Brauchen Sie eine Cookie-Einwilligung für ein CDN?
Datenschutzfragen über CDNs ziehen eine Menge zuversichtliche, falsche Antworten an. Sechs der häufigsten, was tatsächlich wahr ist, und der eine Mythos, der sich als überhaupt kein Mythos herausstellt.
Fast alle Verwirrung über CDNs und Privatsphäre kommt aus dem Zusammenklappen von zwei getrennten Fragen in eine. "Brauche ich für diese gesetzten Cookies eine Einwilligung?" und "Verarbeitet dies personenbezogene Daten?", haben unterschiedliche Antworten, sitzen unter verschiedenen Gesetzen und erfordern verschiedene Dinge von Ihnen.
Zustimmung für Cookies kommt aus der ePrivacy-Richtlinie, die das Speichern oder Lesen von Informationen auf einem Gerät regelt. Die Verarbeitung personenbezogener Daten erfolgt durch die DSGVO, die regelt, was Sie mit den Daten selbst tun. Eine Sache kann die zweite erfordern, ohne die erste zu verlangen — was genau der Fall für ein CDN ist, und ist, warum so viele Menschen zu der falschen Antwort zuversichtlich ankommen.
Praktischer Überblick von Ingenieuren, keine Rechtsberatung. Die allgemeine Form hält; wenn Sie in einem reglementierten Sektor sind oder sich einer tatsächlichen Beschwerde stellen, lassen Sie jemanden qualifiziert.
Mythos 1: "Mit einem CDN brauche ich ein Cookie-Banner"
Falsch. Es existieren Zustimmungsbanner zum Speichern oder Lesen von Informationen auf dem Gerät eines Besuchers für nicht wesentliche Zwecke – Analytik, Werbung, Profiling. Ein CDN, das Ihre eigenen Bilder, Stylesheets und Seiten liefert, muss nichts auf dem Gerät speichern, um diesen Job zu erledigen.
Die Cookies, die Banner auslösen, stammen von Ihren Analyse- und Marketing-Tools und sie würden sie auslösen, ob ein CDN existiert oder nicht. Wenn das einzige, was sich geändert hat, ist, wo Ihre eigenen Dateien aus, Ihre Banner Verpflichtungen sind unverändert.
Erforderliche Zustimmung
- Analyse, die Besucher Profil
- Werbung und Retargeting Pixel
- Eingebettete Tracker und Social Widgets von Drittanbietern
- A/B-Testtools, die Identifikatoren fortbestehen
Ist nicht, allein
- Ein CDN für eigene Inhalte
- Streng notwendige Sicherheits-Cookies
- Ein Lastausgleich oder Routing-Cookie
- Caching, Kompression und Bildoptimierung
Mythos 2: "Eine CDN verfolgt meine Nutzer"
Falsch, für einen Inhalt CDN. Die Bereitstellung von Inhalten erfordert die Verarbeitung technischer Daten — hauptsächlich die IP-Adresse, da Sie eine Antwort nicht ohne Wissen, wo sie gesendet werden kann — aber das ist eine kategorisch unterschiedliche Aktivität vom Aufbau einer Verhaltensprofil über Standorte hinweg.
Die berechtigte Frage ist nicht, ob ein CDN eine IP-Adresse sieht, da alles, was Ihnen eine Webseite bedient, dies unbedingt tut. Es ist das, was danach passiert: wie lange Protokolle aufbewahrt werden, ob Adressen gekürzt oder gehasst werden, und ob das Geschäftsmodell des Anbieters gibt es einen Grund, sich für Ihre Besucher zu interessieren.
Mythos 3: "Sicherheits-Cookies brauchen auch Zustimmung"
Falsch. Cookies, die zur Erbringung eines Dienstes unbedingt erforderlich sind, den der Nutzer ausdrücklich angefordert hat, sind von der Einwilligung befreit. Ein Cookie, das sich an einen Besucher erinnert, hat eine Bot-Herausforderung bestanden, so dass sie nicht wiederholt herausgefordert werden, fällt direkt innerhalb dieser Ausnahme – es existiert nur, um die Seite zu liefern, die sie gebeten haben.
Die Ausnahme ist jedoch enger, als es die Menschen wünschen. Es deckt das Notwendige ab, nicht das Passende. Ein Sicherheits-Cookie, das auch Analytics-Identifikatoren trug, würde sich nicht qualifizieren, und etwas "essentielles" zu nennen, macht es nicht so.
