Was bei WooCommerce anders ist
WooCommerce ist ein Plugin für WordPress. Ihr Shop besteht damit aus drei Schichten: WordPress selbst, einem Theme und einer Reihe von Plugins, von der Zahlart über das Kontaktformular bis zum Cookie-Banner. Jede dieser Schichten kann Dienste von fremden Servern nachladen, oft ohne dass das im Backend auffällt. Ein Theme bringt Google Fonts mit, ein Slider holt jQuery von einem öffentlichen CDN, ein Formular-Plugin bindet reCAPTCHA ein.
Dazu kommt das Hosting. WooCommerce läuft auf einem Server, den Sie selbst wählen: bei einem Webhoster, einer Agentur oder auf einem eigenen Server. Wer das ist, sieht man von außen nicht. Für die Datenschutzerklärung müssen Sie den Hoster trotzdem nennen, denn er verarbeitet bei jedem Aufruf die Daten Ihrer Besucher.
So scannt Vigilex Ihren WooCommerce-Shop
Vigilex ruft Ihren Shop in einem echten Chromium-Browser auf und erkennt WooCommerce und WordPress am Generator-Eintrag im HTML und an typischen Code-Markern. Der Scan lädt die Startseite, scrollt bis zum Ende und bestätigt einen gefundenen Cookie-Banner mit „Alle akzeptieren“. Borlabs Cookie und Complianz erkennt er dabei gezielt, andere Banner über die Beschriftung der Schaltfläche. Danach folgt er dem Footer-Link zu Ihrer Datenschutzerklärung und öffnet eine Produktseite, wenn die Startseite auf eine Adresse mit /product/ oder /produkt/ verlinkt.
Jede Verbindung zu einem fremden Server gleicht der Scan mit dem Vigilex-Katalog von über 500 Diensten ab. Was er nicht zuordnen kann, listet er unter „Nicht zugeordnet“. Bei WordPress sind das oft Plugins kleinerer Anbieter.
Zwei WordPress-typische Fälle behandelt der Entwurf gesondert. Läuft Matomo auf Ihrem eigenen Server, führt er es nicht als externen Empfänger. Und weil WordPress selbst gehostet ist, markiert er Ihren Hosting-Anbieter als Pflicht-Angabe, außer der Scan erkennt ein vorgeschaltetes CDN wie Cloudflare, Fastly oder bunny.net.
Typische Befunde in WooCommerce-Shops
- Google Fonts von Google-Servern. Viele Themes und Page-Builder laden Schriften von Google. Das überträgt die IP-Adresse an Google in den USA. Das LG München I hat das 2022 ohne Einwilligung als unzulässig bewertet (Az. 3 O 17493/20). Der Scan nennt als Alternative, die Schriften selbst zu hosten oder Bunny Fonts zu nutzen.
- Bibliotheken von öffentlichen CDNs. jQuery und andere Skripte kommen von den Google Hosted Libraries, cdnjs, jsDelivr, unpkg oder dem jQuery-CDN. Jeder dieser Dienste ist ein Empfänger.
- reCAPTCHA im Kontaktformular. Formular-Plugins binden häufig Google reCAPTCHA ein, oft auf jeder Seite statt nur beim Formular. Im Katalog stehen auch Alternativen wie Friendly Captcha, hCaptcha und Cloudflare Turnstile.
- Zahlungs-Plugins: PayPal, Stripe, Klarna, Mollie und Amazon Pay, sobald ihr Skript auf Startseite oder Produktseite lädt.
- Newsletter-Plugins: Mailchimp, CleverReach, rapidmail, Brevo.
- Eingebettete Inhalte: YouTube-Videos aus dem Block-Editor, Google Maps auf der Kontaktseite. Bindet Ihre Seite YouTube über
youtube-nocookie.comein, verwendet der Entwurf dafür einen eigenen Textbaustein. - Gütesiegel und Bewertungen: Trusted Shops, ProvenExpert, eKomi.
Was Sie selbst ergänzen müssen
- Webhoster mit Name und Anschrift, sofern der Scan ihn nicht über ein CDN erkennt.
- Zahlarten aus der Kasse. Den Checkout betritt der Scan nicht.
- Plugins ohne Frontend, etwa Anbindungen an Buchhaltung, Versandlabels oder Marktplätze. Sie laufen serverseitig und sind im Browser nicht sichtbar.
- Nicht zugeordnete Hosts. Ordnen Sie jeden Eintrag einem Plugin zu und entscheiden Sie, ob es bleibt.
Nächste Schritte
- Shop scannen und die erkannten Dienste mit der Plugin-Liste in WordPress vergleichen.
- Schriften und Bibliotheken lokal einbinden. Viele Themes bieten dafür eine Einstellung, sonst helfen Plugins für lokale Schriften.
- Einwilligung prüfen. Dienste mit „Einwilligung nötig“ sollten in Ihrem Cookie-Plugin erst nach der Zustimmung laden.
- Erneut scannen, den Entwurf vervollständigen, anwaltlich prüfen lassen und als Datenschutz-Seite in WordPress hinterlegen.
Keine Rechtsberatung
Vigilex liefert Information, keine Rechtsberatung. Der Scan zeigt, was beim Aufruf Ihres WooCommerce-Shops im Browser passiert. Der Entwurf ersetzt keine anwaltliche Prüfung. Vigilex ist in der Beta-Phase, Scan und Entwurf können unvollständig sein.