WordPress7 and the DSGVO Problem
Warum das Backend von WordPress aus der Sicht von DSGVO ein rechtliches Problem ist.
WordPress 7.0 ist da – und mit ihm eine native KI-Integration direkt im Core. Alt-Texte automatisch generieren, Blogbeiträge optimieren, Kommentare beantworten lassen. Klingt praktisch. Ist es auch. Aber es gibt ein Problem, über das kaum jemand spricht: Die meisten Websites, die gerade auf WordPress 7 aktualisieren, verstoßen damit gegen die DSGVO.
Nicht vielleicht. Nicht theoretisch. Sondern ganz konkret und nachweisbar.
Was passiert technisch?
WordPress 7.0 bringt einen neuen AI Client im Core mit. Dieser ermöglicht die Kommunikation mit externen KI-Diensten – OpenAI, Anthropic, Google und anderen. Ein Entwickler oder Admin trägt einmal einen API-Key ein, und ab diesem Moment können KI-Funktionen überall im System genutzt werden.
Das Problem: Die Daten, die an diese KI-Dienste gesendet werden, verlassen Ihren Server. Sie gehen an Rechenzentren in den USA oder anderen Ländern außerhalb der EU. Und sie enthalten oft mehr, als man denkt.
Beispiel 1: Alt-Text generieren
Ihre Mitarbeiterin lädt ein Produktbild hoch. WordPress schlägt automatisch einen Alt-Text vor. Praktisch! Aber dafür wurde das Bild an einen externen KI-Dienst gesendet – zusammen mit dem Dateinamen, möglicherweise Produktname, Beschreibung und Preis aus den Metadaten.
Beispiel 2: Blogbeitrag optimieren
Sie verbessern einen Blogbeitrag und nutzen die KI-Funktion „Text optimieren“. Im Beitrag steht ein Zitat aus einer Kundenanfrage – Name, Anliegen, E-Mail-Adresse. Ein Klick, und diese Daten liegen auf fremden Servern.
Beispiel 3: Kommentar beantworten
Ein Kollege antwortet auf einen Kundenkommentar. Das Plugin schlägt eine Antwort vor. Dafür wird der Originalkommentar an den KI-Dienst gesendet – inklusive des echten Namens des Nutzers.
Das Team arbeitet einfach normal weiter. Niemand denkt darüber nach, dass bei jedem Klick personenbezogene Daten an OpenAI, Anthropic oder Google fließen.
Was die DSGVO dazu sagt
Die Datenschutz-Grundverordnung ist hier eindeutig. Wenn personenbezogene Daten an Dritte übermittelt werden, müssen mehrere Bedingungen erfüllt sein.
1. Nennung in der Datenschutzerklärung
Jeder genutzte KI-Anbieter muss namentlich in Ihrer Datenschutzerklärung genannt werden. Mit Zweck der Verarbeitung und Rechtsgrundlage. Steht bei Ihnen „Wir nutzen OpenAI zur automatischen Textgenerierung“? Wahrscheinlich nicht.
2. Auftragsverarbeitungsvertrag (AVV)
Mit jedem Anbieter, an den personenbezogene Daten fließen, brauchen Sie einen AVV. Ohne AVV ist jede Übertragung ein Verstoß – egal ob Sie davon wussten oder nicht. OpenAI bietet einen DPA (Data Processing Addendum) an, aber haben Sie den abgeschlossen? Wissen Sie überhaupt, dass Sie ihn brauchen?
3. Drittlandübermittlung
Die meisten KI-Anbieter sitzen in den USA. Für Datenübermittlungen in die USA brauchen Sie entweder einen Angemessenheitsbeschluss (aktuell das EU-US Data Privacy Framework) oder Standardvertragsklauseln. Die rechtliche Grundlage muss dokumentiert sein.
4. Transparenz gegenüber Nutzern
Website-Besucher und Kunden müssen wissen, dass ihre Daten an KI-Dienste übermittelt werden können. Nicht irgendwo versteckt, sondern klar und verständlich.
Das unsichtbare Problem: Plugins nutzen den Connector
WordPress 7.0 bringt eine zentrale Abilities API mit. Plugins können diese nutzen, um KI-Funktionen einzubinden – ohne dass Sie es auf den ersten Blick sehen. Sie aktivieren ein Plugin für Bildoptimierung, und plötzlich fließen Daten an externe KI-Dienste.
Welche Plugins den Connector nutzen, ist nicht immer offensichtlich. Das muss aktiv geprüft werden. Entwickler und Admins müssen verstehen, welche Datenflüsse durch die neue KI-Integration entstehen.
Die Realität: Die meisten Websites sind nicht vorbereitet
Die meisten Websites, die gerade auf WordPress 7 live gehen, haben keinen einzigen dieser Punkte erledigt:
Keine Aktualisierung der Datenschutzerklärung. Kein AVV mit OpenAI oder anderen Anbietern. Keine Prüfung, welche Plugins die KI-Funktionen nutzen. Keine Information an die Nutzer. Keine Dokumentation der Rechtsgrundlage für Drittlandübermittlungen.
