Plugin

Mindestens fünf Jahre, sofern die erwartete Lebensdauer nicht kürzer ist – diesen Unterstützungszeitraum nennt Erwägungsgrund 60 des Cyber Resilience Act. Die Meldepflichten der Verordnung gelten seit dem 11. September 2026, die übrigen Herstellerpflichten ab dem 11. Dezember 2027. Für Erweiterungen aus dem offiziellen WordPress-Verzeichnis folgt daraus nichts: Sie sind unentgeltlich und überwiegend von Freiwilligen gepflegt, und die Erwägungsgründe 17 bis 19 nehmen nicht monetarisierte Open Source ausdrücklich aus.

Sobald das Plugin personenbezogene Daten für den Betreiber an einen fremden Server überträgt. Artikel 28 Absatz 3 DSGVO fordert dann einen Vertrag, schriftlich oder elektronisch nach Absatz 9, mit Weisungsbindung, Vertraulichkeit und Löschpflicht. Auslöser ist die Installation, nicht eine Anmeldung: Die Übermittlung beginnt mit der Aktivierung, oft vor dem Vertrag. Bestimmt der Anbieter Zweck und Mittel selbst, ist er nach Absatz 10 eigener Verantwortlicher.

Der Betreiber der Website. Artikel 82 Absatz 1 DSGVO richtet den Schadensersatzanspruch der betroffenen Person gegen den Verantwortlichen, und Absatz 3 befreit ihn nur, wenn er nachweist, in keinerlei Hinsicht verantwortlich zu sein – Auswahl und Aktualisierung der Erweiterung sind seine eigene Entscheidung. Die Haftungsbeschränkung, auf die § 7 DDG verweist, betrifft rechtswidrige Handlungen von Nutzern, nicht selbst eingebauten Code. Ein Rückgriff auf den Entwickler scheitert bei Erweiterungen unter der GPL an deren Abschnitt 11: keine Gewährleistung.

Bei Erweiterungen aus dem offiziellen WordPress-Verzeichnis ja: Richtlinie 1 des Verzeichnisses verlangt die GPL oder eine GPL-kompatible Lizenz, und diese erlaubt die Bearbeitung. Fehlt eine solche Lizenz, ist die Umarbeitung eines Programms nach § 69c Nummer 2 UrhG dem Rechtsinhaber vorbehalten. Haltbar ist der Eingriff trotzdem nicht: Die nächste Aktualisierung überschreibt die geänderte Datei. Änderungen gehören deshalb in eigenen Code, der sich in dieselben Schnittstellen einhängt.