Ist ein Headless CMS DSGVO-konform?

Das kommt auf das Modell an. Self-hosted Systeme wie Strapi, Directus oder Payload, die ihr in einem deutschen oder EU-Rechenzentrum betreibt, lassen sich gut mit der DSGVO vereinbaren – weil Datenstandort und Zugriff vollständig unter eurer Kontrolle liegen. Bei SaaS-Anbietern hängt es davon ab, wo deren Server stehen, ob ein belastbarer Auftragsverarbeitungsvertrag existiert und ob Daten in Drittländer übertragen werden. Die verbindliche Bewertung trefft ihr mit eurem Datenschutzbeauftragten.

Wo werden die Daten bei einem Headless CMS gespeichert?

Bei SaaS-Headless-Systemen liegen eure Inhalte in der Cloud des Anbieters – oft in den USA oder außerhalb der EU. Manche Anbieter bieten EU-Rechenzentren an, teils aber erst in höheren Tarifstufen. Bei self-hosted Systemen entscheidet ihr selbst, wo die Daten liegen: auf einem eigenen Server oder bei einem Hosting-Anbieter eurer Wahl in Deutschland oder der EU.

Brauche ich einen Auftragsverarbeitungsvertrag bei einem Headless CMS?

Wenn ein SaaS-Anbieter personenbezogene Daten für euch verarbeitet – etwa Redaktionsdaten oder Formulareinträge –, seid ihr nach Art. 28 DSGVO verpflichtet, einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter abzuschließen. Bei self-hosted Systemen verlagert sich diese Anforderung auf euren Hosting-Dienstleister, sofern ihr das System nicht vollständig selbst betreibt. Die genaue Prüfung gehört zu eurem Datenschutzbeauftragten.

Welches Headless CMS eignet sich für Behörden?

Für Behörden und stark regulierte Organisationen empfehlen sich self-hosted Open-Source-Systeme wie Strapi, Directus oder Payload, betrieben in einem deutschen oder EU-Rechenzentrum. Damit bleibt der Datenstandort unter eurer Kontrolle, Drittlandtransfers lassen sich vermeiden, und der Zugriff ist vollständig dokumentierbar. SaaS-Lösungen außerhalb der EU sind in diesem Umfeld schwer zu rechtfertigen.

Ist ein US-Anbieter mit EU-Rechenzentrum DSGVO-konform?

EU-Hosting entschärft den Datenstandort, beantwortet aber nicht alles. Steht hinter dem Anbieter ein US-Mutterkonzern, kann nach US-Recht theoretisch ein Zugriff bestehen, auch wenn die Server in der EU stehen. Das EU-US Data Privacy Framework hat die Lage entspannt, ersetzt aber keine Einzelfallprüfung. Ein belastbarer Auftragsverarbeitungsvertrag und Transparenz über die Konzernstruktur sind Pflicht – die verbindliche Bewertung trefft ihr mit eurem Datenschutzbeauftragten.

DSGVO-konformes Headless CMS: Worauf Behörden & Unternehmen achten

Die meisten Headless-CMS-Vergleiche reden über Features und Preise und überspringen die Frage, die für deutsche Unternehmen und besonders für Behörden oft die wichtigste ist: Wo liegen unsere Inhalte und Nutzerdaten physisch, und wer hat darauf Zugriff?

Bei einem Headless CMS ist diese Frage drängender als bei einem klassischen, selbst gehosteten System. Denn viele der bekannten Headless-Anbieter sind SaaS-Dienste – eure Inhalte liegen dann nicht auf eurem Server, sondern in der Cloud des Anbieters, oft außerhalb der EU. Dieser Beitrag ordnet ein, worauf es bei der DSGVO-Frage ankommt. Welches System am Ende passt, gehört in die Hände eures Datenschutzbeauftragten – das hier ist die Vorarbeit, nicht die Rechtsberatung.

Den Gesamtüberblick über die CMS-Kategorien findet ihr im Headless-CMS-Vergleich; hier geht es speziell um den Datenschutz-Aspekt.

Warum Headless die DSGVO-Frage zuspitzt

Ein Headless CMS trennt Inhalte-Verwaltung (Backend) von der Auslieferung (Frontend). Bei SaaS-Systemen bedeutet das: Eure Redaktionsdaten – und je nach Setup auch personenbezogene Daten aus Formularen, Kommentaren oder Nutzerkonten – werden beim Anbieter gespeichert und über eine Schnittstelle abgerufen. Damit werden drei Dinge relevant:

Datenstandort: In welchem Land stehen die Server? EU, USA, anderswo?
Auftragsverarbeitung: Gibt es einen belastbaren Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO?
Drittlandtransfer: Werden Daten in die USA oder andere Drittländer übertragen? Seit dem Schrems-II-Urteil ist das ein eigenes Prüfthema, auch wenn das EU-US Data Privacy Framework die Lage etwas entspannt hat.

Bei einem selbst gehosteten System stellen sich diese Fragen kaum – weil die Daten dort bleiben, wo ihr sie hinlegt.

Die drei Modelle und ihr Datenschutz-Profil

1. SaaS-Headless-CMS außerhalb der EU Komfortabel, aber datenschutzrechtlich das aufwendigste Modell. Hier braucht es eine genaue Prüfung von Datenstandort, AVV, Drittlandtransfer und den technischen sowie organisatorischen Maßnahmen des Anbieters. Für Behörden und stark regulierte Branchen oft schwer zu rechtfertigen.

