Migration zu Next.js / Astro in Frankfurt

Mit dem Umzug von WordPress, Joomla oder TYPO3 auf Astro oder Next.js ändert sich auch die Frage, wer Ihre Besucherdaten zu sehen bekommt. Bei WordPress war das meist ein Hoster mit einem Server. Nach der Migration können es drei oder vier Anbieter sein: einer für den Build, einer für das CDN, einer für serverseitige Funktionen und einer für das Kontaktformular. Auf dieser Seite beschreibe ich, wie ich für Unternehmen in Frankfurt am Main die Betriebsart auswähle, welche Stationen personenbezogene Daten verarbeiten und welche Verträge und Prüfungen daraus folgen. Den allgemeinen Ablauf einer Migration finden Sie auf der Seite Migration zu Next.js und Astro.

#Drei Betriebsarten nach der Migration

Die Next.js-Dokumentation zum Deployment nennt vier Wege: Node.js-Server, Docker-Container, statischer Export und Adapter für bestimmte Plattformen. Server und Container unterstützen laut Dokumentation alle Funktionen, der statische Export nur einen Teil, bei Adaptern hängt es vom Anbieter ab. Astro geht vom anderen Ende aus: Laut Astro-Dokumentation werden Seiten, Routen und API-Endpunkte standardmäßig beim Build vorgerendert. Wer eine Seite erst bei der Anfrage erzeugen will, braucht einen Adapter; offiziell gepflegt werden Adapter für Node.js, Netlify, Vercel und Cloudflare.

Für die Datenfrage lassen sich diese Varianten auf drei Betriebsarten zurückführen:

Welche davon passt, hängt davon ab, was die Website nach dem Umzug können muss. Eine Unternehmensseite mit Fachartikeln und Karriereangeboten läuft statisch. Ein Kundenbereich mit Anmeldung, ein Rechner mit serverseitiger Logik oder Inhalte, die sich pro Besucher unterscheiden, brauchen Code auf einem Server oder in einer Funktion.

#Wo personenbezogene Daten anfallen

Eine IP-Adresse ist für den Betreiber einer Website personenbezogen, wenn er rechtliche Mittel hat, die Person mit Hilfe des Zugangsanbieters bestimmen zu lassen. So hat es der Gerichtshof der EU im Urteil Breyer vom 19. Oktober 2016 für dynamische IP-Adressen entschieden. Damit verarbeitet jede Station, die Anfragen Ihrer Besucher entgegennimmt, personenbezogene Daten. Ich gehe die Stationen bei jeder Migration einzeln durch:

Build. Der Build-Dienst liest die Inhalte aus dem CMS oder dem Repository und erzeugt daraus HTML. Besucherdaten sieht er nicht. Sobald der Build aber auf Kundendaten zugreift, etwa auf Bewertungen mit Namen oder ein Teamverzeichnis aus einem internen System, verarbeitet er diese Daten mit.

CDN. Ein Content Delivery Network liefert Dateien von dem Standort aus, der dem Besucher am nächsten liegt. Es sieht IP-Adresse, aufgerufene Adresse, Browserkennung und Zeitpunkt, und es schreibt in der Regel Protokolle. Wie lange diese Protokolle gespeichert werden, steht in der Dokumentation des Anbieters, nicht im Framework.

Server oder Funktion. Läuft Next.js mit next start oder Astro mit Adapter, kommt jede dynamische Anfrage beim Server an, samt Cookies und Formulardaten. Auf einer Plattform passiert dasselbe in einer Funktion, die in einer bestimmten Region läuft.

Formular. Ein Kontakt- oder Bewerbungsformular enthält meist Name, E-Mail-Adresse und Freitext. Wohin diese Daten gehen, hängt von der Betriebsart ab, dazu unten mehr.

