Neos CMS

Was Neos CMS ist

Neos ist ein in PHP geschriebenes Open Source Content Management System, das in Europa weit verbreitet zum Einsatz kommt: für Konzern Websites, Magazine, Intranets und Multi Site Netzwerke. Die Plattform ist selbst gehostet, der Betreiber wählt also Hosting Region, Datenbank Standort und Server Stack selbst. Europäische Verlage betreiben Neos häufig in Deutschland, den Niederlanden oder Frankreich, wodurch personenbezogene Daten standardmäßig im Europäischen Wirtschaftsraum bleiben.

Cookies und Daten von Neos

In einer Standardkonfiguration setzt Neos nur eine geringe Zahl technisch notwendiger Cookies. Eine PHP Session ID hält die Sitzung im Redaktions Backend und in eingeloggten Mitgliederbereichen aufrecht. Ein CSRF Token Cookie schützt Formulare vor Cross Site Request Forgery. Das Frontend lädt von sich aus weder Drittanbieter Tags noch Fingerprinting Bibliotheken oder Analytics Skripte.

DSGVO und ePrivacy

Streng notwendige Session und Sicherheits Cookies erfordern keine vorherige Einwilligung gemäß Artikel 5(3) der ePrivacy Richtlinie. Sie können auf Grundlage des berechtigten Interesses nach Artikel 6(1)(f) DSGVO eingesetzt werden. Sobald Neos um Analytics, A/B Tests, eingebettete Videos, Social Plugins oder Marketing Module erweitert wird, unterliegen diese Komponenten der Einwilligungspflicht und müssen bis zur Zustimmung des Besuchers blockiert bleiben.

Einwilligung und Konfiguration

Für eine reine Editorial Site reicht eine Datenschutzerklärung, die Session und CSRF Cookies beschreibt. Für eine Site mit Analytics oder Drittdiensten integrieren Sie eine Consent Management Platform, die diese Skripte vor der Einwilligung blockiert, und speichern den Einwilligungsnachweis serverseitig oder in einem First Party Cookie. Redakteurs Konten gelten als Beschäftigtendaten und sind durch starke Authentisierung und begrenzte Aufbewahrung von Aktivitätsprotokollen zu schützen.

Datentransfers und Hosting

Da Neos selbst gehostet ist, kommt es nur dann zu Drittlandtransfers, wenn der Betreiber einen Hoster außerhalb der EU wählt, einen CDN mit US PoPs ohne ausreichende Garantien einsetzt oder Drittdienste wie US Analytics oder externe Schriftarten einbindet. Wer im EWR bleiben will, wählt einen EU Hoster, hostet Schriftarten und Assets lokal und dokumentiert jeden Auftragsverarbeiter im Verzeichnis von Verarbeitungstätigkeiten.

Praktische Compliance Schritte

Dokumentieren Sie Neos Cookies in der Cookie Richtlinie, listen Sie installierte Pakete mit personenbezogener Datenverarbeitung auf, konfigurieren Sie Ihre CMP so, dass nicht essenzielle Skripte vor der Einwilligung blockiert werden, beschränken Sie Redakteurs Zugriffe nach dem Least Privilege Prinzip und prüfen Sie installierte Plugins regelmäßig, damit kein Tracking Pixel unbemerkt geladen wird.