Gravatar und Datenschutz: Das steckt hinter dem harmlosen Profilbild
Gravatar ist in WordPress von Anfang an dabei – und die meisten Betreiber haben es nie bewusst aktiviert. Sobald Kommentare oder Autorenprofile auf deiner Website erscheinen, lädt WordPress automatisch Profilbilder von einem externen Server in den USA. Dabei fließen Daten deiner Besucher, ohne dass jemand gefragt wird.
Überblick
Was ist Gravatar?
Gravatar steht für „Globally Recognized Avatar“ und ist ein Dienst von Automattic – dem Unternehmen hinter WordPress. Die Idee: Wer einmal ein Profilbild bei Gravatar hochlädt, sieht dieses Bild automatisch auf allen Websites, die den Dienst nutzen. WordPress nutzt Gravatar standardmäßig, um Profilbilder in Kommentarbereichen und bei Autorenprofilen anzuzeigen.
| Gravatar – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟢 | Gravatar setzt keine Cookies auf deiner Website. |
| Externe Verbindungen | 🟡 | Verbindung zu Automattic-Servern in den USA, wenn Avatare aktiv sind. |
| Datenschutzerklärung | 🔴 | Eintrag in der Datenschutzerklärung erforderlich, solange Avatare aktiv sind. |
| Drittlandtransfer | 🟡 | IP-Adresse des Besuchers und E-Mail-Hashes der Autoren werden an US-Server übertragen, wenn Avatare aktiv sind. |
| Auftragsverarbeitung | 🟢 | Kein Auftragsverarbeitungsvertrag nötig. |
| Benutzereingaben | 🟢 | Kein Datenproblem durch Benutzereingaben, wenn keine Kommentarfunktion aktiv ist |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Welche Daten überträgt Gravatar an externe Server?
Jedes Mal, wenn jemand eine Seite deiner Website aufruft, auf der ein Avatar angezeigt wird, schickt WordPress automatisch eine Anfrage an secure.gravatar.com. Dabei wird die IP-Adresse des Besuchers an Server von Automattic in den USA übertragen.
Zusätzlich ist der E-Mail-Hash des jeweiligen Autors oder Kommentators im HTML der Seite sichtbar – dieser kodierte Wert lässt sich theoretisch nutzen, um dieselbe Person auf verschiedenen Websites wiederzuerkennen. Das betrifft also nicht den Besucher, sondern die Person, deren Profil angezeigt wird.
Automattic, das Unternehmen hinter Gravatar, hat seinen Sitz in San Francisco, USA. Die Daten landen dort auf Servern außerhalb der EU, ohne dass deine Besucher vorher gefragt werden.
Cookies
Setzt Gravatar Cookies auf meiner Website?
Gravatar setzt keine Cookies auf deiner Website. Die Verbindung zu secure.gravatar.com läuft als direkte Bildanfrage im Hintergrund – ohne dass dabei etwas im Browser des Besuchers gespeichert wird. Du brauchst deinen Cookie-Banner für Gravatar nicht anzupassen.
Externe Verbindungen
Baut Gravatar eine Verbindung zu externen Servern auf?
Gravatar baut eine Verbindung zu secure.gravatar.com auf – und zwar automatisch, sobald auf einer Seite ein Avatar angezeigt wird. Das passiert beim Seitenaufruf, ohne dass ein Besucher etwas tun muss. Diese Verbindung überträgt die IP-Adresse des Besuchers und einen kodierten Wert der Kommentator- oder Autor-E-Mail an Server in den USA.
Dein Cookie-Banner muss diese Verbindung blockieren, bis der Besucher zustimmt. Wenn du Gravatar nicht benötigst, ist die einfachste Lösung, die Avatarfunktion vollständig zu deaktivieren: WordPress-Adminbereich → Einstellungen → Diskussion → Haken bei „Avatare anzeigen“ entfernen → Speichern. Dann werden keine Verbindungen mehr zu secure.gravatar.com aufgebaut.
Benutzereingaben
Werden Daten aus Formularen oder Eingaben an Gravatar weitergegeben?
Gravatar verarbeitet keine Daten aus aktiven Benutzereingaben, solange auf deiner Website keine Kommentarfunktion aktiv ist. Wenn Besucher Autorenprofile betrachten, fließen deren IP-Adressen an Automattic – ausgelöst durch den Seitenaufruf selbst, nicht durch eine Eingabe.
