Cloudflare und DSGVO: Was Sie als Shop-Betreiber prüfen müssen, bevor Sie den Dienst einschalten

Cloudflare lässt sich in einem Onlineshop DSGVO-konform einsetzen, aber nicht durch bloßes Einschalten. Der Anbieter ist unter dem EU-US Data Privacy Framework zertifiziert. Den Eintrag haben wir am 5. September 2026 geprüft: Er ist aktiv. Sein Auftragsverarbeitungsvertrag gilt per Verweis mit dem Nutzungsvertrag. Die Standardvertragsklauseln sind als Rückfall eingebaut. Was bleibt, liegt bei Ihnen: Datenschutzerklärung, Verarbeitungsverzeichnis, Cookie-Angaben. Dazu kommt die Entscheidung, ob eine Verarbeitung außerhalb der EU für Ihren Shop tragbar ist. Ausschließlich in der EU verarbeitet Cloudflare nur im Enterprise-Plan.

Rechtsstand am 5. September 2026: Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework gilt. Das Gericht der Europäischen Union hat die Klage dagegen am 3. September 2025 abgewiesen (Rechtssache T-553/23); das Rechtsmittel C-703/25 P ist seit dem 31. Oktober 2025 anhängig und nicht entschieden. Alle Angaben zu Cloudflare stammen aus den am 5. September 2026 abgerufenen Originaldokumenten. Dieser Beitrag ist allgemeine Information und ersetzt keine Rechtsberatung.

1. Was Cloudflare verarbeitet: Reverse Proxy, IP-Adressen, Header, Logs

Als Reverse Proxy nimmt Cloudflare jede Anfrage an Ihren Shop entgegen, bevor sie Ihren Server erreicht. Dabei verarbeitet der Dienst die IP-Adresse des Besuchers, Anfragedaten wie URL und Zeitstempel sowie Browser- und Verbindungsmerkmale. Nach der Entschlüsselung am Netzwerkrand verarbeitet er auch den Inhalt der Anfrage selbst. Diese Daten sind personenbezogen. Verantwortlicher dafür bleiben Sie, nicht Cloudflare.

Cloudflare beschreibt die eigene Rolle so: Steht ein DNS-Eintrag auf „proxied“, läuft „the record's HTTP/HTTPS traffic“ zwischen Client und Ursprungsserver durch Cloudflare (Quelle: Cloudflare Docs, How Cloudflare works). Damit die Web Application Firewall prüfen kann, hebt Cloudflare die Verschlüsselung dort auf. Die Doku zu Regional Services nennt das TLS-Terminierung: „the point at which encrypted HTTPS traffic is decrypted so Cloudflare can inspect and apply your security rules“. Formulareingaben, Login-Daten und Checkout-Inhalte passieren das Cloudflare-Netz also lesbar. Das ist die Funktionsweise. Deshalb gehört sie in Ihre Dokumentation.

Dass eine IP-Adresse personenbezogen ist, folgt aus Artikel 4 Nummer 1. Identifizierbar ist, wer „direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung“ identifiziert werden kann (Quelle: konsolidierte Fassung der Verordnung auf EUR-Lex). Cloudflare selbst nennt in Anhang 1 des Auftragsverarbeitungsvertrags „Customer Logs, such as IP addresses“ als Datenkategorie. Die Privacy Policy stellt klar, Cloudflare habe „no direct relationship with End Users“. Die Besucher Ihres Shops sind Ihre betroffenen Personen.

Ein Detail aus Anhang 1: Cloudflare rechnet damit, dass in den durchgeleiteten Inhalten auch besondere Kategorien personenbezogener Daten stecken können. Ein Beispiel sind Daten zur Gesundheit. Wer Medizinprodukte oder Beratungsformulare anbietet, benennt diesen Fall in der eigenen Risikobetrachtung.

2. Drittlandtransfer: Data Privacy Framework, Standardvertragsklauseln und das Restrisiko

Die Übermittlung in die USA stützt sich auf zwei Ebenen. Die erste ist der Angemessenheitsbeschluss der Kommission zum EU-US Data Privacy Framework. In der Liste dieses Rahmens steht Cloudflare, Inc. als aktiver Teilnehmer. Die zweite sind die Standardvertragsklauseln. Der Auftragsverarbeitungsvertrag vereinbart sie für den Fall, dass die Zertifizierung wegfällt. Beide Ebenen sind dokumentiert. Ein Restrisiko bleibt, weil der Beschluss erneut vor Gericht liegt.

Artikel 44 setzt den Rahmen. Dort heißt es: „Jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, ist nur zulässig, wenn der Verantwortliche und der Auftragsverarbeiter die in diesem Kapitel niedergelegten Bedingungen einhalten.“ Die einfachste Bedingung nennt Artikel 45 Absatz 1. Liegt ein Angemessenheitsbeschluss vor, „bedarf“ die Übermittlung „keiner besonderen Genehmigung“.

