WordPress-OAuth2-Plugin DSGVO-Konformität: Ein Leitfaden für Großbritannien 2026
17. August 2026
Sorgen Sie dafür, dass Ihr WordPress-OAuth2-Plugin der UK-DSGVO entspricht. Erfahren Sie Tipps zu Einwilligung, Datenverarbeitung und ICO-Compliance für 2026.
DSGVO und OAuth2 im Vereinigten Königreich verstehen
Die nach dem Brexit beibehaltene UK-DSGVO regelt, wie personenbezogene Daten verarbeitet werden, einschließlich aller Daten, die über OAuth2-Plugins erhoben werden. OAuth2 ist ein Delegationsprotokoll, das Benutzern die Anmeldung über Drittanbieter wie Google oder Facebook ermöglicht. Während es bei OAuth2 selbst um Autorisierung geht, speichert das Plugin häufig Zugriffstoken, Benutzerprofile und möglicherweise auch E-Mail-Adressen. Das bedeutet, dass Sie für diese Daten als Verantwortlicher gelten und die Grundsätze der UK-DSGVO einhalten müssen. Auch 2026 setzt die ICO diese Regeln weiterhin durch, und Verstöße können zu Bußgeldern von bis zu 17,5 Millionen Pfund oder 4 % des weltweiten Jahresumsatzes führen. Für WordPress-Website-Betreiber im Vereinigten Königreich erläutert dieser Leitfaden genau, was Sie tun müssen, um konform zu bleiben und gleichzeitig eine reibungslose Anmeldeerfahrung zu bieten.
Wichtige DSGVO-Anforderungen für OAuth2-Plugins
Nach der UK GDPR benötigen Sie eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten, die Sie über OAuth2 erhalten. Die häufigsten Grundlagen sind Einwilligung und berechtigtes Interesse. Wenn Sie sich auf Einwilligung stützen, müssen Nutzer aktiv zustimmen (Opt-in) – eine vorab gesetzte Häkchen-Auswahl reicht nicht aus. Sie müssen außerdem das Prinzip der Datenminimierung anwenden: Fordern Sie nur die OAuth2-Scopes an, die Sie tatsächlich benötigen. Wenn Sie beispielsweise nur den Namen und die E-Mail-Adresse eines Nutzers benötigen, fragen Sie nicht nach Zugriff auf dessen Freundesliste oder Kalender. Darüber hinaus benötigen Sie eine klare Datenschutzerklärung, die erläutert, welche Daten Sie erheben, warum Sie dies tun und wie lange Sie sie aufbewahren. Ihr OAuth2-Plugin sollte so konfiguriert sein, dass nur unbedingt erforderliche Scopes angefordert werden, und Sie sollten diese Entscheidung dokumentieren, um Ihre Rechenschaftspflichten zu erfüllen.
Implementierung von Einwilligung und Benutzerkontrolle
OAuth2 umgeht häufig die herkömmlichen Anmeldeformulare, daher ist eine ausdrückliche Einwilligung beim Login erforderlich. Das bedeutet einen klaren Hinweis, der erklärt, dass Sie die E-Mail-Adresse und den Namen des Nutzers erhalten und wie Sie diese Daten verwenden. Für Nutzer im Vereinigten Königreich verwenden Sie ein Kontrollkästchen zur Einwilligung oder einen altersgerechten Einwilligungsbildschirm, und halten Sie diesen getrennt von der Einwilligung des OAuth2-Anbieters. Geben Sie den Nutzern außerdem Kontrolle: Sie sollten in der Lage sein, den Zugriff zu widerrufen oder ihr Social-Media-Konto über ihre Profilseite zu trennen. Ihr Plugin sollte den Token-Widerruf ordnungsgemäß behandeln. Die Implementierung eines „Cookie-Banners“, das vor der OAuth2-Weiterleitung erscheint, wird ebenfalls empfohlen, insbesondere wenn das Plugin Cookies für die Sitzungsverwaltung setzt. Dies entspricht den Erwartungen der ICO an eine proaktive Einwilligung.
Datenspeicherung, Sicherheit und Betroffenenrechte
OAuth2-Tokens sind sensibel, da sie Zugriff auf Benutzerdaten gewähren. Speichern Sie Tokens sicher mithilfe von Verschlüsselung im Ruhezustand und legen Sie sie niemals in Protokollen oder URLs offen. Gemäß der britischen DSGVO müssen Sie Daten vor unbefugtem Zugriff schützen, was die Nutzung von HTTPS für alle OAuth2-Weiterleitungen einschließt. Denken Sie außerdem daran, dass Nutzer Auskunftsersuchen (DSARs) stellen können. Sie müssen in der Lage sein, alle personenbezogenen Daten, die Ihr OAuth2-Plugin speichert, innerhalb von 30 Tagen kostenlos zu lokalisieren und bereitzustellen. Das bedeutet, dass Sie Ihre gespeicherten Benutzermetadaten und Tokendaten so strukturieren müssen, dass sie auf Anfrage abruf- und wiederverwendbar sind. Sie müssen außerdem sicherstellen, dass beim Löschen eines Nutzerkontos alle OAuth2-Tokens und zugehörigen Daten gelöscht werden, sofern Sie keinen legitimen Grund haben, sie aufzubewahren.
UK-spezifische Überlegungen und Durchsetzungsmaßnahmen der ICO
Seit dem Brexit unterliegt das Vereinigte Königreich einem eigenen Datenschutzregime, aber der ICO richtet sich weiterhin, wo angemessen, nach EU-Entscheidungen. Für OAuth2-Plugins ist entscheidend, dass Ihre Datenverarbeitungsverträge mit Anbietern wie Google oder Facebook die Bedingungen der UK-DSGVO enthalten. Beachten Sie außerdem, dass die Übermittlung von OAuth2-Daten außerhalb des Vereinigten Königreichs eingeschränkt ist, sofern keine Schutzmechanismen vorhanden sind. Wenn Ihr WordPress-Hosting-Anbieter beispielsweise in den USA sitzt, benötigen Sie möglicherweise Standardvertragsklauseln. Im Jahr 2026 fördert der ICO aktiv „Datenschutz durch Technikgestaltung" – wählen Sie daher ein OAuth2-Plugin, das granulare Berechtigungen, verschlüsselte Speicherung und Funktionen zur Datenlöschung unterstützt. Führen Sie bei der Einführung von OAuth2-Logins stets eine Datenschutz-Folgenabschätzung durch und dokumentieren Sie Ihre Compliance-Schritte, um Durchsetzungsmaßnahmen zu vermeiden.
FAQ
Ja, wenn Sie sich auf Einwilligung als Ihre Rechtsgrundlage stützen. Nutzer müssen darüber informiert werden, welche Daten erhoben und wie sie verwendet werden, und sie müssen aktiv zustimmen – keine vorangekreuzten Kästchen. Selbst wenn Sie berechtigtes Interesse geltend machen, müssen Sie dennoch für klare Transparenz sorgen und den Nutzern die Möglichkeit geben, Widerspruch einzulegen.