OSTRELLE · WEBSITES MIT KLAREM BLICK

Website-Baukasten und DSGVO: Prüfliste für deine Homepage

Website-Baukasten DSGVO: Prüfliste zu Auftragsverarbeitung, Drittland, Standort, Cookies, Impressum – mit Anbieterangaben zu Wix, Squarespace, Jimdo, IONOS.

← Zum Wissensbereich

Autor: Ostrelle-Projektredaktion · Stand: 31. Oktober 2026. Herausgeber ist das Ostrelle-Projekt (Burak Basci), das ein eigenes CMS entwickelt. Dieser quellenbasierte Ratgeber ist keine unabhängige Produktempfehlung und kein eigener Vergleichstest.

Ein Website-Baukasten nimmt dir Technik ab, aber nicht die datenschutzrechtliche Verantwortung für deine Homepage. Diese Prüfliste zeigt, welche Punkte du vor der Wahl und nach dem Start abhaken solltest: Auftragsverarbeitung, Drittlandübermittlung, Standort, Cookies, Impressum. Sie ist keine Rechtsberatung und bewertet keinen Anbieter. Aussagen zu Anbietern stammen aus deren eigenen Seiten, abgerufen am 31.10.2026.

Vorab: Wer ist verantwortlich?

Ob eine Homepage DSGVO-konform ist, lässt sich nicht am Namen des Anbieters festmachen. Es hängt davon ab, wie du die Seite einrichtest: Welche Daten erheben Formulare, welche Dienste sind eingebettet, was steht in der Datenschutzerklärung? Der Anbieter liefert Teile davon, etwa Vertrag und Infrastruktur. Die Verantwortung für den Betrieb deiner Seite bleibt bei dir als Seitenbetreiber.

Deshalb nennen wir hier keinen Anbieter „konform“ oder „nicht konform“. Wir geben wieder, was Anbieter selbst schreiben, und nennen die Stelle zum Nachlesen. Für verbindliche Antworten zu deinem Fall brauchst du Datenschutzbeauftragte oder einen Anwalt.

1. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Verarbeitet der Baukasten in deinem Auftrag personenbezogene Daten, etwa aus Kontaktformularen, Newsletter-Anmeldungen oder Bestellungen, regelt Art. 28 DSGVO den Vertrag dazu. Laut Textwiedergabe von Art. 28 gehören dazu unter anderem Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten, Verarbeitung nur auf dokumentierte Weisung, Sicherheitsmaßnahmen sowie Löschung oder Rückgabe nach Vertragsende. Weitere Auftragsverarbeiter setzt der Anbieter nur mit Genehmigung ein; bei allgemeiner Genehmigung muss er dich über Änderungen informieren, und du kannst widersprechen.

Was die Anbieter dazu schreiben:

Wix schreibt in der Datenschutzerklärung, dass es für Daten der Nutzer deiner Seite als Auftragsverarbeiter handelt. Die Verarbeitung richtet sich nach einem verlinkten Nachtrag zur Datenverarbeitung (DPA), den wir nicht gelesen haben.
Squarespace schreibt in seinem DPA, es gelte nur, soweit Squarespace Daten in deinem Auftrag verarbeitet. Gegen Unterauftragsverarbeiter kannst du per E-Mail Einspruch einlegen; bleibt der ungelöst, kann laut Text die Kündigung betroffener Dienste dein Rechtsbehelf sein.
IONOS veröffentlicht einen AVV, aus dem wir Ziffer 4.3 gelesen haben (siehe Standort).
Jimdo: Eine AVV-Seite konnten wir nicht abrufen. Prüfe sie selbst im Kundenbereich oder frage den Support.

2. Drittlandübermittlung und Standardvertragsklauseln

Art. 44 DSGVO erlaubt die Übermittlung in Drittländer nur, wenn die Bedingungen des Kapitels V eingehalten werden. Ein häufiges Instrument sind Standardvertragsklauseln. Die EU-Kommission hat am 4. Juni 2021 modernisierte Klauseln erlassen (Durchführungsbeschluss (EU) 2021/914) für Übermittlungen an Empfänger außerhalb der EU und des EWR, die nicht der DSGVO unterliegen.

