WooCommerce und Datenschutz: Warum dein Shop externe Datenübertragungen auslöst
WooCommerce ist datenschutzrechtlich kein klassisches Problemkind – das Plugin selbst schickt keine Kundendaten nach draußen und braucht keinen Vertrag mit Automattic. Die Pflichten entstehen trotzdem: durch Bestelldaten, die du lokal speicherst, durch eine Tracking-Funktion, die standardmäßig aktiv ist, und durch die Zahlungs- oder Versanddienstleister, die du einbindest. Dieser Artikel zeigt dir, was du konkret tun musst.
Überblick
Was ist WooCommerce?
WooCommerce ist ein kostenloses Plugin, das dein WordPress zur vollständigen Online-Shop-Plattform macht. Du kannst damit Produkte anlegen, Bestellungen verwalten, Zahlungen abwickeln und Versand organisieren – alles direkt im WordPress-Adminbereich. WooCommerce wird von Automattic Inc. entwickelt, demselben Unternehmen hinter WordPress.com.
| WooCommerce – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟡 | Technisch notwendige Shop-Cookies sind zustimmungsfrei – die Order-Attribution-Funktion setzt zusätzliche Cookies, die deaktiviert werden können. |
| Externe Verbindungen | 🟢 | Das Plugin baut im sichtbaren Bereich deiner Website keine externen Verbindungen auf. |
| Datenschutzerklärung | 🔴 | Erforderlich – WooCommerce verarbeitet Bestelldaten und Kundeneingaben, die in die DSE gehören. |
| Drittlandtransfer | 🟢 | Das Core-Plugin überträgt keine Daten in Länder außerhalb der EU. |
| Auftragsverarbeitung | 🟢 | Kein Vertrag mit Automattic nötig – das Plugin verarbeitet Daten lokal auf deinem Server. |
| Benutzereingaben | 🔴 | WooCommerce verarbeitet Bestelldaten, Adressdaten und Kundeneingaben beim Checkout. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was macht WooCommerce mit den Daten deiner Kunden?
WooCommerce speichert alle Daten, die beim Bestellprozess anfallen, direkt in deiner WordPress-Datenbank – also auf deinem eigenen Hosting-Server. Das ist der entscheidende Unterschied zu Diensten wie Google Analytics oder Mailchimp: Die Daten verlassen deine Website nicht automatisch. Automattic, der Hersteller von WooCommerce, erhält aus dem Core-Plugin heraus keine Kundendaten.
Konkret speichert WooCommerce bei jeder Bestellung: Name, Lieferadresse, Rechnungsadresse, E-Mail-Adresse, Telefonnummer, bestellte Produkte und den Zahlungsweg. Dazu kommen Session-Daten für den Warenkorb, solange ein Besucher auf deiner Website unterwegs ist. All das landet in deiner Datenbank – du bist derjenige, der für diese Daten verantwortlich ist.
WooCommerce enthält außerdem eine Funktion namens Bestellzuordnung (Order Attribution), die seit Version 8.5 standardmäßig aktiv ist. Diese Funktion erfasst über Cookies, woher ein Kunde kam, bevor er etwas bestellt hat – also ob er über Google, eine E-Mail-Kampagne oder direkt auf deinen Shop gestoßen ist. Diese Daten werden ebenfalls lokal gespeichert, aber der Weg dorthin läuft über Cookies, die datenschutzrechtlich gesondert zu behandeln sind.
Cookies
Welche Cookies setzt WooCommerce – und welche brauchen eine Zustimmung?
WooCommerce setzt im sichtbaren Bereich deiner Website standardmäßig fünf Cookies, die alle technisch notwendig für den Shopbetrieb sind: woocommerce_cart_hash und woocommerce_items_in_cart erkennen Änderungen am Warenkorb, wp_woocommerce_session_ speichert die Warenkorb-Sitzung für bis zu zwei Tage, woocommerce_recently_viewed merkt sich zuletzt angesehene Produkte, und store_notice speichert, ob ein Besucher eine Shop-Mitteilung weggeklickt hat. Diese Cookies sind nicht zustimmungspflichtig – sie dürfen ohne Einwilligung gesetzt werden und müssen nicht im Cookie-Banner blockiert werden. Sie gehören aber in deine Datenschutzerklärung.
