Cloudflare DSGVO-konform einrichten lassen
Deine Website ist geschützt, und jede Nachfrage zum Datenschutz beantwortest du mit einem fertigen Dokument. Ich richte Cloudflare so ein, dass dein Datenschutzbeauftragter zustimmen kann.
Passt zu deiner Website auf
Woran du merkst, dass dein Datenschutz bei Cloudflare Lücken hat
Diese Fragen kommen fast immer, sobald Cloudflare vor einer Website läuft.
Dein Datenschutzbeauftragter fragt, ob es mit Cloudflare einen AV-Vertrag gibt.
In deiner Datenschutzerklärung steht Cloudflare nicht, obwohl es vor deiner Website läuft.
Niemand weiß, welche Cookies Cloudflare setzt und ob dafür ein Banner nötig ist.
Google Analytics startet, bevor jemand im Cookie-Banner zugestimmt hat.
Dein Datenschutzbeauftragter bekommt alles, was er prüfen will
Cloudflare erfährt über deine Besucher nur das Nötigste: IP-Adresse, aufgerufene Seite, Browser. Für alles, was dazu gefragt wird, bekommst du ein Dokument.
Cloudflare hat den Vertrag zur Auftragsverarbeitung in die Nutzungsbedingungen aufgenommen, auch im kostenlosen Tarif. Ich lege die aktuelle Fassung für dein Verzeichnis der Verarbeitungstätigkeiten ab.
- Vertrag zur Auftragsverarbeitungliegt vor
- Verzeichnis der Verarbeitungeneingetragen
- Eigene Verhandlung nötignein
Mehr, was Cloudflare für deine Website erledigt
Alles läuft im selben Cloudflare-Konto. Was du heute einrichtest, lässt sich später ergänzen.
- AnsehenCloudflare ZarazTracking über deine eigene Domain, erst nach Zustimmung.
- AnsehenDDoS-SchutzDeine Website bleibt bei Überlastungsangriffen erreichbar.
- AnsehenCloudflare WAFAngriffe und Passwort-Raten bleiben vor deinem Server.
- AnsehenCloudflare TurnstileEchte Anfragen statt Spam, ohne Bilderrätsel.
- AnsehenCloudflare WorkersKleine Aufgaben laufen bei Cloudflare, ohne Server.
Ich sage dir auch, wann Cloudflare nicht reicht
Daten dürfen die EU nie verlassen
Dafür bietet Cloudflare die Data Localization Suite an. Sie gibt es nur im Enterprise-Tarif, also mit eigenem Vertrag und deutlich höheren Kosten. Für Kliniken, Behörden oder Kanzleien kann sich das lohnen.
Dein Datenschutzbeauftragter lehnt US-Anbieter ab
Dann empfehle ich einen europäischen Anbieter für Schutz und Auslieferung. Das sage ich dir im ersten Gespräch, bevor du Geld ausgibst.
Ich bin kein Anwalt. Die rechtliche Freigabe gibt dein Datenschutzbeauftragter.
So läuft die Einrichtung
Am Ende hast du alle Unterlagen in einem Ordner.
- 01ErstgesprächWir sehen uns in 30 Minuten an, welche Dienste auf deiner Website laufen und was dein Datenschutzbeauftragter verlangt.
- 02Angebot zum FestpreisDu bekommst schriftlich, was ich einrichte und welche Unterlagen du danach in der Hand hast.
- 03Einrichtung und UnterlagenIch richte Cloudflare ein und gebe dir AV-Vertrag, Text für die Datenschutzerklärung und die Cookie-Liste in einem Ordner.
Festpreis nach dem Erstgespräch
Cloudflare selbst ist für die meisten Firmenwebsites kostenlos. Umfang, Preis und Unterlagen bekommst du schriftlich, bevor ich anfange.
Fragen zu Cloudflare und Datenschutz
Christian Schmitt antwortetCloudflare lässt sich DSGVO-konform einsetzen. Dafür brauchst du den AV-Vertrag, eine abgesicherte Übermittlung in die USA, einen Eintrag in der Datenschutzerklärung und eine Einwilligung, bevor Tracking-Dienste Daten bekommen. Ob das für dein Unternehmen reicht, entscheidet am Ende dein Datenschutzbeauftragter.
Christian Schmitt antwortetJa, weil Cloudflare die IP-Adressen deiner Besucher in deinem Auftrag verarbeitet. Den Vertrag musst du nicht verhandeln: Cloudflare hat ihn in die Nutzungsbedingungen aufgenommen, auch für den kostenlosen Tarif. Ich lege die aktuelle Fassung in deine Unterlagen.
Christian Schmitt antwortetCloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Zusätzlich gelten die Standardvertragsklauseln der EU als Rückfallebene. Beides steht im AV-Vertrag.
Christian Schmitt antwortetJa. Dort steht, dass Cloudflare als Auftragsverarbeiter eingesetzt wird, welche Daten anfallen, dass Daten in die USA gehen können und auf welcher Rechtsgrundlage das passiert. Für Schutz und Auslieferung ist das in der Regel das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO. Dein Datenschutzbeauftragter prüft den Text und gibt ihn frei.
Christian Schmitt antwortetFür den Schutz in der Regel nicht. Cloudflare setzt zum Beispiel für den Bot-Schutz das Cookie __cf_bm und stuft seine Cookies als technisch notwendig ein. Du solltest sie aber in der Datenschutzerklärung nennen. Ein Banner brauchst du, sobald Analytics oder Werbe-Pixel laufen.
Christian Schmitt antwortetDie DNS-Verwaltung deiner Domain bei Cloudflare verarbeitet kaum personenbezogene Daten, weil Anfragen meist von den DNS-Servern der Internetanbieter kommen und nicht direkt von deinen Besuchern. Sie fällt unter denselben AV-Vertrag wie der Rest.
Christian Schmitt antwortetCloudflare ist ein US-Unternehmen, US-Behörden können also Daten anfordern. Für die meisten Firmenwebsites gilt das Risiko als gering, weil Cloudflare kaum mehr als IP-Adressen und Logdaten hat. Wenn du Gesundheits- oder Mandantendaten über die Website verarbeitest, sprich das mit deinem Datenschutzbeauftragten ab.
