Datenschutz

Was Libration Accessibility mit welchen Daten tut — genau genug für Ihren Datenschutzbeauftragten, mit einem Frageteil für alles, was in der Praxis auftaucht.

Für wen dieses Dokument ist

Sie setzen Libration Accessibility ein oder prüfen, ob Sie es einsetzen können. Damit sind Sie datenschutzrechtlich der Verantwortliche, und Sie müssen wissen, was die Software mit welchen Daten tut. Dieses Dokument beantwortet das — mit so viel technischer Genauigkeit, dass Ihr Datenschutzbeauftragter damit arbeiten kann, und mit einem Frageteil am Ende für alles, was in der Praxis auftaucht.

Wir benennen darin auch die Punkte, die erklärungsbedürftig sind, und die Gegenargumente zu unserer eigenen Einschätzung. Eine Datenschutz-Information, die nur die angenehmen Teile enthält, hilft Ihnen nicht — Ihre Prüfstelle findet den Rest ohnehin.

Der Grundsatz

Libration Accessibility trennt strikt zwischen dem, was beim Besuch Ihrer Website geschieht, und dem, was in Ihrer Redaktion geschieht.

Im Besucherbetrieb verlassen keine Daten Ihren Server — keine einzige Angabe. Alle Inhalte, die eine Verarbeitung durch einen Dienstleister benötigen — Fassungen in Leichter Sprache, Sprachaufnahmen, Alternativtexte —, entstehen vorher in Ihrer Redaktion und liegen fertig in Ihrer eigenen Installation. Ein Websitebesuch löst keine Verarbeitung aus, weder beim Besucher noch bei uns noch bei Dritten.

Daraus folgt für die häufigste Frage: Das Plugin gehört nicht in Ihr Consent-Tool. Die Begründung steht weiter unten und ist so aufgebaut, dass Sie sie in Ihre eigenen Unterlagen übernehmen können.

Die drei Bereiche

Erstens, was auf Ihrem Server rechnet. Das Eingabehilfen-Widget, die Korrekturen im Quelltext (Sprunglinks, Fokus-Anzeige, ARIA-Auszeichnungen, Tab-Reihenfolge), die Checkliste, das Alternativtext-Audit und der Kontrast-Assistent. Diese Funktionen laufen vollständig in Ihrer eigenen Installation und stellen keine Verbindung nach außen her.

Zweitens, was Verbindungen nach außen auslöst. Alternativtexte, Fassungen in Leichter Sprache, Sprachaufnahmen, der externe Barrierefreiheits-Scan, die Zusatzmodule für Untertitel und für PDF-Dokumente — und der Betrieb der Lizenz selbst, also Lizenz- und Aktualisierungsprüfung sowie ein Hinweisbanner im WordPress-Backend. Alle diese Vorgänge laufen serverseitig und werden von angemeldeten Personen oder von geplanten Aufgaben angestoßen, nie von einem Websitebesuch. Die vollständige Aufstellung mit Auslöser und übermittelten Daten steht weiter unten.

Drittens, das Frontend — was im Browser Ihrer Besucher ankommt. Ausschließlich Dateien aus dem Plugin-Verzeichnis Ihrer eigenen WordPress-Installation: Skripte, Stylesheets, Symbole. Dazu die vorbereiteten Fassungen in Leichter Sprache aus Ihrer Datenbank und die Sprachaufnahmen aus Ihrem eigenen Upload-Verzeichnis. Keine fremde Adresse, keine nachgeladene Schrift, kein Zählpixel, keine eingebettete Ressource Dritter.

Der dritte Bereich ist der für Ihre Prüfung entscheidende: Alles, was Ihre Besucher erreicht, kommt von Ihrer eigenen Domain.

Was im Besucherbetrieb geschieht

Keine Verbindung nach außen

Das Plugin lädt im Frontend ausschließlich Dateien aus dem eigenen Plugin-Verzeichnis Ihrer WordPress-Installation. Es bindet keine Schriften von fremden Servern ein, keine Symbolbibliothek, kein Skript von einem Content-Delivery-Netzwerk, keine Zählpixel und keine eingebetteten Inhalte Dritter. In den ausgelieferten Frontend-Dateien steht keine einzige fremde Adresse.