Für die USA gibt es diesen Beschluss: den Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023. Sein Artikel 1 beschränkt die Angemessenheit auf Organisationen, „die in der vom U.S. Department of Commerce (Handelsministerium) geführten und öffentlich zugänglichen ‚Data Privacy Framework List‘ (Datenschutzrahmen-Liste) nach Anhang I Abschnitt I.3 aufgeführt sind“ (Quelle: Durchführungsbeschluss (EU) 2023/1795 auf EUR-Lex). Der Beschluss gilt also nur für gelistete Firmen, nicht für jeden US-Anbieter. Deshalb haben wir den Eintrag am 5. September 2026 selbst gelesen (Quelle: Eintrag von Cloudflare, Inc. in der Data Privacy Framework List):

Die zweite Ebene: Standardvertragsklauseln als Rückfall

Artikel 46 Absatz 1 regelt den Fall ohne Angemessenheitsbeschluss. Übermittelt werden darf nur, „sofern der Verantwortliche oder der Auftragsverarbeiter geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen“. Absatz 2 Buchstabe c nennt dafür „Standarddatenschutzklauseln, die von der Kommission“ erlassen werden. Genau diese Klauseln hat Cloudflare eingebaut. Ziffer 6.2 des Data Processing Addendum vereinbart die Klauseln aus dem Beschluss 2021/914: Modul 2 für Sie als Verantwortlichen, Modul 3, wenn Sie selbst Auftragsverarbeiter sind. Ziffer 6.4 stellt klar, dass Übermittlungen unter dem Data Privacy Framework kein „Restricted Transfer“ sind. Läuft die Zertifizierung aus, informiert Cloudflare Sie. Dann greifen sofort die Klauseln (Quelle: Cloudflare Customer DPA, Version 6.4). Der Trust Hub bestätigt diese Reihenfolge. Für Ihre Akte heißt das: Sie benennen beide Grundlagen, ohne wählen zu müssen.

Warum ein Restrisiko bleibt

Die beiden Vorgängerbeschlüsse für die USA hat der Gerichtshof in Schrems I und Schrems II für ungültig erklärt. Den aktuellen Beschluss hat das Gericht der Europäischen Union am 3. September 2025 bestätigt. Es „dismisses the action for annulment“ des Abgeordneten Philippe Latombe (Quelle: Pressemitteilung Nr. 106/25 des Gerichts, PDF). Dieselbe Mitteilung nennt die Rechtsmittelfrist von zwei Monaten und zehn Tagen. Das Rechtsmittel wurde eingelegt: Die Rechtssache C-703/25 P ist laut Amtsblatt am 31. Oktober 2025 beim Gerichtshof eingegangen (Quelle: Amtsblatt C/2025/6610 vom 22. Dezember 2025). Am 5. September 2026 ist sie nicht entschieden. Einen Termin gibt es nicht.

Zwei Punkte gehören zur ehrlichen Einordnung. Ihr Vertragspartner ist Cloudflare, Inc. in San Francisco. So steht es in Anhang 1 des Vertrags. Die Cloudflare Germany GmbH in München erscheint nur als Kontaktadresse und als Konzern-Sub-Prozessor. Und die Verarbeitung ist per Voreinstellung weltweit verteilt. Cloudflare nennt Rechenzentren in mehr als 330 Städten. Laut Cookie-Doku verarbeitet Cloudflare Cookie-Daten „by default“ im US-Rechenzentrum. Wer das ändern will, landet in Abschnitt 6.

3. Der AVV nach Artikel 28: Wie der Vertrag mit Cloudflare zustande kommt

Der Auftragsverarbeitungsvertrag heißt bei Cloudflare Data Processing Addendum, kurz DPA. Aktuell gilt Version 6.4 vom 3. April 2026. Für Free-, Pro- und Business-Kunden gilt er automatisch: Ziffer 6.1 des Self-Serve Subscription Agreement bezieht ihn per Verweis ein. Sie müssen nichts unterschreiben. Laden Sie das Dokument aber mit Versionsstand herunter und legen Sie es ab. Im Streitfall zählt die Fassung, die zum Zeitpunkt der Verarbeitung galt.

Die Pflicht steht in Artikel 28 Absatz 1. Ein Verantwortlicher arbeitet „nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt“. Absatz 9 verlangt Schriftform, „was auch in einem elektronischen Format erfolgen kann“. Eine Unterschrift verlangt er nicht.

