Cloudflare & Datensouveränität - ein Widerspruch in sich? Wir sagen nein.

Die Sicherheit der personenbezogenen Daten wird bei uns groß geschrieben - sei es die unserer Mitarbeiter, unserer Kunden sowie die Daten der Kunden unserer Kunden. Obwohl man mit dem Internet oftmals das Stichwort "Anonymität" verbindet, sickern in der Praxis des Öfteren personenbezogene Daten durch - z.B. an Drittanbietern. Dazu zählen z.B. die Cookie-Kennung, die IP-Adresse oder auch die Browserdaten.

In diesem Artikel erfährst du, wie Cloudflare DSGVO gerecht wird und welche europäische Urteile zum Datenschutz es zu beachten gilt. Außerdem lernst du, was es mit der Data Localisation Suite auf sich hat und wie du dadurch Kontrolle über die Prüfung und Speicherung deiner Daten erhältst.

Dieser Artikel spiegelt unsere Meinung wider und ist keine Rechtsberatung.

Die personenbezogenen Daten sind ein wichtige Güter, das es zu beschützen gilt. Im Zeitalter eines anonymen Internet gibt es eine Vielzahl an Daten, die sich auf eine dedizierte Person zurückführen lässt. Zu personenbezogenen Daten zählen unter anderem:

Name und Vorname
Privatanschrift
E-Mail-Adresse
Cookie-Kennung
IP-Adresse
Browserdaten

Gerade letztere sind Daten, die ein Content Delivery Network (CDN) über die Person kennt und somit identifizieren kann, welche Internet Adressen eine Person mit welchem Browser oder Mobilgerät aufgerufen hat. Diese Daten unterliegen jedoch strengen Richtlinien.

Europäische Urteile zum Datenschutz

Doch warum sollte dies mit Cloudflare nicht sicher sein? Der Hauptsitz von Cloudflare liegt mit San Francisco in Kalifornien, der Vereinigten Staaten von America und speichert unter anderem Daten auf Servern in Amerika. In den vergangen Monaten und Jahren gab es diverse Urteile und Rechtsprechungen, die rechtlich gesehen den Einsatz von Anbietern außerhalb der EU hochumstritten ansehen.

Schrems-II

Der EuGH erklärte am 16.07.2020 das Privacy-Shield-Abekommen zwischen der USA und Europa für unwirksam. Begründet in der Tatsache, das das Abkommen Bürger innerhalb von Europa nicht wirksam vor der Abgreifung von Daten durch den amerikanischen Geheimdienst schützen kann. Dadurch fehlt aktuell eine rechtskonforme Grundlage für einen sicheren Datentransfer in die USA.

CLOUD Act

Durch den Cloud Act (Clarifying Lawful Overseas Use of Data Act) wurde ein Gesetz am 23.03.2018 in Amerika erlassen, das amerikanische Anbieter verpflichtet, US-Behörden auch dann Zugriff auf gespeicherte Daten zu gewährleisten, wenn die Speicherung nicht in den USA erfolgt. Ein Widerspruchsrechts der Anbieter gilt hier nur für Bürger von Ländern, die den Cloud Act mit Amerika unterschrieben haben. Dieses wurde jedoch bislang nur von Großbritannien durchgeführt und gilt somit beispielsweise nicht für Bürger von Deutschland.

Foreign Intelligence Surveillance Act (FISA)

Mit der FISA (Foreign Intelligence Surveillance Act) wurde ein Gesetz in Amerika geschaffen, das der US-Regierung erlaubt, die Kommunikation von Nicht-US-Bürgern, die sich außerhalb der Vereinigten Staaten befinden für den Auslandsgeheimdienst anzufragen. Diese Reglung wird für den Zweck verwendet Inhalte von Mitteilungen anhand Merkmale wie E-Mail-Adressen, die mit Zielen des Geheimdienstes in Verbindung stehen zu überwachen.

Vor diesem Hintergrund empfiehlt es sich jeden Einsatz wohl abzuwägen und zu überdenken.

Welche Daten werden von Cloudflare gespeichert?