Zusätzlich setzt die Bestellzuordnungs-Funktion sieben weitere Cookies: sbjs_session, sbjs_udata, sbjs_first, sbjs_current, sbjs_first_add, sbjs_current_add und sbjs_migrations. Diese Cookies erfassen Browser- und Gerätedaten sowie Herkunftsinformationen des Besuchers – zum Beispiel, von welcher Seite jemand auf deinen Shop gelangt ist. Zwar verfallen sie nach der Sitzung (maximal 30 Minuten) und werden nur bei einer tatsächlichen Bestellung ausgelesen, aber sie sind keine technisch notwendigen Cookies. Dein Cookie-Banner sollte diese Cookies blockieren, bis der Besucher zustimmt.
Du kannst die Bestellzuordnungs-Funktion unter WooCommerce → Einstellungen → Erweitert → Funktionen → Bestellzuordnung deaktivieren. Dein Shop funktioniert danach weiterhin vollständig – du verlierst lediglich die Auswertung, woher deine Kunden kamen.
Externe Verbindungen
Baut WooCommerce externe Verbindungen zu fremden Servern auf?
WooCommerce baut im sichtbaren Bereich deiner Website keine externen Verbindungen auf. Das Plugin lädt keine Skripte von fremden Servern, bindet keine externen Fonts ein und sendet beim normalen Seitenaufruf keine Daten an Automattic oder andere Dritte. Alle Prozesse laufen auf deinem eigenen Hosting-Server.
Im Adminbereich nimmt WooCommerce Verbindungen zu woocommerce.com auf – etwa für Update-Prüfungen oder Marktplatz-Hinweise. Das betrifft ausschließlich dich als eingeloggten Administrator und hat keinen Bezug zu deinen Website-Besuchern.
Benutzereingaben
Welche Daten geben Kunden in WooCommerce ein?
WooCommerce verarbeitet beim Checkout alle Daten, die ein Kunde für eine Bestellung eingibt: Vorname, Nachname, Firma (optional), Straße, Postleitzahl, Ort, Land, E-Mail-Adresse und Telefonnummer. Wenn du die Kundenkonto-Funktion aktiviert hast, werden diese Daten auch bei der Registrierung abgefragt und dauerhaft gespeichert. Dazu kommen Bestelldetails wie bestellte Produkte, Gesamtbetrag und gewählter Zahlungsweg.
Alle diese Daten speichert WooCommerce in deiner WordPress-Datenbank. Du als Betreiber des Shops bist für diese Daten verantwortlich – das bedeutet, du musst in deiner Datenschutzerklärung erklären, welche Daten du verarbeitest, warum und wie lange du sie behältst. WooCommerce bietet im Adminbereich unter WooCommerce → Einstellungen → Konten & Datenschutz Optionen, um persönliche Daten auf Anfrage zu löschen oder aus Bestellungen zu entfernen.
Drittlandtransfer
Überträgt WooCommerce Kundendaten in Länder außerhalb der EU?
WooCommerce überträgt im keine Kundendaten in Länder außerhalb der EU. Alle Daten bleiben auf deinem Hosting-Server – wo der steht, hängt von deinem Hosting-Anbieter ab, nicht von WooCommerce.
Sobald du optionale Dienste wie WooPayments (Bezahldienst von Automattic), WooCommerce Shipping & Tax oder externe Zahlungsanbieter wie Stripe oder PayPal einbindest, können Daten in die USA oder andere Länder übertragen werden. Das betrifft dann aber diese einzelnen Dienste – nicht WooCommerce selbst. Jeder dieser Dienste braucht einen eigenen Eintrag in deiner Datenschutzerklärung.
Auftragsverarbeitung
Brauche ich einen Vertrag mit Automattic für WooCommerce?
WooCommerce verarbeitet Kundendaten ausschließlich lokal auf deinem Server – Automattic Inc. erhält aus dem Plugin heraus keine Kundendaten. Das haben Automattic und der WooCommerce-Support offiziell bestätigt: Es gibt keinen Auftragsverarbeitungsvertrag, weil Automattic keine Daten deiner Kunden verarbeitet.
Anders sieht es aus, wenn du optionale Dienste von Automattic wie WooPayments oder WooCommerce Shipping & Tax verwendest – dort leitest du Kundendaten an verschiedene Dienstleister weiter, und dann kann ein solcher Vertrag nötig werden. Das gilt aber für diese Dienste, nicht für WooCommerce selbst.
Datenschutzerklärung
Muss WooCommerce in die Datenschutzerklärung?
WooCommerce muss in die Datenschutzerklärung, weil du damit Kundendaten verarbeitest – Name, Adresse, E-Mail und Bestelldaten werden in deiner Datenbank gespeichert. Das ist eine Datenverarbeitung, die du gegenüber deinen Kunden offenlegen musst.