Der Mechanismus steckt in zwei Dokumenten. Das Self-Serve Subscription Agreement trägt den Stand 12. September 2025. Seine Ziffer 6.1 bestimmt: Enthalten Ihre Inhalte personenbezogene Daten europäischer Betroffener, handelt Cloudflare als Auftragsverarbeiter nach dem Data Processing Addendum, „which is hereby incorporated by reference into this Agreement“ (Quelle: Cloudflare Self-Serve Subscription Agreement). Das DPA erklärt umgekehrt, es „forms part of the Main Agreement“. Enterprise-Kunden mit dem Standardvertrag seit dem 8. August 2019 sind laut Trust Hub ebenfalls abgedeckt. Ältere oder individuell verhandelte Verträge klärt der Ansprechpartner. Die allgemeine Prüfliste zu Artikel 28 steht im Beitrag zum Auftragsverarbeitungsvertrag. Hier ihre Anwendung auf das Cloudflare-Dokument:

Sub-Prozessoren: die Liste, die niemand abonniert

Artikel 28 Absatz 2 erlaubt weitere Auftragsverarbeiter nur mit „vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung“. Bei der allgemeinen Variante muss der Anbieter „über jede beabsichtigte Änderung“ informieren. Cloudflare nutzt diese Variante: In Ziffer 4.3 genehmigen Sie Konzerngesellschaften, Rechenzentrumsbetreiber und Dienstleister für Betrieb, Entwicklung und Support. Ziffer 4.4 legt fest, dass neue Sub-Prozessoren mindestens 30 Tage vor Beginn der Verarbeitung in der öffentlichen Liste stehen. Binnen zehn Tagen können Sie schriftlich widersprechen. Die Liste trägt den Stand 1. Oktober 2025 (Quelle: Cloudflare Sub-Processors, Cloudflare services):

Eine Benachrichtigung per E-Mail sieht der Vertrag nicht vor. Die Zehn-Tage-Frist läuft ab Veröffentlichung. Notieren Sie das Datum der Liste in der Akte. Vergleichen Sie es bei der jährlichen Wiedervorlage.

4. Datenschutzerklärung nach Artikel 13: Pflichtangaben und ein Formulierungsvorschlag

Artikel 13 verlangt, dass Sie Besucher beim Erheben ihrer Daten informieren. Dazu gehören Angaben zu Ihnen als Verantwortlichem, zu Zweck, Rechtsgrundlage und Empfängern. Ausdrücklich genannt ist die Absicht, Daten in ein Drittland zu übermitteln, samt Angemessenheitsbeschluss oder Garantien. Für Cloudflare heißt das ein eigener Absatz mit Anbieter, Datenarten, Zweck, Rechtsgrundlage, USA-Transfer, Speicherkriterien und Cookies. Er muss online sein, bevor die erste Anfrage über Cloudflare läuft.

Der entscheidende Buchstabe ist Absatz 1 Buchstabe f. Mitzuteilen ist „die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 […] einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist“. Absatz 2 Buchstabe a verlangt die Speicherdauer „oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer“. Das ist bei Cloudflare der Fall. Die Privacy Policy nennt keine feste Frist, sondern Kriterien wie Geschäftszwecke und gesetzliche Pflichten.

Zur Rechtsgrundlage: In der Praxis stützen Betreiber einen Sicherheits- und Auslieferungsdienst auf Artikel 6 Absatz 1 Buchstabe f, das berechtigte Interesse an Angriffsabwehr und Verfügbarkeit. Das ist eine Abwägung, die Sie dokumentieren. Eine Tatsache, die wir hier feststellen können, ist es nicht. Der folgende Baustein ist unsere eigene Formulierung, keine Kopie eines Musters. Er geht von DNS, CDN, Firewall und Bot-Schutz aus. Streichen Sie, was Sie nicht einsetzen:

Cloudflare (Auslieferungsnetz, Firewall und Schutz vor Angriffen)

Wir nutzen für diese Website den Dienst Cloudflare der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Cloudflare arbeitet als sogenannter Reverse Proxy: Jede Anfrage an unsere Website läuft über das Netzwerk von Cloudflare, bevor sie unseren Server erreicht. Dabei verarbeitet Cloudflare Ihre IP-Adresse, die aufgerufene Adresse, Datum und Uhrzeit der Anfrage, Angaben zu Browser und Gerät sowie den Inhalt der Anfrage, um Angriffe abzuwehren, automatisierte Zugriffe zu erkennen und die Website schnell und stabil auszuliefern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Abwehr von Angriffen und in der Verfügbarkeit unseres Angebots. Cloudflare setzt dafür technisch notwendige Cookies, insbesondere „__cf_bm“ (Laufzeit 30 Minuten nach der letzten Aktivität) und, sofern eine Sicherheitsprüfung ausgelöst wird, „cf_clearance“. Die Daten können in die USA übermittelt und dort verarbeitet werden. Die Europäische Kommission hat für die USA einen Angemessenheitsbeschluss erlassen (EU-US Data Privacy Framework); Cloudflare, Inc. ist unter diesem Rahmen zertifiziert. Ergänzend haben wir mit Cloudflare einen Auftragsverarbeitungsvertrag geschlossen, der die Standardvertragsklauseln der Europäischen Kommission enthält; eine Kopie stellen wir Ihnen auf Anfrage zur Verfügung. Cloudflare speichert die Daten nur so lange, wie es für die genannten Zwecke und zur Erfüllung gesetzlicher Pflichten erforderlich ist. Weitere Informationen: Datenschutzrichtlinie von Cloudflare (öffnet in neuem Tab).

