Squarespace & DSGVO: Checkliste für Website-Betreiber

Die DSGVO-Frage entsteht im fertigen Browser

Für die Datenschutzprüfung ist weniger wichtig, wie eine Funktion im Editor heißt. Relevant ist, welche Netzwerkverbindungen beim Seitenaufruf entstehen und ob Besucher vor einer Einwilligung mit nicht notwendigen Diensten in Kontakt kommen.

Gerade Design-Plattformen kombinieren Themes, Blöcke, Integrationen und externe Skripte. Ein Wechsel des Templates oder ein neues Widget kann deshalb ausreichen, um neue Datenflüsse auszulösen.

Worauf du bei Squarespace besonders achten solltest

• Analytics und Marketing-Tags: Eigene Statistiken, Google Analytics, Meta Pixel oder andere Marketing-Tags sollten vor dem ersten Klick nicht feuern, wenn sie nicht notwendig sind.
• Schriften und Medien: Prüfe, ob Fonts, Bildoptimierung oder Player externe Hosts ansprechen. Besonders relevant sind IP-Übertragungen an Drittanbieter.
• Formular-Blöcke: Newsletter-, Kontakt- und Anfrageformulare brauchen klare Datenminimierung, HTTPS und eine passende Beschreibung in der Datenschutzerklärung.
• Commerce-Funktionen: Bei Shops kommen Zahlungs-, Versand-, Warenkorb- und Trackingdienste hinzu. Prüfe öffentlich erreichbare Shop-Seiten separat vom reinen Website-Auftritt.

Consent-Banner realistisch testen

Öffne deine Squarespace-Seite in einem privaten Fenster und beobachte im Netzwerk-Tab, was passiert, bevor du im Banner klickst. Danach wiederholst du den Test mit Ablehnen und mit Akzeptieren. So siehst du, ob die Auswahl technisch einen Unterschied macht.

Achte außerdem darauf, dass Ablehnen nicht versteckt oder deutlich umständlicher ist als Akzeptieren. Das ist keine reine Designfrage: Einwilligung soll freiwillig und informiert erfolgen.

Datenschutzerklärung und Integrationen synchron halten

Viele Squarespace-Seiten wachsen schrittweise: erst Portfolio, dann Newsletter, später Buchung, Shop oder Analytics. Genau deshalb veraltet die Datenschutzerklärung schnell. Nach jeder neuen Integration solltest du prüfen, ob der Text noch zur Seite passt.

Umgekehrt lohnt sich das Aufräumen alter Textbausteine. Wenn eine Datenschutzerklärung Dienste nennt, die nicht mehr geladen werden, entsteht unnötige Verwirrung für Besucher und Prüfer.

Eingebaute Statistiken und nachgerüstete Tags unterscheiden

Squarespace bringt eine eigene Statistik-Funktion mit, die Besucherdaten ohne zusätzliche Einbindung erfasst. Daneben lassen sich externe Dienste ergänzen — Google Analytics, Marketing-Pixel oder Conversion-Tags, je nach Tarif über Integrationen oder eigene Code-Schnipsel. Für die Prüfung lohnt diese Trennung: Die eingebaute Statistik kannst du nur über Squarespace-Einstellungen beeinflussen, nachgerüstete Tags liegen komplett in deiner Hand.

Datenschutzrechtlich sind beide Ebenen relevant, aber unterschiedlich zu behandeln. Externe Analyse- und Marketingdienste sollten in der Regel erst nach Einwilligung starten; für plattformeigene Funktionen solltest du prüfen, was deine Datenschutzerklärung dazu sagt und welche Einstellmöglichkeiten Squarespace dir gibt. Verlasse dich nicht auf Standardwerte — kontrolliere im Netzwerk-Tab, welche Hosts tatsächlich angesprochen werden.

Code Injection: das Gedächtnis deiner Website

In höheren Squarespace-Tarifen lassen sich eigene Code-Blöcke zentral in Kopf- und Fußbereich der Website einfügen. Diese Bereiche sind praktisch — und genau deshalb sammeln sich dort über die Jahre Kampagnen-Snippets, Test-Tags und Tracking-Codes an, die niemand mehr aktiv nutzt.

Plane deshalb eine regelmäßige Inventur ein: Geh alle eigenen Code-Blöcke durch, ordne jedem Snippet einen Zweck und einen Verantwortlichen zu und entferne, was keinen aktuellen Zweck mehr hat. Jedes entfernte Skript reduziert nicht nur Datenschutzfragen, sondern macht die Seite auch schneller und wartbarer.

Newsletter, Mitgliederbereiche und Buchungen

Squarespace ist längst mehr als ein Website-Baukasten: Newsletter- Kampagnen, Mitgliederbereiche, Terminbuchung und Shop-Funktionen lassen sich direkt aktivieren. Jede dieser Funktionen verarbeitet personenbezogene Daten — E-Mail-Adressen für den Newsletter, Zugangsdaten für Mitglieder, Termin- und Kontaktdaten bei der Buchung, Bestelldaten im Shop.

