CDN und DSGVO: was Website-Betreiber regeln müssen

Ein CDN sitzt zwischen deiner Website und ihren Besuchern. Jeder Abruf eines Bildes, Skripts oder einer Seite geht an einen Server des CDN-Anbieters, und der sieht dabei die IP-Adresse des Besuchers. Damit fällt der Einsatz eines CDN unter die Datenschutz-Grundverordnung. Zulässig ist er trotzdem, wenn du einige Dinge regelst: den Vertrag mit dem Anbieter, die Rechtsgrundlage, bei Anbietern außerhalb der EU die Übermittlung in ein Drittland und die Angaben in deiner Datenschutzerklärung.

Warum ein CDN personenbezogene Daten verarbeitet

Ohne IP-Adresse kann kein Server antworten, denn er braucht sie, um die Daten an den richtigen Rechner zu schicken ^[1]. Ob diese Adresse ein personenbezogenes Datum ist, hat der Europäische Gerichtshof am 19.10.2016 im Fall Breyer entschieden. Eine dynamische IP-Adresse ist für den Betreiber einer Website personenbezogen, wenn er über rechtliche Mittel verfügt, den Nutzer mit Hilfe der Daten des Zugangsanbieters bestimmen zu lassen ^[1]. In Deutschland gibt es nach Einschätzung des Gerichts offenbar solche rechtlichen Möglichkeiten, etwa über die zuständige Behörde bei Cyberattacken ^[1].

Wie ernst Gerichte das nehmen, zeigt ein Urteil des Landgerichts München I vom 20.01.2022. Eine Website hatte Schriften direkt von Google Fonts geladen und dadurch die IP-Adresse eines Besuchers ohne dessen Einwilligung an Google übertragen. Das Gericht sah darin einen Verstoß, sprach dem Kläger 100 Euro Schadensersatz zu und untersagte die Weitergabe ^[2]. Ein berechtigtes Interesse verneinte es, weil sich die Schriften auch ohne Verbindung zu Google einbinden lassen ^[2]. Das Urteil betrifft Google Fonts. Für ein CDN stellen sich dieselben Fragen: ob die Übertragung an einen Dritten nötig ist und ob der Betreiber sie sauber geregelt hat.

Der Vertrag zur Auftragsverarbeitung

Ein CDN-Anbieter verarbeitet die Daten deiner Besucher in deinem Auftrag. Nach Art. 28 DSGVO darfst du dafür nur mit Anbietern arbeiten, die ausreichende technische und organisatorische Schutzmaßnahmen garantieren. Die Verarbeitung muss auf einem Vertrag beruhen, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten der Daten und die betroffenen Personen festlegt ^[3]. Dieser Vertrag heißt Auftragsverarbeitungsvertrag, kurz AV-Vertrag oder AVV, im Englischen Data Processing Agreement (DPA).

Der Vertrag muss außerdem festhalten, dass der Anbieter nur auf deine dokumentierte Weisung arbeitet, seine Mitarbeiter zur Vertraulichkeit verpflichtet, die Daten nach Ende des Auftrags löscht oder zurückgibt und dir Nachweise und Kontrollen ermöglicht ^[3]. Weitere Auftragsverarbeiter, also Unterauftragnehmer, darf der Anbieter nur mit deiner schriftlichen Genehmigung einschalten. Bei einer allgemeinen Genehmigung muss er dich über jeden neuen oder ersetzten Unterauftragnehmer informieren, damit du widersprechen kannst ^[3]. Bei CDN-Anbietern lohnt der Blick auf diese Liste besonders, weil sie oft Rechenzentren und Netze anderer Firmen nutzen.

Die großen Anbieter regeln das unterschiedlich. Bei Amazon Web Services ist der Zusatz zur Datenverarbeitung Teil der Service Terms und gilt automatisch ^[4]. Bunny.net stellt den Vertrag im Kundenbereich bereit, Kunden müssen ihn dort abschließen ^[5]. Bei anderen Anbietern musst du ihn anfordern oder im Konto bestätigen. Speichere dir in jedem Fall eine Kopie des Vertrags, die bei deinen Unterlagen zum Datenschutz liegt.

Die Rechtsgrundlage

Für die Auslieferung einer Website über ein CDN berufen sich Betreiber in der Regel auf ein berechtigtes Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO, etwa schnelle Ladezeiten und Schutz vor Angriffen. Der Europäische Gerichtshof hat im Fall Breyer anerkannt, dass ein Website-Betreiber ein berechtigtes Interesse daran haben kann, Daten zu verarbeiten, um die Funktion seiner Website zu sichern und sich gegen Angriffe zu wehren ^[1]. Dieses Interesse muss gegen die Interessen der Besucher abgewogen werden. Das Münchner Urteil zeigt die Grenze: Wenn sich ein Zweck ohne Übertragung an einen Dritten genauso erreichen lässt, trägt das berechtigte Interesse nicht ^[2]. Schreib dir deshalb kurz auf, wofür du das CDN brauchst und warum es ohne nicht so gut geht.