Fassungen in Leichter Sprache werden aus Ihrer WordPress-Datenbank ausgeliefert. Sprachaufnahmen liegen als Audiodateien in Ihrem eigenen Upload-Verzeichnis und werden von Ihrer eigenen Domain ausgeliefert. Für beides ist zum Zeitpunkt des Besuchs keine Verarbeitung mehr nötig — sie hat vorher stattgefunden.

Fehlt für einen Textabschnitt einmal eine vorbereitete Sprachaufnahme, greift das Widget auf die Sprachsynthese zurück, die im Browser des Besuchers eingebaut ist. Sie klingt maschineller, verlässt das Gerät aber nicht.

Die Einstellung „Keine Live-Anfragen im Frontend" ist standardmäßig aktiv und macht diesen Zustand verbindlich: Ist sie gesetzt, kann das Plugin im Besucherkontext technisch keine externe Verbindung aufbauen.

Die Cookies

Das Widget speichert die Anzeige-Einstellungen, die eine Nutzerin oder ein Nutzer selbst gewählt hat, in vierzehn First-Party-Cookies mit dem Präfix libration_. Jedes enthält ausschließlich den gewählten Wert:

• Schaltzustände als true oder false: Farben umkehren, Monochrom, dunkler Kontrast, heller Kontrast, niedrige Sättigung, hohe Sättigung, Links hervorheben, Überschriften hervorheben, Bildschirmleser, Lesemodus
• Prozentwerte: Inhaltsskalierung, Schriftgröße, Zeilenhöhe, Zeichenabstand

Laufzeit 30 Tage, path=/, SameSite=Lax. Kein Cookie enthält eine Kennung, eine Nutzer-ID, eine Sitzungs-ID oder einen sonstigen Wert, über den ein Endgerät wiedererkannt werden könnte. Über die Schaltfläche „Alles zurücksetzen" im Widget lassen sie sich jederzeit vollständig löschen.

Geschrieben wird ausschließlich in dem Moment, in dem jemand im Widget eine Funktion aktiviert, deaktiviert oder einen Regler bewegt — beim reinen Seitenaufruf wird nichts gesetzt. Gelesen wird bei jedem Seitenaufruf, um eine vorhandene Einstellung wiederherzustellen. Wir nennen das ausdrücklich, weil § 25 Abs. 1 TDDDG nicht nur die Speicherung erfasst, sondern auch den Zugriff auf bereits gespeicherte Informationen. Beide Vorgänge müssen unter die Ausnahme fallen, nicht nur einer.

Warum das nach unserer Einschätzung keine Einwilligung erfordert

§ 25 Abs. 2 Nr. 2 TDDDG nimmt von der Einwilligungspflicht aus, was „unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann". Die Orientierungshilfe der Datenschutzkonferenz zu digitalen Diensten (Version 1.2, Stand November 2024) legt diese Ausnahme aus. Drei Punkte daraus sind einschlägig.

Die granulare Betrachtung. Nach Rn. 72 f. ist nicht die Website als Ganzes maßgeblich, sondern die einzelne Funktion; ein Dienst ist als Summe verschiedener Funktionen zu verstehen. Der ausdrücklich gewünschte Dienst ist hier nicht Ihre Website, sondern „stelle die Seite dauerhaft in hohem Kontrast dar". Diesen Wunsch äußert die Nutzerin durch einen Klick — also durch genau die objektive Handlung, aus der die Orientierungshilfe in Rn. 70 den Nutzerwunsch ableitet.

Der Zeitpunkt. Rn. 80 verlangt, dass Cookies für Zusatzfunktionen erst gesetzt werden, wenn die entsprechende Nutzerinteraktion tatsächlich stattgefunden hat. Genau so verhält sich das Widget.

Der Inhalt. Rn. 81 kritisiert Cookies mit eindeutiger Kennung und stellt der Kritik gegenüber, wie es ohne solche Kennungen geht:

„Hierfür ist kein ein [sic] eindeutiges Identifizierungsmerkmal wie eine eindeutige User-ID erforderlich, sondern es reicht die Speicherung einer jeweils nicht identifizierenden Angabe wie z. B. ‚background-color: black' oder ‚language: de'."

Die Cookies von Libration Accessibility entsprechen diesem Muster. libration_dark_contrast=true und libration_font_size_pct=120 sind nicht identifizierende Angaben in genau der Bauart, die die Aufsichtsbehörden hier beschreiben. Wir wollen daraus nicht mehr herauslesen, als darin steht: Die Randnummer betrifft die inhaltliche Dimension und stellt ein Widget nicht pauschal frei. Sie nimmt uns aber den Einwand ab, der bei Präferenz-Cookies am häufigsten kommt.