Zusatz bei Turnstile: In unseren Formularen setzen wir Cloudflare Turnstile ein, um automatisierte Eingaben zu erkennen. Turnstile verarbeitet dafür Ihre IP-Adresse, Merkmale Ihres Browsers und Ihrer Verbindung sowie einen unserer Website zugeordneten Schlüssel; Ihre Formulareingaben werden nicht an Cloudflare übertragen. Es gelten die oben genannten Angaben zu Rechtsgrundlage, Übermittlung und Auftragsverarbeitung.

Der Satz zur Kopie erfüllt Buchstabe f. Alternativ verlinken Sie das öffentlich abrufbare DPA, das die Klauseln enthält. Ergänzen Sie parallel den Eintrag im Verarbeitungsverzeichnis nach Artikel 30. Eine Prüfung fragt nach beiden Dokumenten.

5. Cookies, Turnstile und § 25 TDDDG

Cloudflare setzt je nach Funktion mehrere Cookies. Die wichtigsten sind __cf_bm für den Bot-Schutz und cf_clearance nach einer bestandenen Sicherheitsprüfung. Der Anbieter stuft sie als unbedingt erforderlich ein. § 25 TDDDG verlangt für das Speichern von Informationen auf dem Endgerät eine Einwilligung. Die Ausnahme: Das Speichern ist unbedingt erforderlich für einen ausdrücklich gewünschten Dienst. Diese Einordnung treffen und dokumentieren Sie, nicht der Anbieter.

Die Norm im Wortlaut: „Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.“ Die Ausnahme in Absatz 2 Nummer 2 greift, „wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann“ (Quelle: § 25 TDDDG bei gesetze-im-internet.de).

Cloudflare verortet seine Cookies genau in dieser Ausnahme. In der Doku vom 5. Mai 2026 heißt es: „all the cookies listed below are strictly necessary to provide the services requested by our customers“. Dazu kommt der Zusatz, Kunden sollten die Cookies offenlegen, weil sie „in some jurisdictions“ dazu verpflichtet sein könnten (Quelle: Cloudflare Docs, Cloudflare Cookies). Zwei Dinge sind zu trennen. Die Einstufung „strictly necessary“ beschreibt die Funktion: Ohne __cf_bm arbeitet der Bot-Schutz nicht. Ob ein Sicherheits-Cookie „unbedingt erforderlich“ für den gewünschten Dienst ist, sagt das Gesetz nicht ausdrücklich. Eine Behördenentscheidung speziell zu Cloudflare-Cookies liegt uns nicht vor. Wir behaupten deshalb keine sichere Einwilligungsfreiheit. Wir raten: im Consent-Werkzeug unter den notwendigen Cookies führen, die Begründung dokumentieren, vom Datenschutzbeauftragten bestätigen lassen.

Turnstile: was der Bot-Schutz in Formularen verarbeitet

Turnstile ist Cloudflares Captcha-Alternative. Im Free-Plan gibt es bis zu 20 Widgets und zehn Hostnamen je Widget (Doku-Stand 14. August 2026). Maßgeblich ist das Turnstile Privacy Addendum vom 18. Juni 2025. Es nennt die verarbeiteten Signale: „client IP address, TLS Fingerprint, User-Agent Header and Sitekey and associated origin“. Die Entwicklerdoku grenzt ab: Turnstile „does not access, store, or transmit user communications, form entries, or other page inputs“ (Quelle: Cloudflare Turnstile Privacy Addendum).

Bemerkenswert ist die Rollenverteilung, die das Addendum offenlegt. Für die Bot-Erkennung auf Ihrer Website ist Cloudflare „a data processor“ auf Ihre Weisung. Für die Verbesserung der eigenen Erkennung ist Cloudflare „a data controller“ mit eigenem berechtigten Interesse. Diese zweite Verarbeitung gehört in Ihre Datenschutzerklärung. Cookies setzt Turnstile laut Doku nur mit aktivierter Pre-Clearance. Dann stellt es cf_clearance für Ihre Cloudflare-Domains aus. Den Rahmen für das Consent-Werkzeug insgesamt beschreibt der Beitrag Cookie-Banner richtig umsetzen.