Für die Prüfung heißt das: Geh die aktivierten Funktionen einzeln durch und beantworte für jede drei Fragen. Welche Daten werden erhoben? Wo und durch wen werden sie verarbeitet? Und beschreibt die Datenschutzerklärung genau das? Beim Newsletter kommt das übliche Double-Opt-In-Thema dazu: Die Anmeldung sollte bestätigt werden, bevor regelmäßige Mails fließen, und der Abmeldelink gehört in jede Nachricht.

Praktisch ist eine kleine Funktions-Inventur als Tabelle: Funktion, Datenarten, Zweck, Empfänger, Stelle in der Datenschutzerklärung. Die ist in einer halben Stunde erstellt und macht jede spätere Prüfung — und jedes Anbieter-Gespräch — deutlich schneller.

US-Anbieter und Drittlandtransfer nüchtern einordnen

Squarespace ist ein US-Anbieter. Damit kann die Verarbeitung von Besucherdaten außerhalb der EU stattfinden — ein Punkt, den deine Datenschutzerklärung transparent abbilden sollte. US-Dienste können nach dem EU-US Data Privacy Framework zertifiziert sein; ob und für welche Leistungen das im konkreten Fall gilt, solltest du beim Anbieter nachvollziehen und dokumentieren.

Wichtig ist hier Nüchternheit statt Panik: Ein Drittlandbezug macht eine Website nicht automatisch unzulässig, er erhöht aber den Erklärungsbedarf. Wenn du unsicher bist, wie du die Übermittlung in deiner Datenschutzerklärung beschreiben sollst, ist das ein guter Punkt für fachkundigen Rat.

Template-Wechsel und Plattform-Updates

Squarespace entwickelt Templates und Funktionen laufend weiter — das ist Teil des Versprechens, bringt aber eine Eigenheit mit: Das Verhalten deiner Website kann sich ändern, ohne dass du etwas angefasst hast. Ein aktualisierter Player, eine neue Galerie-Funktion oder ein überarbeitetes Formular können andere Ressourcen laden als ihre Vorgänger.

Beim bewussten Template-Wechsel gilt das erst recht: Andere Schriften, andere eingebaute Blöcke, womöglich andere externe Hosts. Plane nach jedem Wechsel denselben Browser-Test ein wie vor einer Erstveröffentlichung — privates Fenster, Netzwerk-Tab, drei Consent-Zustände.

Praktisch heißt das: Verlasse dich nicht auf eine einmalige Prüfung mit Ewigkeitswert. Ein kurzer wiederkehrender Check — etwa quartalsweise und nach jeder sichtbaren Plattform-Neuerung — fängt schleichende Veränderungen ein, bevor sie zur Abweichung zwischen Website und Datenschutzerklärung werden.

Checkliste vor Veröffentlichung

• Private Browser-Sitzung: Starte ohne gespeicherte Cookie-Auswahl und prüfe Startseite, Kontakt, Shop und eingebettete Inhalte getrennt.
• Netzwerk und Cookies: Dokumentiere Hosts, Skripte und Cookies vor Consent, nach Ablehnen und nach Akzeptieren.
• Formulare: Vergleiche Formularfelder, Zweckhinweise und die Beschreibung in der Datenschutzerklärung.
• Nach Änderungen erneut prüfen: Neue Blöcke, Integrationen und Marketingkampagnen können das Verhalten der Seite verändern.

Häufige Fragen

Kann ich Squarespace ohne Cookie-Banner betreiben?

Das hängt von deiner konkreten Seite ab. Wenn nur notwendige Funktionen aktiv sind, kann die Bewertung anders ausfallen als bei Analytics, Marketing-Pixeln oder Drittanbieter-Embeds.

Sind Squarespace-Formulare datenschutzrechtlich besonders?

Sie verarbeiten personenbezogene Daten wie Namen, E-Mail-Adressen oder Nachrichten. Deshalb sind Datenminimierung, Transportverschlüsselung und transparente Informationen wichtig.

Prüft konfora auch meinen Squarespace-Editor?

Nein. konfora ruft öffentlich erreichbare Seiten auf und bewertet, was diese Seite im Browser lädt. Interne Einstellungen oder Admin-Bereiche bleiben unberührt.

Brauche ich mit Squarespace einen Vertrag zur Auftragsverarbeitung?

Wenn der Anbieter personenbezogene Daten deiner Besucher in deinem Auftrag verarbeitet, kommt ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO regelmäßig in Betracht. Größere Plattformen stellen dafür üblicherweise vorbereitete Vereinbarungen bereit — prüfe in deinem Konto und in den Rechtsdokumenten des Anbieters, was vorliegt, und dokumentiere es.

Was mache ich mit Funktionen, die ich nicht mehr nutze?

Deaktiviere sie und räume die zugehörigen Daten auf. Eine stillgelegte Newsletter-Liste oder ein vergessener Mitgliederbereich verarbeitet weiter Daten, taucht aber in keiner Prüfung mehr auf — genau solche Reste sorgen später für Widersprüche zwischen Website und Datenschutzerklärung.

Gibt es eine schnelle Erstprüfung für Squarespace?

Ja: privates Fenster, Netzwerk-Tab, Seite laden ohne Banner-Klick. Externe Hosts notieren, dann Ablehnen testen und vergleichen. Diese Viertelstunde zeigt dir die wichtigsten Baustellen, bevor du in Details gehst.