Cloudflare leitet im Allgemeinen nur jene Daten weiter, die von Webseitenbetreibern gesteuert werden. Die Inhalte werden also nicht von Cloudflare bestimmt, sondern immer vom Webseitenbetreiber selbst. Zudem erfasst Cloudflare unter Umständen bestimmte Informationen zur Nutzung unserer Webseite und verarbeitet Daten, die von uns versendet werden oder für die Cloudflare entsprechende Anweisungen erhalten hat. In den meisten Fällen erhält Cloudflare Daten wie IP-Adresse, Kontakt- und Protokollinfos, Sicherheitsfingerabdrücke und Leistungsdaten für Webseiten. Protokolldaten helfen Cloudflare beispielsweise dabei, neue Bedrohungen zu erkennen.

Aus Sicherheitsgründen verwendet Cloudflare auch ein Cookie. Das Cookie (__cfduid) wird eingesetzt, um einzelne User hinter einer gemeinsam genutzten IP-Adresse zu identifizieren und Sicherheitseinstellungen für jeden einzelnen User anzuwenden. Wichtig zu wissen ist, dass dieses Cookie keine personenbezogenen Daten speichert, jedoch für die Cloudflare-Sicherheitsfunktionen unbedingt erforderlich ist und nicht deaktiviert werden kann.

Cloudflare speichert Informationen hauptsächlich in den USA und im Europäischen Wirtschaftsraum. Cloudflare kann die oben beschriebenen Informationen aus der ganzen Welt übertragen und darauf zugreifen. Im Allgemeinen speichert Cloudflare Daten auf User-Ebene für Domains in den Versionen Free, Pro und Business für weniger als 24 Stunden. Für Enterprise Domains, die Cloudflare Logs (früher Enterprise LogShare oder ELS) aktiviert haben, können die Daten bis zu 7 Tage gespeichert werden. Wenn allerdings IP-Adressen bei Cloudflare Sicherheitswarnungen auslösen, kann es zu Ausnahmen der oben angeführten Speicherungsdauer kommen.

Wie wird Cloudflare DSGVO-gerecht?

Beim Datenschutz gilt, dass dem Schutz von Daten immer eine Risikoabwägung zugrunde liegt, da eine 100 % Sicherheit nicht gewährleistet werden kann. Der Schutz von Daten unterliegt dabei einer Abwägung, die die Sensibilität und den Schutzbedarf berücksichtigt, der bei den Daten, die Cloudflare speichert, niedrig sein sollte, solange kein besonderer Kontext (s. besonders schützenswerte Daten etc.) betroffen ist. Cloudflare selbst kann beispielsweise Informationen nicht direkt auf die Person zurückführen, sondern ist dabei auf die Zuarbeit von ISPs angewiesen.

Cloudflare bietet eine Vielzahl von Mechanismen zur Sicherstellung von Garantien, Rechten und Rechtsmittel für betroffene Personen in der EU, deren Daten aus der EU in ein Drittland übermittelt werden, welches nicht unter die DSGVO fällt. Hierzu fallen folgende Mechanismen:

Wenn die EU-Kommission entschieden hat, dass ein Drittland ein angemessenes Schutzniveau gewährleistet, nachdem sie die Rechtsstaatlichkeit dieses Landes, die Achtung der Menschenrechte und Grundfreiheiten und eine Reihe anderer Faktoren bewertet hat;
Wenn ein Verantwortlicher oder ein Auftragsverarbeiter verbindliche Unternehmensregeln aufgestellt hat;
Wenn ein Verantwortlicher oder Auftragsverarbeiter über von der Kommission angenommene Standarddatenschutzklauseln verfügt; oder
Wenn ein Verantwortlicher oder Auftragsverarbeiter einen genehmigten Verhaltenskodex oder einen genehmigten Zertifizierungsmechanismus eingeführt hat.

Weiterhin stützt sich Cloudflare auf die Standardvertragsklauseln (SVK) zur Übermittlung personenbezogener Daten in die USA, als Alternative zum Privacy Shield, welches durch Schrems-II unwirksam wurde. Zusätzlich hat sich Cloudflare verpflichtet, falls sie dazu aufgefordert werden, alle Rechtsmittel auszuschöpfen, um Kunden vor nach illegalen oder verfassungswidrigen Anfragen zu schützen.

