UK GDPR und OAuth2 in WordPress: Ein Compliance-Leitfaden für 2026
17. August 2026
So verwenden Sie OAuth2 in WordPress, ohne gegen die UK-DSGVO zu verstoßen. Behandelt Einwilligung, Datenminimierung und sichere Token-Verwaltung für 2026.
Das UK-DSGVO nach dem Brexit verstehen
Seit dem Brexit hat das Vereinigte Königreich seine eigene Version der DSGVO, die als UK GDPR neben dem Data Protection Act 2018 beibehalten wurde. Sie spiegelt die EU-DSGVO wider, funktioniert jedoch unabhängig. Für WordPress-Website-Betreiber im Vereinigten Königreich bedeutet dies, dass Sie sowohl die UK GDPR als auch, falls Sie EU-Kunden bedienen, möglicherweise die EU-DSGVO einhalten müssen. Die ICO setzt die UK GDPR durch. Zu den wichtigsten Grundsätzen gehören Rechtmäßigkeit, Fairness, Transparenz und Datenminimierung. Wenn Sie OAuth2 für WordPress verwenden, verarbeiten Sie unweigerlich personenbezogene Daten. Sie müssen daher festhalten, welche Daten an Dritte fließen, sicherstellen, dass eine Rechtsgrundlage besteht, und Ihre Entscheidungen dokumentieren. Werden diese Pflichten ignoriert, drohen Geldstrafen und Reputationsschäden.
Wie OAuth2 in die WordPress-Authentifizierung integriert wird
OAuth2 ist ein Delegationsprotokoll, das es Benutzern ermöglicht, einem WordPress-Plugin Zugriff auf ihre bei einem anderen Dienst (wie Google oder Facebook) gespeicherten Daten zu gewähren, ohne Passwörter preiszugeben. Es wird häufig für Login-Integrationen, das Abrufen von Kontakten oder das Veröffentlichen von Inhalten verwendet. In WordPress fungieren OAuth2-Plugins als Clients: Sie leiten Benutzer an einen Autorisierungsserver weiter, empfangen einen Autorisierungscode und tauschen diesen dann gegen ein Zugriffstoken (Access Token) ein. Dieses Token wird auf Ihrem Server gespeichert. Obwohl OAuth2 ein sicheres Muster ist, beeinflusst die Art und Weise, wie Sie es implementieren, die Einhaltung der DSGVO. Jedes Token repräsentiert die Identität eines Benutzers und gewährt Zugriff auf personenbezogene Daten. Daher müssen Sie es als sensible Informationen behandeln. Auch die Zustimmungsseite ist ein Punkt, an dem die Einwilligung nach DSGVO häufig mit der OAuth2-Autorisierung verwechselt wird.
Einwilligung und Zugriff Dritter
Ein häufiger Irrglaube ist, dass der OAuth2-Zustimmungsbildschirm als DSGVO-Einwilligung dient. Tut er nicht. Bei der OAuth2-Autorisierung geht es um die Gewährung eines technischen Zugriffs, nicht um eine rechtsgültige Einwilligung gemäß Artikel 4 Absatz 11 der britischen DSGVO. Eine DSGVO-Einwilligung muss freiwillig, spezifisch, informiert und eindeutig sein. Das bedeutet, dass deine WordPress-Website einen separaten, ausdrücklichen Einwilligungsmechanismus benötigt, wenn du personenbezogene Daten über das hinaus verarbeitest, was für die OAuth2-Transaktion unbedingt erforderlich ist. Wenn du beispielsweise die Kalendereinträge eines Nutzers abrufst, nenne den Grund, die Dauer und gib ihm die Kontrolle darüber. Wenn der Drittanbieter Daten in deinem Auftrag verarbeitet, benötigst du außerdem einen Vertrag über die Auftragsverarbeitung gemäß Artikel 28. Die OAuth2-Autorisierungsseite befreit dich nicht von diesen Pflichten.
Tokens speichern: Sicherheitspflichten
Gemäß Artikel 32 der britischen DSGVO müssen Sie geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten umsetzen. OAuth2-Zugriffstokens gewähren häufig langfristigen Zugriff auf Benutzerdaten, daher ist ihre sichere Speicherung in WordPress von entscheidender Bedeutung. Vermeiden Sie es, Tokens im Klartext zu speichern. Nutzen Sie Verschlüsselung im Ruhezustand und erwägen Sie die Verwendung der WordPress-Transients-API mit verschlüsselten Optionen oder einen speziell entwickelten Secret-Manager. Beschränken Sie den Zugriff auf Datenbank und Server und prüfen Sie regelmäßig Protokolle auf verdächtige Aktivitäten. Beachten Sie außerdem Token-Ablauf und Aktualisierungszyklen. Längerlebige Tokens erhöhen das Risiko. Idealerweise sollten Sie Aktualisierungstokens sicher speichern und nur bei Bedarf austauschen. Auch hier gilt die Datenminimierung: Erheben Sie nicht mehr Daten und speichern Sie Tokens nicht länger als notwendig.
Auswahl UK-kompatibler OAuth2-Plugins
Bei der Auswahl eines OAuth2-Plugins für WordPress solltest du eines wählen, das Datenschutz priorisiert und bei der Datenverarbeitung transparent ist. Prüfe, ob das Plugin DSGVO-konform ist, die Rechtsordnung des Vereinigten Königreichs unterstützt und dir erlaubt, die Datenspeicherung zu konfigurieren. Beliebte Plugins wie WPOAuth2 oder OAuth2 for WP bieten zwar gute Sicherheit, aber du musst ihre Einstellungen anpassen. Stelle sicher, dass das Plugin Benutzer nach einem festgelegten Zeitraum abmeldet, eine ausdrückliche Einwilligung unterstützt und keine Token-Daten über REST-API-Endpunkte preisgibt. Überprüfe außerdem, ob etwaige Drittanbieter-Server (wie der Autorisierungsserver) über einen Datenverarbeitungsvertrag verfügen, der die UK-DSGVO abdeckt. Seit 2026 geht die ICO strenger gegen internationale Datentransfers vor – wähle daher Plugins, die eine EU-/UK-Datenresidenz oder Standardvertragsklauseln anbieten.
FAQ
Ja, OAuth2 selbst ist ein technisches Protokoll, aber die ausgetauschten Daten und die gespeicherten Tokens sind personenbezogene Daten gemäß der UK GDPR. Wenn Sie OAuth2 in WordPress verwenden, sind Sie Verantwortlicher oder Auftragsverarbeiter und müssen daher die Datenschutzgrundsätze einhalten, die Sicherheit gewährleisten und eine Rechtsgrundlage für die Verarbeitung haben.