Oxygen Builder und Datenschutz: Google Fonts als versteckter Datentransfer in die USA
Oxygen Builder ist als Page Builder für sich genommen datenschutzrechtlich unauffällig – kein eigenes Tracking, keine Weitergabe von Besucherdaten an den Hersteller Soflyy. Der Haken liegt woanders: Wer im Builder eine Google-Schriftart auswählt, löst damit automatisch eine Verbindung zu Google-Servern in den USA aus, ohne das sofort zu merken. Das lässt sich mit einer einzigen Einstellung abstellen.
Überblick
Was ist Oxygen Builder?
Oxygen Builder ist ein WordPress-Page-Builder des US-Unternehmens Soflyy (Agoura Hills, Kalifornien). Er ersetzt das WordPress-Theme vollständig und erlaubt es, Seiten, Kopf- und Fußzeilen sowie Seitenvorlagen visuell zu gestalten. Der Builder richtet sich an Entwickler und technisch versierte Website-Betreiber und ist als kostenpflichtiges Plugin direkt beim Hersteller erhältlich.
| Oxygen Builder – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟢 | Oxygen Builder setzt keine eigenen Cookies für Website-Besucher. |
| Externe Verbindungen | 🟡 | Nur wenn du Google Fonts im Builder aktivierst, entsteht eine Verbindung zu Google in den USA. |
| Datenschutzerklärung | 🟢 | Das Plugin selbst braucht keinen eigenen Eintrag – wohl aber eingebundene Dienste wie Google Fonts. |
| Drittlandtransfer | 🟡 | Nur wenn Google Fonts aktiv sind, fließen Besucher-IPs in die USA. |
| Auftragsverarbeitung | 🟢 | Soflyy verarbeitet keine Besucherdaten – kein Vertrag nötig. |
| Benutzereingaben | 🟡 | Nur wenn du die optionale Formular-Erweiterung installierst und nutzt. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was macht Oxygen Builder aus Datenschutzsicht mit Besucherdaten?
Oxygen Builder selbst schickt keine Besucherdaten an Soflyy. Das Plugin läuft vollständig auf deinem eigenen Server – Soflyy bekommt nichts davon mit, wenn jemand deine Website besucht.
Datenschutzrelevant wird der Builder ausschließlich durch das, was du darin einrichtest: Wer im Builder eine Google-Schriftart wählt, lässt automatisch für jeden Seitenaufruf eine Verbindung zu Servern von Google in den USA herstellen – inklusive der IP-Adresse des Besuchers. Das passiert still im Hintergrund, ohne dass Besucher oder Betreiber es aktiv sehen.
Außerdem lassen sich über eine separate Erweiterung Kontaktformulare einbauen, die dann Eingaben von Besuchern verarbeiten.
Cookies
Setzt Oxygen Builder Cookies für meine Website-Besucher?
Oxygen Builder setzt keine eigenen Cookies für Website-Besucher. Du brauchst für den Builder selbst keine Anpassung an deinem Cookie-Banner vorzunehmen. Wenn du Google Fonts aktivierst oder andere externe Dienste über den Builder einbindest, können durch diese Dienste Cookies entstehen – das liegt dann aber an diesen Diensten, nicht am Builder.
Externe Verbindungen
Baut Oxygen Builder externe Verbindungen zu anderen Servern auf?
Oxygen Builder baut dann eine externe Verbindung auf, wenn du im Builder eine Google-Schriftart auswählst. In diesem Fall lädt deine Website bei jedem Seitenaufruf die Schrift direkt von Google-Servern (fonts.googleapis.com) – dabei wird die IP-Adresse des Besuchers an Google übertragen. Dein Cookie-Banner muss diese Verbindung blockieren, bis der Besucher zustimmt.
Du kannst das komplett verhindern: Gehe in deinem WordPress-Adminbereich zu Oxygen → Einstellungen → Bloat Eliminator und aktiviere dort die Option „Google Fonts deaktivieren“ (englisch: Disable Google Fonts). Danach lädt deine Website keine Schriften mehr von Google – du musst dann entweder auf systemnahe Schriften umstellen oder eigene Schriftdateien auf deinen Server hochladen.
Wenn du andere externe Inhalte in den Builder einbaust – zum Beispiel YouTube-Videos, Google Maps oder Social-Media-Einbettungen –, entstehen durch diese Einbindungen ebenfalls externe Verbindungen. Diese Dienste benötigen dann eigene Einträge in deiner Datenschutzerklärung und müssen vom Cookie-Banner blockiert werden, bis der Besucher zustimmt.
Benutzereingaben
Verarbeitet Oxygen Builder Eingaben meiner Website-Besucher?
