Storyblok

Was Storyblok ist und wie es Inhalte ausliefert

Storyblok ist ein Headless Content Management System, das 2017 in Linz, Österreich, gegründet wurde. Redakteure gestalten Seiten in einem Visual Editor und der veröffentlichte Inhalt wird als JSON über eine Content Delivery API bereitgestellt. Das Frontend, das mit beliebigen Frameworks wie Next.js, Nuxt, Astro oder Hugo aufgebaut sein kann, ruft dieses JSON server oder clientseitig ab und rendert das HTML. Da die öffentliche Auslieferungsschicht eine zustandslose REST und GraphQL API ist, schreibt sie keine Cookies in den Browser des Besuchers und verhält sich wie ein normaler Asset Abruf.

Cookies und Identifikatoren bei Besuchern

Auf der öffentlichen Website setzt Storyblok keine Cookies. Die CDN Edge speichert lediglich Standard Anfrageprotokolle mit IP Adresse, Zeitstempel und User Agent zur Zwischenspeicherung und Missbrauchsabwehr. Cookies erscheinen nur in zwei spezifischen Kontexten: Wenn ein Redakteur auf app.storyblok.com eingeloggt ist, identifiziert ein Session Cookie den Benutzer. Wenn die Visual Editor Vorschau geladen wird, öffnet das Bridge Skript app.storyblok.com/f/storyblok-v2-latest.js ein iframe in der Live Vorschau, um Click to Edit zu ermöglichen. Dieser Vorschaumodus ist nur für Redakteure und wird anonymen Besuchern nicht angezeigt.

DSGVO und ePrivacy Implikationen

Da die öffentliche Storyblok API keine Identifikatoren auf dem Endgerät des Besuchers ablegt, erfordert Artikel 5(3) der ePrivacy Richtlinie (umgesetzt im deutschen TTDSG, im französischen LCEN, im spanischen LSSI) keine vorherige Einwilligung. Artikel 6(1)(f) DSGVO (berechtigtes Interesse) deckt die begrenzte Verarbeitung der Besucher IP an der CDN Edge zur Auslieferung und Sicherheit. Die Storyblok GmbH agiert als Auftragsverarbeiter für die Speicherung redaktioneller Inhalte, und eine standardmäßige Auftragsverarbeitungsvereinbarung nach Artikel 28 ist im Storyblok Dashboard verfügbar.

Datentransfers und Schrems II

Storyblok bietet zwei Liefer Regionen. Die EU Region läuft auf AWS Frankfurt und stellt Inhalte aus dem Europäischen Wirtschaftsraum bereit, wodurch das Projekt von einer Schrems II Analyse für den Auslieferungspfad befreit ist. Die US Region läuft auf AWS Virginia und erfordert Standardvertragsklauseln sowie eine Bewertung der US Überwachungsgesetze (FISA 702, Executive Order 12333). Für europäische Projekte empfehlen wir, bei der Anlage des Spaces immer die EU Region auszuwählen, da eine spätere Änderung nur durch Export und Reimport der Inhalte möglich ist.

Praktische Compliance Schritte

Dokumentieren Sie Storyblok im Verzeichnis der Verarbeitungstätigkeiten (VVT) mit Zweck, EU Region und Asset CDN (Cloudflare). Unterzeichnen Sie die AV Vereinbarung aus dem Dashboard. Sichern Sie Redakteurskonten mit Single Sign On oder Zwei Faktor Authentifizierung. Wenn Sie Drittanbieter Skripte (Google Analytics, Meta Pixel, Video) über Storyblok Komponenten einbinden, gelten für diese Skripte eigene Einwilligungspflichten, die Ihr Consent Management Tool steuern muss. Die Storyblok Auslieferung selbst bleibt außerhalb dieses Scopes. Schützen Sie die Visual Editor Vorschau URL hinter Authentifizierung, damit Bridge Cookies niemals auf anonymen Besuchern gesetzt werden.