Update (September 2026): Der Artikel wurde auf den neuesten Stand gebracht. Ergänzt wurden die rechtlichen Rahmenbedingungen für Google Analytics 4 (GA4), das EU-U.S. Data Privacy Framework sowie direkte Code-Lösungen zur Anonymisierung von Kommentaren.

WordPress verarbeitet in der Grundeinstellung persönliche Daten – z.B. die IP-Adresse des Besuchers. Alle Google-Dienste wie Google Fonts, Google Maps oder YouTube verarbeiten (tracken) Besucherdaten auf ausländischen Servern.

Hier eine Auflistung der Einstellungen und Maßnahmen, die ich generell durchführe, um WordPress rechtssicherer zu machen (Datenschutz & Co.):

Plugins wie Akismet Anti Spam und Jetpack dürfen/sollten nicht verwendet werden

Anleitung: https://www.e-recht24.de/artikel/datenschutz/10838-dsgvo-wordpress.html
Anleitung: https://www.blogmojo.de/wordpress-plugins-dsgvo/

Google Analytics 4 (GA4) & US-Datentransfer rechtssicher einbinden

Das alte Universal Analytics wurde von Google endgültig eingestellt. Wenn du Analytics nutzt, musst du auf Google Analytics 4 (GA4) setzen.

Seit dem Inkrafttreten des EU-U.S. Data Privacy Frameworks (DPF) steht die Datenübermittlung in die USA zwar wieder auf einer stabileren Rechtsgrundlage, dennoch gilt für den Einsatz in Deutschland:

• Consent First: GA4 darf erst nach expliziter und freiwilliger Einwilligung der Besucher über ein Cookie-Banner (z. B. Real Cookie Banner) geladen werden.
• IP-Anonymisierung: In GA4 ist die IP-Anonymisierung standardmäßig aktiviert und lässt sich nicht mehr versehentlich abschalten.
• Auftragsverarbeitungsvertrag (AV-Vertrag): In den Google-Analytics-Kontoeinstellungen muss der AV-Vertrag mit Google elektronisch abgeschlossen werden.

Anleitung & Details: E-Recht24: Google Analytics 4 DSGVO-konform nutzen

Google Fonts rechtssicher einbinden

Ich lade mir die Fonts über die Seite https://gwfh.mranftl.com/fonts herunter und speichere sie auf dem eigenen Server. Die Seite erstellt auch den notwendigen CSS-Code.

Bei den Kommentaren wird auch die IP-Adresse gespeichert

Bei Kommentaren die IP-Adresse anonymisieren / Speicherung verhindern. Standardmäßig speichert WordPress die IP-Adresse von Kommentatoren in der Datenbank. Um dies datenschutzkonform zu unterbinden, kannst du folgenden Code-Schnipsel (PHP) in die functions.php deines Child-Themes oder über ein Plugin wie Code Snippets einfügen:


// IP-Adresse bei neuen Kommentaren nicht mehr speichern
function me_remove_comment_ip( $comment_author_ip ) {
return '';
}
add_filter( 'get_comment_author_IP', 'me_remove_comment_ip' );

Zusätzlich unter Einstellungen → Diskussion festlegen: „Kommentare müssen manuell freigeschaltet werden“, um Spam ohne externe Tools wirksam zu steuern.

Avatare deaktivieren

unter Einstellungen -> Diskussion.

Sonst werden Daten von https://de.gravatar.com/ eingebunden (dort kann man u.a. Profilbilder mit seiner E-Mail-Adresse verknüpfen, die dann in Profilen oder bei Kommentaren angezeigt werden.)
Dies ist ein weiterer „Service“, der die eigene Website und Besucherverhalten aufzeichnet (trackt). Die IP-Adresse des Nutzers, der die Website aufruft, wird an den Server von Automattic übertragen.

Emojis deaktivieren

Nutze dazu z.B. das Plugin https://wordpress.org/plugins/disable-emojis/
Oder einen Code in die functions.php einfügen https://kulturbanause.de/blog/emojis-aus-wordpress-entfernen/.

Google jQuery-Scripte direkt vom eigenen Hoster laden.

Bei Verwendung von YouTube, OpenStreetMap, Google Maps, Google Analytics usw. ist auf jeden Fall ein Cookie-Banner erforderlich, der die Scripte abfängt. Erst nach der Erlaubnis durch den Besucher werden diese aktivert.
Ich nutze sehr gerne https://wordpress.org/plugins/real-cookie-banner/

Achtung: ich bin kein Anwalt, dies ist keine Rechtsberatung. Vielleicht muss nicht alles umgesetzt werden, und über einige Sachen kann man sicher streiten.