--- title: "Auftragsverarbeitung bei WordPress: Hoster, Plugins und externe Dienste prüfen" date: 2026-09-30T22:00:16+02:00 modified: 2026-11-08T22:33:46+01:00 category: wordpress type: how_to author: Marcel Schönfelder canonical: https://s-edv.com/anleitungen/wordpress-auftragsverarbeitung-avv-hoster-plugins-dienste-pruefen keywords: - WordPress - DSGVO - Datenschutz - Auftragsverarbeitung - Plugins reading_time: 10 --- # Auftragsverarbeitung bei WordPress: Hoster, Plugins und externe Dienste prüfen Eine WordPress-Website verarbeitet personenbezogene Daten selten allein. Der Hoster speichert Server-Logs und die Datenbank, ein Backup-Plugin schiebt Kopien in eine Cloud, ein Spamfilter prüft Kommentare auf fremden Servern, und eingebettete Videos laden Inhalte von Dritten. Für jeden dieser Dienste müssen Sie klären, in welcher Rolle er Daten erhält und ob Sie dafür einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO brauchen. Diese Anleitung zeigt ein technisches Vorgehen: Sie ermitteln im ersten Schritt, welche Dienste Ihre Website tatsächlich anspricht, und ordnen jeden Dienst dann mit einer festen Prüfliste ein. Die Bestandsaufnahme ersetzt keine Rechtsberatung, liefert aber die Fakten, die Ihr Datenschutzbeauftragter oder Anwalt braucht. **Kurzfassung:** Listen Sie alle Stellen auf, an die Ihre Website Daten sendet: Hoster, E-Mail-Versand, Backup-Speicher, Plugins mit externen Diensten und eingebettete Inhalte. Ein kleines Protokoll-Plugin und der Quelltext der Seiten zeigen die tatsächlichen Verbindungen. Verarbeitet ein Dienst Daten in Ihrem Auftrag, brauchen Sie einen Vertrag nach Art. 28 DSGVO, bei Übermittlungen in Drittländer außerhalb der EU und des EWR zusätzlich eine Grundlage nach Art. 44 ff. DSGVO. Dokumentieren Sie das Ergebnis und schalten Sie Verbindungen ab, die Sie nicht brauchen. ## Voraussetzungen - [ ] **WordPress:** das Vorgehen gilt für alle aktuellen Versionen. - [ ] **PHP:** mindestens 7.4. - [ ] **Zugriff:** Backend-Konto mit der Rolle Administrator, für Schritt 2 zusätzlich FTP oder SSH, um eine Datei in `wp-content/mu-plugins` abzulegen. - [ ] **Verträge und Kundenkonten:** Zugang zu den Kundenbereichen von Hoster, E-Mail-Anbieter und Cloud-Speicher, dort liegen die Verträge zur Auftragsverarbeitung meist zum Download. - [ ] **Backup:** eine aktuelle Sicherung, bevor Sie Plugins oder Einstellungen ändern. - [ ] **Zuständigkeit:** Klären Sie, wer im Unternehmen für den Datenschutz zuständig ist. Rechtliche Bewertungen im Einzelfall gehören zu dieser Person oder zu einem Anwalt. ## Schritt 1: Rollen verstehen Die DSGVO unterscheidet drei Rollen, die für eine Website wichtig sind. Welche Rolle ein Dienst hat, entscheidet darüber, welcher Vertrag nötig ist. | Rolle | Rechtsgrundlage | Typische Beispiele bei WordPress | Was Sie brauchen | | --- | --- | --- | --- | | Auftragsverarbeiter | Art. 4 Nr. 8, Art. 28 DSGVO | Webhoster, externer Backup-Speicher, SMTP-Dienst für den Mailversand, Wartungsdienstleister mit Zugang zum Backend | Vertrag zur Auftragsverarbeitung | | Gemeinsam Verantwortliche | Art. 26 DSGVO | Fälle, in denen Sie und ein Anbieter gemeinsam über Zwecke und Mittel entscheiden | Vereinbarung nach Art. 26 | | Eigenständig Verantwortliche | Art. 4 Nr. 7 DSGVO | Dienste, die Daten für eigene Zwecke nutzen | Rechtsgrundlage für die Weitergabe, Information in der Datenschutzerklärung | Art. 4 Nr. 8 DSGVO beschreibt einen Auftragsverarbeiter als Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Der Hoster, auf dessen Server Ihre Datenbank mit Kommentaren, Bestellungen und Benutzerkonten liegt, ist das typische Beispiel. Bei eingebetteten Inhalten von Plattformen wie YouTube ist die Einordnung schwieriger. Solche Fälle sollten Sie nicht selbst entscheiden, sondern mit Ihrem Datenschutzbeauftragten klären. > **Prüfen:** Sie können für Ihren Hoster begründen, warum er Auftragsverarbeiter ist, und haben eine Ansprechperson für unklare Fälle. ## Schritt 2: Externe Verbindungen der Website erfassen Die Liste der Plugins verrät nicht, welche davon Daten nach außen senden. WordPress bietet aber einen Haken, über den jede Anfrage der eigenen HTTP-Schnittstelle läuft: `http_api_debug`. Ein kleines Must-Use-Plugin protokolliert damit Methode, Zielhost und Statuscode jeder ausgehenden Anfrage. Legen Sie die Datei `wp-content/mu-plugins/http-log.php` an: Datei: `wp-content/mu-plugins/http-log.php` ```php get_error_code() : wp_remote_retrieve_response_code( $response ); error_log( sprintf( '[http-log] %s %s %s', $args['method'] ?? 'GET', wp_parse_url( $url, PHP_URL_HOST ), $code ) ); }, 10, 5 ); ``` Die Einträge landen im PHP-Fehlerprotokoll bzw. bei aktivem `WP_DEBUG_LOG` in `wp-content/debug.log`, siehe [WordPress Debug-Modus aktivieren und Error-Logs analysieren](https://s-edv.com/anleitungen/wordpress-debug-modus-error-logs-fehler-beheben). Das Protokoll enthält nur Hostnamen, keine Inhalte. Lassen Sie es einige Tage laufen, damit auch zeitgesteuerte Aufgaben wie Backups und Update-Prüfungen erfasst werden. Die Auswertung per SSH: ```bash $ grep http-log wp-content/debug.log | cut -c 26- | sort | uniq -c ``` Mit Akismet, einem eingebetteten YouTube-Video und einem Kommentar ergibt sich zum Beispiel: ```plaintext 4 ] [http-log] GET api.wordpress.org 200 2 ] [http-log] GET www.youtube.com 200 2 ] [http-log] HEAD www.youtube.com 200 1 ] [http-log] POST 127.0.0.1 6 ] [http-log] POST api.wordpress.org 200 1 ] [http-log] POST rpc.pingomatic.com 200 ``` Auffällig: Die Update-Prüfung spricht `api.wordpress.org` an, beim Einbetten des Videos holt WordPress serverseitig Daten von `www.youtube.com`, und beim Veröffentlichen eines Beitrags meldet WordPress ihn an den Update-Dienst `rpc.pingomatic.com`. Der Eintrag `127.0.0.1` ist der interne Aufruf von WP-Cron. Entfernen Sie die Datei nach der Analyse wieder. > **Prüfen:** Sie haben eine Liste der über die WordPress-HTTP-API erfassten Zielhosts mit Häufigkeit, und das Protokoll-Plugin ist wieder gelöscht. Direkte cURL-, Socket-, SMTP- und SFTP-Verbindungen erfasst dieser Hook nicht; ergänzen Sie diese anhand der Plugin-Konfiguration und der Anbieterunterlagen. ## Schritt 3: Verbindungen im Browser erfassen Schritt 2 zeigt nur, was der Server sendet. Viel häufiger lädt der Browser des Besuchers Inhalte direkt von Dritten, und dabei erhält der Dritte die IP-Adresse des Besuchers. Öffnen Sie die wichtigsten Seitentypen (Startseite, Beitrag mit Kommentaren, Kontaktseite, Seite mit Video) in einem privaten Browserfenster, drücken Sie F12 