Anbieter außerhalb der EU

Sitzt der CDN-Anbieter in den USA oder gelangen Daten dorthin, gelten zusätzlich die Regeln für Übermittlungen in Drittländer. Am einfachsten ist ein Angemessenheitsbeschluss der EU-Kommission. Für die USA gab es zwei solche Beschlüsse, Safe Harbor und den Privacy Shield. Der Europäische Gerichtshof hat beide für ungültig erklärt, zuletzt den Privacy Shield mit dem Urteil Schrems II vom 16.07.2020 ^[6].

Am 10.07.2023 hat die Kommission einen neuen Beschluss für das EU-US Data Privacy Framework erlassen ^{[6, 7]}. Er erlaubt Übermittlungen an Unternehmen in den USA, die am Data Privacy Framework teilnehmen ^[7]. Ein französischer Abgeordneter, Philippe Latombe, klagte dagegen. Das Gericht der Europäischen Union wies die Klage am 03.09.2025 ab und bestätigte, dass die USA zum Zeitpunkt des Beschlusses ein angemessenes Schutzniveau boten ^[6]. Latombe hat am 31.10.2025 Rechtsmittel beim Europäischen Gerichtshof eingelegt (Rechtssache C-703/25 P) ^{[8, 15]}. Der Beschluss gilt bis zu einer anderen Entscheidung weiter. Die Kommission muss die Lage in den USA laufend beobachten und kann den Beschluss aussetzen, ändern oder aufheben, wenn sich dort das Recht ändert ^[6].

Nimmt ein Anbieter nicht am Data Privacy Framework teil, kommen vor allem Standardvertragsklauseln der Kommission in Frage. Sie gelten nach Art. 46 Abs. 2 Buchst. c DSGVO als geeignete Garantie, ohne dass eine Aufsichtsbehörde sie genehmigen muss ^[9]. AWS stützt Übermittlungen nach eigenen Angaben auf solche Klauseln ^[4].

Ein Anbieter mit Sitz in der EU erspart dir diese Prüfung beim Vertragspartner selbst. Ein Beispiel ist Bunny.net aus Ljubljana ^[10]. Auch dort solltest du aber die Liste der Unterauftragnehmer ansehen, denn die können außerhalb der EU sitzen ^[5].

Cookies durch das CDN

Manche CDN-Funktionen setzen Cookies im Browser des Besuchers. Cloudflare nennt zum Beispiel das Cookie __cf_bm für die Erkennung von Bots, das nach 30 Minuten ohne Aktivität abläuft, und cf_clearance, das speichert, dass ein Besucher eine Prüfung bestanden hat ^[11]. Cloudflare stuft alle diese Cookies als unbedingt erforderlich ein ^[11].

In Deutschland regelt § 25 TDDDG das Speichern von Informationen im Endgerät. Grundsätzlich braucht es dafür eine Einwilligung. Sie entfällt, wenn das Speichern unbedingt erforderlich ist, damit ein ausdrücklich gewünschter Dienst bereitgestellt werden kann ^[12]. Ob ein Cookie diese Ausnahme erfüllt, musst du für deine Website prüfen. Hilfe dabei gibt unser Projekt zu Cookies mit dem Artikel Technisch notwendige Cookies. Einen Überblick über Cloudflare selbst gibt Cloudflare: Funktionen, Tarife und Datenschutz.

Was in die Datenschutzerklärung gehört

Art. 13 DSGVO legt fest, worüber du Besucher informieren musst ^[13]. Für ein CDN sind das vor allem diese Angaben:

• Name und Anschrift des CDN-Anbieters als Empfänger der Daten,
• welche Daten verarbeitet werden, in der Regel IP-Adresse, aufgerufene Adresse, Zeitpunkt, Browserkennung und gegebenenfalls Cookies,
• der Zweck, etwa schnelle Auslieferung und Schutz vor Angriffen,
• die Rechtsgrundlage, meist Art. 6 Abs. 1 Buchst. f DSGVO mit dem konkreten berechtigten Interesse,
• bei einer Übermittlung in ein Drittland der Hinweis darauf und ob ein Angemessenheitsbeschluss vorliegt oder welche Garantien gelten ^[13],
• wie lange der Anbieter Protokolle speichert, soweit er es angibt.

