Cloudflare Turnstile und Datenschutz: Warum die Cookie-Frage bis heute ungeklärt ist
Cloudflare Turnstile wirkt auf den ersten Blick harmlos, weil niemand mehr Bilderrätsel lösen muss. Bei genauerem Hinsehen ist es aber ein Tool mit mehreren offenen Baustellen: Es setzt Cookies, deren Einwilligungspflicht selbst unter Datenschutz-Experten umstritten ist, schickt Daten in die USA und braucht einen Vertrag mit Cloudflare. Wer auf Nummer sicher gehen will, muss hier mehr tun als nur „Tool aktivieren“.
Überblick
Was ist Cloudflare Turnstile?
Cloudflare Turnstile ist ein CAPTCHA-Ersatz, der prüft, ob ein Website-Besucher ein Mensch oder ein Bot ist – ohne Bilderrätsel oder Klickaufgaben. Das Tool läuft automatisch im Hintergrund, sobald eine Seite mit Turnstile geladen wird, und wird meistens vor Kontaktformularen, Login-Bereichen oder Kommentarfeldern eingesetzt.
| Cloudflare Turnstile – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟡 | Turnstile setzt Cookies zur Bot-Erkennung. Ob dafür eine Einwilligung nötig ist, ist rechtlich nicht abschließend geklärt. |
| Externe Verbindungen | 🔴 | Beim Laden der Seite baut Turnstile eine Verbindung zu Cloudflare-Servern auf. |
| Datenschutzerklärung | 🔴 | Cloudflare Turnstile muss namentlich in der Datenschutzerklärung stehen. |
| Drittlandtransfer | 🔴 | Daten von Website-Besuchern gehen an Cloudflare in die USA. |
| Auftragsverarbeitung | 🔴 | Für Turnstile brauchst du einen Vertrag mit Cloudflare. |
| Benutzereingaben | 🟢 | Turnstile selbst hat keine eigenen Formularfelder. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Welche Daten verarbeitet Cloudflare Turnstile?
Sobald jemand eine Seite mit Turnstile öffnet, beginnt die Prüfung automatisch – ohne dass der Besucher etwas klickt oder ein Formular ausfüllt.
Turnstile wertet dafür technische Merkmale des Browsers und Geräts aus, zum Beispiel die IP-Adresse, Merkmale der Verschlüsselungsverbindung, den Browsertyp und teilweise Mausbewegungen auf der Seite. Diese Daten schickt Turnstile an Cloudflare, damit dort entschieden werden kann, ob der Besucher wahrscheinlich ein Mensch ist.
Genau an dieser Stelle wird es unübersichtlich: Cloudflare selbst hat für Turnstile keine eigene, klar abgegrenzte Datenschutzerklärung, sondern verweist auf seine allgemeine Richtlinie für alle Cloudflare-Dienste. Website-Betreiber müssen sich die für Turnstile relevanten Informationen daraus zusammensuchen.
Diese Unschärfe zieht sich durch mehrere Punkte: Bei den Cookies ist unklar, ob sie zustimmungspflichtig sind, weil unterschiedliche Quellen das unterschiedlich einschätzen und noch kein Gerichtsurteil dazu vorliegt. Für dich als Website-Betreiber heißt das: mehrere Datenschutzpflichten gleichzeitig, aber keine hundertprozentig eindeutige Vorgabe bei den Cookies – dazu später mehr im Abschnitt zu den Cookies.
Cookies
Setzt Cloudflare Turnstile Cookies?
Cloudflare Turnstile setzt beim Laden der Seite eigene Cookies zur Bot-Erkennung, unter anderem einen Cookie namens cf_clearance. Ob diese Cookies eine Einwilligung im Cookie-Banner brauchen, lässt sich aus den verfügbaren Quellen nicht sicher ableiten.
Ein Teil der Fachliteratur stuft sie als technisch notwendig ein, weil sie ausschließlich der Bot-Abwehr dienen. Ein anderer Teil argumentiert, dass die zugrunde liegende Auswertung von Geräte- und Browser-Merkmalen eine Art Wiedererkennung darstellt, die eine Einwilligung erfordert – ein Gericht hat diese Frage bislang nicht entschieden.
Für dich bedeutet das: Behandle diese Cookies im Zweifel als zustimmungspflichtig. Dein Cookie-Banner muss sie dann blockieren, bis der Besucher zustimmt. Das kostet dich im schlimmsten Fall ein paar Sekunden Ladezeit für nicht-einwilligende Besucher – die sichere Seite ist das allemal, verglichen mit dem Risiko, dass sich die rechtliche Einschätzung später ändert.