Nach unserer Einschätzung greift die Ausnahme damit für Speicherung und Zugriff. Ein Eintrag in Ihr Consent-Tool ist nicht erforderlich — und wäre in der Sache kontraproduktiv, weil ein Einwilligungsbanner vor einer Barrierefreiheitsfunktion eine zusätzliche Hürde für genau die Menschen aufbaut, für die sie gedacht ist.

Der Punkt, an dem man uns widersprechen kann

Wir halten die Laufzeit von 30 Tagen für den angreifbarsten Teil dieser Einschätzung und legen die Gegenargumente offen.

Rn. 79 verlangt, alle Dimensionen auf das erforderliche Minimum zu reduzieren, ausdrücklich auch die Laufzeit. Rn. 80 geht weiter: Bei individualisierten Cookies sei die Gültigkeit häufig nur für eine Sitzung erforderlich, und eine regelmäßige Nutzung könne grundsätzlich nur bei anmeldepflichtigen Diensten unterstellt werden. Daraus lässt sich ableiten, dass 30 Tage zu lang sind.

Dagegen sprechen zwei Dinge. Die Formulierung in Rn. 80 bezieht sich auf individualisierte Cookies, also solche mit einer Kennung — unsere tragen keine. Und für einen Menschen mit einer Sehbeeinträchtigung ist es keine Bequemlichkeit, sondern eine Voraussetzung, dass die einmal eingestellte Darstellung beim nächsten Besuch noch steht; müsste er sie bei jedem Besuch neu setzen, wäre das selbst eine Barriere.

Bewertet Ihre Prüfstelle das anders, ist das kein Hindernis. Die Laufzeit ist einstellbar: 30 Tage, 7 Tage, nur für die Sitzung — oder gar keine Speicherung, dann gelten die Einstellungen nur für die aktuell geöffnete Seite.

Was in der Redaktion geschieht

Alle Vorgänge dieses Bereichs laufen serverseitig: Ihr WordPress-Server nimmt Kontakt zu unserem Dienst auf, nie der Browser einer beteiligten Person und nie der Browser eines Websitebesuchers.

Zwei Punkte, die wir vorwegnehmen, weil eine gründliche Prüfung sie ohnehin findet: Der externe Scan und ein Probelauf der PDF-Prüfung funktionieren in begrenztem Umfang auch ohne Lizenzschlüssel. Die Aussage „ohne Schlüssel verlässt nichts Ihren Server" wäre also zu weit gegriffen, und wir treffen sie nicht. Keiner dieser Vorgänge findet im Besucherkontext statt, und keiner übermittelt Daten Ihrer Websitebesucher.

Jedes Ergebnis wird in Ihrer Installation gespeichert: Fassungen in Leichter Sprache in der WordPress-Datenbank, Sprachaufnahmen im Upload-Verzeichnis, Alternativtexte im regulären Alternativtext-Feld der Mediathek. Derselbe Inhalt wird nie zweimal übermittelt.

Unterauftragsverarbeiter und Übermittlung in die USA

Wer verarbeitet was

Der Dienst, an den Ihr Server die Inhalte übergibt, läuft bei der Hetzner Online GmbH in Deutschland. Die Verarbeitung durch Sprachmodelle findet dort nicht statt, sondern bei zwei Anbietern:

• Anthropic Ireland, Limited — Alternativtexte, Leichte Sprache, sprachlicher Feinschliff und Übersetzung von Untertiteln, Alternativtexte in Dokumenten.
• OpenAI Ireland Ltd. — Sprachaufnahmen sowie Transkription und Wortzeitmarken für Vorlesefunktion und Untertitel.

Vertragspartner im Europäischen Wirtschaftsraum sind jeweils die irischen Gesellschaften; die Verarbeitung erfolgt durch verbundene Unternehmen in den Vereinigten Staaten.

Der externe Barrierefreiheits-Scan und die technische Prüfung von PDF-Dokumenten laufen ausschließlich auf unseren Servern in Deutschland. Dafür wird kein weiterer Anbieter eingesetzt.

