DSGVO-konformes CMS: Null Drittanbieter-Anfragen

Illustration eines selbst gehosteten DSGVO-konformen CMS in AliothPress, das integrierte Module für Schriftarten, Video, Bilder, Formulare, KI und Analytics ohne Anfragen an Drittanbieter zeigt.

AliothPress ist ein self-hosted CMS, das ab Werk null Anfragen an Drittanbieter-Domains stellt. Keine Google Fonts, keine CDN-Skripte, keine Tracker, keine Embed-Iframes beim Seitenaufruf. Für eine Standardkonfiguration bedeutet das: keine Besucher-IP-Adressen, die mit irgendjemandem geteilt werden, kein Cookie-Einwilligungsbanner nötig, keine Auftragsverarbeitungsverträge über den eigenen Hosting-Anbieter hinaus.

Warum null Drittanbieter-Anfragen zählen

Jede externe Anfrage einer Seite sendet die IP-Adresse des Besuchers an diesen Dritten. Unter der DSGVO ist eine IP-Adresse ein personenbezogenes Datum. Das Urteil des LG München I zu Google Fonts (Az. 3 O 17493/20, Januar 2022) hat die Konsequenz konkret gemacht: Fonts ohne Einwilligung von Googles Servern zu laden ist ein DSGVO-Verstoß. Dieselbe Logik gilt für CDN-Skripte, Tracking-Pixel und eingebettete Player.

Die meisten Plattformen behandeln das als Compliance-Problem zum Flicken: Einwilligungsbanner, Plugins, Blocking-Skripte. AliothPress behandelt es als Architekturentscheidung: Die Anfragen passieren schlicht nie.

Was genau selbst gehostet ist

Webfonts: 12 Schriftfamilien, ausgeliefert von deiner eigenen Domain als WOFF2, aufgeteilt nach Subsets. Eine Seite lädt nur die Glyphen, die sie nutzt, und kontaktiert nie ein Font-CDN
Rich-Text-Editor (TinyMCE): selbst gehosteter Community-Build im Admin, keine Aufrufe an tiny.cloud für Icons, Plugins oder Telemetrie
Syntax-Highlighting (Prism.js): von deiner Domain ausgeliefert, kein cdnjs
Bilder: serverseitig verarbeitet (skaliert, EXIF-bereinigt, zu WebP/AVIF konvertiert) und von deiner Domain ausgeliefert, kein Bild-CDN
Icons und Favicons: Inline-SVG oder selbst gehostete Dateien

Video-Embeds ohne Banner

YouTube- und Vimeo-Embeds nutzen eine Zwei-Klick-Fassade. Beim Seitenaufruf sieht der Besucher ein auf deinem eigenen Server gecachtes Vorschaubild: null Anfragen an youtube.com, i.ytimg.com oder vimeo.com. Das Player-Iframe lädt erst, nachdem der Besucher auf Play geklickt hat, was eine aktive Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 TDDDG darstellt. Das folgt den veröffentlichten Empfehlungen der deutschen Datenschutzaufsichtsbehörden (DSK, BayLDA, LfDI Baden-Württemberg). Die vollständige Mechanik behandelt der Begleitartikel über das Einbinden von YouTube ohne Cookie-Banner.

Formulare ohne Drittanbieter-CAPTCHA

Kein Google reCAPTCHA, kein hCaptcha, kein externer Anti-Spam-Dienst. Der Spamschutz ist ein Honeypot-Feld plus IP-basiertes Rate Limiting. Beides läuft vollständig auf deinem Server. Double-Opt-in-Bestätigungslinks sind HMAC-signierte, lokal erzeugte Tokens.

KI-Funktionen ohne Abfluss von Besucherdaten

Der integrierte KI-Assistent spricht mit seinem Provider (Anthropic Claude, DeepSeek oder Google Gemini) strikt Server-zu-Server, mit deinem eigenen, verschlüsselt gespeicherten API-Key. IP-Adressen und Browserdaten der Besucher werden nie weitergegeben. Nichts KI-Bezogenes läuft im Browser des Besuchers.

Analyse: ab Werk aus, mit Einwilligung, wenn an

Google Analytics, Tag Manager und eigener Analyse-Code sind auf einer frischen Website alle deaktiviert. Aktivierst du sie, schaltet sich das eingebaute Einwilligungsbanner mit einer Checkbox dazu: Tracker laden inert als type="text/plain" und laufen erst, nachdem der Besucher zugestimmt hat. Die Einwilligungsschicht selbst speichert die Wahl im localStorage und setzt keine Cookies. Lässt du die Analyse aus, zeigt die Standard-Website kein Banner und lädt keinen Tracker: Es gibt nichts, worin einzuwilligen wäre.

Was das in der Praxis bedeutet

EU, Deutschland, Großbritannien, Schweiz: Die Standardkonfiguration entspricht den Anforderungen von DSGVO, TDDDG, UK GDPR und revDSG an die Weitergabe von Daten an Dritte
Keine Banner-Müdigkeit: Besucher bekommen Inhalte, keine Einwilligungswand
Schnellere Seiten: Null externe Anfragen sind zugleich der Grund, warum die Engine 100 in der PageSpeed-Performance erreicht
Eine kürzere Datenschutzerklärung: weniger Auftragsverarbeiter zu nennen

Datenschutz-Compliance ist am einfachsten, wenn es nichts gibt, dem man entsprechen müsste: Keine Drittanbieter-Anfragen bedeuten keine Datenflüsse an Dritte, kein Banner und keine AV-Verträge. AliothPress baut Websites ab Werk genau so.

Häufig gestellte Fragen

Braucht eine Standard-AliothPress-Website ein Cookie-Einwilligungsbanner?

Nein. Sie setzt keine Tracking-Cookies und kontaktiert keine Dritten. Das Banner steckt in der Engine und aktiviert sich nur, wenn du Analyse einschaltest.

Sind die Video-Embeds wirklich bannerfrei?

Ja, über die Zwei-Klick-Fassade: zuerst das lokale Vorschaubild, der Player erst nach einem ausdrücklichen Klick. Dieser Klick ist die Einwilligung.

Ist das Rechtsberatung?

Nein. Es ist eine technische Aussage darüber, wie sich die Software verhält. Die Datenschutzerklärung deiner Live-Website bleibt deine Verantwortung als Betreiber. Für kommerzielle Projekte ist eine einmalige Prüfung durch eine IT-Rechtskanzlei eine vernünftige Investition.

Kann ich Google Analytics trotzdem nutzen, wenn ich will?

Ja. Aktiviere es in den Einstellungen zusammen mit dem eingebauten Einwilligungsbanner: Es lädt erst, nachdem der Besucher zugestimmt hat.

CMS CMS features