a very user-friendly approach. And it also puts a big load on the admin if working with a big user database.
Is there a way to make this process automatically? Maybe a plugin that automatically exports & downloads the user, instead of having the admin do it manually?
Cheers,
Andrei
WPBeginner Support says
Hi Andrei,
Hopefully, soon there will be some plugins available to automate the process. Right now, a user will have to contact an admin.
Admin
Peter Derek says
Thank you for your informative article which I will read more thoroughly. However, I am obliged at this point to mention an issue which has caught my eye. You make mention of ‚EU citizens‘ and ‚EU resident‘ which are incorrect terms. No one can be legally resident in the EU as such, but only in their respective countries. The EU is not a country, but a bureaucracy which is basically an economic entity that enables free trade among its separate member states and has its own regulations to which member states are subject. The countries of Europe are situated in a landmass geographically, but each have their own identity and culture. Therefore it would be more accurate to refer to the GDPR in terms of relevance to member countries.
Editorial Staff says
Hi Peter,
I am glad you found the article helpful. My goal with this article is to break down things to it’s simplest level. While the distinction exists on local levels, from the sake of this article any long-term resident of an EU member nation is considered an EU resident.
The law is being passed by EU as a whole with signatures from each member nation.
Admin
Benjamin says
This is the best Guide i’ve been reading so far about GDPR. Thank you very much!
Editorial Staff says
Thanks Benjamin, glad you found it helpful
Admin
Agnes says
Thanks for the detailed info? Beyond the legal stuff, practical help and tools to make it possible are very needed here.
Editorial Staff says
Hi Agnes, we added the tools in this article that can help you automate parts of the GDPR process.
Admin
Che says
Hi, Can we write our own privacy policy or do we need a lawyer?
Also, can we copy the privacy policy of another site (certain sentences)?
Editorial Staff says
Hi Che,
You can most definitely use the default WordPress privacy policy through the generator in 4.9.6. Just make sure you add everything that you’re collecting because there’s no such thing as one-size fits all.
Admin
Sieglinde says
I am still confused. My website has a Add To Cart button but the shopping cart is at PayPal, not on my computer, they advise me when I have an order by email so I can ship to the name and address given the item ordered. I have not heard boo from PayPal about these regulations. I don’t store anything other than the name of the buyer and the ship-to address given to me.
If people sign up for my wordpress.com blog to „follow“, all I have is their email address and actually am personally never in touch with them. So what do I need to do?
Editorial Staff says
Hey there,
You would need to update your privacy policy and add what information you store. Add a cookies notice on your blog if you’re adding cookies on the user’s browser and that’s about it.
Admin
Mark Corder says
According to this (very helpful!) article, WP 4.9.6 now has Comments Consent by default. I’m always running the latest version (and I do have the new Privacy setting) but I don’t see this showing on my Comment forms, nor do I see a way to turn it on. I am running a „subscribe“ plugin (Subscribe to Comments Reloaded) and this is all I see. Could this be blocking it? Otherwise, how do I activate this feature?
Editorial Staff says
Hi Mark,
WordPress 4.9.6. added the comment consent box by default. Are you logged out when you’re checking this?
Admin
Mark Corder says
Yes – I’ve logged-out, cleared both the WP cache and the browser’s, forced refreshes, tried different browsers … everything I can think of. I installed a clean version of WP 4.9.6 on a test server with NO plugins, and I can see it there – but not on any of the live sites I manage.
I’m still trying things … If I discover the problem, I’ll let you know. In the meantime, anyone have any ideas?
Mark Corder says
OK, after a lot of reading and digging through the WP files, this seems to be a problem with some themes. As of WP 4.9.6, a „$cookies_consent“ parameter was added, and while virtually all themes will have their own Comments Forms, many of them will not make use of this parameter – hence the fact that it doesn’t show up. For more information on what’s happening here (and needs to happen), see this article at WordPress.org : https://make.wordpress.org/core/2018/05/17/changes-that-affect-theme-authors-in-wordpress-4-9-6/ .
While this explains the problem and offers a way to fix it, I’m afraid this level of hacking to include a new parameter in the array may be beyond the average person that WPBeginner is focused on… So what to do?
* Contact your theme’s author and ask if they plan to update their theme to include this parameter … and best of luck to you.
* Switch to a theme that’s GDPR compliant and will show this checkbox option on the Comments Form. (The „bundled“ WP themes like Twenty Seventeen and such have all been updated to show it.)
I predict that in the future you’re going to get a lot of questions about this very issue – you may even want to write a dedicated article about it!
And while I’m waiting to hear back from a couple of theme developers, I plan to roll up my sleeves and try adding this parameter myself. (Said the fearless code-hacker – who uses child-themes and backs everything up first!)
I hope this helps explain why this feature is probably not showing up for lots of others … and keep up the great work, folks!
