Fragt ein Kunde, welche Daten Ihre Website über ihn gespeichert hat, oder verlangt er die Löschung, müssen Sie nach DSGVO reagieren, und zwar innerhalb einer festen Frist. WordPress bringt dafür seit Version 4.9.6 zwei Werkzeuge mit: „Personenbezogene Daten exportieren“ und „Personenbezogene Daten löschen“. Sie verwalten Anfragen, lassen die E-Mail-Adresse bestätigen, erzeugen eine ZIP-Datei mit den Daten und anonymisieren oder löschen sie. Diese Anleitung zeigt den vollständigen Ablauf in WordPress 7.1, erklärt, was die Werkzeuge erfassen und was nicht, und wo Sie trotzdem selbst nacharbeiten müssen. Alle Schritte wurden im Labor mit echten Anfragen, abgefangenen E-Mails und Testdaten durchgespielt. Rechtsberatung ersetzt die Anleitung nicht.

Voraussetzungen

WordPress: Die Werkzeuge gibt es seit WordPress 4.9.6. Getestet mit WordPress 7.1.2 in deutscher Sprache.
PHP: eine von WordPress unterstützte Version, laut WordPress-API mindestens PHP 7.4 empfohlen. Im Labor lief PHP 8.4. Für den Export muss die PHP-Erweiterung ZipArchive verfügbar sein, sie ist bei gängigen Hostern Standard.
Rolle: Administrator. Die Menüpunkte erscheinen nur für Benutzer mit den Rechten zum Export und Löschen personenbezogener Daten.
E-Mail-Versand: Die Website muss zuverlässig E-Mails versenden können, denn Bestätigung und Export-Link laufen per E-Mail.
Zugriff: Backend genügt. Für die Prüfung der Exportdateien ist SFTP oder SSH hilfreich.
Backup: Eine aktuelle Sicherung vor der ersten Löschung. Löschungen lassen sich laut WordPress-Dokumentation nicht rückgängig machen.
Datenschutzerklärung: eine Seite, die unter Einstellungen > Datenschutz als Datenschutzerklärungsseite hinterlegt ist und beschreibt, wie Betroffene ihre Rechte ausüben.

Schritt 1: Rechtlichen Rahmen und Frist kennen

Die DSGVO gibt Betroffenen unter anderem ein Recht auf Auskunft (Art. 15), auf Löschung (Art. 17) und auf Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20). Nach Art. 12 Abs. 3 müssen Sie über die ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags informieren. Eine Verlängerung um zwei Monate ist bei komplexen Fällen möglich, muss aber innerhalb des ersten Monats begründet mitgeteilt werden. Wer elektronisch anfragt, soll nach Möglichkeit elektronisch Antwort bekommen.

Die WordPress-Werkzeuge decken nur einen Teil dieser Pflichten ab. Die Auskunft nach Art. 15 umfasst auch Zwecke, Empfänger und Speicherdauer. Diese Angaben stehen in keiner WordPress-Tabelle, sondern in Ihrem Verzeichnis von Verarbeitungstätigkeiten und Ihrer Datenschutzerklärung. Der Export liefert die Rohdaten, das Anschreiben dazu formulieren Sie selbst.

Legen Sie deshalb vorab fest, wer Anfragen bearbeitet, wo Sie Eingang und Erledigung dokumentieren und welche Systeme außerhalb von WordPress betroffen sind, etwa Newsletter-Dienst, Buchhaltung oder E-Mail-Postfach.

Verifizieren: Sie können für Ihre Website benennen, wer Anfragen annimmt, wo das Eingangsdatum dokumentiert wird und welche Systeme außer WordPress personenbezogene Daten enthalten.

Schritt 2: Anfrage anlegen und Identität bestätigen lassen

Öffnen Sie Werkzeuge > Personenbezogene Daten exportieren. Im Bereich „Antrag für einen Datenexport hinzufügen“ tragen Sie im Feld „Benutzername oder E-Mail-Adresse“ die Adresse der anfragenden Person ein. Lassen Sie das Häkchen „Eine Bestätigungs-E-Mail zum Export personenbezogener Daten senden.“ gesetzt und klicken Sie auf „Anfrage senden“. Für Löschungen gehen Sie genauso unter Werkzeuge > Personenbezogene Daten löschen vor.

