Ist ein Headless CMS DSGVO-konform?

Das kommt auf das Modell an. Self-hosted Systeme wie Strapi, Directus oder Payload, die du in einem deutschen oder EU-Rechenzentrum betreibst, lassen sich gut mit der DSGVO vereinbaren – weil Datenstandort und Zugriff vollständig unter deiner Kontrolle liegen. Bei SaaS-Anbietern hängt es davon ab, wo deren Server stehen, ob ein belastbarer Auftragsverarbeitungsvertrag existiert und ob Daten in Drittländer übertragen werden. Die verbindliche Bewertung triffst du mit deinem Datenschutzbeauftragten.

Wo werden die Daten bei einem Headless CMS gespeichert?

Bei SaaS-Headless-Systemen liegen deine Inhalte in der Cloud des Anbieters – oft in den USA oder außerhalb der EU. Manche Anbieter bieten EU-Rechenzentren an, teils aber erst in höheren Tarifstufen. Bei self-hosted Systemen entscheidest du selbst, wo die Daten liegen: auf einem eigenen Server oder bei einem Hosting-Anbieter deiner Wahl in Deutschland oder der EU.

Brauche ich einen Auftragsverarbeitungsvertrag bei einem Headless CMS?

Wenn ein SaaS-Anbieter personenbezogene Daten für dich verarbeitet – etwa Redaktionsdaten oder Formulareinträge –, bist du nach Art. 28 DSGVO verpflichtet, einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter abzuschließen. Bei self-hosted Systemen verlagert sich diese Anforderung auf deinen Hosting-Dienstleister, sofern du das System nicht vollständig selbst betreibst. Die genaue Prüfung gehört zu deinem Datenschutzbeauftragten.

Welches Headless CMS eignet sich für Behörden?

Für Behörden und stark regulierte Organisationen empfehlen sich self-hosted Open-Source-Systeme wie Strapi, Directus oder Payload, betrieben in einem deutschen oder EU-Rechenzentrum. Damit bleibt der Datenstandort unter deiner Kontrolle, Drittlandtransfers lassen sich vermeiden, und der Zugriff ist vollständig dokumentierbar. SaaS-Lösungen außerhalb der EU sind in diesem Umfeld schwer zu rechtfertigen.

Ist ein US-Anbieter mit EU-Rechenzentrum DSGVO-konform?

EU-Hosting entschärft den Datenstandort, beantwortet aber nicht alles. Steht hinter dem Anbieter ein US-Mutterkonzern, kann nach US-Recht theoretisch ein Zugriff bestehen, auch wenn die Server in der EU stehen. Das EU-US Data Privacy Framework hat die Lage entspannt, ersetzt aber keine Einzelfallprüfung. Ein belastbarer Auftragsverarbeitungsvertrag und Transparenz über die Konzernstruktur sind Pflicht – die verbindliche Bewertung triffst du mit deinem Datenschutzbeauftragten.

DSGVO-konformes Headless CMS: Worauf Behörden & Unternehmen achten

Die meisten Headless-CMS-Vergleiche reden über Features und Preise und überspringen die Frage, die für deutsche Unternehmen und besonders für Behörden oft die wichtigste ist: Wo liegen unsere Inhalte und Nutzerdaten physisch, und wer hat darauf Zugriff?

Bei einem Headless CMS ist diese Frage drängender als bei einem klassischen, selbst gehosteten System. Denn viele der bekannten Headless-Anbieter sind SaaS-Dienste – deine Inhalte liegen dann nicht auf deinem Server, sondern in der Cloud des Anbieters, oft außerhalb der EU. Dieser Beitrag ordnet ein, worauf es bei der DSGVO-Frage ankommt. Welches System am Ende passt, gehört in die Hände deines Datenschutzbeauftragten – das hier ist die Vorarbeit, nicht die Rechtsberatung.

Den Gesamtüberblick über die CMS-Kategorien findest du im Headless-CMS-Vergleich; hier geht es speziell um den Datenschutz-Aspekt.

Warum Headless die DSGVO-Frage zuspitzt

Ein Headless CMS trennt Inhalte-Verwaltung (Backend) von der Auslieferung (Frontend). Bei SaaS-Systemen bedeutet das: Deine Redaktionsdaten – und je nach Setup auch personenbezogene Daten aus Formularen, Kommentaren oder Nutzerkonten – werden beim Anbieter gespeichert und über eine Schnittstelle abgerufen. Damit werden drei Dinge relevant:

Datenstandort: In welchem Land stehen die Server? EU, USA, anderswo?
Auftragsverarbeitung: Gibt es einen belastbaren Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO?
Drittlandtransfer: Werden Daten in die USA oder andere Drittländer übertragen? Seit dem Schrems-II-Urteil ist das ein eigenes Prüfthema, auch wenn das EU-US Data Privacy Framework die Lage etwas entspannt hat.

Bei einem selbst gehosteten System stellen sich diese Fragen kaum – weil die Daten dort bleiben, wo du sie hinlegst.

Die drei Modelle und ihr Datenschutz-Profil

1. SaaS-Headless-CMS außerhalb der EU Komfortabel, aber datenschutzrechtlich das aufwendigste Modell. Hier braucht es eine genaue Prüfung von Datenstandort, AVV, Drittlandtransfer und den technischen sowie organisatorischen Maßnahmen des Anbieters. Für Behörden und stark regulierte Branchen oft schwer zu rechtfertigen.