und prüfen Sie im Reiter „Netzwerk“ die Spalte „Domain“. Per Kommandozeile finden Sie fremde Adressen im Quelltext: ```bash curl -s https://www.example.de/ https://www.example.de/beispielbeitrag/ \ | grep -oE '(src|href|srcset)="https?://[^/"]+' | sort | uniq -c ``` Neben der eigenen Adresse finden sich zum Beispiel `www.youtube.com` (das eingebettete Video als `iframe`) und `secure.gravatar.com` (Profilbilder neben Kommentaren). Der Link auf `gravatar.com` im Kommentarformular ist dagegen nur ein Verweis und lädt nichts. Das Theme Twenty Twenty-Five lädt in der Regel keine externen Schriften. Andere Themes und Seitenbaukästen binden häufig Schriften, Skripte oder Karten von fremden Servern ein. > **Prüfen:** Ihre Liste enthält für jeden Seitentyp alle fremden Domains, die der Browser lädt. ## Schritt 4: Jeden Dienst einordnen Führen Sie die Ergebnisse aus den Schritten 2 und 3 mit den Diensten zusammen, die gar nicht im Protokoll auftauchen, weil sie außerhalb von WordPress laufen: Hoster, E-Mail-Postfächer, DNS, Wartungsdienstleister. Beantworten Sie für jeden Eintrag dieselben Fragen: 1. Welche personenbezogenen Daten erhält der Dienst (IP-Adresse, Kommentare, Bestellungen, Kontaktanfragen, komplette Datenbank im Backup)? 2. Verarbeitet er sie nur nach Ihrer Weisung oder auch für eigene Zwecke? 3. Wo sitzt der Anbieter, und wo stehen die Server? 4. Brauchen Sie den Dienst wirklich? Die vierte Frage spart oft die meiste Arbeit. Die folgende Tabelle zeigt typische Einträge und was Sie dort selbst in der Hand haben: | Dienst | Daten | Einstellung in WordPress | | --- | --- | --- | | api.wordpress.org | Server-IP, Adresse der Website, Versionen von WordPress, PHP, Plugins und Themes | für Sicherheitsupdates nötig | | rpc.pingomatic.com | Adresse der Website bei jedem neuen Beitrag | „Einstellungen > Schreiben > Update-Dienste“, Feld leeren | | secure.gravatar.com | IP-Adresse der Besucher, Hash der E-Mail-Adresse der Kommentierenden | „Einstellungen > Diskussion > Avataranzeige“, „Avatare anzeigen“ abwählen | | Akismet | laut Datenschutzhinweis des Plugins typischerweise IP-Adresse, User-Agent, Referrer, Name, E-Mail und Kommentartext | Plugin nur mit geklärter Grundlage nutzen oder durch lokale Lösung ersetzen | | www.youtube.com | IP-Adresse der Besucher beim Laden des Videos | Zwei-Klick-Lösung oder Vorschaubild mit Einwilligung | Nach dem Abwählen von „Avatare anzeigen“ verschwindet das Gravatar-Bild aus dem Quelltext, und nach dem Leeren der Update-Dienste gibt es keine weitere Meldung an `rpc.pingomatic.com`. Die Angaben zu Akismet stammen aus dem Text, den das Plugin selbst unter „Einstellungen > Datenschutz > Richtlinien-Leitfaden“ für die Datenschutzerklärung vorschlägt. Dort finden Sie auch die Hinweise anderer Plugins, die diese Funktion nutzen. Lokale Alternativen zum Spamschutz beschreibt die Anleitung [Spam in Kommentaren und Formularen abwehren](https://s-edv.com/anleitungen/wordpress-spam-kommentare-formulare-abwehren-datenschutz). > **Prüfen:** Jeder Dienst in Ihrer Liste hat eine Rolle, eine Angabe zu den Daten und eine Entscheidung: behalten, abschalten oder ersetzen. ## Schritt 5: Verträge zur Auftragsverarbeitung prüfen Für jeden Auftragsverarbeiter brauchen Sie einen Vertrag. Art. 28 