Externe Verbindungen
Baut Cloudflare Turnstile externe Verbindungen auf?
Cloudflare Turnstile lädt sein Skript von Cloudflare-Servern, sobald die Seite mit dem Widget aufgerufen wird – nicht erst, wenn jemand ein Formular abschickt. Diese Verbindung ist nicht notwendig, damit deine Website grundsätzlich funktioniert, deshalb ist sie kein Fall für „unbedingt zulassen“. Dein Cookie-Banner muss diese Verbindung blockieren, bis der Besucher zustimmt.
Benutzereingaben
Werden Formulareingaben an Cloudflare übertragen?
Cloudflare Turnstile stellt selbst keine Formularfelder bereit und verarbeitet keine Eingaben wie Namen, E-Mail-Adressen oder Nachrichten. Dieser Punkt trifft für Turnstile nicht zu.
Drittlandtransfer
Werden Daten durch Cloudflare Turnstile in die USA übertragen?
Cloudflare Turnstile überträgt die erfassten Geräte- und Browserdaten an Cloudflare, ein Unternehmen mit Sitz in den USA. Damit gehen Daten deiner Website-Besucher in ein Land außerhalb der EU.
Cloudflare hat mit der EU vereinbart, dass solche Datenübertragungen unter bestimmten Voraussetzungen erlaubt sind, und bietet dafür entsprechende Verträge an. Diese Vereinbarung ändert nichts daran, dass du die Übertragung in deiner Datenschutzerklärung nennen musst.
Auftragsverarbeitung
Brauche ich einen Vertrag mit Cloudflare für Turnstile?
Cloudflare verarbeitet Besucherdaten deiner Website in deinem Auftrag, wenn Turnstile aktiv ist. Dafür ist ein Auftragsverarbeitungsvertrag mit Cloudflare gesetzlich vorgeschrieben.
Den Vertrag schließt du direkt mit Cloudflare ab: Öffne cloudflare.com/cloudflare-customer-dpa/, lies den Vertrag und bestätige ihn per Klick – das passiert automatisch, wenn du ein Turnstile-Widget im Cloudflare-Dashboard erstellst und den Nutzungsbedingungen zustimmst. Bewahre eine Kopie auf, damit du sie bei einer Prüfung durch Behörden vorlegen kannst.
Datenschutzerklärung
Muss Cloudflare Turnstile in die Datenschutzerklärung?
Cloudflare Turnstile muss in deine Datenschutzerklärung, weil Cloudflare in deinem Auftrag Besucherdaten verarbeitet und diese Daten in die USA übertragen werden. Folgende Angaben gehören in den Eintrag:
- Zweck: Bot-Schutz und Spam-Abwehr auf deiner Website
- Rechtsgrundlage: Berechtigtes Interesse (Schutz der Website vor automatisierten Angriffen)
- Empfänger: Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA
- Drittlandtransfer: Datenübertragung in die USA auf Basis von EU-Standardvertragsklauseln und EU-US Data Privacy Framework
Wir nutzen Cloudflare Turnstile für CAPTCHA & Bot-Schutz.
Cloudflare Turnstile stellt beim Laden der Website automatisch eine Verbindung zu Servern von Cloudflare, Inc. her. Diese Verbindung ist technisch notwendig und erfolgt auf Grundlage unseres berechtigten Interesses an einer funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Im Rahmen der Nutzung von Cloudflare Turnstile werden Daten an Cloudflare, Inc. übermittelt. Soweit Cloudflare, Inc. diese Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Alternative
Gibt es datenschutzfreundlichere Alternativen zu Cloudflare Turnstile?
Hier siehst du, wo Cloudflare Turnstile im DSGVO-Vergleich zu anderen CAPTCHA & Bot-Schutz steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder Cloudflare Turnstile in Sachen Datenschutz bereits gut aufgestellt ist.
Fehler
Welche Fehler kommen bei Cloudflare Turnstile in unseren DSGVO-Checks am häufigsten vor?
Cloudflare Turnstile taucht bei 3 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Cloudflare Turnstile gefunden wurde.
DSGVO-Check
So erkennst du Cloudflare Turnstile auf deiner Website
Cloudflare Turnstile verrät sich über externe Verbindungen: Öffne in deinem Browser die Entwicklertools (Taste F12) und wechsle zum Tab „Netzwerk“. Lade die Seite neu und schaue, welche Verbindungen deine Website aufbaut. Eine Anfrage an challenges.cloudflare.com ist ein sicheres Zeichen dafür, dass Cloudflare Turnstile aktiv ist. Einen vollständigen Scan aller Drittdienste auf deiner Website macht datenrein.de für dich automatisch.