Folgende Angaben gehören in den Eintrag:
- Zweck: Abwicklung von Bestellungen und Verwaltung des Kundenkontos
- Rechtsgrundlage: Vertragserfüllung (Kaufvertrag zwischen dir und dem Kunden)
- Empfänger: Keine – Daten verbleiben auf deinem eigenen Server (außer du bindest Zahlungs- oder Versanddienstleister ein)
- Drittlandtransfer: Keiner durch WooCommerce selbst
- Speicherdauer: Solange gesetzliche Aufbewahrungspflichten bestehen (in Deutschland mindestens 10 Jahre für Bestelldaten aus steuerlichen Gründen)
Wenn du die Bestellzuordnungs-Funktion aktiviert lässt, gehören auch die zugehörigen Cookies in die Datenschutzerklärung, inklusive eines Hinweises auf die Einwilligungsmöglichkeit.
Hinweis: Die Zahlungsanbieter, Versanddienstleister und anderen Dienste, die du über WooCommerce einbindest, benötigen jeweils eigene Einträge in deiner Datenschutzerklärung.
Wir nutzen WooCommerce.
WooCommerce setzt Cookies bzw. ähnliche Kennungen ein, die nicht technisch notwendig sind und für die deine Einwilligung erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
Wenn du über ein Formular von WooCommerce deine Daten eingibst, werden diese ausschließlich auf unserem eigenen Server verarbeitet und nicht an Dritte weitergegeben.
Drittanbieter
Mit welchen Diensten lässt sich WooCommerce verbinden?
WooCommerce lässt sich über separate Erweiterungen mit einer Vielzahl externer Dienste verbinden – standardmäßig ist keine dieser Verbindungen aktiv. Erst wenn du eine Erweiterung installierst und einrichtest, entstehen externe Verbindungen und damit eigene Datenschutzpflichten.
Im Bereich Zahlungen sind Stripe, PayPal, Mollie, Klarna und WooPayments verbreitet. Alle diese Anbieter empfangen bei einer Zahlung Kundendaten – Name, E-Mail, Betrag – und verarbeiten sie auf ihren eigenen Servern, teils in den USA. Für jeden dieser Anbieter brauchst du einen eigenen Eintrag in deiner Datenschutzerklärung und je nach Anbieter auch einen Auftragsverarbeitungsvertrag.
Im Bereich Versand kann WooCommerce mit Diensten wie DHL, DPD oder UPS verbunden werden, die Lieferadressen und Pakete verarbeiten. Für E-Mail-Marketing lässt sich WooCommerce mit Diensten wie Mailchimp, Brevo oder Klaviyo koppeln, um Bestellbestätigungen oder Newsletter zu versenden. Auch Steuer- und Buchhaltungsdienste wie Lexoffice oder Sevdesk können angebunden werden. All diese Dienste agieren unabhängig von WooCommerce und müssen jeweils eigene Datenschutzprüfungen und eigene Einträge in die Datenschutzerklärung erhalten.
Fehler
Welche Fehler kommen bei WooCommerce in unseren DSGVO-Checks am häufigsten vor?
WooCommerce taucht bei 9 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen WooCommerce gefunden wurde.
DSGVO-Check
So prüfst du WooCommerce auf deiner eigenen Website
WooCommerce hinterlässt auf deiner Website mehrere erkennbare Spuren im Browser. Öffne deine Website in einem normalen Browser-Fenster, leg ein Produkt in den Warenkorb und schau dir danach die gespeicherten Cookies an. In Chrome erreichst du diese über die Entwicklertools (F12) unter dem Reiter „Anwendung“ → „Cookies“ . Folgende Cookie-Namen zeigen an, dass WooCommerce aktiv ist: woocommerce_cart_hash, woocommerce_items_in_cart, wp_woocommerce_session_, woocommerce_recently_viewed.
Wenn du zusätzlich die Cookies sbjs_session, sbjs_udata, sbjs_first, sbjs_current, sbjs_first_add, sbjs_current_add oder sbjs_migrations siehst, ist die Bestellzuordnungs-Funktion aktiv. Diese Cookies sollten erst nach einer Einwilligung gesetzt werden – prüfe also, ob dein Cookie-Banner sie korrekt blockiert.
Du kannst deinen Shop auch direkt von datenrein.de scannen lassen – dann siehst du auf einen Blick, welche Cookies und Verbindungen auf deiner Website aktiv sind.