Abs. 3 DSGVO legt fest, was er enthalten muss: Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen. Nach Art. 28 Abs. 9 muss er schriftlich abgefasst sein, was auch elektronisch möglich ist. Die meisten Hoster und Cloud-Anbieter stellen einen Standardvertrag im Kundenbereich zum Abschluss per Klick bereit. Prüfen Sie bei jedem Vertrag mindestens diese Punkte: - **Vertragspartner und Leistung:** Stimmen Firma und gebuchter Tarif mit Ihrem Konto überein? - **Weisungsbindung:** Verarbeitet der Anbieter die Daten nur auf Ihre dokumentierte Weisung (Art. 28 Abs. 3 Buchst. a)? - **Technische und organisatorische Maßnahmen:** Liegt eine Beschreibung bei? Wie Sie diese Maßnahmen bewerten und dokumentieren, zeigt die Anleitung [DSGVO-Praxis: TOMs dokumentieren und Auftragsverarbeitung regeln](https://s-edv.com/anleitungen/dsgvo-toms-auftragsverarbeitung-praxis). - **Unterauftragsverarbeiter:** Nach Art. 28 Abs. 2 darf der Anbieter weitere Dienstleister nur mit Ihrer Genehmigung einsetzen und muss Sie bei allgemeiner Genehmigung über Änderungen informieren. Speichern Sie die aktuelle Liste. - **Serverstandort und Drittländer:** Werden Daten außerhalb der EU oder des EWR verarbeitet, brauchen Sie eine Grundlage nach Art. 44 ff. DSGVO, etwa einen Angemessenheitsbeschluss der EU-Kommission nach Art. 45. - **Ende des Vertrags:** Werden die Daten nach Vertragsende gelöscht oder zurückgegeben? Denken Sie an Dienste mit vollem Zugriff: Ein externer Backup-Speicher enthält die komplette Datenbank, siehe [Backup-Speicher für WordPress einrichten](https://s-edv.com/anleitungen/wordpress-backup-speicher-s3-sftp-nas-einrichten). Auch eine Agentur oder ein Freelancer mit Administratorzugang kann Auftragsverarbeiter sein. > **Prüfen:** Für jeden Auftragsverarbeiter liegt ein abgeschlossener Vertrag mit Datum als PDF in Ihrer Dokumentation, samt Liste der Unterauftragsverarbeiter. ## Schritt 6: Ergebnis dokumentieren und aktuell halten Halten Sie die Liste aus Schritt 4 als Tabelle mit Dienst, Rolle, Daten, Vertragsstand, Serverstandort und Datum der letzten Prüfung fest. Sie ist die Grundlage für Ihr Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO und für die Datenschutzerklärung. Die Datenschutzerklärung muss zur Liste passen: Jeder Dienst, der Daten erhält, gehört hinein, und jeder abgeschaltete Dienst heraus. Die Liste veraltet mit jedem neuen Plugin und jedem Update. Ein Plugin, das nach einem Update zusätzlich einen externen Dienst anspricht, fällt nur auf, wenn jemand nachsieht. Wiederholen Sie die Schritte 2 und 3 deshalb nach dem Installieren neuer Plugins und mindestens einmal im Jahr. Wer die technische Pflege der Website nicht selbst im Kalender halten möchte, kann sie abgeben: Die [WordPress-Wartung von wordpressupdate.de](https://wordpressupdate.de/?utm_source=s-edv.com&utm_medium=artikel&utm_campaign=71) übernimmt Updates von WordPress, Plugins und Themes mit Kompatibilitätsprüfung und wöchentliche Backups auf externen Speicher. Auch ein solcher Wartungsdienst gehört mit Vertrag zur Auftragsverarbeitung auf Ihre Liste. > **Prüfen:** Die Tabelle ist vollständig, datiert und stimmt mit der Datenschutzerklärung überein. ## Typische Fehler **Nur den Hoster betrachtet** Backup-Speicher, SMTP-Dienst, Formular- und