Fehler- und Leistungsmessung. Dienste, die Ausnahmen oder Ladezeiten im Browser erfassen, senden Daten an ihre eigenen Server. Sie fallen bei einer Migration leicht hinein, weil Vorlagen und Starter-Projekte sie mitbringen. Ich nehme nur auf, was Sie ausdrücklich wollen.

#Next.js selbst betreiben: was die Dokumentation verlangt

Wer Next.js auf einem eigenen Server oder bei einem Hoster in Deutschland betreiben möchte, findet in der Anleitung zum Self-Hosting die Punkte, die eine Plattform sonst still erledigt. Die wichtigsten für eine Migration:

• Reverse Proxy. Next.js empfiehlt, den Server nicht direkt ins Internet zu stellen, sondern einen Proxy wie nginx davorzusetzen. Er übernimmt fehlerhafte Anfragen, langsame Verbindungen, Größenlimits und Ratenbegrenzung.
• Cache. Seiten-Cache und Incremental Static Regeneration liegen standardmäßig auf der lokalen Festplatte jeder Instanz. Bei mehreren Containern braucht es einen gemeinsamen Speicher, etwa Redis, sonst sieht jeder Container einen anderen Stand.
• Schlüssel für Server Functions. Next.js verschlüsselt Variablen von Server Functions mit einem Schlüssel, der pro Build neu entsteht. Laufen mehrere Instanzen, müssen alle denselben Schlüssel nutzen, gesetzt über NEXT_SERVER_ACTIONS_ENCRYPTION_KEY.
• Bildoptimierung. next/image funktioniert mit next start ohne weitere Einrichtung. Die Bilder werden zur Laufzeit auf Ihrem Server umgerechnet, nicht bei einem externen Dienst.
• Streaming. Hinter nginx muss die Pufferung abgeschaltet sein, sonst kommen gestreamte Antworten erst am Ende vollständig an.

Für die Datenfrage hat der eigene Betrieb einen klaren Vorteil: Es gibt einen Server, einen Standort und einen Vertrag. Der Preis dafür ist die Pflege. Betriebssystem, Node.js-Version und Proxy brauchen Updates, und jemand muss sie einspielen. Das kann ich im Rahmen der Wartung für Frankfurt übernehmen oder Ihr eigener Betrieb.

#Plattform statt eigener Server: die Region prüfen

Plattformen nehmen Ihnen Server, Skalierung und Zertifikate ab. Dafür müssen Sie die Voreinstellungen kennen. Ein Beispiel aus der Vercel-Dokumentation: Vercel Functions laufen bei allen neuen Projekten standardmäßig in Washington, D.C. (iad1). Die Region lässt sich im Projekt, in der Datei vercel.json oder pro Funktion ändern; Frankfurt hat laut Regionenliste die Kennung fra1. Statische Dateien liefert das CDN der Plattform dagegen von dem Standort aus, der dem Besucher am nächsten liegt.

Wer eine Next.js-Anwendung mit Server Actions ohne Blick auf diese Einstellung zu Vercel umzieht, verarbeitet jede Formulareinsendung zunächst in den USA. Die Korrektur ist eine Zeile Konfiguration. Ich setze sie vor dem ersten Deployment und halte sie in der Projektdokumentation fest.

Bei den großen Cloud-Anbietern ist Frankfurt ein üblicher Standort. AWS führt die Region eu-central-1 laut Regionenübersicht als Europe (Frankfurt). Auch der Internetknoten DE-CIX gibt für Frankfurt an, in über 30 Rechenzentren erreichbar zu sein. Kurze Wege für Besucher im Rhein-Main-Gebiet sind also leicht zu haben.

Foto: Norbert Nagel, CC BY-SA 4.0, Wikimedia Commons.

Eine Region in Frankfurt beantwortet allerdings nur, wo der Code läuft. Ob ein Anbieter mit Muttergesellschaft in den USA zusätzlich Daten dorthin übermittelt, etwa für Support oder Protokolle, steht in seinem Auftragsverarbeitungsvertrag und in seiner Liste der Unterauftragsverarbeiter. Der HBDI hat diese Abhängigkeit nach dem Urteil Schrems II auf seiner Seite zur digitalen Souveränität beschrieben: US-Anbieter könnten von berechtigten Stellen gezwungen werden, Daten aus Europa herauszugeben, auf die sie direkt oder über Tochterunternehmen zugreifen können.