6. Verarbeitung nur in der EU: Data Localization Suite und Alternativen mit EU-Sitz

Sie wollen, dass Cloudflare Inhalte ausschließlich in der EU entschlüsselt und Protokolle nur dort speichert? Dann brauchen Sie die Data Localization Suite. Laut Dokumentation ist sie ein kostenpflichtiger Zusatz allein für den Enterprise-Plan. Für Free, Pro und Business bleibt es bei der weltweiten Verarbeitung. Anbieter mit Sitz in der EU sind eine Alternative. Die Prüfung ihrer Sub-Prozessoren und Vertragsunterlagen ersetzen sie aber nicht.

Die Doku nennt die Suite ein „Enterprise-only paid add-on“ mit drei Bausteinen (Quelle: Cloudflare Docs, Data Localization Suite). Wichtig ist die Grenze des ersten Bausteins. Regional Services nimmt den Verkehr weiter an jedem Standort an und wehrt Angriffe auf Netzwerkebene weltweit ab. Nur Entschlüsselung und Inhaltsprüfung finden in der gewählten Region statt. Die Doku nennt das „a compliance solution, not a performance optimization“.

Für einen mittelständischen Shop heißt das: Der Enterprise-Plan wird individuell vereinbart, die Suite kommt obendrauf. Wer EU-Verarbeitung als harte Anforderung hat, kalkuliert das ein. Oder er prüft Anbieter mit Sitz in der EU. Drei davon haben wir am 5. September 2026 ausschließlich auf ihren Sitz geprüft, nicht auf Leistung, Preise oder Sub-Prozessoren. Einen Produktvergleich können wir nicht belegen. Deshalb stellen wir ihn nicht an:

Ein EU-Sitz verkürzt die Prüfung, er ersetzt sie nicht. Auch ein europäischer Anbieter kann Sub-Prozessoren außerhalb der EU einsetzen. Auch mit ihm brauchen Sie Vertrag, Datenschutz-Absatz und Cookie-Einordnung. Nur die Fragen aus Abschnitt 2 können entfallen, sofern seine Unterlagen das hergeben.

Für die Wahl der Bauart lohnt ein Blick auf den Datenumfang. Ein CDN, das nur Bilder, Skripte und Schriften über eine eigene Subdomain ausliefert, sieht zwar ebenfalls die IP-Adresse jedes Besuchers, in der Regel aber keine Formulareingaben aus Checkout oder Login. Beide Bauarten mit ihren Vor- und Nachteilen erklärt unser herstellerneutraler Beitrag CDN erklärt: Wie ein Content Delivery Network funktioniert.

7. Die Reihenfolge in der Praxis: Cloudflare in einem JTL-Shop einführen

Die häufigste Fehlerquelle in unseren Projekten ist nicht ein fehlendes Dokument, sondern die Reihenfolge: Erst wird umgestellt, dann dokumentiert. Bei Cloudflare ist der Nameserver-Wechsel der Moment, ab dem jede Anfrage über den Dienst läuft. Ab diesem Moment müssen Datenschutzerklärung und Verzeichnis stimmen. Die Technik beschreibt unsere Leistungsseite Cloudflare für JTL-Shop. Hier die passende Reihenfolge für die Datenschutz-Seite:

1. Plan und Zweck festlegen: Nur DNS und Angriffsabwehr, zusätzlich Firewall-Regeln, Bot-Filter, Turnstile? Jede Funktion bringt eigene Datenflüsse und Cookies mit. Wer eine Verarbeitung nur in der EU braucht, landet beim Enterprise-Plan mit Data Localization Suite. Sonst ist weltweite Verarbeitung der Standard. Das muss die Dokumentation abbilden.
2. Vertrag sichern: Mit dem Akzeptieren des Self-Serve Subscription Agreement gilt das Data Processing Addendum. Speichern Sie die Fassung mit Versionsnummer und Datum, derzeit 6.4 vom 3. April 2026. Speichern Sie auch die Sub-Prozessoren-Seite mit ihrem Stand vom 1. Oktober 2025. Beides gehört als Kopie in die Datenschutzakte, nicht nur als Link.
3. Verarbeitungsverzeichnis ergänzen: Legen Sie einen Eintrag nach Artikel 30 für Cloudflare an. Zweck: Sicherheit und Auslieferung. Datenkategorien: aus Abschnitt 1. Empfänger: Cloudflare, Inc. in den USA. Grundlage der Übermittlung: Angemessenheitsbeschluss mit dem Prüfdatum des Listeneintrags. Rückfall: Standardvertragsklauseln im DPA.
4. Datenschutzerklärung vor dem Nameserver-Wechsel ergänzen: Passen Sie den Baustein aus Abschnitt 4 an die aktivierten Funktionen an. Die Information nach Artikel 13 muss zum Zeitpunkt der Erhebung vorliegen. Ein Cloudflare-Absatz, der erst Tage nach dem Umzug erscheint, ist an den Zeitstempeln erkennbar.
5. Consent-Werkzeug anpassen: Tragen Sie die Cloudflare-Cookies als notwendige Cookies ein. Dokumentieren Sie, warum Sie sie als unbedingt erforderlich nach § 25 Absatz 2 Nummer 2 TDDDG einordnen. Bei Turnstile kommt ein eigener Absatz zum Bot-Schutz in Formularen hinzu.
6. Technik datensparsam konfigurieren: HTML-Seiten cachen wir für JTL-Shop grundsätzlich nicht. Warenkorb, Login und Checkout sind personalisiert. Eine gecachte Seite mit fremden Kundendaten wäre eine Datenpanne. Der Wawi-Abgleich braucht eine IP-Zugriffsregel. Webhooks von Zahlungsanbietern brauchen eine Ausnahme im Bot-Filter.
7. DNS-Umzug mit allen Mail-Einträgen: Ab dem Wechsel verwaltet Cloudflare Ihre DNS-Zone. Übernehmen Sie SPF-, DKIM- und DMARC-Einträge vollständig. Sonst landen Bestell- und Versandmails im Spam.
8. Jährliche Wiedervorlage: Prüfen Sie DPA-Version, Stand der Sub-Prozessoren-Liste und den DPF-Eintrag. Die Liste nennt für Cloudflare den 23. September 2026 als nächste Fälligkeit der Erneuerung. Dazu kommt der Ausgang des Rechtsmittels C-703/25 P, der über den Angemessenheitsbeschluss entscheidet.