Das ist kein theoretisches Problem. Das sind konkrete DSGVO-Verstöße, die Bußgelder und Abmahnungen nach sich ziehen können.
Was Sie jetzt tun sollten
Vor dem Update auf WordPress 7.0
Prüfen Sie, ob Sie die KI-Funktionen überhaupt nutzen wollen. Wenn nein, können Sie sie deaktiviert lassen. Kein API-Key eingetragen bedeutet keine Datenübertragung.
Wenn Sie die KI-Funktionen nutzen möchten, bereiten Sie die rechtliche Grundlage vor, bevor Sie den ersten API-Key eintragen.
Schritt 1: Anbieter identifizieren
Welchen KI-Dienst werden Sie nutzen? OpenAI, Anthropic, Google? Jeder Anbieter hat andere Bedingungen und andere rechtliche Anforderungen.
Schritt 2: AVV abschließen
Schließen Sie mit dem gewählten Anbieter einen Auftragsverarbeitungsvertrag ab. Bei OpenAI ist das der DPA, bei anderen Anbietern gibt es ähnliche Dokumente. Dokumentieren Sie den Abschluss.
Schritt 3: Datenschutzerklärung aktualisieren
Ergänzen Sie Ihre Datenschutzerklärung um einen Abschnitt zur KI-Nutzung. Nennen Sie den Anbieter, den Zweck der Verarbeitung, die Rechtsgrundlage und die Empfänger der Daten.
Schritt 4: Plugins prüfen
Prüfen Sie alle installierten Plugins darauf, ob sie die neue Abilities API nutzen. Das ist bei neuen Plugins ab WordPress 7.0 wahrscheinlicher, kann aber auch bei Updates bestehender Plugins passieren.
Schritt 5: Team schulen
Informieren Sie Ihr Team über die neue KI-Integration und die damit verbundenen Datenschutzimplikationen. Nicht jeder Klick auf „Text optimieren“ ist unproblematisch.
Schritt 6: Dokumentation
Dokumentieren Sie Ihre Maßnahmen im Verarbeitungsverzeichnis. Bei einer Prüfung durch die Aufsichtsbehörde müssen Sie nachweisen können, dass Sie die Datenflüsse kennen und rechtlich abgesichert haben.
Die Alternative: Erst prüfen, dann updaten
Unsere Empfehlung: Aktualisieren Sie nicht blind auf WordPress 7.0, nur weil das Update verfügbar ist. Prüfen Sie zuerst:
Brauchen Sie die KI-Funktionen überhaupt? Wenn nicht, können Sie das Update durchführen, aber die KI-Integration deaktiviert lassen.
Wenn Sie die KI-Funktionen nutzen wollen, bereiten Sie die rechtliche Seite vor. Das kostet Zeit, aber deutlich weniger als ein DSGVO-Bußgeld.
Testen Sie auf einer Staging-Umgebung, welche Datenflüsse entstehen. Erst wenn Sie verstehen, was passiert, gehen Sie live.
Fazit: Praktisch ja, aber nicht ohne Vorbereitung
Die KI-Integration in WordPress 7.0 ist ein mächtiges Feature. Sie kann Workflows beschleunigen und repetitive Aufgaben automatisieren. Aber sie bringt auch neue Verantwortung mit sich.
Wer einfach den API-Key einträgt und loslegt, riskiert DSGVO-Verstöße. Wer vorher die Hausaufgaben macht – AVV, Datenschutzerklärung, Plugin-Prüfung, Team-Schulung – kann die neuen Funktionen rechtssicher nutzen.
Die Entscheidung liegt bei Ihnen. Aber sie sollte bewusst getroffen werden.
Wir unterstützen Sie
Sie möchten auf WordPress 7.0 aktualisieren und sind unsicher wegen der DSGVO-Anforderungen? Wir helfen Ihnen:
Prüfung Ihrer bestehenden Plugins auf KI-Nutzung. Beratung zur rechtlichen Absicherung. Aktualisierung Ihrer Datenschutzerklärung. Sichere Einrichtung der KI-Integration. Schulung Ihres Teams.
Kontaktieren Sie uns: kontakt@ip2c.de oder telefonisch unter 07141 309 8714.
Weitere Informationen zu unseren WordPress-Services finden Sie auf: https://ip2c.de
Raphael Ehm
Ich bin Designer und Entwickler für UX & UI, Web, Print, Corporate Design und Touchscreen Anwendungen. Leidenschaft und ein hoher Anspruch sind zentrale Werte meiner Arbeit.
In diesem Blog finden Sie interessante Themen zu Digitalisierung / Firmeninterne News und besonderen technischen Neuheiten von Raphael Ehm und seinen digitalen Partnern.