Prüfe, ob der Anbieter nennt, auf welcher Grundlage er Daten außerhalb Europas übermittelt:

Wix beschreibt in Abschnitt 5.3 mehrere Mechanismen, darunter Standardvertragsklauseln, und erklärt in Abschnitt 5.4 Konformität mit dem Datenschutzrahmen.
Squarespace nimmt in Abschnitt 6.4 seines DPA die Klauseln nach dem Beschluss 2021/914 auf, wenn zusätzliche Garantien erforderlich sind.
Ob solche Angaben für dein Vorhaben ausreichen, ist eine Rechtsfrage, die wir nicht beantworten.

3. Rechenzentrumsstandort: nur, was der Anbieter selbst nennt

Lies die Standortangabe im Vertragstext, nicht im Werbeslogan. Das haben die Anbieter geschrieben:

Wix nennt in der Datenschutzerklärung keine konkreten Rechenzentren. Sie sagt, Wix verarbeite Daten weltweit; Daten der Nutzer deiner Seite würden in der EU, in Israel oder in einem Drittland verarbeitet (Abschnitt 6).
Squarespace erlaubt im DPA (Abschnitt 6.1) Übermittlungen in Länder weltweit, in denen Squarespace oder Unterauftragsverarbeiter tätig sind, und nennt die USA ausdrücklich.
IONOS legt in Ziffer 4.3 des AVV fest, dass die Verarbeitung in einem Mitgliedstaat der EU stattfindet, es sei denn, ein Datentransfer in Drittstaaten ist zur Leistung erforderlich. Dann will IONOS die Voraussetzungen nach Art. 44 ff. DSGVO sicherstellen.
Jimdo wirbt auf der Startseite mit „DSGVO-konform und Made in Germany“ und „Server-Standort in Europa“. Das ist eine Werbeaussage; den Vertragstext haben wir nicht gelesen.
Wer eine Squarespace-Alternative in Deutschland oder der EU sucht, sollte genau diese Vertragsstellen vergleichen. Eine weitere Möglichkeit ist der Eigenbetrieb bei einem Hoster deiner Wahl; dann schließt du den Vertrag mit diesem Hoster.

4. Cookies und Einwilligung nach § 25 TDDDG

§ 25 TDDDG erlaubt das Speichern von Informationen auf dem Endgerät und den Zugriff darauf nur mit Einwilligung auf Grundlage klarer und umfassender Informationen. Die Einwilligung muss den Anforderungen der DSGVO entsprechen. Ausgenommen ist unter anderem, was unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann (Absatz 2 Nr. 2).

So prüfst du deine Homepage praktisch:

Öffne die Seite in einem frischen privaten Fenster und sieh in den Entwicklerwerkzeugen unter Speicher und Netzwerk nach, was vor deiner Entscheidung im Banner gesetzt oder geladen wird.
Gleiche die Liste mit Banner und Datenschutzerklärung ab. Alles, was dort fehlt, ist eine Lücke.
Teste „Ablehnen“: Bleiben die Dienste danach wirklich aus?
Wiederhole den Test, wenn du Analyse, Pixel oder Einbettungen hinzufügst.

5. Impressum nach § 5 DDG

§ 5 DDG verlangt für geschäftsmäßige, in der Regel entgeltliche digitale Dienste unter anderem Name und Anschrift, bei juristischen Personen Rechtsform und Vertretungsberechtigten sowie Angaben für schnelle elektronische Kontaktaufnahme einschließlich E-Mail-Adresse. Die Angaben müssen ständig verfügbar, leicht erkennbar und unmittelbar erreichbar sein.Das Impressum des Baukasten-Anbieters ersetzt dein eigenes nicht. Prüfe, ob der Link auf jeder Seite im Footer steht, auch auf mobilen Ansichten und in Landingpages.

6. Drittanbieter-Apps, Einbettungen und Datenexport

Jede Karte, jedes Video, jedes Buchungs- oder Chat-Widget kann Daten an weitere Empfänger senden. Führe ein kleines Inventar: Zweck, Anbieter, Vertrag oder AVV, Eintrag in der Datenschutzerklärung, Einwilligung im Banner. Eine App aus dem Marktplatz des Baukastens ist nicht automatisch durch dessen Vertrag abgedeckt.