Die Bestätigungs-E-Mail ist Ihr Identitätsnachweis: Nur wer Zugriff auf das Postfach hat, kann den Link anklicken. Das verhindert, dass jemand unter fremder Adresse die Daten eines anderen anfordert. Im Labor kam die E-Mail mit dem Betreff „[Websitename] Aktion bestätigen: Personenbezogene Daten exportieren“ und einem Link der Form:

https://www.example.com/wp-login.php?action=confirmaction&request_id=4&confirm_key=...

Nach dem Klick zeigte WordPress „Die Benutzeraktion wurde bestätigt.“ und schickte dem Administrator eine Benachrichtigung mit Link auf die Übersicht. Der Status der Anfrage wechselte von „Ausstehend“ auf „Bestätigt“.

Zwei Details aus dem Test sind wichtig. Erstens: Für dieselbe Adresse lässt sich keine zweite offene Anfrage desselben Typs anlegen, WordPress meldet dann „Für diese E-Mail-Adresse existiert bereits eine offene Anfrage zu personenbezogenen Daten.“ Zweitens: Die E-Mail wird in der Sprache der Website verschickt. Mit „Deutsch“ duzt sie die Empfänger, mit „Deutsch (Sie)“ unter Einstellungen > Allgemein die Sie-Form. Für Kundenkommunikation ist „Deutsch (Sie)“ meist passender.

Kam die Anfrage per Telefon oder Brief und haben Sie die Identität anders geprüft, können Sie das Häkchen entfernen. Die Anfrage steht dann sofort auf „Bestätigt“. Dokumentieren Sie in diesem Fall, wie Sie die Identität geprüft haben.

Verifizieren: Die Anfrage erscheint in der Liste mit dem Status „Ausstehend“ und in der Spalte „Nächste Schritte“ steht „Warten auf Bestätigung“. Nach dem Klick auf den Link wechselt der Status auf „Bestätigt“.

Schritt 3: Daten exportieren und übergeben

Bei einer bestätigten Exportanfrage bietet die Liste zwei Wege an:

„Personenbezogene Daten herunterladen“ (unter der E-Mail-Adresse): Sie erhalten die ZIP-Datei selbst, prüfen sie und schicken sie auf einem Weg Ihrer Wahl.
„Export-Link senden“ (Spalte „Nächste Schritte“): WordPress erzeugt die Datei und mailt der Person einen Download-Link. Die Anfrage steht danach auf „Abgeschlossen“.

Im Labor enthielt die ZIP-Datei zwei Dateien: index.html zum Ansehen im Browser und export.json als maschinenlesbare Fassung. Den Inhalt liefern sogenannte Exporter. WordPress 7.1.2 bringt drei mit: Benutzerkonto (wordpress-user), Kommentare (wordpress-comments) und Medien (wordpress-media). Für einen Kommentar wurden Name, E-Mail-Adresse, Website, IP-Adresse, Datum, Inhalt und Link exportiert. Für ein Benutzerkonto kamen unter anderem Benutzername, E-Mail-Adresse, Registrierungsdatum sowie Vor- und Nachname hinzu.

Die Datei landet unter wp-content/uploads/wp-personal-data-exports/ mit einem zufälligen, 32 Zeichen langen Namen. Der Ordner enthält nur eine leere index.php gegen Verzeichnisauflistung. Die ZIP-Datei selbst war im Test ohne Anmeldung abrufbar, wer den Link kennt, kann sie herunterladen. Deshalb löscht WordPress Exportdateien nach drei Tagen automatisch über den Cron-Job wp_privacy_delete_old_export_files, der stündlich läuft. Die E-Mail an die betroffene Person nennt das Löschdatum.

Ergänzen Sie den Export um ein kurzes Anschreiben mit den Angaben nach Art. 15, die WordPress nicht liefert, und um Daten aus Systemen außerhalb von WordPress.

Verifizieren: Öffnen Sie die heruntergeladene ZIP-Datei und die enthaltene index.html. Sie sollte mindestens die Gruppen enthalten, zu denen die Person Daten hinterlassen hat, zum Beispiel „Kommentare“. Die Anfrage steht nach „Export-Link senden“ auf „Abgeschlossen“.

