Sapren

Was ist Sapren?

Sapren ist ein Content Management System und Website Baukasten, der mit der Domain sapren.net verbunden ist. Öffentliche Dokumentation gibt es kaum: Technologieverzeichnisse wie W3Techs führen „Sapren Website Builder“ als iranischen gehosteten Baukasten mit verschwindend geringem Marktanteil, Softwarevergleichsseiten beschreiben ihn als in PHP auf dem Laravel Framework mit MySQL Datenbank geschriebenes CMS. Archivkopien von sapren.net bis Januar 2025 zeigen die Website eines iranischen Unternehmens für Webdesign, SEO, Netzwerkinstallation und VoIP, das offenbar der Anbieter ist.

Seit 2026 leitet sapren.net auf fremde Glücksspielinhalte um. Ob das Unternehmen das CMS noch betreibt, wo es Kundenwebsites heute hostet und welche Vertragsbedingungen gelten, ließ sich daher nicht bestätigen. Die Angaben auf dieser Seite beruhen auf Verzeichnisdaten, Archiven und dem Standardverhalten von Laravel und sollten an der konkret geprüften Website verifiziert werden.

Welche Daten und Cookies anfallen

Als serverseitiges CMS erzeugt Sapren die Seiten auf den Servern des Anbieters, die IP Adresse, Browserdaten und aufgerufene URLs der Besucher in ihren Logdateien erfassen. Laravel Anwendungen setzen standardmäßig zwei First Party Cookies: ein Sitzungscookie (laravel_session, häufig nach der Anwendung umbenannt) und XSRF-TOKEN zum Schutz von Formularen vor Cross Site Request Forgery; beide laufen typischerweise nach zwei Stunden ab. Diese Cookies sind am wahrscheinlichsten, ihre tatsächlichen Namen sollten Sie aber per Cookie Scan bestätigen.

Kontaktformulare, Angebotsanfragen oder Kundenbereiche, die mit dem CMS gebaut sind, speichern alle eingegebenen personenbezogenen Daten in der Datenbank des Anbieters. Analyse, Chat oder Social Media Dienste auf einer Sapren Website, etwa Google Tag Manager oder Yandex Metrica, werden separat eingebunden und sind eigenständig zu bewerten.

Auswirkungen von DSGVO und ePrivacy

Betreiben Sie eine Sapren Website für Besucher in der EU, sind Sie Verantwortlicher und der Anbieter ist Ihr Hosting Auftragsverarbeiter, wofür ein Vertrag nach Art. 28 DSGVO nötig ist. Ein solcher Vertrag, eine Datenschutzerklärung oder Sicherheitsdokumentation des Anbieters war öffentlich nicht auffindbar. Nach Art. 5 Abs. 3 der ePrivacy Richtlinie und § 25 TDDDG sind Sitzungs und CSRF Cookies unbedingt erforderlich: Die Cookieseite ist also einfach, die Verarbeitungsseite nicht.

Ist eine Einwilligung erforderlich?

Das Laravel Sitzungscookie und XSRF-TOKEN sind nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil sie für die Bereitstellung der Website und die Sicherheit ihrer Formulare erforderlich sind. Eine Einwilligung ist für jeden optionalen Dienst nötig, den die Website lädt, etwa Webanalyse, Werbepixel oder eingebettete Social Media Inhalte. Ihr Cookie Banner muss diese Dienste bis zur Zustimmung blockieren, unabhängig vom eingesetzten CMS.

Datenübermittlungen in Drittländer

Wird die Website vom Anbieter im Iran gehostet, verlassen sämtliche vom Server verarbeiteten Besucherdaten den EWR in ein Land ohne Angemessenheitsbeschluss. Standardvertragsklauseln (Beschluss 2021/914) oder andere Garantien nach Kapitel V sind nicht dokumentiert, und seit dem Schrems II Urteil wäre ein Transfer Impact Assessment nötig. EU Sanktionen gegen Iran können zudem Verträge und Zahlungen mit iranischen Anbietern einschränken, was eine rechtskonforme Gestaltung erschwert.

Praktische Schritte zur Umsetzung

Ermitteln Sie zuerst anhand von DNS und Hostingdaten, wo die Website tatsächlich liegt, statt sich auf die frühere Website des Anbieters zu verlassen. Scannen Sie die Website auf Cookies und Drittanbieterdienste, blockieren Sie optionale Dienste per Cookie Banner und beschreiben Sie die Sitzungscookies in Ihrer Cookie Richtlinie. Liegt das Hosting im Iran und sind weder Auftragsverarbeitungsvertrag noch gültiger Übermittlungsmechanismus zu bekommen, planen Sie den Umzug auf ein in der EU gehostetes CMS, exportieren Sie Inhalte und Formulardaten und passen Sie Ihre Datenschutzerklärung an.