Wenn du Kommentare aktiviert hast, enthält jede Gravatar-Anfrage zusätzlich den kodierten E-Mail-Wert der kommentierenden Person. Das ist ein weiterer Grund, Kommentare nur dann zu aktivieren, wenn du sie wirklich brauchst.
Drittlandtransfer
Werden Daten meiner Besucher in die USA übertragen?
Gravatar überträgt Daten in die USA, solange die Avatarfunktion aktiv ist. Automattic hat seinen Sitz in San Francisco, und die Bildanfragen gehen direkt an dortige Server. Dabei wird die IP-Adresse des Besuchers übertragen – das gilt als personenbezogenes Datum. Zusätzlich sind E-Mail-Hashes der Autoren und Kommentatoren im Seitenquellcode sichtbar und werden beim Bildabruf mitgeschickt.
Du kannst diesen Transfer beenden, indem du Avatare in Einstellungen → Diskussion deaktivierst. Solange Avatare aktiv sind, muss der Transfer in deiner Datenschutzerklärung dokumentiert sein.
Auftragsverarbeitung
Brauche ich einen Vertrag mit Automattic wegen Gravatar?
Für die Nutzung von Gravatar auf einer selbst gehosteten WordPress-Website brauchst du keinen Auftragsverarbeitungsvertrag mit Automattic. Automattic verarbeitet die übermittelten Daten – IP-Adresse des Besuchers und E-Mail-Hashes der Autoren – für den eigenen Gravatar-Dienst und nicht in deinem Auftrag. Das ist ein wesentlicher Unterschied: Hier verarbeitet Automattic als eigenverantwortliche Stelle, nicht als dein Dienstleister.
Datenschutzerklärung
Muss Gravatar in die Datenschutzerklärung?
Gravatar muss in deine Datenschutzerklärung, solange die Avatarfunktion in WordPress aktiv ist. Der Grund: Sobald eine Seite mit Avataren aufgerufen wird, geht die IP-Adresse des Besuchers automatisch an Server von Automattic in den USA. Zusätzlich sind E-Mail-Hashes der Autoren und Kommentatoren im Seitenquellcode enthalten und werden beim Bildabruf mitübertragen. Das ist eine Datenübertragung an einen Dritten, über die du informieren musst. Wenn du Avatare vollständig deaktivierst, entfällt die Pflicht.
Folgende Angaben gehören in deinen Datenschutzerklärungseintrag:
- Zweck: Anzeige von Profilbildern in Kommentaren und Autorenprofilen
- Rechtsgrundlage: Einwilligung (wenn der Cookie-Banner die Verbindung blockiert) oder berechtigtes Interesse (nur bei rein technischer Autorenprofilanzeige ohne Tracking-Zweck – rechtlich umstritten)
- Empfänger: Automattic Inc., San Francisco, USA
- Drittlandtransfer: Übermittlung in die USA
- Speicherdauer: Automattic speichert Serverlogdaten für begrenzte Zeit gemäß eigener Datenschutzerklärung
Wir nutzen Gravatar.
Gravatar stellt beim Laden der Website eine Verbindung zu Servern von Automattic, Inc her, die nicht technisch notwendig ist und für die deine Einwilligung erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Wenn du über ein Formular von Gravatar deine Daten eingibst, werden diese ausschließlich auf unserem eigenen Server verarbeitet und nicht an Dritte weitergegeben.
Fehler
Welche Fehler kommen bei Gravatar in unseren DSGVO-Checks am häufigsten vor?
Gravatar taucht bei 6 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Gravatar gefunden wurde.
DSGVO-Check
Gravatar auf deiner Website selbst prüfen
Der einfachste Weg: Öffne deine Website in einem Browser und schaue im Netzwerk-Tab der Entwicklertools nach, ob Anfragen an secure.gravatar.com oder gravatar.com erscheinen. Wenn ja, ist Gravatar aktiv und überträgt Daten. Du kannst auch prüfen, ob Bilder auf deiner Seite von secure.gravatar.com/avatar/ geladen werden – das zeigt dir, auf welchen Seiten Avatare erscheinen. Eine schnellere Methode ist ein automatischer Datenschutz-Scan deiner Website, der externe Verbindungen direkt auflistet und zeigt, ob secure.gravatar.com beim Seitenaufruf kontaktiert wird.