Zu Schritt 6 ein Beleg: Im JTL-Forum beschreibt ein Händler, dass der Wawi-Abgleich nach der Cloudflare-Aktivierung ausfiel. Er lief erst wieder, als eine Zugriffsregel für die IP-Adresse des Workers und ein hosts-Eintrag gesetzt waren. Ein JTL-Mitarbeiter bestätigte den Weg. Im selben Thread blockte der Super Bot Fight Mode die Webhooks eines Zahlungsanbieters (Quelle: JTL-Forum, Thread „Cloudflare und JTL Shop – Problem oder zu empfehlen?“). Ein Bot-Filter, der Zahlungsbestätigungen verwirft, erzeugt falsche Bestellstatus und Kundenanfragen. Das ist Datenverarbeitung, die niemand geplant hat. Zu Schritt 7 gehört der Beitrag zu DMARC, SPF und DKIM für Shop-Mails.

8. Fazit: Cloudflare ist prüfbar — und die Prüfung ist Ihre

Cloudflare liefert die Unterlagen, die eine Datenschutzprüfung verlangt:

• einen Auftragsverarbeitungsvertrag mit Standardvertragsklauseln,
• eine aktive Zertifizierung unter dem Data Privacy Framework,
• eine datierte Sub-Prozessoren-Liste,
• eine Cookie-Dokumentation,
• ein eigenes Addendum für Turnstile.

Das macht die Prüfung in einem Vormittag erledigbar. Es nimmt sie Ihnen nicht ab.

Drei Dinge nehmen Sie mit:

• Die Grundlage für den US-Transfer ist doppelt abgesichert, aber nicht endgültig. Das Rechtsmittel C-703/25 P ist offen. Notieren Sie es in der Wiedervorlage.
• Der Vertrag kommt per Verweis zustande. Ihre Aufgabe ist das Ablegen mit Versionsstand, nicht das Unterschreiben.
• Cloudflare entschlüsselt Ihren Datenverkehr und verarbeitet ihn per Voreinstellung weltweit. Wer das nicht will, zahlt Enterprise oder wählt einen Anbieter mit EU-Sitz. Auch dessen Unterlagen prüfen Sie genauso gründlich.

Sie möchten Cloudflare einführen, ohne dass die Datenschutzakte hinterherläuft? Wir setzen die Technik auf und dokumentieren die Datenflüsse. Die Unterlagen übergeben wir so, dass Ihre Kanzlei die rechtliche Bewertung darauf aufsetzen kann. Den Einstieg finden Sie bei Cloudflare für JTL-Shop. Die Sicherheitslage insgesamt behandelt der Leitfaden zur IT-Sicherheit im Mittelstand.

Alle Normzitate stammen aus der konsolidierten Fassung der Datenschutz-Grundverordnung auf EUR-Lex (öffnet in neuem Tab) und aus § 25 TDDDG. Die Cloudflare-Angaben haben wir am 5. September 2026 in den Originaldokumenten nachgelesen. Das jeweilige Stand-Datum steht im Text. Die vollständige Quellenliste finden Sie am Ende des Beitrags.

