WordPress Emojis und Datenschutz: Die stille Verbindung in die USA, die WordPress von sich aus aufbaut
WordPress hat seit Version 4.2 eine eingebaute Emoji-Funktion, die auf jeder Seite aktiv ist – auch wenn du selbst gar keine Emojis verwendest. Das Skript, das WordPress dafür lädt, baut bei jedem Seitenaufruf eine Verbindung zu einem Server in den USA auf und überträgt dabei die IP-Adressen deiner Besucher. Das ist ein Datenschutzproblem, das sich mit einem einzigen Plugin in zwei Minuten lösen lässt.
Überblick
Was sind WordPress Emojis?
WordPress Emojis sind eine eingebaute Funktion, die seit WordPress 4.2 automatisch aktiv ist. Sie sorgt dafür, dass Emojis – also kleine Bildzeichen wie 😊 oder 👍 – in Beiträgen, Seiten und Kommentaren grafisch dargestellt werden. Dafür lädt WordPress im Hintergrund eine JavaScript-Datei und bei Bedarf Emoji-Grafiken von externen Servern.
| WordPress Emojis – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟢 | Keine zustimmungspflichtigen Cookies. |
| Externe Verbindungen | 🔴 | Verbindung zu s.w.org (Automattic, USA) bei jedem Seitenaufruf. |
| Datenschutzerklärung | 🔴 | Eintrag für Automattic erforderlich, solange Emojis aktiv sind. |
| Drittlandtransfer | 🔴 | IP-Adressen werden an Server in den USA übertragen. |
| Auftragsverarbeitung | 🟢 | Kein AVV erforderlich. |
| Benutzereingaben | 🟢 | Keine Benutzereingaben. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was passiert im Hintergrund, wenn WordPress Emojis aktiv sind?
Beim Aufruf einer Seite auf deiner Website lädt WordPress automatisch eine JavaScript-Datei namens wp-emoji-release.min.js. Dieses Skript prüft, ob der Browser deines Besuchers Emojis selbst darstellen kann. Kann er das nicht – was bei modernen Browsern so gut wie nie der Fall ist –, lädt es die Emoji-Grafiken von der Adresse s.w.org nach. Dieser Server gehört Automattic Inc., dem Unternehmen hinter WordPress.com, mit Sitz in San Francisco, USA.
Bei jedem Abruf dieser Ressourcen wird die IP-Adresse deines Besuchers automatisch an Automattic übertragen – das ist technisch unvermeidlich, wenn ein Browser eine externe Datei anfordert. Eine IP-Adresse gilt als personenbezogenes Datum. Deine Besucher haben dazu nicht zugestimmt, und du als Betreiber hast die Verbindung nicht aktiv eingebaut – WordPress macht das von sich aus.
Zusätzlich schreibt WordPress seit Version 6.3 einen Eintrag in den sogenannten Sitzungsspeicher des Browsers (wpEmojiSettingsSupports). Das ist kein klassisches Cookie, sondern ein temporärer Zwischenspeicher, der beim Schließen des Browsers gelöscht wird. WordPress wertet ihn als technisch notwendige Cache-Maßnahme.
Cookies
Setzt die WordPress-Emoji-Funktion Cookies?
Die WordPress-Emoji-Funktion setzt keine zustimmungspflichtigen Cookies. Der einzige Speichereintrag, den das Emoji-Skript anlegt, ist ein temporärer Sitzungseintrag im Browser (wpEmojiSettingsSupports) – kein klassisches Cookie, und er wird beim Schließen des Browsers automatisch gelöscht. Dein Cookie-Banner muss dafür nichts blockieren.
Externe Verbindungen
Baut die WordPress-Emoji-Funktion eine Verbindung zu externen Servern auf?
WordPress Emojis bauen bei jedem Seitenaufruf eine Verbindung zu s.w.org auf – einem Server von Automattic Inc. in den USA. Das passiert durch zwei Mechanismen: Erstens bindet WordPress die JavaScript-Datei wp-emoji-release.min.js in den Seitenquelltext ein. Zweitens trägt WordPress einen sogenannten DNS-Prefetch-Hinweis für s.w.org ein, damit der Browser die Verbindung schon vorlädt, bevor sie tatsächlich gebraucht wird.