#Auftragsverarbeitung nach Art. 28 DSGVO

Hoster, CDN, Plattform und Formulardienst verarbeiten Daten Ihrer Besucher in Ihrem Auftrag. Art. 28 DSGVO regelt, was dafür gilt:

• Sie arbeiten nur mit Anbietern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Abs. 1).
• Der Anbieter zieht weitere Auftragsverarbeiter nur mit Ihrer vorherigen schriftlichen Genehmigung hinzu. Bei einer allgemeinen Genehmigung muss er Sie über jede geplante Änderung informieren, damit Sie widersprechen können (Abs. 2).
• Grundlage ist ein Vertrag, der Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie Ihre Rechte und Pflichten festlegt (Abs. 3).
• Der Vertrag bindet den Anbieter unter anderem an Ihre dokumentierten Weisungen, auch für Übermittlungen in Drittländer, an Vertraulichkeit, an die Sicherheitsmaßnahmen nach Art. 32, an Löschung oder Rückgabe nach Vertragsende und an Nachweise und Überprüfungen (Abs. 3 Buchst. a bis h).

Die großen Plattformen bieten einen eigenen Vertrag zum Abschluss im Konto an. Bei kleineren Hostern hilft die Formulierungshilfe des HBDI für einen Vertrag nach Art. 28 Abs. 3. Die Behörde weist selbst darauf hin, dass es sich dabei nicht um Standardvertragsklauseln im Sinne von Art. 28 Abs. 8 handelt.

Ob ein bestimmter Dienst für Sie Auftragsverarbeiter ist oder eigenständig verantwortlich, entscheidet Ihre Datenschutzberatung, nicht ich. Was ich beitrage, ist die vollständige technische Liste: welcher Dienst welche Daten sieht, in welcher Region er läuft und welches Dokument der Anbieter dazu bereitstellt.

#Übermittlungen in die USA: Kapitel V und der Datenschutzrahmen EU-USA

Kapitel V der DSGVO gilt, sobald Daten ein Land außerhalb des EWR erreichen. Nach Art. 44 ist jede Übermittlung nur zulässig, wenn die Bedingungen des Kapitels eingehalten sind. Art. 45 erlaubt sie ohne besondere Genehmigung, wenn die Kommission dem Zielland ein angemessenes Schutzniveau bescheinigt hat. Fehlt ein solcher Beschluss, braucht es nach Art. 46 geeignete Garantien, etwa Standarddatenschutzklauseln der Kommission.

Für die USA hat die Kommission am 10. Juli 2023 den Durchführungsbeschluss (EU) 2023/1795 zum Datenschutzrahmen EU-USA erlassen. Er hat eine wichtige Einschränkung: Nach Art. 1 gilt das angemessene Schutzniveau nur für Organisationen, die in der öffentlich zugänglichen Data Privacy Framework List des US-Handelsministeriums stehen. Diese Organisationen müssen ihre Einhaltung der Grundsätze jährlich neu zertifizieren.

Der HBDI hat in seinem Hinweis zum Data Privacy Framework aus dem Jahr der Annahme klargestellt, dass Datenexporteure in der EU vor der Übermittlung selbst prüfen müssen, ob der Empfänger zertifiziert ist. Für nicht zertifizierte US-Unternehmen gelten nach diesem Hinweis weiter die Anforderungen aus dem Urteil Schrems II und die Empfehlungen 01/2020 des Europäischen Datenschutzausschusses. Die Behörde rechnete damals damit, dass auch dieser Rahmen gerichtlich angegriffen wird.