Rechtsgrundlage der Übermittlung

Beide Anbieter sind nicht unter dem EU-U.S. Data Privacy Framework zertifiziert. Wir prüfen das in der offiziellen Teilnehmerliste des US-Handelsministeriums und halten den Stand in der Vereinbarung zur Auftragsverarbeitung fest. Der Angemessenheitsbeschluss der Europäischen Kommission für die USA ist auf sie deshalb nicht anwendbar.

Die Übermittlung stützt sich daher ausschließlich auf die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914, Module 2 und 3. Eine Transfer-Folgenabschätzung sollte deshalb Teil Ihrer Prüfung sein; die technischen Angaben dafür stellen wir bereit.

Was bei den Anbietern mit den Daten geschieht

• Kein Training. Beide Anbieter schließen vertraglich aus, Modelle mit Inhalten aus der Programmierschnittstelle zu trainieren.
• Speicherdauer. Anthropic löscht Ein- und Ausgaben regelmäßig innerhalb von 30 Tagen. OpenAI hält für die genutzten Endpunkte 30 Tage Protokolle zur Missbrauchserkennung vor und speichert keine Anwendungsdaten.
• Auftragsverarbeitung. Mit beiden bestehen Verträge nach Art. 28 DSGVO.

Ihre Pflichten als Verantwortliche

1. Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO. Sie wird mit Vertragsschluss automatisch Vertragsbestandteil; eine Unterschrift ist nach Art. 28 Abs. 9 DSGVO nicht erforderlich. Die geltende Fassung liegt im Kundenbereich als PDF.
2. Eintrag in Ihr Verzeichnis von Verarbeitungstätigkeiten, sofern Sie die Funktionen mit externer Verarbeitung nutzen. Die technischen Angaben liefern wir zu.
3. Ergänzung Ihrer Datenschutzerklärung um die Bausteine unten.
4. Kein Eintrag in Ihr Consent-Tool, nach der oben dargestellten Bewertung.

Textbausteine für Ihre Datenschutzerklärung

Der erste Baustein gilt immer. Den zweiten brauchen Sie nur, wenn Sie Funktionen mit externer Verarbeitung nutzen.

Barrierefreiheits-Werkzeuge

Auf unserer Website setzen wir das Plugin Libration Accessibility ein (Anbieter: Libration, Holger Klopmeyer, Deutschland). Es stellt Eingabehilfen zur Verfügung, mit denen Sie Kontrast, Schriftgröße, Zeilenabstand und weitere Darstellungsmerkmale an Ihre Bedürfnisse anpassen können.

Wenn Sie eine dieser Einstellungen aktiv vornehmen, speichert das Plugin Ihre Auswahl in Cookies auf Ihrem Endgerät und liest sie bei Ihrem nächsten Besuch wieder aus, damit die Darstellung erhalten bleibt. Diese Cookies enthalten ausschließlich den von Ihnen gewählten Wert und keine Kennung, über die Sie wiedererkannt werden könnten. Sie werden nur nach einer entsprechenden Bedienung gesetzt und nach 30 Tagen gelöscht. Über die Schaltfläche „Alles zurücksetzen" im Bedienfeld können Sie sie jederzeit selbst entfernen. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, da Speicherung und Zugriff unbedingt erforderlich sind, um die von Ihnen ausdrücklich gewünschte Darstellungsanpassung bereitzustellen.

Das Plugin lädt keine Inhalte von fremden Servern nach und übermittelt keine Daten über Ihren Besuch an Dritte.

Vereinfachte Fassungen und Sprachausgabe

Für die Funktionen „Leichte Sprache" und „Vorlesen" halten wir vorbereitete Fassungen unserer Inhalte bereit. Diese werden vorab redaktionell erstellt; dabei werden die betreffenden Inhalte unserer Website durch unseren Dienstleister Libration verarbeitet, der hierfür Anthropic Ireland, Limited und OpenAI Ireland Ltd. als Unterauftragsverarbeiter einsetzt. Die Verarbeitung erfolgt teilweise in den Vereinigten Staaten auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Übermittelt werden ausschließlich die auf unserer Website veröffentlichten Inhalte. Beim Aufruf einer Seite findet keine Übermittlung statt; Ihre IP-Adresse und sonstige Daten über Ihren Besuch werden nicht an Dritte weitergegeben. Rechtsgrundlage für den Einsatz ist unser berechtigtes Interesse an einem barrierefreien Angebot nach Art. 6 Abs. 1 lit. f DSGVO.