Diese Verbindung ist nicht zwingend für den Betrieb deiner Website notwendig. Alle modernen Browser zeigen Emojis direkt aus ihrer eigenen Systemschrift an – der externe Abruf ist für das normale Surfen schlicht überflüssig. Dein Cookie-Banner muss diese Verbindung blockieren, bis der Besucher zustimmt. Die einfachste Lösung ist das Plugin „Disable Emojis“, das die Verbindung vollständig unterbindet – und die Emoji-Anzeige in modernen Browsern trotzdem funktioniert.
Benutzereingaben
Werden bei der WordPress-Emoji-Funktion Daten von Besuchern eingegeben?
Die WordPress-Emoji-Funktion nimmt keine Benutzereingaben entgegen. Das Skript läuft passiv im Hintergrund, ohne dass Besucher etwas eingeben oder auslösen müssen.
Drittlandtransfer
Werden Daten durch die WordPress-Emoji-Funktion in die USA übertragen?
WordPress Emojis übertragen die IP-Adressen deiner Website-Besucher an Server von Automattic Inc. in San Francisco, USA. Das passiert bei jedem Seitenaufruf, solange die Emoji-Funktion aktiv ist. IP-Adressen gelten als personenbezogene Daten, und eine Übertragung in die USA ohne Einwilligung ist datenschutzrechtlich problematisch. Wer die Funktion per Plugin deaktiviert, beendet diese Übertragung vollständig.
Auftragsverarbeitung
Brauche ich einen Vertrag mit Automattic wegen der WordPress-Emoji-Funktion?
Für die WordPress-Emoji-Funktion ist kein Auftragsverarbeitungsvertrag mit Automattic erforderlich. Automattic stellt s.w.org als öffentliches CDN bereit – es handelt sich dabei nicht um eine Auftragsverarbeitung im datenschutzrechtlichen Sinne, und Automattic bietet für diese spezifische Verbindung auch keinen entsprechenden Vertrag an.
Datenschutzerklärung
Muss ich die WordPress-Emoji-Funktion in meine Datenschutzerklärung aufnehmen?
Solange WordPress Emojis aktiv sind, überträgst du die IP-Adressen deiner Besucher an Automattic in den USA. Das muss in deiner Datenschutzerklärung stehen. Wenn du die Funktion mit dem Plugin „Disable Emojis“ deaktivierst, entfällt diese Pflicht.
- Zweck: Darstellung von Emojis in WordPress-Inhalten über externe Grafiken.
- Rechtsgrundlage: Einwilligung.
- Empfänger: Automattic Inc., 60 29th Street #343, San Francisco, CA 94110, USA.
- Drittlandtransfer: IP-Adressen der Besucher werden an Server in den USA übertragen.
- Speicherdauer: Keine eigene Speicherung durch die Emoji-Funktion; Protokollierung durch Automattic gemäß deren Datenschutzerklärung.
Wir nutzen Emojis.
Emojis stellt beim Laden der Website eine Verbindung zu Servern von WordPress.org her, die nicht technisch notwendig ist und für die deine Einwilligung erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Fehler
Welche Fehler kommen bei Emojis in unseren DSGVO-Checks am häufigsten vor?
Emojis taucht bei 1 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Emojis gefunden wurde.
DSGVO-Check
Woran erkennst du, ob die WordPress-Emoji-Funktion auf deiner Website aktiv ist?
Du kannst direkt prüfen, ob deine Website eine Verbindung zu s.w.org aufbaut. Öffne dazu eine beliebige Seite deiner Website im Browser, rufe die Entwicklertools auf (Taste F12) und wechsle zum Tab „Netzwerk“ . Lade die Seite neu und suche in der Liste der Anfragen nach s.w.org. Erscheint dieser Eintrag, ist die Emoji-Funktion aktiv und baut eine externe Verbindung auf.
Alternativ kannst du einen automatischen Datenschutz-Scan durchführen, der diese Verbindung direkt erkennt und auswertet.