Schritt 4: Daten löschen und das Ergebnis prüfen

Bei einer bestätigten Löschanfrage klicken Sie in der Spalte „Nächste Schritte“ auf „Personenbezogene Daten löschen“. Achtung: Laut WordPress-Dokumentation gibt es keine Sicherheitsabfrage, der Klick löscht sofort. Die Person erhält danach die E-Mail „Löschauftrag ausgeführt“.

Wichtig ist, was „löschen“ hier bedeutet. Im Labor anonymisierte der Kommentar-Löscher zwei Kommentare so:

Feld	vorher	nachher
Name	Erika Beispiel	Anonym
E-Mail	erika@example.com	leer
Website	https://erika.example.com	leer
IP-Adresse	203.0.113.7	203.0.113.0
Kommentartext	unverändert	unverändert

Der Kommentartext bleibt stehen. Enthält er selbst personenbezogene Angaben wie eine Telefonnummer, müssen Sie ihn von Hand bearbeiten oder löschen.

Noch wichtiger: WordPress liefert in 7.1.2 nur einen einzigen Löscher, den für Kommentare. Ein Benutzerkonto bleibt nach der Löschanfrage vollständig erhalten, im Test waren Benutzername, Vor- und Nachname danach unverändert vorhanden. Wünscht die Person auch die Löschung ihres Kontos, löschen Sie es unter Benutzer > Alle Benutzer und weisen die Inhalte dabei einem anderen Konto zu.

Plugins können eigene Exporter und Löscher anmelden. Im Test registrierte Flamingo, der Nachrichtenspeicher für Contact Form 7, zwei Löscher für Adressbuch und eingegangene Nachrichten. Die Liste zeigte danach drei Löscher, und beide Flamingo-Einträge der Testperson waren nach der Anfrage entfernt. Viele Plugins melden aber keine Löscher an. Prüfen Sie deshalb nach jeder Löschung stichprobenartig die Plugin-Bereiche, in denen Daten anfallen.

Zum Schluss klicken Sie auf „Anfrage abschließen“, falls die Anfrage nicht schon auf „Abgeschlossen“ steht. Die Anfrage bleibt als Nachweis in der Liste, bis Sie sie entfernen.

Verifizieren: Suchen Sie unter Kommentare nach der E-Mail-Adresse. Es darf kein Treffer mehr erscheinen, die betroffenen Kommentare zeigen den Autor „Anonym“. Prüfen Sie zusätzlich die Bereiche Ihrer Formular- und Shop-Plugins.

Schritt 5: Backups, Aufbewahrung und Routine

Die WordPress-Dokumentation stellt klar: Das Löschwerkzeug entfernt keine Daten aus Backups oder Archiven. Wer eine ältere Sicherung zurückspielt, holt gelöschte Daten zurück. Führen Sie deshalb eine Liste der erledigten Löschanfragen und wiederholen Sie die Löschung nach jeder Wiederherstellung. Wie Sie Löschpflichten und Aufbewahrungsfristen von Sicherungen zusammenbringen, beschreibt die Anleitung DSGVO-Löschpflichten und Backups.

Unbestätigte Anfragen verfallen: Der Bestätigungslink gilt 24 Stunden. Danach setzt WordPress die Anfrage beim Aufruf der Liste und über den täglichen Cron-Job wp_privacy_personal_data_cleanup_requests auf „Fehlgeschlagen“. Über die Mehrfachaktion „Bestätigungsanfragen erneut senden“ schicken Sie eine neue E-Mail. Ein ungültiger Link führte im Test zur Meldung „Die Anfrage personenbezogener Daten ist ungültig.“

Datenschutzanfragen sind kein einmaliges Projekt. Mit jedem neuen Plugin kann ein weiterer Speicherort hinzukommen, mit jedem Update können sich Exporter und Löscher ändern. Die Bearbeitung der Anfragen bleibt Ihre Aufgabe als Verantwortlicher. Die technische Grundlage lässt sich jedoch abgeben: Die WordPress-Wartung von wordpressupdate.de hält WordPress, Plugins und Themes mit Kompatibilitätsprüfung aktuell und sichert die Website wöchentlich auf externen Speicher mit vier Wochen Aufbewahrung. Das hilft auch bei der Planung, wie lange gelöschte Daten noch in Sicherungen liegen.

