Ist ein CDN DSGVO-konform?

Worum geht's?

Sie möchten, dass Ihre Website von aller Welt aus schön lesbar, einheitlich und vor allem schnell geladen wird? Dann haben Sie vermutlich vorgesorgt und ein sogenanntes CDN implementiert. Aber wussten Sie, dass hier auch jede Menge rechtliche Stolperfallen lauern, was den Datenschutz angeht? Wenn Sie mit Content Delivery Networks auf der sicheren Seite sein wollen oder wissen wollen, was ein CDN überhaupt ist und was es Ihnen bringt, lesen Sie diesen Beitrag.

1. Was ist ein CDN?

Ein Content Delivery Network (CDN) ist ein Netzwerk aus weltweit regional verteilten Servern, die über das Internet miteinander verbunden sind und Webinhalte ausspielen. Ruft ein Nutzer eine Webseite von einem Kontinent aus auf, muss die Anfrage nicht über mehrere Kontinente zum Ursprungsserver gelangen.

Ein CDN nutzt den Server, der die Anfrage am schnellsten beantworten kann - und das ist in der Regel der zum Sitz des Nutzers nächstgelegene Server Standort. Durch Caching werden statische Inhalte wie CSS-, JavaScript-Dateien, Schriftarten und Bilder auf den Servern zwischengespeichert (sogenanntes Caching und Replizierung).

Das funktioniert so: Content Delivery Netzwerke bestehen aus einem Ursprungsserver, einem Replica Server und einem Distributionssystem.

• Ursprungsserver: Hier legt der Website-Betreiber die Inhalte ab, die verteilt werden sollen. 
• Replica Server: Sie halten Kopien dieser Inhalte vor.
• Distributionssystem: Dieses verteilt die Inhalte auf die Replica Server.

Sinn und Zweck eines Content Delivery Networks: Die Ladezeit der Webseite sowie die Bandbreitenauslastung am eigenen Server minimieren sich. Bedeutet: Ein CDN eignet sich für Unternehmen mit Websites, die ein hohes Traffic-Aufkommen haben. Denn ohne dieses verarbeitet der Ursprungsserver den gesamten Traffic.

Fehler bei den Ursprungsservern wirken sich auch nicht auf aufrufende Nutzer aus, da die Webseiten-Elemente weiterhin über das CDN Netzwerk ausgeliefert werden. Das freut am Ende nicht nur die User, sondern Websitebetreiber profitieren auch von einer besseren Suchmaschinenplatzierung bei Google und Co.

2. Welches sind die größten CDN-Anbieter?

Es gibt zahlreiche Anbieter von Content Delivery Network. Die größten und bekanntesten Provider von CDNs sehen Sie hier:

• Amazon Web Services (AWS)
• Akamai Technologies
• CDNetworks
• Cloudflare
• Fastly
• Google Cloud CDN
• Limelight Networks

3. IT Sicherheit, DDoS Schutz und Co.: Vor- und Nachteile von Content Delivery Networks

CDNs haben für Sie als Websitebetreiber zahlreiche Vorteile, aber auch einige Nachteile.

Zu den Vorteilen: Wie bereits erwähnt profitieren Sie als Nutzer eines CDN von schnelleren Ladezeiten und geringerer Breitbandauslastung am eigenen Server. Das vermeidet insbesondere Probleme, wenn unerwartet viele User auf die Website zugreifen. Dabei können Sie sowohl einzelne Inhalte wie CSS und Schriftarten als auch komplette Website-Inhalte in CDN befördern.

Hinzu kommt, dass Sie durch ein CDN eine erhöhte IT Sicherheit bzw. DDoS Schutz haben. Schließlich können Hacker-Angriffe im CDN früh erkannt werden. Durch die Verteilung der Last auf mehrerer Server kann die Verfügbarkeit der Website verbessert werden. Dynamische Inhalte wie Warenkörbe, Nutzerkonten oder personalisierte Inhalte stellen höhere technische Anforderungen dar, können heute jedoch ebenfalls über moderne CDN-Lösungen unterstützt werden. 

Kommen wir zur Kehrseite der Medaille: Die Replizierung hat gleichzeitig auch Nachteile. Denn bei einem CDN sind zusätzliche Systeme und Dienstleister eingebunden, wodurch weitere Angriffs- und Risikoflächen entstehen. Dies sollte bei der Auswahl des Anbieters berücksichtigt werden. 