Oxygen Builder selbst verarbeitet keine Eingaben von Besuchern. Wenn du die separate Erweiterung „Breakdance Forms für Oxygen“ installierst, kannst du Kontaktformulare in deine Website einbauen. Die Eingaben der Besucher (Name, E-Mail-Adresse und andere Felder) werden dann in deiner WordPress-Datenbank gespeichert – auf deinem eigenen Server, nicht bei Soflyy. Wenn du in der Formular-Erweiterung zusätzlich einen E-Mail-Dienst wie Mailchimp, ActiveCampaign oder Brevo einrichtest, leiten diese Formulare die Daten an diesen Dienst weiter. Diese Dienste benötigen dann eigene Einträge in deiner Datenschutzerklärung und einen eigenen Vertrag mit dem jeweiligen Anbieter.
Direkt bei jedem Formular auf deiner Website muss ein Hinweis auf deine Datenschutzerklärung stehen – ein Cookie-Banner hilft hier nicht, weil die Daten erst beim Absenden des Formulars verarbeitet werden.
Drittlandtransfer
Werden Besucherdaten durch Oxygen Builder in Länder außerhalb der EU übertragen?
Oxygen Builder selbst überträgt keine Besucherdaten außerhalb der EU. Wenn du im Builder Google Fonts aktivierst, werden bei jedem Seitenaufruf IP-Adressen deiner Besucher an Google LLC in den USA übertragen – ein Land außerhalb der EU. Google stützt diese Übertragung auf das EU-US Data Privacy Framework, also auf eine Vereinbarung zwischen der EU und den USA, die solche Transfers unter bestimmten Bedingungen erlaubt. Daran musst du in deiner Datenschutzerklärung hinweisen, wenn du Google Fonts nutzt.
Den Transfer in die USA vermeidest du vollständig, indem du Google Fonts im Builder deaktivierst (Oxygen → Einstellungen → Bloat Eliminator → Google Fonts deaktivieren).
Auftragsverarbeitung
Brauche ich mit Soflyy einen Vertrag zur Auftragsverarbeitung?
Soflyy verarbeitet keine Besucherdaten von deiner Website. Das Plugin läuft auf deinem Server, und Soflyy bekommt keine Informationen über deine Website-Besucher. Einen Vertrag zur Auftragsverarbeitung mit Soflyy brauchst du nicht.
Wenn du Google Fonts oder andere externe Dienste über den Builder einbindest, kann mit diesen Diensten ein solcher Vertrag erforderlich sein – das regeln dann die jeweiligen Anbieter.
Datenschutzerklärung
Muss Oxygen Builder in die Datenschutzerklärung?
Oxygen Builder selbst muss nicht in deine Datenschutzerklärung, weil der Builder keine Besucherdaten verarbeitet und nichts an Soflyy weitergibt. Einen eigenen Abschnitt für das Plugin brauchst du nicht.
Wenn du Google Fonts aktivierst, benötigt Google Fonts einen eigenen Eintrag in deiner Datenschutzerklärung. Gleiches gilt für YouTube-Videos, Google Maps oder andere externe Dienste, die du über den Builder einbindest – und für den E-Mail-Dienst, den du eventuell in der Formular-Erweiterung einrichtest.
Drittanbieter
Mit welchen Diensten lässt sich Oxygen Builder verbinden?
Über den Builder kannst du externe Inhalte und Schriftarten einbinden, ohne Code schreiben zu müssen. Am häufigsten genutzt: Google Fonts (Schriftarten direkt aus der Builder-Schriftliste), YouTube-Videos über das Embed-Element, Google Maps über ein Karten-Widget und Social-Media-Inhalte von Plattformen wie Instagram oder Facebook.
Über die separate Formular-Erweiterung lassen sich E-Mail-Marketing-Dienste einrichten, darunter Mailchimp, ActiveCampaign, Brevo und weitere. Alle diese Verbindungen entstehen nur, wenn du sie aktiv im Builder einrichtest – nicht automatisch durch die Installation des Builders selbst.
DSGVO-Check
So prüfst du Oxygen Builder auf deiner eigenen Website
Oxygen Builder lässt sich nicht durch einen einzelnen Cookie-Namen oder eine Domain direkt identifizieren – der Builder selbst hinterlässt keine typischen externen Spuren. Prüfe stattdessen im WordPress-Adminbereich, ob das Plugin aktiv ist und welche Einstellungen du dort vorgenommen hast.
Konkret prüfen kannst du aber die Folgeverbindungen: Wenn du in deinem Browser die Entwicklerkonsole öffnest (rechte Maustaste → Untersuchen → Netzwerk), siehst du beim Seitenaufruf, ob Verbindungen zu fonts.googleapis.com oder fonts.gstatic.com aufgebaut werden. Falls ja, sind Google Fonts aktiv und du musst handeln.
Für eine vollständige Prüfung – einschließlich aller externen Verbindungen, die deine Website aufbaut – empfiehlt sich ein automatischer Datenschutz-Scan, der deine Website direkt analysiert.