Passen Sie die Laufzeitangabe an, falls Sie die Cookie-Laufzeit ändern lassen.

Häufige Fragen

Einwilligung und Consent-Tool

Müssen wir das Plugin in unser Consent-Tool aufnehmen?

Nein. Es werden keine Cookies beim reinen Seitenaufruf gesetzt, keine Kennungen gespeichert und keine Verbindungen zu Dritten aufgebaut. Die gespeicherten Werte sind Anzeige-Einstellungen, die eine Nutzerin selbst gewählt hat. Die Begründung nach § 25 Abs. 2 Nr. 2 TDDDG steht oben ausformuliert und lässt sich in Ihre Unterlagen übernehmen.

Unser Datenschutzbeauftragter besteht trotzdem auf einer Einwilligung. Was nun?

Dann stellen wir die Cookie-Laufzeit auf die Sitzung um oder schalten die Speicherung ganz ab — damit entfällt der Streitpunkt. Bedenken Sie aber: Ein Einwilligungsbanner vor einer Barrierefreiheitsfunktion trifft genau die Menschen, für die die Funktion gedacht ist. Wir raten davon ab und stellen die Argumente gern in einem Gespräch dar.

Blockiert unser Consent-Tool das Plugin, solange keine Einwilligung vorliegt?

Manche Consent-Tools blockieren pauschal alle Skripte, die nicht ausdrücklich freigegeben sind. Wenn Ihres so eingestellt ist, nehmen Sie die Skripte des Plugins bitte in die Gruppe „technisch notwendig" auf. Andernfalls stehen die Eingabehilfen erst nach einer Einwilligung zur Verfügung — was die Barrierefreiheit gerade untergräbt.

Gilt das auch für die Vorlesefunktion und die Leichte Sprache?

Ja. Beide werden aus Ihrer eigenen Installation ausgeliefert. Beim Aufruf oder beim Anhören entsteht keine Verbindung zu einem Dritten.

Verträge und Nachweise

Brauchen wir einen Auftragsverarbeitungsvertrag?

Ja, sobald Sie eine Funktion mit externer Verarbeitung nutzen. Er ist bereits geschlossen: Mit dem Abschluss Ihres Tarifs wird er automatisch Vertragsbestandteil. Nach Art. 28 Abs. 9 DSGVO genügt die elektronische Form, eine Unterschrift ist nicht erforderlich.

Wir brauchen ein unterschriebenes Exemplar für unsere Akten.

Das PDF im Kundenbereich ist das Vertragsdokument und für Ihre Akten ausreichend. Verlangt Ihre Organisation zwingend Unterschriften, sprechen Sie uns an — wir finden eine Lösung.

Können wir eine Transfer-Folgenabschätzung von Ihnen bekommen?

Wir liefern die Angaben, die Sie dafür brauchen: Verarbeitungsorte, Aufbewahrungsfristen, Verschlüsselung, Trainingsausschluss, vertragliche Zusicherungen und die aktuellen Unterauftragsverarbeiter-Listen der Anbieter. Die Abwägung selbst müssen Sie als Verantwortliche treffen; wir können sie Ihnen nicht abnehmen.

Müssen wir das Plugin in unser Verarbeitungsverzeichnis eintragen?

Nutzen Sie ausschließlich die Funktionen, die auf Ihrem Server laufen, entsteht keine eigene Verarbeitungstätigkeit gegenüber Dritten. Sobald Sie Alternativtexte, Leichte Sprache, Vorlesen, den externen Scan oder eines der Zusatzmodule nutzen, gehört das in Ihr Verzeichnis. Die technischen Angaben stellen wir bereit.

Brauchen wir eine Datenschutz-Folgenabschätzung?

In aller Regel nicht: Es findet keine systematische Überwachung statt, keine Profilbildung, keine automatisierte Entscheidung mit Rechtswirkung. Verarbeitet werden veröffentlichte Inhalte Ihrer Website. Die Prüfung obliegt aber Ihnen — insbesondere, wenn Ihre Inhalte besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten.

Wie werden wir über neue Unterauftragsverarbeiter informiert?

Mindestens 30 Tage vor Wirksamwerden in Textform. Sie können binnen 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können Sie den betroffenen Dienst kündigen; im Voraus gezahlte Entgelte erstatten wir anteilig.