Mythos 4: "Die Verwendung eines CDN ist eine Verletzung der DSGVO"
Falsch, wie gesagt. Die Verwendung eines Auftragsverarbeiters ist ganz normal und ausdrücklich durch die DSGVO in Betracht gezogen; dafür ist Art. 28 zuständig. Wichtig ist, ob Sie den Papierkram haben und ob personenbezogene Daten irgendwo landen, wo sie nicht sein sollten.
Was Sie eigentlich brauchen, ist eine Datenverarbeitungsvereinbarung mit dem Anbieter, eine Erwähnung in Ihrer Datenschutzerklärung und entweder ein gültiger Transfermechanismus oder eine Vereinbarung, bei der der europäische Verkehr den EWR nicht verlässt. Das ist eine Checkliste, kein Verbot.
Mythos 5: "Es ist in Ordnung, wir anonymisieren die IPs"
Vorsicht. Das Trunzieren oder Hashing von IP-Adressen in Protokollen lohnt sich wirklich und reduziert Ihre Belichtung sinnvoll – aber es macht die Verarbeitung nicht rückwirkend nicht geschehen. Der Edge-Server hatte im Moment die volle Adresse, als er die Anfrage beantwortete, weil er sonst nicht hätte antworten können.
Anonymisierung ist Datenminimierung, eine Verpflichtung, die Sie haben und erfüllen sollten. Es ist keine Befreiung von einer rechtmäßigen Grundlage und einem DPA.
Mythos 6: "Die Ausübung von Vermögenswerten eines Dritten ist rechtlich riskant"
Dieser ist kein Mythos, und es lohnt sich, genau zu verstehen, weil er häufig falsch angewendet wird.
Ein deutsches Gericht stellte im Jahr 2022 fest, dass eine Website, die Google Fonts von den Servern von Google einbettet, unrechtmäßig die IP-Adressen der Besucher übermittelt und Schäden zugesprochen habe. Diese Entscheidung verursachte eine Welle von Websites, die ihre Schriften selbst hosten, und eine Welle von spekulativen Beschwerdebriefen.
Die Argumentation zählt mehr als die Schlagzeile. Das Problem war nicht, dass eine Schriftart von einem anderen Server geladen wurde. Es war, dass die IP-Adressen der Besucher an einen Dritten in einem anderen Gerichtsstand weitergegeben wurden, ohne Zustimmung und ohne Notwendigkeit, wenn die Website trivial hätte die Datei selbst bedient haben können. Die Übertragung war vermeidbar und unnötig – das war das Problem.
Deshalb erstreckt sich die gleiche Argumentation nicht direkt auf ein CDN, das Sie als Ihr Prozessor unter einem DPA engagiert haben, der Ihren eigenen Inhalt aus der Infrastruktur innerhalb des EWR bedient. Die Unterscheidung besteht darin, Daten für eigene Zwecke an einen unabhängigen Dritten offenzulegen und einen Auftragsverarbeiter zu beauftragen, in Ihrem Auftrag vertraglich tätig zu werden. Ein öffentliches Vermögen aus dem Produkt eines anderen zu verankern, ist das erste. Ein CDN ist die zweite.
Was du wirklich brauchst
| Für Ihr CDN | Für Ihre Tracker |
|---|---|
| Eine Datenverarbeitungsvereinbarung | Ein Zustimmungsbanner |
| Eine Zeile in Ihrer Datenschutzerklärung mit der Bezeichnung | Einholung der Einwilligung Vorher sie laden |
| Legitimiertes Interesse als Grundlage | Zustimmung als Grundlage |
| Datenresidenz, an die Sie gedacht haben | Eine ebenso einfache Art, sich zu verschlechtern |
| Kurze, bewusste Log-Retention | Ein Bericht über das, was zugesagt wurde |
Häufig gestellte Fragen
Benötige ich eine Cookie-Einwilligung zur Verwendung eines CDN?
Nein. Ein CDN, das eigene Inhalte liefert, erfordert nicht, dass Informationen auf dem Gerät des Besuchers für nicht wesentliche Zwecke gespeichert oder gelesen werden, was die Zustimmungspflichten gemäß der ePrivacy-Richtlinie auslöst. Die Anforderungen an die Zustimmung stammen von Analyse-, Werbe- und Profiling-Skripten auf Ihren Seiten, unabhängig davon, ob ein CDN sie liefert.
