Jetpack Boost und Datenschutz: Das Bild-CDN schickt Besucherdaten in die USA
Jetpack Boost ist aus Datenschutzsicht ein überschaubares Plugin – keine Tracking-Cookies, keine Formulare, keine eingebundenen Drittdienste. Aber: Sobald du das Bild-CDN aktivierst, fließt die IP-Adresse deiner Besucher zu Automattic-Servern in den USA. Das zieht ein paar konkrete Aufgaben nach sich, die du einmalig erledigen musst.
Überblick
Was ist Jetpack Boost?
Jetpack Boost ist ein kostenloses WordPress-Plugin von Automattic, das deine Website schneller macht. Es optimiert, wie CSS, JavaScript und Bilder geladen werden – unter anderem durch einen Seiten-Cache, der statische Versionen deiner Seiten speichert, und ein Bild-CDN, das deine Bilder von Automattic-Servern weltweit ausliefert.
| Jetpack Boost – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟢 | Keine zustimmungspflichtigen Cookies für Website-Besucher. |
| Externe Verbindungen | 🔴 | Bild-CDN und Performance-Score-Abfrage verbinden deine Website mit Automattic-Servern. |
| Datenschutzerklärung | 🔴 | Eintrag in der Datenschutzerklärung erforderlich wegen US-Transfer und Vertrag mit Automattic. |
| Drittlandtransfer | 🔴 | IP-Adressen deiner Besucher werden an Automattic-Server in den USA übertragen. |
| Auftragsverarbeitung | 🔴 | Vertrag mit Automattic erforderlich, abrufbar über dein WordPress.com-Profil. |
| Benutzereingaben | 🟢 | Jetpack Boost verarbeitet keine Formulareingaben von Besuchern. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Welche Daten verarbeitet Jetpack Boost?
Jetpack Boost verarbeitet keine Besucherdaten auf deinem Server – das Plugin arbeitet technisch im Hintergrund, ohne Inhalte zu speichern oder Besucher zu protokollieren.
Der datenschutzrelevante Punkt entsteht durch das Bild-CDN: Wenn du diese Funktion aktivierst, liefert Automattic deine Bilder von eigenen Servern aus. Das bedeutet: Jedes Mal, wenn ein Besucher deine Seite aufruft und ein Bild lädt, baut sein Browser eine direkte Verbindung zu Automattic-Servern auf. Dabei wird die IP-Adresse des Besuchers übertragen – automatisch, wie bei jeder Serververbindung.
Hinzu kommt, dass Jetpack Boost für die Anzeige des Performance-Scores deiner Website eine Verbindung zu WordPress.com herstellt. Auch diese Verbindung läuft über Automattic. Beide Verbindungen gehen an Server in den USA, da Automattic ein US-Unternehmen ist.
Cookies
Setzt Jetpack Boost Cookies bei meinen Besuchern?
Jetpack Boost setzt keine zustimmungspflichtigen Cookies für Website-Besucher. Das einzige Cookie, das im Zusammenhang mit Jetpack Boost auftaucht, ist tk_ai – laut Automattic ein internes Cookie für Administratoren, das ausschließlich im WordPress-Backend für eingeloggte Nutzer gesetzt wird. Dein Cookie-Banner muss dafür nichts konfigurieren.
Externe Verbindungen
Baut Jetpack Boost externe Verbindungen auf?
Jetpack Boost baut zwei externe Verbindungen zu Automattic-Servern auf. Die erste entsteht durch das Bild-CDN: Sobald du diese Funktion aktivierst, werden deine Bilder nicht mehr von deinem eigenen Hosting-Server, sondern von Automattic-Servern unter den Domains i0.wp.com, i1.wp.com und i2.wp.com ausgeliefert.
Diese Verbindung ist für das Funktionieren des CDN notwendig – sie muss nicht im Cookie-Banner blockiert werden, gehört aber in deine Datenschutzerklärung. Du kannst das Bild-CDN in den Jetpack-Boost-Einstellungen jederzeit deaktivieren.
Die zweite Verbindung geht an WordPress.com und dient der Berechnung deines Performance-Scores. Sie läuft im Hintergrund und ist nicht durch eine einfache Einstellung abschaltbar. Auch diese Verbindung muss nicht im Cookie-Banner blockiert werden, gehört aber in deine Datenschutzerklärung.