Was übermittelt wird

Sehen Sie die IP-Adressen unserer Besucher?

Nein. Der Browser Ihrer Besucher nimmt zu keinem Zeitpunkt Kontakt zu uns auf. Alle Verbindungen baut Ihr eigener Server auf. Uns erreicht die IP-Adresse Ihres Servers, nie die eines Besuchers.

Lädt das Plugin Google Fonts oder ähnliche externe Ressourcen?

Nein. Sämtliche Schriften, Symbole, Skripte und Stylesheets liegen im Plugin-Verzeichnis Ihrer Installation. In den ausgelieferten Frontend-Dateien steht keine einzige fremde Adresse.

Was passiert mit Bildern, auf denen Personen zu sehen sind?

Sie werden zur Erzeugung des Alternativtextes an unseren Dienst und von dort an das Sprachmodell übermittelt und dort nicht zum Training verwendet. Eine Gesichtserkennung findet nicht statt, es werden keine biometrischen Daten erzeugt. Möchten Sie einzelne Bilder ausnehmen, tragen Sie den Alternativtext von Hand ein — vorhandene Alternativtexte werden nie überschrieben.

Unsere Seiten enthalten Namen und Kontaktdaten von Mitarbeitenden. Ist das ein Problem?

Diese Angaben sind bereits veröffentlicht, und sie werden im Rahmen der Auftragsverarbeitung nach Art. 28 DSGVO verarbeitet. Rechtlich ist das abgedeckt. Wenn Sie einzelne Seiten dennoch ausnehmen möchten, erzeugen Sie für sie einfach keine vereinfachte Fassung — die Steuerung liegt seitenweise bei Ihrer Redaktion.

Wie lange speichern Sie unsere Inhalte?

Wir speichern die Inhalte selbst nicht dauerhaft, sondern nur Verbrauchs-Metadaten: Zeitpunkt und Umfang der Nutzung. Ergebnisse der Zusatzmodule halten wir für höchstens 14 Tage zum Abruf bereit. Bei den Sprachmodell-Anbietern gelten die oben genannten 30 Tage.

Was passiert bei Vertragsende mit unseren Daten?

Wir löschen sie oder geben sie zurück, nach Ihrer Wahl, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung bestätigen wir auf Verlangen. Die in Ihrer WordPress-Installation gespeicherten Ergebnisse bleiben Ihnen erhalten — sie liegen bei Ihnen, nicht bei uns.

Werden unsere Inhalte zum Training von KI-Modellen verwendet?

Nein. Beide Anbieter schließen das vertraglich aus, und wir geben diese Verpflichtung in unserer Vereinbarung zur Auftragsverarbeitung an Sie weiter.

KI-Anbieter und Drittland

Findet eine Übermittlung in die USA statt?

Ja, wenn Sie Funktionen mit Sprachmodell-Verarbeitung nutzen. Wir umschreiben das nicht. Vertragspartner sind irische Gesellschaften, die Verarbeitung erfolgt in den USA, Rechtsgrundlage sind ausschließlich die EU-Standardvertragsklauseln.

Greift der Angemessenheitsbeschluss für die USA?

Nein. Weder Anthropic noch OpenAI sind unter dem EU-U.S. Data Privacy Framework zertifiziert. Wir prüfen das in der offiziellen Teilnehmerliste. Anbieter, die hier pauschal auf das Framework verweisen, sollten Sie nach dem Zertifikat fragen.

Gibt es eine Variante ohne Drittlandübermittlung?

Ja, wenn Sie auf die Sprachmodell-Funktionen verzichten. Widget, Korrekturen im Quelltext, Checkliste, Alternativtext-Audit und Kontrast-Assistent laufen vollständig auf Ihrem Server. Sie können auch einzeln entscheiden: Alternativtexte ja, Leichte Sprache ja, Vorlesen nein.

Können Sie die Verarbeitung vollständig in der EU anbieten?

Für einen Teil arbeiten wir daran: Für die Sprachausgabe existiert bei OpenAI eine europäische Region. Für die Textverarbeitung ist eine EU-Verarbeitung beim eingesetzten Modell derzeit technisch nicht wählbar. Ist eine ausschließlich europäische Verarbeitung für Sie Bedingung, sprechen Sie uns an — wir prüfen dann ein europäisch gehostetes Modell für Ihre Installation.

