DSGVO-konforme Bildoptimierung: So wählt ihr das richtige WordPress-Plugin

Bilder machen auf den meisten WordPress-Seiten den größten Teil des Ladegewichts aus, also optimiert man sie. Der bequeme Weg: ein Plugin installieren, das jedes Bild zur Konvertierung in eine Cloud schickt. Für eine Website, die DSGVO-konform sein soll, ist genau das eine Entscheidung – keine Kleinigkeit. Hier sind die Fragen, mit denen ihr ein Plugin prüft, bevor es in den Stack kommt.

Warum Bildoptimierung ein Datenschutzthema ist

Drei Punkte, die in der Praxis übersehen werden:

• Bilder können personenbezogene Daten enthalten. Gesichter, Kennzeichen, Namensschilder – und in den Metadaten oft GPS-Koordinaten und Gerätedaten. Wer solche Dateien an einen externen Dienst überträgt, verarbeitet personenbezogene Daten außerhalb des eigenen Servers.
• Cloud-Optimierung ist Auftragsverarbeitung. Sobald ein Anbieter eure Bilder auf seinen Servern verarbeitet, braucht ihr einen Vertrag nach Art. 28 DSGVO. Steht der Server außerhalb der EU, kommt ein Drittlandtransfer dazu, den ihr begründen und dokumentieren müsst.
• Ein CDN ist ein weiterer Empfänger. Liefert das Plugin die optimierten Bilder über ein eigenes CDN aus, geht die IP-Adresse jeder Besucherin an den CDN-Betreiber – zusätzlich zu allem anderen.

Die fünf Prüffragen

1. Wo läuft die Konvertierung? Lokal auf eurem Server über die PHP-Bibliotheken GD oder Imagick – oder auf den Servern des Anbieters? Lokal heißt: kein Transfer, kein Auftragsverarbeitungsvertrag nötig, keine Abwägung.
2. Braucht das Plugin einen Account oder einen fremden API-Schlüssel? Jeder Account ist ein weiteres Vertragsverhältnis und eine weitere Stelle, an der Daten liegen. Plugins, die ohne Registrierung laufen, sind hier im Vorteil.
3. Wenn Cloud: wo stehen die Server, und gibt es einen belastbaren AV-Vertrag? Ein Vertrag nach Art. 28 mit klarem EU-Bezug oder Data-Privacy-Framework-Zertifizierung ist Pflicht. Fehlt der oder ist die Datenschutzerklärung des Anbieters seit dem letzten Feature-Release nicht aktualisiert: Finger weg.
4. Bei KI-Alt-Texten: welches Modell, welcher Anbieter, welcher Standort? Viele Alt-Text-Werkzeuge laden das Bild zu einem US-Modell hoch, ohne das offenzulegen. Wenn ihr stattdessen einen eigenen API-Schlüssel bei einem EU-Anbieter hinterlegt, bleibt die Verarbeitung in eurer Hand – und ihr wisst, wo sie stattfindet.
5. Zwingt euch das Plugin in ein CDN? Optionale CDN-Anbindung ist in Ordnung. Ein Plugin, das ohne CDN gar nicht ausliefert, nimmt euch die Kontrolle über einen weiteren Datenfluss.

Wie die gängigen Plugins einzuordnen sind

Kurz und ohne Wertung im Ton – die Unterschiede liegen im Mechanismus, nicht in der Qualität der Kompression:

• ShortPixel, Smush, TinyPNG: Cloud-Modell. Jedes Bild geht zur Optimierung auf die Anbieter-Server, Account und Credits sind nötig. DSGVO-konform nur mit sauberem AV-Vertrag und dokumentierter Transfer-Abwägung.
• Imagify: ebenfalls Cloud mit Account und Credits, Betreiber und Server in Frankreich – der Drittlandpunkt entfällt also, der Auftragsverarbeitungsvertrag bleibt.
• Optimole: CDN-zentriert. Die Bilder werden über das Optimole-CDN ausgeliefert, damit geht die Besucher-IP an den CDN-Betreiber. Für eine datensparsame Auslieferung ist das das Gegenteil des Ziels.
• EWWW Image Optimizer: kann rein lokal laufen. Für die stärkere Kompression schiebt das Plugin Richtung eigener Cloud – die hat aber AV-Vertrag und EU-Server in Frankfurt. Solide Wahl, wenn man die lokale Variante konsequent nutzt.
• Converter for Media: rein lokal, kein Account. Deckt WebP und AVIF ab, aber keine Alt-Texte und keine KI-Kennzeichnung.
• IMG Performer: unser eigenes Plugin – lest die Einordnung entsprechend. Lokal, kein Account, kein CDN-Zwang; die KI-Alt-Texte laufen über euren eigenen API-Schlüssel bei einem EU-Anbieter, die KI-Kennzeichnung nach EU AI Act Artikel 50 ist eingebaut.

Was das für eure Auswahl heißt

Wenn Datenschutz ein hartes Kriterium ist, verschiebt sich die Frage: nicht „welches Cloud-Plugin“, sondern „lokal oder gar nicht“. Die lokale Variante kostet etwas Serverleistung bei der Massenkonvertierung – das lässt sich in ruhige Stunden legen. Dafür entfallen AV-Verträge, Transfer-Abwägungen und ein Eintrag im Verarbeitungsverzeichnis.

Die Kombination aus Bildoptimierung, BFSG-konformen Alt-Texten und KI-Kennzeichnung ohne Cloud gibt es in wenigen Plugins. Den Detailvergleich mit Zahlen führen wir drüben auf der Produktseite: Die besten WordPress-Bildoptimierungs-Plugins 2026 und Die beste DSGVO-konforme Alternative zu ShortPixel.

Wenn eine Standardlösung an einer Stelle nicht reicht, entwickeln wir gezielt nach: WordPress-Plugin-Entwicklung. Und wer die Bildoptimierung im größeren Zusammenhang der gesetzlichen Pflichten sehen will: BFSG-Praxisleitfaden für WordPress.

Zuletzt geprüft: 10.09.2026. Server-Standorte und Vertragslage der genannten Anbieter können sich ändern – im Zweifel vor dem Einsatz selbst prüfen.

Beitragsbild: Matt Artz / Unsplash