Abschließend bestätigt Cloudflare in Ihren halbjährigen Transparenzberichten, das sie keine Daten speichern, die über den Cloud Act oder FISA von US Behörden abgefragt werden darf. Sie bestätigen zudem öffentlich "keiner Regierung jemals einen Feed der unser Netzwerk durchlaufenden Kundeninhalte zur Verfügung gestellt zu haben."

Neben diesem grundlegenden Schutz hat Cloudflare zudem ein weiteren Service in ihr Portfolio aufgenommen, das den Schutz für alle Cloudflare Enterprise Kunden auf eine weitere Ebene anhebt.

Wie können Kunden prüfen, dass die Standardvertragskauseln bei Cloudflare in Kraft getreten sind?

In Abhängigkeit des Supportlevels bei Cloudflare können Kunden auf unterschiedliche Weise prüfen, ob die Standardvertragsklauseln für sie greifen. Enterprise Kunden, die nach dem 8. August 2019 einen Vertrag abgeschlossen haben und keine kundenspezifische Vereinbarung getroffen haben, unterliegen den am 01. Oktober 2020 aktualisierten Standard-DPA (Enterprise Subscription Agreement). Für diese Kundengruppe besteht kein Handlungsbedarf, da das aktualisierte DPA per Verweis in diese Version unserer ESA aufgenommen wird. Kunden, die einen individuellen DPA-Vertrag mit Cloudflare abgeschlossen haben, sollten sich bei Fragen zu ihrem DPA an ihren Customer Success Manager wenden. Alle weiteren Kunden haben die Möglichkeit über das Self-Service Subscription Agreement die im Oktober 2020 aktualisierten Version einzusehen. Soweit die Verarbeitung

personenbezogenen Daten durch die DSGVO geregelt ist, enthält die DPA die EU-Standardvertragsklauseln für diese Daten. Weiterhin enthält die aktualisierte Datenschutzvereinbarung auch die oben erwähnten zusätzlichen Sicherheitsvorkehrungen. Die aktualisiertes Standard-DPA kann hier eingesehen werden.

Data Localisation Suite - Die erweitere Lösung zur Datenlokalisierung in der EU.

Die Data Localisation Suite vereint eine Reihe von Produkten, die Kunden die Kontrolle darüber geben, wo ihre Daten geprüft und gespeichert werden. Dadurch wird gewährleistet, das Daten so privat bleiben können wie es gewünscht ist und nur dorthin kommen, wo sie hin sollen.

Unter anderem ist folgendes Setup dadurch möglich:

DDoS Angriffe können in ausschließlich europäischen Rechentrentenren erkannt und abgewehrt werden.
Der Einsatz von TLS Verschlüsselung, WAF , CDN und Cloudflare Worker erfolgt nur auf europäischen Servern.
Keyless SSL und Geo Key Manager speichern private SSL-Schlüssel auf europäischen Servern
Edge Log Delivery überträgt Logs direkt an einen Partner ohne die im eigenen Hauptrechenzentrum zu durchlaufen.
Cloudflare Regional Services hilft bei der Entscheidung, wo Daten verarbeitet werden sollen, ohne die Sicherheits- und Performance-Vorteile von Cloudflare zu verlieren.

Fazit

Cloudflare bietet trotz Hauptsitz in den Vereinigten Staaten einen Schutz gemäß der DSGVO. Wer seine Daten zudem in Europa belassen möchte, kann mit dem Einsatz von Cloudflare Enterprise und der Data Localisation Suite einen Schutz anbieten, der europäische Anbieter ebenbürtig ist.

Beim Datenschutz gilt, dass dem Schutz von Daten immer eine Risikoabwägung zugrunde liegt, da eine 100 % Sicherheit nicht gewährleistet werden kann. Der Schutz von Daten unterliegt dabei einer Abwägung, die die Sensibilität und den Schutzbedarf berücksichtigt, der bei den Daten, die Cloudflare speichert, niedrig sein sollte. Für eine genaue individuelle Einschätzung sollten sie Ihren Datenschutzbeauftragten zur Risikoabwägung nach TIA (Transfer Impact Assessment) einbeziehen.