Editorial Staff says
Thanks for the link Mark. We’re going to work on getting this guide up ASAP
Marge says
The comment consent box isn’t showing up for me, either. I’m logged out and using an incognito browser. I have seen others say the same thing in another forum.
Maria Spyrou says
Hi! It seems I have the same problem here! I’m running WordPress 4.9.6 and there is no consent checkbox for Comments. It goes without saying that I wasn’t logged in when I checked. Any ideas?
Laura Weed says
And what do we do about WordPress.com blogs? I wrote a privacy policy and I enabled the cookies notice, even though it does not go away when you click accept and close.
You also forgot Article 21. If your website is accessible and collects data from EU citizens, but you are not located in the EU, you are required to have a representative that IS located in the EU in case a local supervising authority needs to get hold of you. This is mandatory.
Editorial Staff says
Hi Laura,
Data protection officer is not mandatory. You can review the infographic that we linked to in additional resources section of this article which is by the European Union themselves.
This is what it says in regards to a Data Protection Officer:
„This is not always obligatory. It depends on the type and amount of data you collect, whether processing is your main business and if you do it on a large scale.“
I’m certain more services will come out and offer representative services at scale for affordable prices.
Admin
Karin says
This is good news .. unless I’m missing something loll
Guess this means that WP will stop sharing our IP’s addresses every time we comment – was not crazy about that .. Wish I knew that before to ensure my VPN’s always active loll But I was a newbie n guess I missed it
All good. I love WP, I love blogging there; been meeting some really great people. Thanks
Mike C says
„around the world (not just in the European Union).“
Please, I’d like to know the source of this information. EU laws do not, and can not apply to US citizens. As I understand, GDPR will only apply to multi national corporations, i.e. ones that have some business unit(s) registered in the EU. Please cite the US statute that states GDPR regulations apply to US citizens operating a business out of the USA. I’ve not been able to find one, and no one has been able to point me to one as of yet. I think all this fear mongering is just plain wrong. EU regulations apply in the EU and US regulations apply in the US. The US has its own privacy related laws. Please advise?
Editorial Staff says
Hi Mike,
By doing business online and making your website available to the entire world, you expose yourself to the jurisdiction of each state and country. It is a quite common argument that EU laws like GDPR does not apply here in US. That’s actually not true. We just haven’t seen them strictly enforced on companies outside of EU (or large multi-national corporation). This does not mean that it can’t happen.
A foreign government or entity can bring a legal case against you (for any reason), win in their respective jurisdiction and file for a motion in your local jurisdiction for a judgement claim. As you can imagine, the cost of doing this is very high, and this is why it doesn’t happen often.
However saying it can’t happen would be a mistake.
Again I’m no lawyer, and as I stated in the article above, people won’t get fined right away. You’ll get a warning first, then reprimand, and then fine. A lot of fear mongering is being done around fines right now, and I wanted to clarify that here in this article.
-Syed
Admin
Neghie Thervil says
Since you’re not a lawyer, maybe it’s best not to give this kind of advice. There is a lot of misinformation in your comment and is the kind of info that causes widespread unnecessary panic.
Barbara Holtzman says
As the „EU“ launched two massive lawsuits against Alphabet (Google and Android) and Facebook as soon as the law went into effect, it’s pretty clear this law was and is a thinly veiled ruse to „get“ those two companies.
As a one to sometimes three-person shop, with a company that rarely grosses over $1k (although I’m hoping to crank it up to $10k over time), the EU can have a fun go at me for the couple bucks in fines they might get.
More likely I’ll just block all non-US IP addresses [Israel can stay too, the EU will never let them in], and refuse to communicate or do any business with anyone in the EU. Since most of the research I do is US based anyway, and academic research at that, most likely no one will care.
I’ve always had a double-opt-in, don’t share any info with anyone policy, and my data is double anonymized with a proprietary algorithm. I don’t mind adding all the cookie and privacy warnings and such, so I’m probably in compliance anyway. But I don’t like the EU telling the rest of the world what it can and can’t do by fiat.
I hope Google and Facebook pull out of the EU along with me. Watching that and the fallout afterward will really be a hoot.
Christine Robinson says
What are the rules for a non-hosted WordPress.com website? Only used for personal posts, not marketing anything. But I do have worldwide followers. Noticed you addressed WordPress.org only. Thank you!
Editorial Staff says
Hi Christine, everything we do on WPBeginner is focused for helping self-hosted WordPress.org users.
I’d recommend reaching out to WordPress.com team to see what they’re doing about GDPR for their hosted sites.
-Syed
Admin
Vatsala Shukla says
Thanks for the simple plain English post. I’ve shared it forward in a Facebook Group where one of the Group members had concerns about GDPR. Thank you for validating my understanding about GDPR and what we need to do for compliance without overwhelm.
Editorial Staff says
Cheers
Admin
Luis Aquino says
Thank you, thank you, thank you for a an easy to understand article!