Einer der größten Nachteile ist aber: Da personenbezogene Daten wie die IP-Adresse verarbeitet werden, können Sie Probleme mit dem Datenschutz bekommen, wenn Sie nicht alles richtig machen.

4. Ist ein Content Delivery Network DSGVO-konform?

Kommen wir nun zu der Frage, die Sie als Unternehmen sicher am meisten umtreibt: Kann ich ein CDN auch datenschutzkonform nutzen? Was muss ich dafür tun?

Die Datenschutz Grundverordnung (DSGVO) wird immer dann zum Thema, wenn es um personenbezogene Daten geht. Personenbezogene Daten sind Informationen, über die Sie direkt oder indirekt eine natürliche Person identifizieren können.

Allerdings fallen auch IP Adressen unter personenbezogene Daten. Und diese werden in der Regel verarbeitet, sobald ein User eine Anfrage zum Abruf einer Website stellt und das CDN diese verarbeitet. Die DSGVO findet also Anwendung.

Problematisch kann es beim Datenschutz immer dann werden, wenn personenbezogene Daten in ein Land außerhalb der Europäischen Union, also in ein Drittland übertragen werden. Entscheidend ist dabei der Sitz des Anbieters. Schaut man sich die Liste oben an, wird schnell klar: In den meisten Fällen, wie bei Cloudflare oder Amazon Web Services (AWS) kommt es zu einer Datenübertragung in die USA.

Liegt ein Datentransfer in ein Drittland vor, hat das immer die gleiche Frage zur Folge: Die Datenübertragung ist nur dann zulässig, wenn das Schutzniveau für die Datenübermittlung in ein Drittland mit dem der EU der Sache nach gleichwertig ist. Das ist dann der Fall, wenn es einen Angemessenheitsbeschluss der EU-Kommission für das jeweilige Land gibt.

Hier herrschte jahrelange Unsicherheit. Erst war der EU-US-Privacy Shield gescheitert, dann warteten Websitebetreiber mehrere Jahre auf eine Einigung. Im Juli 2023 kam es dann endlich zu einem Happy End: Die Europäische Union und die USA einigten sich auf einen neuen transatlantischen Datenschutzrahmen, das sogenannte Data Privacy Framework (oder auch: Privacy Shield 2.0). Es war dann also besiegelt: Die Datenübertragung in die USA und damit die Nutzung tausender wichtiger Websitetools ist fortan zulässig! Oder?

Ganz so einfach ist es leider doch nicht. Denn für einen datenschutzkonformen Datentransfer in die USA sind weitere Voraussetzungen erforderlich. Die zunächst Wichtigste: Das Unternehmen, welches das betreffende Tool anbietet, muss “DPF-zertifiziert” sein. Das bedeutet, dass es an einem Selbstzertifizierungsverfahren des US-Handelsministeriums teilgenommen hat und anschließend in die DPF-Liste (Data Privacy Framework) aufgenommen worden sein muss. Dieses Verfahren wird dann jährlich wiederholt.

Also: ohne DPF definitiv keine Angemessenheit!

5. Das sind Ihre To-Dos

Nutzen Webseitenbetreiber ein Content Delivery Network, werden die Inhalte über Server eines Drittanbieters ausgeliefert. Beim Abrufen der Inhalte werden u.a. Daten wie die IP-Adresse, Datum und Uhrzeit des Abrufs sowie Browser-und Geräteinformationen übertragen. Da es sich um eine Verarbeitung personenbezogener Daten handelt, sind Sie verpflichtet, datenschutzrechtliche Vorgaben einzuhalten.

Schritt 1: Rechtsgrundlage ermitteln

Dient das Content Delivery Network der technischen Bereitstellung der Seite und ermöglicht eine bessere Lastverteilung, die schnelle Auslieferung von Inhalten sowie eine bessere Verfügbarkeit, kann die Verarbeitung regelmäßig auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO gestützt werden. Findet jedoch eine zusätzliche Analyse oder Profilbildung statt, muss eine Einwilligung über ein Cookie-Consent-Tool eingeholt werden.

