Craft CMS

Was ist Craft CMS

Craft CMS ist ein kommerzielles Content Management System, geschrieben in PHP und basierend auf dem Yii Framework. Es wurde 2013 von Pixel & Tonic, Inc. ins Leben gerufen, einem Unternehmen mit Sitz in Bend, Oregon, USA. Die Plattform richtet sich an professionelle redaktionelle Websites und wird von Digitalagenturen, insbesondere in Europa, breit für inhaltsreiche Unternehmensseiten, Magazine und Markenpublikationen eingesetzt. Craft CMS wird unter einer kommerziellen Lizenz in drei Stufen vertrieben: Solo (kostenlos für persönliche oder Einzelnutzer Projekte), Pro (kostenpflichtig, mehrere Benutzer) und Enterprise (individuell). Dasselbe Unternehmen bietet Craft Commerce, eine E Commerce Erweiterung, sowie Craft Cloud, einen verwalteten Hosting Dienst auf Basis von DigitalOcean.

Welche Daten Craft CMS standardmäßig speichert

Im Auslieferungszustand verarbeitet Craft CMS ausschließlich Daten, die mit der Backend Administration zusammenhaengen. Es speichert Administrator und Redakteurkonten (E Mail, gehashtes Passwort, Name, optionale Profilfelder), die von diesen Nutzern erstellten Inhalte sowie grundlegende Sitzungsinformationen für authentifizierte Administrationsanfragen. Das CMS setzt einige wenige unbedingt erforderliche Cookies für den Verwaltungsbereich: ein CSRF Token zum Schutz vor Cross Site Request Forgery, eine Session ID für angemeldete Benutzer und ein optionales persistentes Authentifizierungscookie, wenn die Funktion Angemeldet bleiben verwendet wird. Die öffentliche Website erhält von Craft selbst keinerlei Tracking Cookies, und es gibt keine integrierte Analytik, Telemetrie oder Besucherprofile.

Selbst Hosting im Vergleich zu Craft Cloud

Craft CMS kann auf jeder Infrastruktur installiert werden, die PHP und eine kompatible Datenbank unterstützt. Der Verantwortliche behält damit die volle Freiheit über Hosting Region und Datenresidenz. Europäische Agenturen betreiben Craft häufig bei EU Anbietern wie Hetzner, OVH, Scaleway oder Combell, um sicherzustellen, dass personenbezogene Daten innerhalb des Europäischen Wirtschaftsraums verbleiben. Alternativ bietet Pixel & Tonic Craft Cloud an, eine schluesselfertige verwaltete Hosting Plattform auf Basis von DigitalOcean, die die Auswahl einer Region einschließlich EU Standorten ermöglicht. Unabhängig vom Hosting kommunizieren die Lizenzaktivierung und der optionale Plugin Store mit Systemen von Pixel & Tonic in den USA; diese Vorgänge betreffen Lizenzschlüssel und Software Metadaten, nicht personenbezogene Daten von Besuchern.

DSGVO Implikationen

Aus DSGVO Sicht zählt der Craft CMS Kern zu den datenschutzfreundlichsten Mainstream Lösungen überhaupt. Es gibt keine Tracking Cookies, keine Drittanbieter Netzwerkaufrufe auf der öffentlichen Seite, und der Verantwortliche kann den gesamten Datenfluss in der EU halten. Die anwendbaren Rechtsgrundlagen für die von Craft tatsächlich verarbeiteten Daten sind die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für das administrative Verhältnis zu Redakteuren sowie das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) für die Absicherung des Backends. Das Bild ändert sich, sobald die Website Drittdienste einbindet wie Google Analytics, Meta Pixel, eingebettete YouTube oder Vimeo Player, Marketingformulare oder einen Tag Manager: jeder davon kann einen Consent Banner nach ePrivacy Richtlinie und eine dokumentierte Rechtsgrundlage erfordern. Auch Plugins aus dem Craft Plugin Store können den Verarbeitungsumfang erweitern, jede Ergänzung sollte daher geprüft werden.

Compliance Schritte für Verantwortliche

Um Craft CMS vollständig konform zu betreiben: wählen Sie eine EU Hosting Region oder eine Craft Cloud EU Region; schließen Sie einen Auftragsverarbeitungsvertrag mit dem Hoster; dokumentieren Sie den Lizenzaustausch mit Pixel & Tonic als ergänzende Verarbeitung; führen Sie ein Inventar der installierten Plugins und der von ihnen verarbeiteten Daten; setzen Sie eine Consent Management Plattform für alle im Frontend hinzugefügten Drittskripte ein; konfigurieren Sie sichere Cookie Attribute (Secure, HttpOnly, SameSite) auf Administrations Cookies; aktivieren Sie Backups und ein Incident Response Verfahren; und aktualisieren Sie die Datenschutzerklärung, sodass sie die tatsächlichen Datenflüsse einschließlich Hosting Region und Unterauftragsverarbeitern widerspiegelt.

Craft Commerce: zusätzliche Aspekte

Wenn die Seite Craft Commerce einsetzt, vergroessert sich der Verarbeitungsumfang erheblich. Kundenkonten, Bestellhistorie, Rechnungs und Lieferadressen werden in derselben Datenbank gespeichert. Die Zahlungsabwicklung wird in der Regel an Dritte wie Stripe, PayPal, Mollie oder Adyen ausgelagert, die jeweils als unabhängige Verantwortliche oder Auftragsverarbeiter handeln und in der Datenschutzerklärung benannt werden müssen. Marketingfunktionen (Abandoned Cart E Mails, Transaktionsbenachrichtigungen) können eine gesonderte Einwilligung erfordern. Eine dedizierte DSFA wird empfohlen, wenn Craft Commerce im großen Maßstab oder für sensible Produktkategorien eingesetzt wird.