Das Gericht der Europäischen Union hat die Klage des französischen Abgeordneten Philippe Latombe gegen den Beschluss mit Urteil vom 3. September 2025 abgewiesen (Rechtssache T-553/23). Am 31. Oktober 2025 hat Latombe dagegen Rechtsmittel beim Gerichtshof eingelegt (Rechtssache C-703/25 P). Für Ihre Planung heißt das: Der Beschluss ist eine Grundlage, aber eine, die ein Gericht noch einmal prüft. Ein Hosting, das ohne Übermittlung in die USA auskommt, macht Sie von diesem Verfahren unabhängig.

#Formulare nach der Migration

Das Kontaktformular ist die Stelle, an der eine Migration den Datenfluss am stärksten verändert. In WordPress hat meist ein Plugin die Einsendung auf demselben Server angenommen und per Mail verschickt. Danach hängt es von der Betriebsart ab:

• Statischer Next.js-Export. Die Dokumentation zu statischen Exporten zählt Server Actions, Cookies, Weiterleitungen, Header und Route Handler, die die Anfrage auswerten, zu den Funktionen, die ohne Server nicht verfügbar sind. Das Formular braucht also einen externen Empfänger, und der ist ein weiterer Auftragsverarbeiter.
• Astro mit Formular-Action. Laut Astro-Dokumentation zu Actions müssen Seiten, die eine Action über ein HTML-Formular aufrufen, auf Anfrage gerendert werden. Diese eine Seite braucht dann einen Adapter, der Rest kann statisch bleiben.
• Next.js mit Server. Server Actions laufen auf Ihrem Server oder in der Funktion der Plattform, in der Region, die dafür eingestellt ist.

In allen drei Fällen lege ich fest, wohin die Einsendung geht, ob sie gespeichert oder nur weitergeleitet wird und nach welcher Frist sie gelöscht wird. Bei einem eigenen Server in Deutschland kann die Einsendung den Server nie verlassen, außer als Mail an Ihr Postfach.

#Das Verzeichnis der Verarbeitungstätigkeiten nachziehen

Nach Art. 30 Abs. 1 DSGVO enthält Ihr Verzeichnis unter anderem die Kategorien von Empfängern, einschließlich Empfängern in Drittländern, und gegebenenfalls Übermittlungen an ein Drittland. Beides ändert sich bei einer Migration fast immer. Ich liefere zum Go-live eine Tabelle mit jedem Dienst, seiner Rolle, seiner Region und dem Link auf Vertrag und Unterauftragsverarbeiter. Ihr Datenschutzbeauftragter kann sie direkt übernehmen.

#Prüfliste für Hosting und Datenstandort

Diese Liste können Sie auch ohne mich verwenden, für jede Website nach einem Umzug:

#So läuft ein Projekt mit mir

Ich arbeite allein, aus Gdynia, mit WordPress seit 2006 und heute ebenso mit Astro und Next.js. Alles läuft schriftlich: Sie schicken eine kurze Beschreibung, ich stelle Rückfragen per Mail und antworte an Werktagen.

1. Bestandsaufnahme. Ich lese die bestehende Website technisch aus: welche Dienste sie heute lädt, welche Formulare es gibt, wo sie gehostet ist.
2. Schriftlicher Umfang. Sie bekommen Zielarchitektur, Betriebsart mit Begründung, eine Liste aller Dienste mit Region sowie Annahmen und Ausschlüsse.
3. Konten in Ihrem Namen. Repository, Hosting und Formulardienst laufen auf Ihr Unternehmen. Ich arbeite mit Zugriff, den Sie jederzeit entziehen können.
4. Staging. Die neue Seite läuft gesperrt zur Abnahme. Dort prüfe ich im Browser, welche Verbindungen sie aufbaut, und vergleiche das mit der Liste.
5. Go-live und Übergabe. Umstellung, Weiterleitungen, Kontrolle in der Search Console, dazu die Tabelle für Ihr Verzeichnis.
6. Wartung, wenn Sie möchten. Updates für Node.js, Abhängigkeiten und Server, getestet auf Staging.