Schritt 2: Schließen Sie einen Vertrag zur Auftragsverarbeitung ab

Nutzen Sie ein Content Delivery Network System, hat der Provider des CDN Zugriff auf die IP Adresse. Somit liegt zwischen Ihnen eine sogenannte Auftragsverarbeitung vor. Das heißt: Ein externer Dienstleister erhebt, verarbeitet oder übermittelt in Ihrem Auftrag und nach Ihrer Weisung personenbezogene Daten. Damit sind Sie als Auftraggeber für eine ordnungsgemäße Datenverarbeitung und den Schutz der Daten verantwortlich.

Folge: Sie müssen unter anderem dafür sorgen, dass der Provider ordentlich mit den Daten umgeht, die Daten durch geeignete technische und organisatorische Maßnahmen schützt, die Weitergabe der Daten an Subunternehmer ordnungsgemäß regelt und Sie regelmäßig informiert.

Diese Pflichten erfüllen Sie, indem Sie einen Vertrag zur Auftragsverarbeitung abschließen. Im eRecht24 Premium Bereich steht Ihnen ein AV-Vertragsgenerator zur Verfügung.

Schritt 3: Drittlandtransfer prüfen

Viele bekannte Anbieter von CDN sitzen in Drittländern wie den USA. Werden personenbezogene Daten in die USA übermittelt, handelt es sich um einen Drittlandtransfer nach Art. 44 DSGVO. Prüfen Sie zunächst, ob ein Angemessenheitsbeschluss der EU-Kommission vorliegt. Sitzt der Anbieter in den USA, sollten Sie prüfen, ob dieser DPF-zertifiziert ist. Liegt kein Angemessenheitsbeschluss vor, ist der Abschluss von Standardvertragsklauseln sowie die Vornahme eines Transfer Impact Assessments (TIA) notwendig.

Standardvertragsklauseln sind Vertragsmuster der EU-Kommission, die beide Vertragsparteien verpflichten, ein Datenschutzniveau einzuhalten, das mit dem der EU vergleichbar ist. Im Rahmen des Transfer Impact Assessments prüfen Sie, wie die Datenübertragung in das Drittland abläuft und welche technischen und organisatorischen Maßnahmen Ihr Vertragspartner zum Schutz der Daten vorgesehen hat.

Schritt 4: Passen Sie Ihre Datenschutzerklärung an

Im Rahmen Ihrer Transparenzpflichten sollten Sie die Nutzer über den Einsatz des CDN informieren und u.a. Angaben zum Anbieter, zum Zweck der Verarbeitung, zur Rechtsgrundlage und zur Speicherdauer machen.

6. Ist Cloudflare DSGVO-konform?

Sie nutzen das Cloudflare Content Delivery Network? Dann sind Sie nicht allein. Cloudflare ist eines der meistgenutzten CDN. Wir können Sie beruhigen: Da Cloudflare in der DPF-Liste steht, haben Sie schon einmal die halbe Miete. Allerdings müssen auch Sie noch einiges tun. Befolgen Sie also ebenfalls diese Schritte:

7. Fazit

Ein Content Delivery Network System (CDN) ist ein sehr hilfreiches Tool, wenn Sie viel Traffic auf Ihrer Webseite haben. Denn es sorgt dafür, dass Inhalte schneller ausgeliefert werden und die Website stabil läuft. Davon profitieren Sie und Ihre Nutzer. Damit Sie rechtssicher unterwegs sind, sollten Sie allerdings die Vorgaben der DSGVO beachten. Die wichtigsten Schritte haben wir Ihnen als To-Do´s zusammengefasst.

8. FAQ

• Zurück zum Thema "Domain & Hosting"

• Zurück zur Übersicht: "Datenschutz"
• Was müssen Unternehmen nach der DSGVO intern regeln?
• Google Analytics
• Google Consent Mode
• Datenschutz bei Zoom
• Datenschutz bei Videokonferenzen
• Datenschutz von Mitarbeiterdaten
• Formulare
• Pur-Abo-Modell für Content-Unternehmen
• Rechtliches für Agenturen und Webdesigner
• Betroffenenanfrage
• Digitales Hinweisgebersystem
• Datenschutz für kleine Unternehmen
• Privacy by Design