Prüfe außerdem den Ausstieg, denn Löschung und Rückgabe sind Teil des Vertrags. Wix schreibt, dass die Seite auf Wix-Servern bleiben muss. Squarespace exportiert eine XML-Datei mit Layoutseiten, einer Blogseite, Text- und Bildblöcken; Shopseiten, Produkt- und Videoblöcke, Entwürfe, Stile und eigenes CSS gehören nicht dazu. Mehr dazu im Vergleich WordPress, Wix, Squarespace.

Reihenfolge und typische Fehler

Zuerst Vertrag, dann Veröffentlichung: AVV abschließen, Datum und Fassung speichern.
Datenschutzerklärung nicht aus einem Generator übernehmen, ohne sie mit der echten Seite abzugleichen.
Einbettungen nachträglich ergänzen, ohne Banner und Erklärung anzupassen.
Standort-Slogan mit einer Vertragszusage verwechseln.
Die Prüfung nach jeder größeren Änderung wiederholen. Wer „Wix DSGVO konform machen“ oder „Squarespace DSGVO konform“ sucht, findet keine einmalige Schalterstellung, sondern eine laufende Aufgabe.

Wo Ostrelle hier steht

Offenlegung: Diese Seite gibt das Ostrelle-Projekt heraus, und der Herausgeber, Burak Basci, entwickelt Ostrelle. Ostrelle ist ein Entwicklungsprojekt, kein Baukasten und kein Hosting-Angebot. Es gibt keinen Download und kein Repository für die Öffentlichkeit. Für diese Prüfliste ist es heute keine Option.

Die Produktwebsite selbst läuft bei Hetzner in Deutschland, ohne Tracking und ohne Cookies. Das sagt nichts über die Datenschutzeignung eines künftigen Produkts. Den tatsächlichen Stand findest du unter Entwicklungsstand.

Häufige Fragen

Ist Wix oder Squarespace DSGVO-konform?

Das beurteilen wir nicht. Beide Anbieter veröffentlichen Datenschutzunterlagen und ein DPA; die Verantwortung für deine Seite, ihre Einstellungen und Einbettungen bleibt bei dir als Betreiber.

Brauche ich bei einem Website-Baukasten einen AV-Vertrag?

Verarbeitet der Anbieter personenbezogene Daten in deinem Auftrag, regelt Art. 28 DSGVO den Vertrag dazu. Prüfe, ob der Anbieter ihn bereitstellt, und hole bei Unsicherheit Rechtsrat ein.

Muss der Server für eine Homepage in Deutschland stehen?

In den von uns gelesenen Normen knüpft Art. 44 DSGVO an Übermittlungen in Drittländer an, nicht an Deutschland als Standort. Entscheidend ist, ob und wie abgesichert Daten außerhalb Europas gelangen.

Brauche ich für meine Homepage einen Cookie-Banner?

Nach § 25 TDDDG ist für das Speichern und Auslesen auf dem Endgerät grundsätzlich eine Einwilligung nötig, außer wenn es unbedingt erforderlich ist. Ob du einen Banner brauchst, hängt davon ab, was deine Seite tatsächlich setzt.

Gibt es eine Squarespace-Alternative in Deutschland?

Jimdo wirbt mit „Made in Germany“, IONOS beschreibt im AVV Verarbeitung in der EU. Vergleiche den Vertragstext, nicht den Slogan, und bedenke auch den Eigenbetrieb bei einem Hoster.

Primärquellen und Quellenstand

Die folgenden Quellen wurden am 31. Oktober 2026 für diesen Ratgeber abgerufen. Einordnung und Empfehlungen sind unsere Auswertung; sie ersetzen keine Rechtsberatung und keinen Test deines konkreten Vorhabens.

Weiterlesen

Selbst betreiben statt gehostet: Ostrelle ist als Apache-2.0-Projekt angelegt. Wie das heute geht, steht unter Selbst hosten; was bei einem Ausfall zu tun ist, unter Hilfe bei Ausfällen. Ein öffentlicher Quellcode-Download ist geplant, aber noch nicht verfügbar.