Cloudflare und DSGVO

Was Cloudflare ist und warum es anders ist als ein Embed

Bei YouTube, Vimeo oder Google Maps entscheidet der Seitenbetreiber, ob der Browser des Besuchers ein Element von einem Dritten lädt. Bei Cloudflare steht der Dienst zwischen Besucher und Server. Wer die Domain über Cloudflare laufen lässt und den Proxy aktiviert, schickt jeden Seitenaufruf durch Cloudflares Netz. Der Besucher bemerkt es nicht, und es gibt kein Element, das man vor einer Einwilligung zurückhalten könnte.

Die erste und die letzte Zeile sind die häufigsten Missverständnisse. Ein Proxy sieht den gesamten Datenverkehr, bei reinem DNS sieht Cloudflare den Seitenaufruf nicht. Und cdnjs ist kein Teil Ihrer Cloudflare-Konfiguration, sondern ein öffentlicher Dienst, den auch Seiten nutzen, die gar nicht bei Cloudflare liegen.

Rechtsgrundlage und Auftragsverarbeitungsvertrag

Wenn Cloudflare als Proxy Besucherdaten in Ihrem Auftrag verarbeitet, ist es Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Dafür braucht es einen Vertrag. Cloudflare stellt einen Datenverarbeitungszusatz bereit, der Teil der Hauptvereinbarung ist und die EU-Standardvertragsklauseln enthält. Prüfen Sie die aktuelle Fassung auf der DPA-Seite von Cloudflare und legen Sie sie für den Mandanten ab. Im AVV-Tracker gehört Cloudflare als eigener Eintrag hinein.

Die Rechtsgrundlage für den Einsatz des Proxys ist in aller Regel das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO: Sicherheit und Verfügbarkeit der Website sind legitime Zwecke, und Art. 32 DSGVO verlangt technische Maßnahmen dafür. Eine Einwilligung der Besucher ist dafür nicht der übliche Weg, weil der Dienst ohne die Verarbeitung nicht funktioniert und der Besucher ihn nicht abwählen kann. Das heißt nicht, dass Sie nichts zu tun haben: Die Interessenabwägung ist zu dokumentieren, und die Besucher sind in der Datenschutzerklärung zu informieren.

Unterauftragsverarbeiter

Cloudflare führt eine Liste seiner Unterauftragsverarbeiter und stellt einen RSS-Feed bereit, der auf Änderungen hinweist. Für Mandanten, die vertraglich zur Nachverfolgung verpflichtet sind, lohnt sich das Abonnement. Die Fristen und Widerspruchsrechte stehen im Datenverarbeitungszusatz.

Drittlandtransfer: Data Privacy Framework und Standardvertragsklauseln

Cloudflare Inc. sitzt in den USA. Das Unternehmen erklärt, dass es sich für Übermittlungen in die USA auf das EU-US Data Privacy Framework, die Erweiterungen für das Vereinigte Königreich und die Schweiz sowie auf Standardvertragsklauseln stützt. Fallen die Zertifizierungen weg, greifen die Standardvertragsklauseln als Rückfallebene. In der DPF-Liste des US-Handelsministeriums stand Cloudflare, Inc. beim Abruf am 14. Oktober 2026 als aktiv, mit dem Zusatz, dass die Re-Zertifizierung geprüft wird. Das ist kein Wegfall, aber ein Grund, den Status vor jeder Dokumentation noch einmal nachzusehen und die Standardvertragsklauseln als tragende Grundlage im Blick zu behalten.

Das Europäische Gericht hat eine Klage gegen das Framework im September 2025 abgewiesen, ein Rechtsmittel liegt beim EuGH (C-703/25 P). Der Angemessenheitsbeschluss bleibt bis zu einer gegenteiligen Entscheidung wirksam. Wer für den Fall der Fälle vorsorgt, hat die Standardvertragsklauseln im Vertrag und eine Einschätzung der Risiken im Mandantenordner.

Regionale Kontrolle über die Verarbeitung

Für Kunden mit besonderen Anforderungen bietet Cloudflare eine Reihe von Funktionen zur Datenlokalisierung: die Einschränkung der Inhaltsprüfung auf Rechenzentren in einer gewählten Region, die Begrenzung der Verkehrs-Metadaten auf die EU und die Verwaltung der TLS-Schlüssel in der EU. Welche Funktionen in welchem Tarif verfügbar sind, ändert sich. Sie betreffen den Datenverkehr, nicht automatisch alle Datenflüsse etwa zu Unterauftragsverarbeitern oder Support.