Grafik, Layout und Wireframes liefern Sie oder Ihre Agentur; ich setze sie technisch um. Für eine Next.js-Anwendung mit strengen Sicherheitsheadern gibt es eine eigene Seite zur Content Security Policy in Next.js.

#Häufige Fragen

#Ist eine statische Astro-Seite automatisch datenschutzfreundlicher als WordPress?

Sie hat weniger Stellen, an denen Daten anfallen: keine Datenbank, kein Login, kein PHP auf dem Server. Das CDN sieht aber weiterhin die IP-Adresse jedes Besuchers, und ein Kontaktformular braucht ein Ziel, das die Einsendung annimmt. Beides gehört in den Vertrag mit dem Anbieter und in Ihr Verzeichnis der Verarbeitungstätigkeiten.

#Reicht es, bei einer US-Plattform die Region Frankfurt einzustellen?

Die Region legt fest, wo der Code läuft und wo Anfragen bearbeitet werden. Ob zusätzlich eine Übermittlung in ein Drittland stattfindet, etwa durch Support, Protokolle oder die Muttergesellschaft, steht im Auftragsverarbeitungsvertrag und in der Liste der Unterauftragsverarbeiter des Anbieters. Die Region ist eine Einstellung, keine rechtliche Bewertung.

#Darf ich einen US-Anbieter nutzen, der unter dem Data Privacy Framework zertifiziert ist?

Der Angemessenheitsbeschluss der Kommission vom 10. Juli 2023 deckt Übermittlungen an US-Organisationen ab, die auf der Data Privacy Framework List des US-Handelsministeriums stehen. Der HBDI weist darauf hin, dass Sie das vor der Übermittlung selbst prüfen müssen. Steht der Anbieter nicht auf der Liste, braucht es andere Garantien nach Art. 46 DSGVO.

#Kann ich Next.js ohne Vercel betreiben?

Ja. Die Next.js-Dokumentation nennt den Node.js-Server und den Docker-Container als Betriebsarten mit allen Funktionen. Sie empfiehlt einen Reverse Proxy wie nginx davor. Bei mehreren Instanzen kommen ein gemeinsamer Cache und ein fester Schlüssel für Server Functions hinzu.

#Wer schließt den Auftragsverarbeitungsvertrag mit dem Hoster?

Ihr Unternehmen als Verantwortlicher. Ich lege das Hosting-Konto in Ihrem Namen an oder arbeite in Ihrem bestehenden Konto, damit Vertrag, Rechnung und Zugriff bei Ihnen liegen. Die rechtliche Prüfung des Vertrags übernimmt Ihre Datenschutzberatung.

#Was ändert sich am Verzeichnis der Verarbeitungstätigkeiten?

Mindestens die Empfänger und gegebenenfalls die Drittlandübermittlungen, denn Art. 30 Abs. 1 DSGVO verlangt beides. Wer früher nur den WordPress-Hoster eingetragen hatte, hat danach oft drei Empfänger: CDN, Funktionen oder Server und den Formulardienst. Die Liste dafür liefere ich schriftlich mit.

#Schreiben Sie mir zu Ihrem Umzug

Vielleicht verlangt Ihr Datenschutzbeauftragter einen Hoster ohne US-Bezug, vielleicht wollen Sie wissen, ob Ihre geplante Plattform Formulare in Frankfurt verarbeiten kann, oder Sie möchten einfach eine Website loswerden, deren Plugins niemand mehr pflegt. Schreiben Sie mir über die Kontaktseite: die Adresse der heutigen Website, das CMS mit Version, was die neue Seite können muss, einen gewünschten Termin und, falls schon bekannt, Ihre Vorgaben zum Hosting. Ich antworte schriftlich mit einer ersten Einschätzung zur Betriebsart und zu den Diensten, die dabei Daten sehen. Diese erste Einschätzung ist kostenlos.