Ihr steht vor der Entscheidung Cloudflare im Unternehmen einzuführen? Du kannst uns einfach ansprechen und wir unterstützen dich gerne bei der Einführung. Wie wir dich sonst noch unterstützen können, erfährst du hier: https://www.synaigy.com/details/cloud-transformation

Unsere Quellen:

https://blog.cloudflare.com/empowering-your-privacy/
https://www.cloudflare.com/de-de/enterpriseterms/
https://www.cloudflare.com/de-de/terms/
https://www.cloudflare.com/de-de/cloudflare-customer-dpa/
https://www.cloudflare.com/de-de/data-localization/
https://www.cloudflare.com/de-de/press-releases/2022/cloudflare-joins-eu-cloud-code-of-conduct-achieves-new-certifications-to/
https://de.wikipedia.org/wiki/CLOUD_Act
https://de.wikipedia.org/wiki/Foreign_Intelligence_Surveillance_Act
https://de.wikipedia.org/wiki/EU-US_Privacy_Shield
https://www.srd-rechtsanwaelte.de/blog/transfer-impact-assessment/

Marc Achsnich

Team Leadsynaigy GmbHKontakt

Vertiefe dein Wissen mit uns

Blog 29.02.24

Mit KI-Suche zu personalisierten Sucherlebnissen

In der heutigen digitalen Welt ist Zeit kostbar und Auswahl überwältigend. Deshalb ist eine intelligente Suchfunktion im E-Commerce entscheidend! In der aktuellen insights!-Folge hatte ich das Vergnügen, Christina Schönfeld von Algolia zu Gast zu haben. Sie erläutert uns, warum die SaaS-Such- und Entdeckungs-Plattform den Unterschied macht und welche Auswirkungen AI Driven Search in der Customer Journey hat.

Blog 02.05.24

KI & Personalisierung: Zukunft der Softwareentwicklung

In dieser Folge von insights! erläutert Ralf Trapp, CEO von procelo, die Bedeutung von Menschen in der Softwareentwicklung. Dabei teilt er seine Erfahrungen und Erkenntnisse aus seiner langjährigen Tätigkeit im Mittelstandsbereich und gibt wertvolle Einblicke, wie Unternehmen ihre Softwareentwicklungspraktiken optimieren können, um hochwertige und zuverlässige Produkte zu liefern.

Blog 27.06.24

E-Commerce, KI und Personalisierung im Schäfer Shop

In der neuesten insights!-Folge spreche ich mit Andreas Reuter, dem CEO von Schäfer Shop, über die Erfolge von E-Commerce-Strategien, die Zukunft der Arbeit mit hybriden Arbeitsmodellen sowie die Auswirkungen innovativer Technologien wie Live-Übersetzungen und Deepfake auf die globale Zusammenarbeit, um Sprachbarrieren zu überwinden und innovative Wege der Kommunikation zu schaffen. Trotz der faszinierenden Möglichkeiten betonen wir auch die damit verbundenen Herausforderungen und ethischen Bedenken.

Blog 03.07.24

Wie sicher sind deine Systeme?

Gerade in den letzten Jahren wächst der E-Commerce Markt immer weiter und damit einhergehend werden auch die Angriffe auf E-Commerce Systeme häufiger. Cyberbedrohungen stehen mittlerweile an der Tagesordnung. Dabei ist es entscheidend, die verschiedenen Angriffsvektoren zu verstehen und geeignete Maßnahmen zu ergreifen, um deine Plattform zu schützen. So gilt es Sicherheitslücken zu schließen und den reibungslosen Betrieb sicherzustellen.

Blog 04.07.24

So personalisiert KI mit Datenanalyse deinen Onlineshop

In der neuesten insights!-Folge hatten wir das Vergnügen, Ralph Hünermann, Gründer und Geschäftsführer der ODOSCOPE GmbH, im Studio zu begrüßen. Das Gespräch drehte sich um die Ansätze, die ODOSCOPE im Bereich der E-Commerce-Personalisierung, künstlicher Intelligenz und Datenanalyse verfolgt.

Blog 14.06.24

Vom Gästeerlebnis zur Kundenbindung: CX-Strategien im Okura

Wie schafft es ein Hotel, seine Gäste jeden Tag aufs Neue zu beeindrucken? In dieser insights!-Folge ist Niek Hammer, GM des Hotels Okura in Bangkok, zu Gast. Er teilt seine Erfahrungen, wie man im Hotelgewerbe mit Herz und Hingabe herausragenden Kundenservice bietet und eine Kultur der kontinuierlichen Verbesserung schafft. Du erfährst, wie man mit Fehlern umgeht und warum ein menschlicher Führungsstil den Unterschied macht. Dabei beleuchtet Niek, wie das Okura-Team täglich Exzellenz anstrebt, was hinter ihrem kontinuierlichen Verbesserungsprozess steckt und welche Rolle die Mitarbeiterführung dabei spielt.