Was passiert, wenn das Data Privacy Framework gekippt wird?

Für uns ändert sich nichts, weil wir uns nicht darauf stützen. Die Standardvertragsklauseln bestehen unabhängig davon fort. Auf die Risikobewertung in Ihrer Transfer-Folgenabschätzung kann eine solche Entwicklung sich dennoch auswirken.

Betrieb, Konfiguration und Prüfung

Können wir überprüfen, was das Plugin tatsächlich tut?

Ja. Das Plugin ist unter der GPL lizenziert, der vollständige Quelltext liegt offen in Ihrer Installation und lässt sich prüfen. Die Frontend-Dateien sind der schnellste Einstieg: Wer dort nach fremden Adressen sucht, findet keine. Auf Wunsch gehen wir den Quelltext mit Ihrer Prüfstelle gemeinsam durch.

Läuft das Plugin auch, wenn unser Server keine ausgehenden Verbindungen zulässt?

Ja, mit Einschränkungen. Widget, Korrekturen im Quelltext, Checkliste, Alternativtext-Audit und Kontrast-Assistent brauchen keine ausgehende Verbindung. Die Funktionen mit externer Verarbeitung sowie die Lizenz- und Aktualisierungsprüfung brauchen sie.

Können wir das Hinweisbanner im Backend abschalten?

Ja, in den Einstellungen. Danach ruft das Plugin beim Aufruf des Backends nichts mehr ab.

Setzt das Plugin Cookies im WordPress-Backend?

Nein. Die vierzehn libration_-Cookies gehören zum Besucher-Widget. Im Backend arbeitet das Plugin mit den regulären Anmelde-Mechanismen von WordPress.

Wird die IP-Adresse von Besuchern irgendwo verarbeitet?

In der Standardkonfiguration nicht. Erlauben Sie ausdrücklich Live-Anfragen im Frontend, legt das Plugin zum Schutz vor Missbrauch einen Zähler an, der die IP-Adresse ausschließlich gehasht und höchstens eine Stunde lang auf Ihrem eigenen Server vorhält. Diese Verarbeitung verlässt Ihren Server nicht.

Wer entscheidet, welche Seiten verarbeitet werden?

Ihre Redaktion, Seite für Seite. Sie legen fest, welche Inhaltstypen überhaupt erfasst werden, und geben jede Fassung frei, bevor sie öffentlich wird. Automatisch und ungefragt wird nichts übermittelt.

Können wir die KI-Fassungen bearbeiten, bevor sie online gehen?

Ja. Vereinfachte Fassungen entstehen als Entwurf, sind für Besucher zunächst nicht sichtbar und lassen sich vollständig überarbeiten. Erst mit der Freigabe werden sie öffentlich; Bearbeiten und Freigeben lassen sich auf verschiedene Personen aufteilen. Zwei Felder halten fest, wer die Fassung wann geprüft hat — für Organisationen mit einer eigenen Prüfgruppe für Leichte Sprache ist das der entscheidende Punkt.

Macht das Plugin unsere Website automatisch gesetzeskonform?

Nein, und wir raten zur Vorsicht bei Anbietern, die das versprechen. Das Plugin behebt viele Barrieren automatisch, dokumentiert den Stand und führt durch die restlichen Schritte. Vollständige Konformität hängt auch von Inhalten, Struktur und Gestaltung ab.

Hinweis zur Verbindlichkeit

Wir sind Softwareanbieter und keine Rechtsanwälte. Die Bewertung in diesem Dokument beruht auf dem Gesetzeswortlaut, der Orientierungshilfe der Datenschutzkonferenz zu digitalen Diensten in der Fassung von November 2024 und einer Prüfung des eigenen Quelltextes. Die technischen Angaben sind belastbar und überprüfbar, und wir stehen für sie ein. Die rechtliche Würdigung obliegt Ihnen und Ihrem Datenschutzbeauftragten. Für Rückfragen stehen wir zur Verfügung, gern auch im direkten Gespräch mit Ihrer Prüfstelle.

Ansprechpartner: Holger Klopmeyer, Libration, contact@libration.io. Vereinbarung zur Auftragsverarbeitung, Nutzungsbedingungen und die jeweils aktuelle Fassung dieses Dokuments unter libration.io.

Fassung 1.0 · Plugin 3.1 · Stand 19. August 2026