2. SaaS-Headless-CMS mit EU-Hosting Einige Anbieter bieten ausdrücklich EU-Rechenzentren an – teils erst in höheren Tarifstufen. Das entschärft den Datenstandort, ersetzt aber nicht die Prüfung von AVV und Konzern-Strukturen (wer steht hinter dem Anbieter, gibt es US-Mutterkonzerne mit Zugriff?). Konkrete Hosting-Regionen ändern sich – immer am aktuellen Stand prüfen, nicht an älteren Angaben.

3. Self-Hosted Open-Source-Headless-CMS Systeme wie Strapi, Directus oder Payload betreibt ihr auf eurer eigenen Infrastruktur – im EU-Rechenzentrum oder in Deutschland. Datenstandort, Zugriff und Verarbeitung liegen vollständig in eurer Hand. Das ist datenschutzrechtlich das sauberste Modell, verlagert aber den Betrieb (Updates, Backups, Sicherheit) zu euch oder eurem Dienstleister.

Warum Behörden meist self-hosted wählen

Im öffentlichen Sektor und bei Trägern öffentlicher Aufgaben sind die Anforderungen in der Regel am strengsten: Daten sollen in Deutschland oder zumindest der EU liegen, der Zugriff muss kontrollierbar und dokumentiert sein, und Drittlandtransfers will man ganz vermeiden. Das führt fast zwangsläufig zu selbst gehosteten Open-Source-Systemen – oder zu einem klassischen, selbst betriebenen CMS.

Genau hier passt die Kombination, die wir bevorzugt einsetzen: ein selbst-hostbares Headless CMS als Backend, Astro als schnelles, statisches Frontend. Die Inhalte bleiben unter eurer Kontrolle, das ausgelieferte Frontend ist statisch und hat keine angreifbare Datenbank im Netz.

Unsere Haltung: Hosting beim Kunden

Wir handhaben das aus Prinzip so: Hosting beim Kunden, nicht bei uns – und nicht ungefragt in einer US-Cloud. Das ist keine Rechtsberatung; die verbindliche Bewertung gehört zu eurem Datenschutzbeauftragten. Aber es ist die Frage, die ihr vor der Tool-Auswahl stellen solltet, nicht danach. Zu oft wird ein CMS nach Feature-Liste ausgewählt und der Datenstandort hinterher zum Problem.

Der oft übersehene Punkt: Daten im Frontend

Die DSGVO-Diskussion um Headless-CMS dreht sich fast immer ums Backend – wo die Inhalte liegen. Der blinde Fleck: Personenbezogene Daten entstehen meist im Frontend, nicht im CMS. Ein Kontaktformular, ein Newsletter-Feld, eingebettete Schriftarten, Karten oder ein Analytics-Skript verarbeiten Daten eurer Besucher – unabhängig davon, wo euer CMS steht. Ein perfekt self-hosted Backend nützt wenig, wenn das Frontend Schriften von einem US-CDN nachlädt oder ein Tracking-Pixel ungefragt feuert.

Für ein sauberes Setup heißt das konkret: Formulardaten über eine Verarbeitung in Deutschland oder der EU, selbst gehostete Schriften statt CDN-Fonts, Consent-Management für alles, was nicht technisch notwendig ist, und Analytics datenschutzfreundlich – zum Beispiel serverseitig oder anonymisiert. Eine statische Astro-Seite hilft hier doppelt: Sie lädt standardmäßig kein überflüssiges JavaScript und macht kontrollierbar, was überhaupt an Dritte geht.

Checkliste: Headless CMS auf DSGVO prüfen

Bevor ihr euch festlegt, klärt diese Punkte – am besten dokumentiert:

Datenstandort: In welchem Land stehen Backend und Frontend-Hosting?
Konzernstruktur: Wer steht hinter dem Anbieter, gibt es Zugriffsmöglichkeiten aus Drittländern?
AVV: Liegt ein belastbarer Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vor?
Drittlandtransfer: Werden Daten in Drittländer übertragen, und auf welcher Rechtsgrundlage?
Frontend-Datenflüsse: Fonts, Karten, Analytics, Formulare – wohin gehen diese Daten?
Löschkonzept: Lassen sich Daten auf Anfrage vollständig löschen (Recht auf Vergessenwerden)?
TOMs: Welche technischen und organisatorischen Maßnahmen weist der Anbieter nach?

Diese Liste ist Vorarbeit, keine Rechtsprüfung – aber sie sorgt dafür, dass ihr mit den richtigen Fragen ins Gespräch mit eurem Datenschutzbeauftragten geht.

Kurz-Orientierung

Behörde oder stark regulierte Branche → self-hosted Open Source (Strapi, Directus, Payload), Hosting in DE/EU.
Unternehmen mit normalem Datenschutzbedarf, Komfort wichtig → SaaS mit nachgewiesenem EU-Hosting und sauberem AVV – nach Prüfung.
Maximale Kontrolle, kein laufender Betriebsaufwand erwünscht → self-hosted, betreut durch einen Dienstleister.

In allen Fällen gilt: Erst die Datenschutz-Anforderung klären, dann das System wählen. Wer mit dieser Reihenfolge arbeitet, vermeidet teure Umzüge im Nachhinein.

Ihr steht vor der Headless-CMS-Auswahl und Datenschutz ist ein Thema? Sagt uns, wie streng eure Anforderungen sind und wo eure Daten liegen dürfen – wir empfehlen euch ein System, das dazu passt, und richten das Hosting beim Anbieter eurer Wahl ein. Schreibt uns kurz. Die verbindliche datenschutzrechtliche Bewertung trefft ihr mit eurem Datenschutzbeauftragten – wir liefern die technische Grundlage dafür.