Newsletter-Plugins verarbeiten oft mehr Daten als der Webserver selbst. Nehmen Sie alle Dienste aus den Schritten 2 bis 4 auf. **Browser-Verbindungen übersehen** Das Server-Protokoll zeigt keine Gravatar-Bilder, Schriften oder Videos, die der Browser lädt. Prüfen Sie beide Wege. **Vertrag nicht abgeschlossen, nur verlinkt** Ein Muster auf der Website des Anbieters ist noch kein Vertrag. Viele Anbieter verlangen einen Abschluss im Kundenbereich. Speichern Sie die Bestätigung. **Protokoll zu kurz** Backups, Update-Prüfungen und Lizenzabfragen laufen zeitgesteuert. Ein Protokoll über wenige Minuten erfasst sie nicht. **Protokoll-Plugin vergessen** `http-log.php` schreibt bei jeder Anfrage ins Log. Entfernen Sie es nach der Analyse. **Datenschutzerklärung nicht angepasst** Nach dem Abschalten oder Hinzufügen eines Dienstes stimmt die Erklärung nicht mehr. Passen Sie sie im selben Arbeitsgang an. ## Häufige Fragen ### Brauche ich mit meinem Webhoster einen Vertrag zur Auftragsverarbeitung? Ja, sobald auf dem Server personenbezogene Daten liegen, etwa Benutzerkonten, Kommentare, Bestellungen oder Server-Logs mit IP-Adressen. Das ist bei praktisch jeder Unternehmenswebsite der Fall. ### Gilt das auch für kostenlose Plugins? Das Plugin selbst ist Software auf Ihrem Server. Entscheidend ist, ob es Daten an einen externen Dienst sendet. Ein Formular-Plugin, das nur in Ihre Datenbank schreibt, braucht keinen eigenen Vertrag. Ein Plugin, das Daten an die Server des Herstellers übermittelt, muss eingeordnet werden, unabhängig vom Preis. ### Ist WordPress.org selbst ein Auftragsverarbeiter? Laut Quellcode (`wp-includes/update.php`) sendet die Update-Prüfung Versionsangaben und die Adresse der Website an `api.wordpress.org`, aber keine Daten von Besuchern. Wie das rechtlich zu bewerten ist, klären Sie mit Ihrem Datenschutzbeauftragten. Abschalten sollten Sie die Update-Prüfung nicht, denn sie ist die Grundlage für Sicherheitsupdates. ## Fazit Auftragsverarbeitung bei WordPress beginnt mit einer ehrlichen Bestandsaufnahme: Server-Protokoll und Quelltext zeigen, welche Dienste wirklich Daten erhalten. Danach ordnen Sie jeden Dienst ein, schalten Unnötiges ab und schließen für die übrigen Auftragsverarbeiter Verträge nach Art. 28 DSGVO. Wer die laufende technische Pflege der Website abgeben möchte, findet sie bei der [WordPress-Wartung](https://wordpressupdate.de/?utm_source=s-edv.com&utm_medium=fazit&utm_campaign=71) von Marcel Schönfelder. ## Weiterführende Anleitungen und Quellen - [DSGVO-Praxis: TOMs dokumentieren und Auftragsverarbeitung regeln](https://s-edv.com/anleitungen/dsgvo-toms-auftragsverarbeitung-praxis) - [Spam in Kommentaren und Formularen abwehren](https://s-edv.com/anleitungen/wordpress-spam-kommentare-formulare-abwehren-datenschutz) - [Backup-Speicher für WordPress einrichten](https://s-edv.com/anleitungen/wordpress-backup-speicher-s3-sftp-nas-einrichten) - [Datenschutz-Grundverordnung (EUR-Lex)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679) - [WordPress-Entwicklerreferenz: http_api_debug](https://developer.wordpress.org/reference/hooks/http_api_debug/) - [WordPress-Dokumentation: Einstellungen Datenschutz (englisch)](https://wordpress.org/documentation/article/settings-privacy-screen/)