Für den eigenen Server gelten dieselben Pflichten. Was du beim Hosting beachten musst, beschreibt Hosting und DSGVO: Serverstandort und Auftragsverarbeitung.

Das Verzeichnis der Verarbeitungstätigkeiten

Neben der Datenschutzerklärung für die Besucher gibt es eine interne Pflicht: das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO. Darin stehen unter anderem die Zwecke, die Arten der Daten und der betroffenen Personen, die Empfänger, Übermittlungen in Drittländer und, wenn möglich, Löschfristen und Schutzmaßnahmen ^[14]. Für Unternehmen und Einrichtungen mit weniger als 250 Beschäftigten gibt es eine Ausnahme. Sie gilt aber nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt ^[14]. Ein CDN verarbeitet bei jedem Seitenaufruf Daten, die Ausnahme dürfte deshalb für die meisten Websites mit CDN nicht greifen. Ein kurzer Eintrag mit Anbieter, Zweck und Datenarten reicht in der Regel.

Praktische Schritte

1. Lege fest, welche Inhalte über das CDN laufen sollen und warum. Diese Begründung brauchst du für die Abwägung beim berechtigten Interesse.
2. Prüfe Sitz und Vertragspartner des Anbieters und schließe den AV-Vertrag ab.
3. Kläre bei Anbietern außerhalb der EU die Grundlage der Übermittlung: Teilnahme am Data Privacy Framework oder Standardvertragsklauseln.
4. Schalte nur die Funktionen und Protokolle ein, die du brauchst, und prüfe, welche Cookies sie setzen.
5. Ergänze die Datenschutzerklärung und trage das CDN in dein Verzeichnis der Verarbeitungstätigkeiten ein.
6. Prüfe die Lage einmal im Jahr neu, spätestens wenn der Europäische Gerichtshof über das Data Privacy Framework entschieden hat.

Wie ein CDN technisch arbeitet und welche Daten dabei fließen, erklärt Was ist ein CDN?.

1. Behörde Pressemitteilung Nr. 112/16 zum Urteil C-582/14 (Breyer). Gerichtshof der Europäischen Union. Stand 19.10.2016. abgerufen am 29.10.2026
2. Behörde LG München I, Endurteil vom 20.01.2022, Az. 3 O 17493/20. Bayerische Staatskanzlei (Gesetze Bayern). Stand 20.01.2022. abgerufen am 29.10.2026
3. Gesetz Art. 28 DSGVO Auftragsverarbeiter (Verordnung (EU) 2016/679). Europäische Union, Textausgabe dsgvo-gesetz.de. Stand 27.04.2016. abgerufen am 29.10.2026
4. Organisation General Data Protection Regulation (GDPR) Center. Amazon Web Services. Stand 2026. abgerufen am 29.10.2026
5. Organisation GDPR. BunnyWay d.o.o.. Stand 2026. abgerufen am 29.10.2026
6. Behörde Press Release No 106/25, Judgment in Case T-553/23 Latombe v Commission. Gerichtshof der Europäischen Union. Stand 03.09.2025. abgerufen am 29.10.2026
7. Behörde EU-US data transfers. Europäische Kommission. Stand 2026. abgerufen am 29.10.2026
8. European Court of Justice to Review Challenge to EU-U.S. Data Privacy Framework. WilmerHale. Stand 01.12.2025. abgerufen am 29.10.2026
9. Gesetz Art. 46 DSGVO Datenübermittlung vorbehaltlich geeigneter Garantien. Europäische Union, Textausgabe dsgvo-gesetz.de. Stand 27.04.2016. abgerufen am 29.10.2026
10. Organisation Terms of Service. BunnyWay d.o.o.. Stand 2026. abgerufen am 29.10.2026
11. Organisation Cloudflare Cookies. Cloudflare. Stand 2026. abgerufen am 29.10.2026
12. Gesetz § 25 TDDDG Schutz der Privatsphäre bei Endeinrichtungen. Bundesministerium der Justiz (gesetze-im-internet.de). Stand 2024. abgerufen am 29.10.2026
13. Gesetz Art. 13 DSGVO Informationspflicht bei Erhebung von personenbezogenen Daten. Europäische Union, Textausgabe dsgvo-gesetz.de. Stand 27.04.2016. abgerufen am 29.10.2026
14. Gesetz Art. 30 DSGVO Verzeichnis von Verarbeitungstätigkeiten. Europäische Union, Textausgabe dsgvo-gesetz.de. Stand 27.04.2016. abgerufen am 29.10.2026
15. Latombe v Commission, Case C-703/25 P (appeal filed). Digital Policy Alert. Stand 2025. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.