DSGVO-Konformität der WordPress-API: Ein UK-Leitfaden für 2026
16. August 2026
Erfahren Sie, wie Sie Ihre WordPress-REST-API DSGVO-konform für Nutzer im Vereinigten Königreich gestalten. Behandelt ICO-Leitlinien, Datenminimierung, Authentifizierung und mehr.
Verständnis der UK GDPR und der WordPress REST API
Die UK-DSGVO, die nach dem Brexit beibehalten wurde, gilt für jede Organisation, die personenbezogene Daten von Einwohnern des Vereinigten Königreichs verarbeitet. Der WordPress-Kern stellt eine REST-API mit Endpunkten wie /wp/v2/users bereit, über die Daten wie Benutzernamen, Namen und Autoreninformationen von Beiträgen preisgegeben werden können. Für Website-Betreiber im Vereinigten Königreich birgt die unzureichende Absicherung dieser Endpunkte das Risiko von Durchsetzungsmaßnahmen der ICO, Geldbußen von bis zu 17,5 Millionen Pfund oder 4 % des Umsatzes sowie Rufschädigung. In diesem Abschnitt werden die Kernprinzipien erläutert: Datenminimierung, Zweckbindung und das Recht auf Löschung. Es ist unerlässlich, Ihre API-Routen zu überprüfen und zu verstehen, welche Daten standardmäßig öffentlich zugänglich sind. Ohne entsprechende Maßnahmen könnte Ihre API mehr preisgeben, als Sie annehmen.
Auditierung Ihrer Endpunkte auf personenbezogene Daten
Beginnen Sie mit WP-CLI oder einem Tool wie Postman, um alle REST-Routen über /wp-json aufzulisten. Suchen Sie nach Endpunkten, die personenbezogene Daten zurückgeben: Benutzerregistrierungen, Kommentare, Kontaktformulare, WooCommerce-Bestellungen. Prüfen Sie für jeden Endpunkt, ob die Daten wirklich öffentlich zugänglich sein müssen. Die ICO erwartet, dass Sie bei der Verwendung neuer Technologien eine Datenschutz-Folgenabschätzung (DSFA) durchführen. Im Vereinigten Königreich erfordert eine Verarbeitung mit hohem Risiko gemäß Artikel 35 der UK GDPR eine DSFA. Dokumentieren Sie Ihre Ergebnisse und erwägen Sie, ungenutzte Endpunkte vollständig zu deaktivieren. Verwenden Sie Filter wie `rest_endpoints`, um sensible Endpunkte zu entfernen. Überprüfen Sie regelmäßig erneut, da Plugins neue Routen hinzufügen.
Implementierung von Authentifizierungs- und Autorisierungskontrollen
Die REST-API unterstützt Authentifizierungsmethoden wie Cookies und Anwendungspasswörter. Für jeden Endpunkt, der auf personenbezogene Daten zugreift, solltest du Authentifizierung und Berechtigungsprüfungen erzwingen. Verwende den Parameter `permission_callback` in `register_rest_route()`, um Benutzerrollen zu prüfen. Für Drittanbieter-Integrationen wende OAuth 2.0 oder API-Schlüssel mit Scope-Einschränkungen an. Die UK-DSGVO erfordert geeignete technische Maßnahmen, um Vertraulichkeit und Integrität der Daten zu gewährleisten. Implementiere Ratenbegrenzung und Protokollierung, um unbefugte Zugriffsversuche zu erkennen. Verlasse dich niemals auf „Sicherheit durch Obskurität“. Stelle außerdem sicher, dass deine API-Antworten die Datenschutzeinstellungen der Benutzer respektieren, z. B. das Ausblenden von Autoren, wenn ein Benutzer dies über ein User-Meta-Flag deaktiviert hat.
Bearbeitung von Betroffenenanfragen (DSARs) über die API
Gemäß der UK-DSGVO können Einzelpersonen Auskunftsersuchen (Subject Access Requests, SARs) einreichen, um auf ihre Daten zuzugreifen, sie zu berichtigen oder zu löschen. Ihre WordPress-Website sollte einen Prozess haben, um personenbezogene Daten über die API zu exportieren oder zu löschen. Der WP-Kern stellt die Endpunkte `wp/v2/search` und `users` bereit, die für Plugin-Daten jedoch oft unzureichend sind. Erstellen Sie benutzerdefinierte Endpunkte mit `register_rest_route()`, die Daten aus mehreren Tabellen sammeln und einen durch Authentifizierung geschützten JSON-Export erzeugen. Stellen Sie bei der Löschung sicher, dass auch zwischengespeicherte API-Daten gelöscht werden. Die ICO empfiehlt, innerhalb eines Monats zu antworten. Erwägen Sie außerdem die Implementierung verifizierbarer Anfragen: Stellen Sie sicher, dass Sie die Identität des Antragstellers bestätigen, bevor Sie personenbezogene Daten über API-Antworten senden.
Datenschutzhinweise, Einwilligung und UK-spezifische Best Practices
Wenn Ihre API personenbezogene Daten verarbeitet, muss Ihre Datenschutzerklärung dies erwähnen. Für Nutzer im Vereinigten Königreich gilt die Einwilligung gemäß der Privacy and Electronic Communications Regulations (PECR) auch für Marketing über die API. Wenn Ihre API zum Auslösen von E-Mails verwendet wird, stellen Sie sicher, dass die Einwilligung dokumentiert wird. Nutzen Sie gegebenenfalls die Leitlinien des ICO zu berechtigten Interessen als Rechtsgrundlage und nicht die Einwilligung. Dokumentieren Sie die Aufbewahrungsfristen für API-Protokolle. Erwägen Sie außerdem die Datenminimierung als Standard: Geben Sie nur die benötigten Felder zurück, mithilfe des _fields-Parameters. Führen Sie schließlich ein Verzeichnis von Verarbeitungstätigkeiten (ROPA) wie in Artikel 30 der UK-DSGVO gefordert. Für viele WordPress-Websites bedeutet dies, die interne Dokumentation zu aktualisieren, um API-Endpunkte aufzunehmen.
FAQ
Ja, standardmäßig enthält die REST-API Endpunkte wie /wp/v2/users, die Benutzernamen und Autorendetails (Vorname, Nachname) offenlegen können, wenn sie nicht eingeschränkt sind. Außerdem könnten Kommentare und Post-Meta Daten preisgeben. Sie sollten diese Endpunkte überprüfen und deaktivieren oder einschränken, um den Grundsätzen der Datenminimierung der UK GDPR zu entsprechen.