Blog 23.05.24

E-Commerce-Strategie: Augmented Reality für bessere CX

Möbelstücke virtuell im Wohnzimmer platzieren? Outfits anprobieren, ohne das Haus zu verlassen? Mit Augmented Reality wird Onlineshopping zum Erlebnis! Durch diese Technologie wird das Shoppen immer interaktiver und spannender und hat zur Folge, dass es zu weniger Unsicherheit und mehr Spaß beim Einkaufen führt!

Blog 16.05.24

Zukunft:Omnichannel-Strategien für ROI und Kundenzentrierung

Omnichannel ist nicht nur ein Buzzword – es ist unumgänglich für Unternehmen, die wettbewerbsfähig bleiben wollen. Verzahnte Verkaufskanäle sind essentiell für ein reibungsloses Kundenerlebnis, das wiederum zu mehr Umsatz führt. Genau das ist das Thema der heutigen insights!-Folge. Dieses Mal kitzelt Sonja Fuhrmann, freie Journalistin, die insights aus mir heraus.

Blog 04.04.24

Digitaler Erfolg durch gemeinsame Unternehmenswerte

In dieser insights!-Folge beleuchten Laura Ludwig und Jan Stassen, die Gründer vom Museum für Werte, die Bedeutung von Werten und Organisationskultur in Zeiten des digitalen Wandels. Sie betonen die Notwendigkeit, nicht nur nach außen zu schauen, sondern auch nach innen zu reflektieren und die eigenen Werte in Technologie und Produktentwicklung zu integrieren.

Blog 21.03.24

Effizienzmaximierung durch KI, Personalisierung & Daten

In dieser insights!-Folge haben wir Philipp Krüger, Vice President Marketing & Consulting von Pimcore zu Gast. Gemeinsam diskutieren wir über die Zukunft der digitalen Technologie und nehmen dabei die Auswirkungen generativer KI, Hyper-Personalisierung und fortschrittlicher Datenmanagementlösungen auf das Marketing und E-Commerce ins Visier.

Blog 11.03.24

Personalisierung als Herzstück der Sales& Marketing-Strategy

In dieser insights!-Folge teilt Ali Saffari, Managing Partner von Voyage8 Group, Einblicke in effektive Führungsstrategien innerhalb des Vertriebs, Marketings und Customer Success. Ali diskutiert den Aufbau und die Anpassung von Vertriebsteams an sich wandelnde Marktdynamiken sowie die Nutzung von Daten zur Optimierung der Kundenansprache.

Blog 11.04.24

Überwindung der Kreativitätsblockade

In unserem Alltag tendieren wir oft dazu, auf bekannten und bewährten Wegen zu verharren. Diese Vorliebe für Vertrautes, die uns ein Gefühl von Sicherheit gibt, hindert uns jedoch daran, unsere kreative Ader voll auszuschöpfen – eine essentielle Fähigkeit, wenn es darum geht, innovative Lösungen für unsere Kunden zu entwickeln. Diese Lösungen sollen nicht nur deren Arbeitsalltag erleichtern, sondern auch beschleunigen und bereichern.

Blog 14.03.24

Diese Top 5 Superkräfte machen Product Owner unverzichtbar

In der sich ständig wandelnden digitalen Landschaft von heute ist der Product Owner nicht einfach nur eine Rolle – es ist eine Berufung. Du trägst die Vision deines Produkts wie ein Banner vor dir her und hast die Mission, das bestmögliche Erlebnis und Ergebnis für deine Nutzerer und Nutzerinne zu schaffen. Dabei geht es um so viel mehr als nur Planung und Verwaltung; es geht darum, eine Brücke zwischen dem, was ist, und dem, was sein könnte, zu bauen.