Editorial Staff says
You’re welcome Luis
Admin
Christos says
Hello,
I’ve been using the free version for a while and could not be happier.
However, with regards to the GDRP integration, is that available only with a payment plan?
Thank you for a great plug-in! (Already a subscriber and happy to remain one)
Christos
Editorial Staff says
Hi Christos, which plugin are you talking about?
For MonsterInsights, the EU compliance addon is available on paid plans only. For WPForms, it has enhancements for both Lite and Pro users (depending on individual needs).
Admin
Carole says
Our website is for our organization and informational in nature. We don’t sell anything or have a blog. Do I still need to be GDPR compliant?
Editorial Staff says
If you’re storing user’s data or adding cookies to their browsers, then yes
Admin
Vidya SUry says
That’s a concise guide. Jetpack offers the cookie banner with a cookie policy. Today there was a pop up on the dashboard announcing help with the WP Privacy Policy–helping to populate the Privacy Policy subheadings.
My question is: why would one need a GDPR plug in when WP’s tools are available?
Also, how does the export/erase data work? From where do website visitors request that info?
Thanks Syed
Editorial Staff says
Not everyone will need third-party GDPR plugins. It will depend on the type of site you have and your needs. If you’re using Google Analytics, then you would need the MonsterInsights EU compliance addon that either anonymizes IP address or integrates with a cookie notices plugin.
Adding an email in your privacy policy that a visitor can use to email you to request data export / erasure would work sufficiently. Alternatively, you can use a form plugin like WPForms to create a form on your site for that.
Admin
Fernando Tellado says
Hi!
Sorry but WordPress isn’t GDPR compliant because it lacks of the first layer of information that must be agreed by the user. Las version of WordPress only doesn’t save the cookie but doesn’t have a place where to inform to the user that his name, IP, email, etc are going to be saved to the database, and doesn’t have the (not checked) checkbox to agree to this personal data storing.
Curiously, WooCommerce’s next version will include this type of feature in the new Privacy & Accounts tab.
Hugs!
Editorial Staff says
Let’s see if WordPress adds that. I am not a lawyer, but in my opinion this can be addressed in the privacy policy. When the user submits the comment, they understand this information is being stored. However if you want to use their information for something other than just displaying comment (i.e sending a comment notification, email newsletters, etc) then you have to get additional consent.
I also expect a lot more plugins to come out to solve GDPR related issues
Admin
Alison Rayner says
Thank you for producing an easy to understand and follow article on GDPR – the first time I’ve come across something that’s relevant and cuts through all the jargon!
Editorial Staff says
Glad you found it helpful Alison
Admin
Pat Sonnenstuhl says
I do not do financial transaction, nor store any information on my websites. I do charge any money for my sites. will i still need to go thru these costly hoops ?
Pat
Editorial Staff says
Hi Pat, if you’re not using Google Analytics or adding any cookies to user’s browser, then you don’t need to do anything
Admin
Farukh says
Thank you so much for posting this article. I was waiting from many days to listen your thoughts on GDPR. It is helpful and specially simple english. Thank you so much for helping on this matter.
Editorial Staff says
You’re welcome Farukh
Admin
Julie Strietelmeier says
I’d like to know what to do about Amazon affiliate links. How do we become compliant with them? I’ve tried to ask Amazon but they will not provide any advice.
Editorial Staff says
Depending on who you ask, you will get differing opinions. Some will say because the referral cookies don’t get added on your site, you don’t have to do anything regarding affiliate links (it’s the merchant’s responsibility).
Others will recommend to use a cookie notice on your site and add Affiliate Links section in your privacy policy.
Admin
Julie Strietelmeier says
I’ve been trying to find someone’s privacy policy where they mention affiliate links from Amazon and others like Skimlinks but haven’t been successful yet. Do you know of one that I can „borrow“?
Editorial Staff says
Not yet, but we will be updating our privacy policy to add that in the coming days.
Christos says
That actually makes sense – cookie disclaimer and affiliate notice. I use an affiliate notice in the base footer of my site and a cookie consent.
As long as we are transparent with all that we do there can be no comebacks – theoretically!!!
Christos
Dave Soucy says
Nicely done. I’ll be sending my clients to read this instead of re-inventing the wheel and writing my own version.
Editorial Staff says
Thanks Dave – glad you found it useful
Admin
Kichtrickster says
Thanks for the article, great points! I honestly feel ready, but still feel like after a few days I’ll find out some stuff that will be totaly new for me.
https://www.omnisend.com/blog/gdpr-hub/the-3-foundations-of-the-gdpr/ for example here they say that you even need consent to see and save their IP information and such, and so much more. So I mean they disagree with cookie policy? Too bad then, can’t follow ‚em anymore. Tough luck really.
Editorial Staff says
Yes you do need their consent to store IP information. That’s why in our guide we recommend that you anonymize IP for Google Analytics and use Cookie Notice or similar solution to get permission.
Admin