Cloudflare mischt bei jedem Seitenaufruf mit – ganz ohne Cookie-Banner
Cloudflare ist eines der Tools, bei denen Website-Betreiber oft achselzuckend reagieren, weil kein Cookie-Banner aufpoppt und kein Consent-Klick nötig ist. Trotzdem läuft im Hintergrund bei jedem einzelnen Seitenaufruf etwas mit, das du dokumentieren musst: Cloudflare sieht und verarbeitet den kompletten Datenverkehr deiner Besucher, bevor er überhaupt bei deiner Website ankommt. Kein Grund zur Panik, aber auch kein Fall, den du einfach ignorieren kannst.
Überblick
Was ist Cloudflare?
Cloudflare ist ein Netzwerk- und Sicherheitsdienst, den viele Websites vorschalten, um schneller zu laden und sich vor Angriffen zu schützen. Technisch funktioniert das über einen sogenannten Reverse Proxy: Der gesamte Datenverkehr zwischen deiner Website und ihren Besuchern läuft zuerst über die Server von Cloudflare, bevor er weitergeleitet wird.
| Cloudflare – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟢 | Alle gesetzten Cookies sind reine Sicherheits- und Technik-Cookies, keine Zustimmung nötig. |
| Externe Verbindungen | 🔴 | Bei jedem Seitenaufruf werden automatisch Daten an Cloudflare übertragen. |
| Datenschutzerklärung | 🔴 | Cloudflare muss namentlich genannt werden. |
| Drittlandtransfer | 🔴 | Datenverarbeitung in den USA. |
| Auftragsverarbeitung | 🔴 | Ein Vertrag mit Cloudflare ist Pflicht. |
| Benutzereingaben | 🟢 | Cloudflare bietet selbst keine Eingabefunktion für Besucher. |
| KI-Verarbeitung | 🟢 | Keine besucherbezogene KI-Funktion vorhanden. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was passiert mit den Daten deiner Website-Besucher?
Sobald jemand deine Website aufruft, geht die Anfrage zuerst bei Cloudflare ein und wird von dort erst an deinen eigentlichen Server weitergereicht. Dabei sieht Cloudflare automatisch die IP-Adresse des Besuchers, den verwendeten Browser, das Betriebssystem, die aufgerufene Seite und die Referrer-URL – also woher der Besucher kam. Das passiert bei jedem einzelnen Aufruf, unabhängig davon, ob der Besucher irgendetwas anklickt oder ausfüllt.
Cloudflare setzt dabei ein paar Cookies, die aber ausschließlich der Sicherheit und der technischen Steuerung dienen – etwa um Bots von echten Besuchern zu unterscheiden oder um Anfragen an den richtigen Server weiterzuleiten. Keines dieser Cookies dient der Werbung oder Statistik, deshalb braucht keines davon eine Zustimmung im Cookie-Banner.
Die eigentliche Datenschutz-Aufgabe liegt woanders: Cloudflare Inc. sitzt in den USA, verarbeitet die beschriebenen Verbindungsdaten dort, und dafür brauchst du sowohl einen Vertrag mit Cloudflare als auch einen Eintrag in deiner Datenschutzerklärung.
Externe Verbindungen
Muss mein Cookie-Banner die Verbindung zu Cloudflare blockieren?
Die Verbindung zu Cloudflare ist keine zusätzliche, optionale Funktion wie ein eingebettetes Video oder eine Landkarte, die du auch weglassen könntest. Cloudflare liefert bei aktivierter Nutzung deine Website überhaupt erst aus – ohne diese Verbindung würden Besucher deine Seite gar nicht erreichen.
Laut e-recht24.de verarbeitet Cloudflare dabei automatisch personenbezogene Daten wie die IP-Adresse, den Browsertyp und die Referrer-URL deiner Besucher. Weil die Verbindung technisch notwendig für den Betrieb deiner Website ist und noch bevor irgendetwas auf deiner Website läuft, zustande kommt, kann dein Cookie-Banner sie gar nicht erst blockieren.
Du musst hier also nichts einstellen oder sperren – die Verbindung gehört aber trotzdem in deine Datenschutzerklärung, weil dabei personenbezogene Daten fließen.
Drittlandtransfer
Werden die Daten meiner Besucher in die USA übertragen?
Cloudflare Inc. hat seinen Sitz in den USA, und genau dorthin gehen auch die Verbindungsdaten deiner Besucher. Nach Angaben von e-recht24.de ist diese Übertragung zulässig, weil Cloudflare sich einer Vereinbarung zwischen der EU und den USA angeschlossen hat, die solche Datentransfers unter bestimmten Voraussetzungen erlaubt.
Das lässt sich auch direkt bei der zuständigen US-Behörde nachprüfen: Cloudflare Inc. ist dort aktuell als teilnehmendes Unternehmen gelistet. Für dich als Website-Betreiber heißt das konkret: Du darfst Cloudflare einsetzen, musst die USA als Zielland aber in deiner Datenschutzerklärung nennen.
Auftragsverarbeitung
Brauchst du einen Vertrag mit Cloudflare?
Weil Cloudflare in deinem Auftrag personenbezogene Daten deiner Besucher verarbeitet, schreibt Artikel 28 DSGVO einen Vertrag zur Auftragsverarbeitung vor, wie e-recht24.de bestätigt. Cloudflare stellt diesen Vertrag direkt online zum Abschluss bereit, du musst ihn also nicht selbst aufsetzen, sondern nur bei Cloudflare abschließen und für dich aufbewahren.
Datenschutzerklärung
Musst du Cloudflare in deiner Datenschutzerklärung nennen?
Cloudflare muss namentlich in deiner Datenschutzerklärung stehen. e-recht24.de stellt das ausdrücklich klar, weil Cloudflare bei jedem Seitenaufruf automatisch personenbezogene Daten verarbeitet und diese Daten in die USA gehen. Trag auf, welche Daten dabei anfallen, dass ein Vertrag zur Auftragsverarbeitung mit Cloudflare besteht, und dass die Verarbeitung in den USA stattfindet.
Wir nutzen Cloudflare.
Cloudflare stellt beim Laden der Website eine Verbindung zu Servern von Cloudflare Inc. her, die nicht technisch notwendig ist und für die deine Einwilligung erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Bei der Nutzung von Cloudflare kann eine Übermittlung personenbezogener Daten in die USA stattfinden. Grundlage der Übermittlung ist das EU-US Data Privacy Framework.
Im Rahmen der Nutzung von Cloudflare werden Daten an Cloudflare Inc. übermittelt. Soweit Cloudflare Inc. diese Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Fehler
Welche Fehler kommen bei Cloudflare in unseren DSGVO-Checks am häufigsten vor?
Cloudflare taucht bei 16 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Cloudflare gefunden wurde.
DSGVO-Check
Was bringt dir der DSGVO-Check zu Cloudflare?
Ob Cloudflare auf deiner Website aktiv ist und welche Cookies dabei tatsächlich gesetzt werden, siehst du erst mit einem echten Scan – ein Blick in den Quellcode reicht dafür nicht, weil Cloudflare größtenteils im Hintergrund arbeitet. Der DSGVO-Check von datenrein.de findet solche Verbindungen automatisch und zeigt dir direkt, was daraus für deine Datenschutzerklärung folgt, statt dass du das selbst zusammensuchen musst. Jeder Scan liefert uns außerdem echte Signale, die wir bekannten Tools wie Cloudflare zuordnen oder als neuen Fall für weitere Recherchen aufnehmen – dadurch wird die Erkennung mit der Zeit für alle genauer, die ihre Website hier prüfen.