Setzt ein CDN Cookies?
Ein Inhalt CDN braucht in der Regel keine Cookies zu setzen, um Inhalte zu liefern. Einige Funktionen – ein Cookie, das sich daran erinnert, dass ein Besucher eine Bot-Herausforderung bestanden hat, oder eine Sitzung an einen bestimmten Server angebunden hat – und diese fallen normalerweise unter die unbedingt notwendige Ausnahme, da sie ausschließlich für den gewünschten Service anbieten. Sie sollten noch in Ihrer Datenschutzerklärung beschrieben werden.
Ist die Verwendung eines CDN eine Verletzung der DSGVO?
Nein. Die Einschaltung eines Auftragsverarbeiters ist gewöhnlich und ausdrücklich in Art. 28 DSGVO vorgesehen. Erforderlich ist ein Datenverarbeitungsvertrag mit dem Anbieter, eine rechtmäßige Grundlage — normalerweise berechtigtes Interesse an der Bereitstellung von Inhalten — Transparenz in Ihrer Datenschutzerklärung und entweder ein gültiger Übertragungsmechanismus oder ein Regelung zur Erhaltung des europäischen Verkehrs innerhalb des EWR.
Warum hat ein deutsches Gericht gegen Google Fonts entschieden, und gilt das für CDNs?
Ein Gericht in München hielt im Jahr 2022, dass die Einbettung von Google Fonts von den Servern von Google illegal die IP-Adressen der Besucher an einen Dritten ohne Zustimmung weitergegeben, wenn die Website hätte die Schriftarten selbst gehostet haben können. Die Argumentation wandte sich an eine unnötige Offenlegung an einen unabhängigen Dritten und nicht an das Fernhosting als solche. Ein CDN, das als Ihr Prozessor im Rahmen eines DPA eingesetzt wird und Ihren eigenen Inhalt bedient, ist eine wesentlich andere Anordnung – obwohl die Daten innerhalb des EWR die Frage vollständig entfernt.
Entfernt die Anonymisierung von IP-Adressen meine DSGVO-Verpflichtungen?
Nein, obwohl es sich lohnt. Das Truncing oder Hashing von Adressen in Protokollen reduziert die gespeicherten personenbezogenen Daten und erfüllt das Minimierungsprinzip, aber der Edge-Server verarbeitete unbedingt die vollständige Adresse, um überhaupt darauf zu reagieren. Sie benötigen noch immer eine rechtmäßige Grundlage, eine Verarbeitungsvereinbarung und Transparenz; Anonymisierung reduziert die Exposition, anstatt die Verpflichtung zu beseitigen.
Was ist der Unterschied zwischen Cookie-Einwilligung und DSGVO-Datenverarbeitung?
Sie stammen aus verschiedenen Gesetzen mit unterschiedlichen Auslösern. Cookie-Einwilligung stammt aus der ePrivacy-Richtlinie und betrifft die Speicherung oder das Lesen von Informationen auf dem Gerät eines Nutzers. Die Verarbeitung personenbezogener Daten unterliegt der DSGVO, jedoch erfolgt die Verarbeitung. Ein CDN verarbeitet gewöhnlich personenbezogene Daten – IP-Adressen – ohne etwas auf dem Gerät zu speichern, so dass es DSGVO-Verpflichtungen wie ein DPA ohne Einwilligungspflichten eingeht.
Halten Sie die beiden Fragen auseinander und die meisten der Verwirrung löst sich. Die Zustimmung geht darum, was Sie auf jemandes Gerät setzen. Bei der DSGVO geht es um das, was Sie mit ihren Daten machen. Ein CDN, das eigene Inhalte liefert, erhöht die zweite und nicht die erste – und die zweite wird mit einem Vertrag und einem Absatz beantwortet, nicht mit einem Pop-up.
Sehen Sie, wie NordicCDN dies für Ihre Website tut:
Mads hat seit seinem 16. Lebensjahr in der IT gearbeitet — hauptsächlich als Hosting. Er beteiligte sich früh an einer SaaS-Firma und half, sie bis zur Übernahme durch Visma weiterzuentwickeln, hat Data-Center-Netzwerke aufgebaut und betrieben und diente als CTO eines dänischen Rechenzentrums. Er hat NordicCDN gestartet, um eine schnelle, sichere Infrastruktur einfach zu bedienen.