Hinweis: Dieser Artikel ist allgemeine Information und ersetzt keine Rechtsberatung. Er gibt den Stand vom 5. September 2026 wieder. Die Angaben zu Cloudflare beruhen auf dessen eigenen Dokumenten (DPA 6.4, Self-Serve-Vertrag, Sub-Prozessoren-Liste, Privacy Policy, Cookie- und Turnstile-Doku), abgerufen am selben Tag; Anbieter ändern ihre Bedingungen laufend. Rechtsgrundlage, Cookie-Einordnung und Restrisiko sind Fragen des Einzelfalls — ziehen Sie die verlinkten Originalquellen, Ihre zuständige Aufsichtsbehörde, Ihren Datenschutzbeauftragten oder eine rechtliche Beratung heran.

9. Häufige Fragen zu Cloudflare und Datenschutz

Ist Cloudflare DSGVO-konform?

Cloudflare erfüllt die formalen Voraussetzungen. Der Anbieter ist unter dem EU-US Data Privacy Framework zertifiziert. Er stellt einen Auftragsverarbeitungsvertrag mit Standardvertragsklauseln bereit und führt eine öffentliche Sub-Prozessoren-Liste. Ob Ihr Einsatz konform ist, entscheiden Sie. Dazu gehören Datenschutzerklärung, Verarbeitungsverzeichnis, Cookie-Angaben und eine dokumentierte Abwägung. Konformität ist eine Eigenschaft Ihres Setups, nicht des Produkts.

Ist Cloudflare Turnstile DSGVO-konform?

Turnstile verarbeitet laut Privacy Addendum vom 18. Juni 2025 Signale wie IP-Adresse, TLS-Fingerabdruck, User-Agent und Sitekey. Formulareingaben verarbeitet es nicht. Für den Bot-Schutz handelt Cloudflare als Auftragsverarbeiter. Für die Verbesserung des Dienstes handelt der Anbieter als eigener Verantwortlicher. Der Einsatz ist mit Datenschutzerklärung und Auftragsverarbeitungsvertrag möglich. Die Verarbeitung findet aber außerhalb der EU statt.

Wo sitzt Cloudflare?

Ihr Vertragspartner ist Cloudflare, Inc., 101 Townsend Street, San Francisco, Kalifornien. So steht es im Auftragsverarbeitungsvertrag. Daneben gibt es Tochtergesellschaften, darunter die Cloudflare Germany GmbH in München und Cloudflare Portugal in Lissabon. Diese Töchter sind als Sub-Prozessoren für den Support gelistet, nicht als Vertragspartner. Rechtlich bleibt es ein Vertrag mit einem US-Unternehmen.

Brauche ich mit Cloudflare einen Auftragsverarbeitungsvertrag?

Ja, und Sie haben ihn bereits, sobald Sie den Nutzungsvertrag akzeptieren. Ziffer 6.1 des Self-Serve Subscription Agreement bezieht das Data Processing Addendum in Version 6.4 vom 3. April 2026 per Verweis ein. Unterschreiben müssen Sie nichts. Laden Sie das Dokument mit Versionsstand herunter. Legen Sie es in Ihre Datenschutzakte, bevor Sie die Nameserver umstellen.

Kann man Cloudflare in Sachen Datenschutz vertrauen?

Vertrauen ersetzt keine Prüfung, aber Cloudflare macht die Prüfung möglich. Der Vertrag verpflichtet den Anbieter, Behördenanfragen dem Kunden zu melden, sofern das nicht gesetzlich verboten ist. Er untersagt zudem die Nutzung personenbezogener Daten für Werbung. Zertifizierungen wie ISO 27701, der EU Cloud Code of Conduct und C5 kommen hinzu. Der Rest ist Ihre eigene Dokumentation.

Welche Kritik gibt es an Cloudflare aus Datenschutzsicht?

Drei Punkte sind berechtigt. Cloudflare entschlüsselt Ihren Datenverkehr am Netzwerkrand, um ihn zu prüfen. Inhalte laufen also lesbar durch das Cloudflare-Netz. Die Verarbeitung erfolgt standardmäßig weltweit, auch in den USA. Eine Beschränkung auf die EU gibt es nur als Enterprise-Zusatz. Und die Rechtsgrundlage Data Privacy Framework liegt dem Gerichtshof erneut vor, Rechtssache C-703/25 P.

Was muss wegen Cloudflare in die Datenschutzerklärung?

Nach Artikel 13 der Datenschutz-Grundverordnung gehören dazu: der Anbieter mit Anschrift, die verarbeiteten Daten wie IP-Adresse und Anfragedaten, der Zweck, die Rechtsgrundlage, die Übermittlung in die USA samt Angemessenheitsbeschluss und Standardvertragsklauseln, die Kriterien für die Speicherdauer sowie die gesetzten Cookies. Einen Formulierungsvorschlag finden Sie im Abschnitt zur Datenschutzerklärung. Passen Sie ihn an Ihr Setup an.

