Elementor selbst ist datenschutzrechtlich unauffällig. Kritisch wird es bei vier Bausteinen, die fast jede Website einsetzt — und die in der Standardeinstellung Daten an Dritte übertragen, bevor der Besucher irgendetwas zugestimmt hat.
Vorab, weil es dazugehört: Ich bin kein Rechtsanwalt. Was hier steht, ist die technische Umsetzung aus der Praxis. Für eine verbindliche Beurteilung Ihrer konkreten Website fragen Sie jemanden mit Zulassung.
1. Schriften: der häufigste Einzelfall
Wenn Elementor Google Fonts einbindet, lädt der Browser Ihres Besuchers die Schrift von einem Google-Server. Dabei wird seine IP-Adresse übertragen — ohne Einwilligung und ohne dass er es merkt. Genau darum ging es in der bekannten deutschen Gerichtsentscheidung dazu, und die Argumentation lässt sich auf Österreich übertragen.
Die Lösung: Schriften selbst hosten. Sie laden die Schriftdateien herunter und binden sie über Ihre eigene Domain ein. Elementor unterstützt eigene Schriften unter Elementor → Eigene Schriftarten; alternativ gibt es Plugins, die das automatisch umstellen.
Prüfen Sie danach, ob wirklich keine Verbindung mehr nach außen geht. In den Entwicklerwerkzeugen des Browsers sehen Sie unter „Netzwerk“ alle geladenen Ressourcen — filtern Sie nach `googleapis` und `gstatic`. Es reicht nicht, die Umstellung vorzunehmen; oft lädt zusätzlich das Theme eigene Schriften nach.
Nebeneffekt: Selbst gehostete Schriften laden meist schneller und vermeiden Layout-Sprünge, siehe Elementor und Core Web Vitals.
2. Google Maps
Das Karten-Widget bindet Google Maps direkt ein — mit Datenübertragung beim Seitenaufruf, noch bevor jemand die Karte berührt.
Sauber ist eine Zwei-Klick-Lösung: Zunächst erscheint nur ein Platzhalter mit einem Hinweis, dass beim Laden Daten an Google übertragen werden. Erst nach aktivem Klick wird die Karte geladen. Ein Einwilligungs-Werkzeug, das solche Einbindungen blockiert, erledigt das.
Für viele Websites reicht ohnehin die einfachere Variante: ein Screenshot der Karte plus ein Link „Route planen“. Kein Tracking, schnellere Seite, dieselbe Funktion für den Besucher.
3. YouTube und Vimeo
Ein eingebettetes Video setzt beim Laden Cookies und überträgt Daten — auch hier vor jeder Interaktion.
Im Video-Widget gibt es die Option Datenschutzmodus (bei YouTube die „nocookie“-Variante). Das reduziert das Tracking, hebt es aber nicht vollständig auf. Verlassen Sie sich nicht allein darauf.
Der zuverlässige Weg ist auch hier: Vorschaubild anzeigen, Video erst nach Klick laden. Das ist zusätzlich gut für die Ladezeit, weil das Video-Skript nicht mitgeladen wird.
4. Formulare
Beim Formular geht es weniger um Einbindung als um Umgang mit den Daten.
Datensparsamkeit. Fragen Sie nur ab, was Sie tatsächlich brauchen. Ein Pflichtfeld „Telefonnummer“ für eine schriftliche Anfrage ist schwer zu begründen — und kostet Sie außerdem Anfragen.
Hinweis auf die Datenschutzerklärung. Ein Satz beim Formular mit Verweis darauf, wofür die Daten verwendet werden.
Einwilligungs-Kästchen, aber richtig. Es darf nicht vorangekreuzt sein, und es muss verständlich formuliert sein. Für eine reine Kontaktanfrage ist ein Kästchen rechtlich oft gar nicht nötig; für die Aufnahme in einen Newsletter dagegen schon — und dann getrennt vom Kontaktzweck.
Speicherdauer. Elementor Pro speichert Formulareinsendungen auf Wunsch in der Datenbank. Praktisch, aber Sie sammeln damit personenbezogene Daten auf Ihrem Server. Entweder abschalten oder regelmäßig löschen.
Spamschutz. Wenn Sie Googles reCAPTCHA einsetzen, gilt dafür dasselbe wie für Maps: Es überträgt Daten. Es gibt europäische Alternativen, und für viele kleine Websites reicht ein simples Honeypot-Feld.
Was in die Datenschutzerklärung gehört
Für jeden dieser Dienste: welcher Anbieter, welche Daten, zu welchem Zweck, auf welcher Rechtsgrundlage. Wenn Sie Schriften selbst hosten, Maps durch einen Screenshot ersetzen und Videos erst auf Klick laden, wird der Text deutlich kürzer — auch das ist ein Argument für diese Lösungen.
Prüfen Sie außerdem, ob Ihr Hoster einen Auftragsverarbeitungsvertrag anbietet. Bei österreichischen und deutschen Anbietern ist das Standard.
Ein Wort zum Cookie-Banner
Ein Banner, der Skripte nicht tatsächlich blockiert, ist Dekoration. Wenn Google Maps und YouTube ohnehin beim Seitenaufruf laden, ändert die Zustimmungsabfrage nichts an der Übertragung.
Und: Ein Elementor-Popup ist kein Einwilligungs-Werkzeug. Es dokumentiert keine Einwilligungen und blockiert nichts — siehe Popup in Elementor erstellen.
Elementor Pro: Die eigenen Schriftarten und der Datenschutzmodus im Video-Widget gehören zu Pro. Formulare ebenfalls — mit der Einstellung zur Speicherdauer, die Sie dann bewusst setzen sollten. Elementor Pro ansehen
Kurz zusammengefasst
Schriften selbst hosten. Karten und Videos erst nach Klick laden. Formulare sparsam halten und Einsendungen nicht ewig speichern. Danach im Browser prüfen, ob tatsächlich keine ungewollten Verbindungen mehr aufgebaut werden.
Diese vier Punkte decken das ab, was mir in Kundenprojekten am häufigsten begegnet. Wenn Sie das an Ihrer Seite gemeinsam durchgehen wollen, ist es ein regelmäßiges Thema in meiner Elementor-Schulung.
Tags