Blog 05.07.24

Die Bedeutung der Datensouveränität

Datensouveränität ist nicht nur ein Marketing-Buzzword, sondern ein Erfolgsfaktor für Unternehmen, die in der globalen Wirtschaft ganz vorne mitspielen wollen. Die jüngste Bitkom-Studie zur Cloudsouveränität unterstreicht die wachsende Bedeutung von Cloud-Lösungen für deutsche Unternehmen und zeigt auf, dass 95 % der befragten Unternehmen Cloud Computing bereits im Einsatz haben oder noch nutzen wollen.

Blog 11.07.24

Mit modernen Order-Management-Systemen zu zufriedenen Kunden

In dieser Folge von insights! hatte ich das Vergnügen, Linda Kuhr, die Gründerin und Geschäftsführerin von Fulfillmenttools, zu Gast zu haben. Sie teilt ihre Erfahrungen und Einblicke in die Welt des modernen Order Managements und die Herausforderungen, die dabei gemeistert werden müssen.

Blog 12.04.23

OVHcloud: Schutz vertraulicher Infos für Unternehmen

Die digitale Transformation hat in den letzten Jahren zu einem rasanten Anstieg der Datenmengen geführt, die Unternehmen und Organisationen auf der ganzen Welt verarbeiten und speichern müssen. In diesem Zusammenhang wird die Datensouveränität zu einem immer wichtigeren Thema, insbesondere wenn es darum geht, vertrauliche Informationen sicher und geschützt zu halten. Hier kommt die OVHcloud ins Spiel - ein europäischer Cloud-Service-Anbieter, der sich dem Schutz der Datensouveränität verschrieben hat.

Blog 06.04.23

Metaverse: B2B und B2C Unternehmen maximieren ihren ROI

Das Metaverse verspricht der Gamechanger für die Zukunft der virtuellen Realität und der digitalen Interaktion zu werden und hat das Potenzial Handel, Arbeitswelt und Freizeit nachhaltig zu verändern. Metaverse-Plattformen können Unternehmen dabei helfen, innovative Geschäftschancen zu schaffen und neue Kundengruppen zu erschließen. In diesem Kontext bieten sie die nächste große Chance für Unternehmen im E-Commerce, um wettbewerbsfähig zu bleiben und dein Geschäft auszubauen. Was es mit Metaverse genau auf sich hat, wie Unternehmen von der Metaverse-Revolution profitieren können und was wir von den Vorreitern lernen können, lernst du in der neuen insights!-Folge mit Christian Gleich.

Blog 30.03.23

Verbesserung der Customer Experience durch digitale Empathie

Im Gespräch widmen sich Katja Moritz und ich dem Phänomen der digitalen Körpersprache in der Online-Welt. Der technologische Fortschritt hat es inzwischen so weit gebracht, dass der Kunde im wahrsten Sinne des Wortes gläsern ist. Was in der Offline-Welt die Mimik ist, ist im Netz der Mausklick an der entsprechenden Stelle. Wie Shop-Betreiber die Wünsche und Bedürfnisse ihrer Kunden entschlüsseln, darüber gibt die Kölner User Epxerience Managerin heute Auskunft.

Blog 23.03.23

Managed Services im E-Commerce: Der Weg zu mehr Umsatz?

Recht technisch geht es heute beim Gespräch zwischen mir und dem Teamleiter von Managed Services & Software Development, Marc Achsnich, zu. Die beiden Kenner der E-Commerce-Branche fachsimpeln vor dem Mikrofon darüber, wie sich Onlineshops auf unerwartete Stoßzeiten vorbereiten können, in welchem Umfang die Systeme überwacht werden sollten und wie ein guter Kundensupport auszusehen hat.

Blog 16.03.23

Wie die MACH-Architektur und API-First helfen können

Heute habe ich Sven Baumgart, Gründer und CEO von Tremaze, zu Gast. Gemeinsam mit Sven tauchen wir in die Welt der App-Entwicklung ein. Tremaze hat zwei Anwendungen, Tremaze und Tagea, entwickelt. In der neuen insights!-Folge verrät Sven, wie sie bei der App-Entwicklung mit nur vier Vollzeitentwicklern vorgehen und wie die MACH-Architektur und der API-First Ansatz helfen können, kostengünstig Apps zu aufzubauen. Außerdem geht Sven auf ihre Herausforderungen und Best Practises ein.

Jetzt Blog abonnieren und keine News mehr verpassen

✔️kostenlos ✔️jede Woche News ✔️Expertenwissen