Benutzereingaben
Verarbeitet Jetpack Boost Eingaben meiner Besucher?
Jetpack Boost verarbeitet keine Eingaben von Website-Besuchern. Das Plugin bietet keine Formulare, keine Kommentarfunktion und keine anderen Eingabemöglichkeiten für Besucher. Dieser Punkt ist für Jetpack Boost nicht relevant.
Drittlandtransfer
Werden Daten meiner Besucher in die USA übertragen?
Jetpack Boost überträgt Daten deiner Besucher in die USA. Automattic hat seinen Firmensitz in San Francisco und betreibt Server weltweit. Wenn deine Bilder über das Automattic-CDN ausgeliefert werden oder dein Performance-Score berechnet wird, fließt die IP-Adresse der Besucher zu diesen Servern.
Automattic gibt an, solche Übertragungen auf Basis von Standardverträgen zwischen der EU und dem Empfängerland abzuwickeln, die die EU-Kommission für zulässig erklärt hat. Das ändert nichts daran, dass der Transfer in deiner Datenschutzerklärung erwähnt werden muss.
Auftragsverarbeitung
Brauche ich einen Vertrag mit Automattic?
Jetpack Boost überträgt über das Bild-CDN IP-Adressen deiner Besucher an Automattic. Damit verarbeitet Automattic personenbezogene Daten in deinem Auftrag – und dafür ist ein schriftlicher Vertrag erforderlich. Automattic bietet diesen Vertrag an.
Du rufst ihn über dein WordPress.com-Profil ab: Dort unter „Datenschutz“ den Bereich „Datenverarbeitungszusatz“ aufrufen und auf „DPA anfordern“ klicken. Automattic schickt dir das Dokument per E-Mail. Du unterschreibst es und sendest es zurück an privacypolicyupdates@automattic.com.
Datenschutzerklärung
Muss Jetpack Boost in der Datenschutzerklärung stehen?
Jetpack Boost muss in deiner Datenschutzerklärung stehen, weil das Plugin IP-Adressen deiner Besucher an Automattic-Server in den USA überträgt. Die nötigen Angaben für den Eintrag sind:
- Zweck: Technische Optimierung der Website-Ladezeiten durch Bild-CDN und Performance-Analyse
- Rechtsgrundlage: Berechtigtes Interesse (schnellere Auslieferung der Website-Inhalte)
- Empfänger: Automattic, Inc., San Francisco, USA
- Drittlandtransfer: Übermittlung in die USA auf Basis von EU-Standardverträgen
- Speicherdauer: Laut Automattic-Datenschutzrichtlinie, solange ein berechtigter Zweck besteht
Hinweis: Das Automattic-Bild-CDN (i0.wp.com) ist ein eigenständiger Dienst und benötigt einen eigenen Eintrag in deiner Datenschutzerklärung – zusätzlich zum Eintrag für Jetpack Boost selbst.
Wir nutzen Jetpack Boost.
Jetpack Boost stellt beim Laden der Website automatisch eine Verbindung zu Servern von Automattic, Inc her. Diese Verbindung ist technisch notwendig und erfolgt auf Grundlage unseres berechtigten Interesses an einer funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Im Rahmen der Nutzung von Jetpack Boost werden Daten an Automattic, Inc übermittelt. Soweit Automattic, Inc diese Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Fehler
Welche Fehler kommen bei Jetpack Boost in unseren DSGVO-Checks am häufigsten vor?
Jetpack Boost taucht bei 6 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Jetpack Boost gefunden wurde.
DSGVO-Check
Wie erkenne ich, ob Jetpack Boost auf meiner Website aktiv ist?
Jetpack Boost setzt keine eigenen Cookies, die du im Browser oder Cookie-Scanner prüfen könntest. Stattdessen erkennst du das aktive Bild-CDN daran, dass deine Bilddateien nicht mehr von deiner eigenen Domain geladen werden, sondern von externen Domains wie i0.wp.com, i1.wp.com oder i2.wp.com.
Du kannst das prüfen, indem du eine deiner Seiten im Browser öffnest, mit der rechten Maustaste auf ein Bild klickst und „In neuem Tab öffnen“ wählst – zeigt die URL eine dieser Domains, ist das CDN aktiv. Alternativ prüft ein Datenschutz-Scan deine Website direkt auf solche externen Verbindungen.