10. Quellen & offizielle Informationen

Die Angaben in diesem Beitrag stützen sich auf die folgenden Quellen. Alle wurden am 5. September 2026 abgerufen und im Text gegengelesen. Externe Quellen öffnen in einem neuen Tab.

• EUR-Lex — Datenschutz-Grundverordnung (EU) 2016/679, konsolidierte Fassung — Primärquelle für die Zitate aus Artikel 4 Nummer 1, Artikel 13, Artikel 28 Absätze 1, 2 und 9 sowie Artikel 44, 45 und 46.
• EUR-Lex — Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023 — Angemessenheitsbeschluss zum EU-US Data Privacy Framework; Artikel 1 beschränkt die Angemessenheit auf gelistete Organisationen.
• Europäische Kommission — Übersicht der Angemessenheitsbeschlüsse — Beleg dafür, dass die Vereinigten Staaten am 5. September 2026 gelistet sind, beschränkt auf Organisationen im Data Privacy Framework.
• U.S. Department of Commerce — Data Privacy Framework List, Eintrag Cloudflare, Inc. — Zertifizierungen EU-US, Swiss-US und UK Extension mit Status „Active“, Erstzertifizierungsdaten und nächste Fälligkeit 23. September 2026.
• Gericht der Europäischen Union — Pressemitteilung Nr. 106/25 zum Urteil T-553/23 Latombe/Kommission vom 3. September 2025 (PDF) — Abweisung der Nichtigkeitsklage gegen den Angemessenheitsbeschluss; Hinweis auf die Rechtsmittelfrist.
• Amtsblatt der Europäischen Union — Rechtssache C-703/25 P, Rechtsmittel vom 31. Oktober 2025 (ABl. C/2025/6610 vom 22. Dezember 2025) — Beleg dafür, dass das Rechtsmittel gegen das Urteil T-553/23 anhängig ist.
• § 25 TDDDG — Schutz der Privatsphäre bei Endeinrichtungen — Primärquelle für das Einwilligungserfordernis und die Ausnahme in Absatz 2 Nummer 2.
• Cloudflare — Customer Data Processing Addendum, Version 6.4 vom 3. April 2026 — Klauseln 3.1, 4.3, 4.4, 5.2, 6.2, 6.4 und 8.1 sowie Anhang 1 (Datenkategorien, Vertragspartner) und Anhang 2 (Sicherheitsmaßnahmen).
• Cloudflare — Self-Serve Subscription Agreement, Stand 12. September 2025 — Ziffer 6.1 bezieht das Data Processing Addendum per Verweis ein.
• Cloudflare — Trust Hub: GDPR — Zertifizierung unter den Data Privacy Frameworks, Standardvertragsklauseln als Rückfall, Zertifikate, Beschreibung der Data Localization Suite, Hinweis für Enterprise-Verträge.
• Cloudflare — Sub-Processors für Cloudflare services, Stand 1. Oktober 2025 — Drittanbieter und Konzerngesellschaften mit Tätigkeit und Standort.
• Cloudflare — Privacy Policy, gültig ab 4. November 2025 (deutsche Fassung) — Datenkategorien der End Users, fehlende Direktbeziehung zu End Users, Kriterien der Speicherdauer, Kontaktadressen einschließlich Cloudflare Germany GmbH.
• Cloudflare Docs — Cloudflare Cookies, Stand 5. Mai 2026 — Zweck und Laufzeit der Cookies __cf_bm, cf_clearance, _cfuvid, __cfruid und der Challenge-Cookies; Einstufung als „strictly necessary“; Verarbeitung per Voreinstellung in den USA.
• Cloudflare — Turnstile Privacy Addendum, Stand 18. Juni 2025 — verarbeitete Signale, Rollen als Auftragsverarbeiter und Verantwortlicher, Rechtsgrundlage für die Verbesserung des Dienstes. Ergänzend die Turnstile-Dokumentation (keine Verarbeitung von Formulareingaben), die Plan-Übersicht (Stand 14. August 2026) und die Pre-Clearance-Doku (Cookie cf_clearance).
• Cloudflare Docs — Data Localization Suite (Stand 5. Mai 2026, „Enterprise-only paid add-on“) mit den Unterseiten Regional Services, Customer Metadata Boundary und Region support (Stand 1. Juli 2026).
• Cloudflare Docs — How Cloudflare works — Beschreibung der Rolle als Reverse Proxy.
• Myra Security GmbH — Impressum, Link11 GmbH — Impressum und bunny.net — Terms of Service (BunnyWay d.o.o.) — Belege ausschließlich für den Sitz der genannten Anbieter.
• JTL-Forum — „Cloudflare und JTL Shop – Problem oder zu empfehlen?“ — Praxisberichte zu Wawi-Abgleich und Zahlungs-Webhooks hinter Cloudflare.