2. SaaS-Headless-CMS mit EU-Hosting Einige Anbieter bieten ausdrücklich EU-Rechenzentren an – teils erst in höheren Tarifstufen. Das entschärft den Datenstandort, ersetzt aber nicht die Prüfung von AVV und Konzern-Strukturen (wer steht hinter dem Anbieter, gibt es US-Mutterkonzerne mit Zugriff?). Konkrete Hosting-Regionen ändern sich – immer am aktuellen Stand prüfen, nicht an älteren Angaben.

3. Self-Hosted Open-Source-Headless-CMS Systeme wie Strapi, Directus oder Payload betreibst du auf deiner eigenen Infrastruktur – im EU-Rechenzentrum oder in Deutschland. Datenstandort, Zugriff und Verarbeitung liegen vollständig in deiner Hand. Das ist datenschutzrechtlich das sauberste Modell, verlagert aber den Betrieb (Updates, Backups, Sicherheit) zu dir oder deinem Dienstleister.

Warum Behörden meist self-hosted wählen

Im öffentlichen Sektor und bei Trägern öffentlicher Aufgaben sind die Anforderungen in der Regel am strengsten: Daten sollen in Deutschland oder zumindest der EU liegen, der Zugriff muss kontrollierbar und dokumentiert sein, und Drittlandtransfers will man ganz vermeiden. Das führt fast zwangsläufig zu selbst gehosteten Open-Source-Systemen – oder zu einem klassischen, selbst betriebenen CMS.

Genau hier passt die Kombination, die wir bevorzugt einsetzen: ein selbst-hostbares Headless CMS als Backend, Astro als schnelles, statisches Frontend. Die Inhalte bleiben unter deiner Kontrolle, das ausgelieferte Frontend ist statisch und hat keine angreifbare Datenbank im Netz.

Unsere Haltung: Hosting beim Kunden

Wir handhaben das aus Prinzip so: Hosting beim Kunden, nicht bei uns – und nicht ungefragt in einer US-Cloud. Das ist keine Rechtsberatung; die verbindliche Bewertung gehört zu deinem Datenschutzbeauftragten. Aber es ist die Frage, die du vor der Tool-Auswahl stellen solltest, nicht danach. Zu oft wird ein CMS nach Feature-Liste ausgewählt und der Datenstandort hinterher zum Problem.

Der oft übersehene Punkt: Daten im Frontend

Die DSGVO-Diskussion um Headless-CMS dreht sich fast immer ums Backend – wo die Inhalte liegen. Der blinde Fleck: Personenbezogene Daten entstehen meist im Frontend, nicht im CMS. Ein Kontaktformular, ein Newsletter-Feld, eingebettete Schriftarten, Karten oder ein Analytics-Skript verarbeiten Daten deiner Besucher – unabhängig davon, wo dein CMS steht. Ein perfekt self-hosted Backend nützt wenig, wenn das Frontend Schriften von einem US-CDN nachlädt oder ein Tracking-Pixel ungefragt feuert.

Für ein sauberes Setup heißt das konkret: Formulardaten über eine Verarbeitung in Deutschland oder der EU, selbst gehostete Schriften statt CDN-Fonts, Consent-Management für alles, was nicht technisch notwendig ist, und Analytics datenschutzfreundlich – zum Beispiel serverseitig oder anonymisiert. Eine statische Astro-Seite hilft hier doppelt: Sie lädt standardmäßig kein überflüssiges JavaScript und macht kontrollierbar, was überhaupt an Dritte geht.

Checkliste: Headless CMS auf DSGVO prüfen

Bevor du dich festlegst, klär diese Punkte – am besten dokumentiert:

Datenstandort: In welchem Land stehen Backend und Frontend-Hosting?
Konzernstruktur: Wer steht hinter dem Anbieter, gibt es Zugriffsmöglichkeiten aus Drittländern?
AVV: Liegt ein belastbarer Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vor?
Drittlandtransfer: Werden Daten in Drittländer übertragen, und auf welcher Rechtsgrundlage?
Frontend-Datenflüsse: Fonts, Karten, Analytics, Formulare – wohin gehen diese Daten?
Löschkonzept: Lassen sich Daten auf Anfrage vollständig löschen (Recht auf Vergessenwerden)?
TOMs: Welche technischen und organisatorischen Maßnahmen weist der Anbieter nach?

Diese Liste ist Vorarbeit, keine Rechtsprüfung – aber sie sorgt dafür, dass du mit den richtigen Fragen ins Gespräch mit deinem Datenschutzbeauftragten gehst.

Kurz-Orientierung

Behörde oder stark regulierte Branche → self-hosted Open Source (Strapi, Directus, Payload), Hosting in DE/EU.
Unternehmen mit normalem Datenschutzbedarf, Komfort wichtig → SaaS mit nachgewiesenem EU-Hosting und sauberem AVV – nach Prüfung.
Maximale Kontrolle, kein laufender Betriebsaufwand erwünscht → self-hosted, betreut durch einen Dienstleister.

In allen Fällen gilt: Erst die Datenschutz-Anforderung klären, dann das System wählen. Wer mit dieser Reihenfolge arbeitet, vermeidet teure Umzüge im Nachhinein.

Du stehst vor der Headless-CMS-Auswahl und Datenschutz ist ein Thema? Sag uns, wie streng deine Anforderungen sind und wo deine Daten liegen dürfen – wir empfehlen dir ein System, das dazu passt, und richten das Hosting beim Anbieter deiner Wahl ein. Schreib uns kurz. Die verbindliche datenschutzrechtliche Bewertung triffst du mit deinem Datenschutzbeauftragten – wir liefern die technische Grundlage dafür.