Cookies und Einwilligung

Hinter Cloudflare liegen je nach Konfiguration eigene Cookies. Die wichtigsten laut der Dokumentation von Cloudflare:

Cloudflare führt alle diese Cookies als technisch notwendig für die vom Kunden angeforderten Dienste und weist darauf hin, dass Kunden sie ihren Endnutzern offenlegen sollten. Ob solche Cookies ohne Einwilligung gesetzt werden dürfen, richtet sich nach § 25 Abs. 2 Nr. 2 TDDDG: Der Zugriff ist ohne Einwilligung zulässig, wenn er unbedingt erforderlich ist, damit der vom Nutzer ausdrücklich gewünschte Dienst erbracht werden kann. Für Bot-Schutz ist das vertretbar, aber nicht zwingend. Consent-Tools und Scanner-Datenbanken ordnen __cf_bm uneinheitlich ein, als notwendig, als Präferenz oder sogar als Werbung. Sie sollten die Einstufung daher selbst prüfen und in der Cookie-Liste nachvollziehbar begründen.

Cloudflare-Dienste, die im Browser laufen

Diese Dienste sind eine eigene Entscheidung, weil sie nicht über den Proxy laufen, sondern als Skript in der Seite. Der Browser verbindet sich dabei selbst mit einem Cloudflare-Host.

Der cdnjs-Fall ist der, der in der Praxis am meisten übersehen wird. Er ist analog zu Google Fonts: Die Bibliothek lässt sich genauso auf dem eigenen Server ausliefern, und damit entfällt die Verbindung. Viele Themes und Plugins laden jQuery, Font-Awesome oder Slider-Bibliotheken von dort.

Cloudflare datenschutzfreundlich konfigurieren

1. Vertrag dokumentieren. Aktuelle DPA-Fassung ablegen, Datum der Annahme und Version festhalten.
2. Proxy bewusst einschalten. Nur für Hosts, bei denen er gebraucht wird. Interne Dienste und Subdomains ohne Bedarf bleiben auf reinem DNS.
3. Bot-Funktionen prüfen. Aktivieren Sie nur, was Sie brauchen, und führen Sie die dadurch gesetzten Cookies in der Cookie-Liste.
4. Browser-Dienste einzeln entscheiden. Web Analytics, Turnstile und Zaraz sind eigene Verarbeitungstätigkeiten.
5. cdnjs ersetzen. Bibliotheken lokal ausliefern.
6. Region festlegen, wenn nötig. Prüfen Sie, ob Ihr Tarif die regionale Verarbeitung anbietet und ob der Mandant sie verlangt.
7. Unterauftragsverarbeiter beobachten. RSS-Feed der Unterauftragsverarbeiter abonnieren, wenn der Mandant es verlangt.
8. Eigene Zwecke prüfen. Lesen Sie im Vertrag, für welche Daten Cloudflare als eigener Verantwortlicher handelt. Verarbeitet ein Auftragsverarbeiter Daten auch für eigene Zwecke, überschreitet das nach der Orientierungshilfe der Aufsichtsbehörden den Rahmen der Auftragsverarbeitung (Rn. 111).

Datenschutzerklärung und Verarbeitungsverzeichnis

Die Datenschutzerklärung nennt Cloudflare mit Zweck (Sicherheit und Auslieferung der Website), Rechtsgrundlage (Art. 6 Abs. 1 lit. f DSGVO), Empfänger, Drittlandtransfer und Transfermechanismus. Die gesetzten Cookies stehen mit Name, Zweck und Laufzeit in der Cookie-Liste. Browser-Dienste wie Web Analytics bekommen einen eigenen Abschnitt. Im Verarbeitungsverzeichnis ist der Proxy eine eigene Verarbeitungstätigkeit mit Verweis auf den Auftragsverarbeitungsvertrag.

Für Agenturen: Cloudflare über viele Mandanten

1. Eine Vorlage für den Mandantenordner. DPA, Datenflussbeschreibung, Cookie-Einordnung und Interessenabwägung als feste Dokumente, die pro Kunde nur angepasst werden.
2. Wer ist wirklich bei Cloudflare? Nicht jeder Kunde weiß es. Antwort-Header wie server: cloudflare und cf-ray zeigen es von außen. Eine Bestandsaufnahme über alle Mandanten ist ein Nachmittag Arbeit.
3. Browser-Dienste finden. Complianty lädt jede Kundenseite in einem frischen Browser und zeigt, ob Verbindungen zu Cloudflare-Hosts wie cloudflareinsights.com oder cdnjs.cloudflare.com vor dem Einwilligungsklick entstehen.
4. Vertrag im AVV-Tracker führen. Cloudflare ist als Anbieter pro Mandant ein Eintrag, damit Erneuerungen und Änderungen nicht untergehen.

So prüfen Sie, was bei Ihnen läuft

1. Antwort-Header der Startseite ansehen: server: cloudflare und cf-ray zeigen den Proxy.
2. Namensserver der Domain abfragen. Cloudflare-Namensserver bedeuten, dass der Proxy möglich ist.
3. Seite in einem privaten Fenster öffnen, Entwicklerwerkzeuge und Reiter Netzwerk öffnen, neu laden, Banner nicht bedienen.
4. Nach cloudflare, cloudflareinsights, challenges und cdnjs filtern.
5. Reiter Anwendung, Cookies: Welche Cookies von Cloudflare stehen vor der Einwilligung da?