Verifizieren: Unter Werkzeuge > Website-Zustand meldet WordPress keine Probleme mit geplanten Ereignissen. Wer WP-CLI nutzt, prüft die beiden Cron-Jobs direkt:

wp cron event list --fields=hook,recurrence | grep privacy

Erwartet werden wp_privacy_delete_old_export_files mit „1 hour“ und wp_privacy_personal_data_cleanup_requests mit „1 day“.

Typische Fehler

Bestätigungs-E-Mail kommt nicht an: Die Anfrage bleibt „Ausstehend“ und verfällt nach 24 Stunden. Ursache ist fast immer der E-Mail-Versand der Website. Prüfen Sie Spam-Ordner und Absenderadresse und richten Sie SMTP-Versand ein.
„Für diese E-Mail-Adresse existiert bereits eine offene Anfrage“: Es gibt schon eine ausstehende oder bestätigte Anfrage desselben Typs. Bearbeiten Sie diese oder schließen Sie sie ab.
„Die Anfrage personenbezogener Daten ist ungültig.“: Der Link ist abgelaufen, wurde schon benutzt oder beim Kopieren verkürzt. Senden Sie die Bestätigung erneut.
Export enthält fast nichts: Die Person hat ein Formular benutzt, dessen Plugin keinen Exporter anmeldet. Exportieren Sie diese Daten aus dem Plugin selbst.
Plugin-Löscher meldet „You are not allowed to delete …“: Im Test schlugen die Flamingo-Löscher so fehl, wenn sie ohne angemeldeten Administrator aufgerufen wurden, etwa per Skript. Über das Backend als Administrator liefen sie fehlerfrei.
Benutzerkonto nach Löschung noch vorhanden: Das ist das normale Verhalten. Löschen Sie das Konto separat.

Häufige Fragen

Muss ich jede Anfrage über die WordPress-Werkzeuge bearbeiten?

Nein. Die DSGVO schreibt kein Werkzeug vor. Die Werkzeuge sind aber praktisch, weil sie Identitätsprüfung, Dokumentation und Export in einem Ablauf verbinden.

Darf ich eine Löschung ablehnen?

Art. 17 nennt Ausnahmen, etwa gesetzliche Aufbewahrungspflichten. Rechnungsdaten aus einem Shop unterliegen zum Beispiel handels- und steuerrechtlichen Fristen. Klären Sie Einzelfälle mit Ihrer Datenschutzberatung.

Wie lange ist der Export-Link gültig?

Drei Tage, danach löscht WordPress die Datei. Entwickler können den Zeitraum über den Filter wp_privacy_export_expiration ändern.

Wie mache ich Betroffenen die Anfrage leicht?

Nennen Sie in der Datenschutzerklärung eine Kontaktadresse. Auf einer mehrsprachigen oder stark frequentierten Website lohnt sich ein eigenes Formular. Wie Sie Formulare sicher gestalten, zeigt Sichere Formulare in WordPress.

Testumfang

Wir haben Export- und Löschanfragen unter WordPress 7.1.2 mit Contact Form 7 und Flamingo durchgespielt, vom Bestätigungslink bis zur fertigen ZIP-Datei. Die Bestätigungs-E-Mails haben wir abgefangen, den echten Versand nach außen also nicht geprüft. Die DSGVO-Fristen stammen aus dem Gesetzestext und nicht aus unserem Test. Probieren Sie den Ablauf deshalb zuerst auf einer Kopie Ihrer Website aus.

Fazit

Die Datenschutz-Werkzeuge von WordPress nehmen Ihnen Identitätsprüfung, Export und die Löschung von Kommentardaten ab. Sie löschen aber keine Benutzerkonten, keine Backups und nur Plugin-Daten, für die das Plugin einen Löscher mitbringt. Planen Sie deshalb einen festen Ablauf mit Dokumentation, Monatsfrist und Stichprobe in den Plugins, und prüfen Sie nach jeder Wiederherstellung die Liste erledigter Löschungen. Wenn Sie Updates und Backups dafür verlässlich auslagern möchten, übernimmt das die WordPress-Wartung mit persönlicher Betreuung.

Weiterführende Anleitungen und Quellen

Weiterführende Anleitungen:

Quellen: