DSGVO-konformes CDN für WordPress: Rechtslage & Anbieter (2026)

Hinweis: Dieser Artikel erklärt die technische Umsetzung und ordnet die Rechtslage allgemein verständlich ein. Er ersetzt keine Rechtsberatung im Einzelfall. Panomity GmbH ist keine Kanzlei. Bei konkreten rechtlichen Fragen zu deiner Website wende dich an eine auf Datenschutzrecht spezialisierte Kanzlei oder deinen betrieblichen Datenschutzbeauftragten.

Ein CDN (Content Delivery Network) beschleunigt deine Seite, indem es Inhalte über geografisch verteilte Server ausliefert. Dabei verarbeitet es zwangsläufig die IP-Adressen deiner Besucher — und genau das macht es zu einem Datenschutzthema, nicht nur zu einem Performance-Thema. Dieser Artikel bringt beide Perspektiven zusammen, was im deutschen Content-Angebot bisher selten passiert: Juristische Ratgeber erklären die Rechtslage und hören dort auf, technische Ratgeber ignorieren sie komplett.

Was ein CDN technisch protokolliert

Bevor es um Recht geht, hilft ein nüchterner Blick auf die Technik: Ein CDN-Edge-Server protokolliert bei jeder Auslieferung typischerweise IP-Adresse, Zeitstempel, angeforderte URL, User-Agent und HTTP-Statuscode — im Kern dasselbe, was auch dein eigener Webserver-Logfile aufzeichnet, nur eben auf einem fremden System. Das ist grundsätzlich nichts Ungewöhnliches oder Verdächtiges; jeder Webserver braucht diese Daten zur Fehlerdiagnose und Missbrauchsabwehr. Der entscheidende Unterschied ist die Kontrolle: Bei deinem eigenen Server bestimmst du die Aufbewahrungsfrist und den Zugriff selbst, bei einem CDN-Anbieter delegierst du das vertraglich über den AV-Vertrag — und solltest darin auch eine klare, kurze Löschfrist finden.

Die Rechtslage knapp und korrekt

IP-Adressen sind personenbezogene Daten. Der Europäische Gerichtshof hat das bereits 2016 für dynamische IP-Adressen festgestellt: Sie gelten als personenbezogen, sobald der Verantwortliche rechtliche Mittel hat, die betroffene Person zu identifizieren — etwa über Auskunftsansprüche gegenüber dem Internetprovider (EuGH, Urteil Breyer, C-582/14). Die DSGVO nennt Online-Kennungen wie IP-Adressen in Erwägungsgrund 30 explizit als Beispiel für personenbezogene Daten. Für die Praxis heißt das: Jeder CDN-Einsatz ist datenschutzrechtlich relevant, ganz gleich wie „technisch" er sich anfühlt.

Ein Auftragsverarbeitungsvertrag (AVV) ist nötig. Wenn ein CDN-Anbieter IP-Adressen deiner Besucher verarbeitet, handelt es sich um Auftragsverarbeitung nach Art. 28 DSGVO. Du als Websitebetreiber bleibst Verantwortlicher, der Anbieter wird Auftragsverarbeiter — dafür braucht es einen AV-Vertrag, den seriöse Anbieter standardmäßig zum Abschluss anbieten.

Drittlandtransfer bei US-Anbietern. Läuft die Verarbeitung über Server oder Konzernstrukturen in den USA, greift die Drittlandtransfer-Problematik. Seit Juli 2023 gibt es dafür das EU-US Data Privacy Framework (DPF) als Angemessenheitsbeschluss der EU-Kommission (Pressemitteilung der EU-Kommission), auf dessen Basis auch Cloudflare gelistet ist. Vorsicht bei der Einordnung: Das DPF ist rechtlich tragfähig, aber nicht unumstritten — die Datenschutzorganisation noyb (Max Schrems) hat die EU-Kommission im Sommer 2026 aufgefordert, den Beschluss zu widerrufen, und droht mit einer Untätigkeitsklage vor dem EuGH, sollte die Kommission nicht reagieren (noyb — dritte Runde vor dem EuGH). Eine erste Klage gegen das DPF wurde vom EU-Gericht 2024 aus verfahrensrechtlichen Gründen abgewiesen, ohne die inhaltliche Kritik (Zugriff durch US-Geheimdienste nach Cloud Act und FISA) auszuräumen. Wer auf Nummer sicher gehen will, plant also mit einem möglichen „Schrems III"-Szenario — dem dritten Kippen eines transatlantischen Datentransfer-Abkommens nach Safe Harbor und Privacy Shield.

Cloudflare korrekt konfigurieren — redaktionell, kein Affiliate

Cloudflare hat kein öffentliches Affiliate-Programm — wir empfehlen es hier ausschließlich redaktionell, ohne jedes finanzielle Interesse. Das ist kein Nachteil, sondern im Gegenteil das stärkste Vertrauenssignal, das wir zu diesem Anbieter geben können.

Wenn du Cloudflare einsetzt (auch im kostenlosen Free-Plan), gehört Folgendes zwingend dazu:

AV-Vertrag abschließen. Cloudflare stellt ein Data Processing Addendum (DPA) bereit, das die Standardvertragsklauseln der EU als Übermittlungsgrundlage enthält (Cloudflare Customer DPA). Dieser Vertrag muss aktiv im Account hinterlegt bzw. akzeptiert werden — er gilt nicht automatisch nur durch Nutzung.
Datenschutzerklärung anpassen. Der Einsatz von Cloudflare gehört mit Rechtsgrundlage und Verweis auf den AV-Vertrag in deine Datenschutzerklärung.
Datenminimierung nutzen. Nicht benötigte Cloudflare-Funktionen (z. B. Web Analytics mit Zusatztracking) deaktivieren, wenn du sie nicht brauchst.

Die ehrliche Einordnung: Ein abgeschlossener AV-Vertrag macht die Nutzung datenschutzrechtlich vertretbar, aber nicht automatisch zur „sichersten" Lösung. Wer Drittlandtransfer und die DPF-Unsicherheit grundsätzlich vermeiden will, kommt an einer EU-Alternative nicht vorbei.

EU-Alternativen im Vergleich

Bunny.net* ist unsere Empfehlung für DSGVO-bewusste Betreiber, die trotzdem nicht auf CDN-Performance verzichten wollen. Firmensitz in Ljubljana, Slowenien (EU) — die Muttergesellschaft BunnyWay d.o.o. unterliegt damit direkt der DSGVO statt über ein Angemessenheitsabkommen. PoPs lassen sich im Dashboard auf EU-Regionen beschränken, es werden keine Cookies auf CDN-Ebene gesetzt, und ein AV-Vertrag ist Teil des Angebots.

KeyCDN (Schweiz) ist eine Erwähnung wert, auch ohne eigenes Partnerprogramm bei uns: Die Schweiz gilt bei der EU-Kommission als Land mit angemessenem Datenschutzniveau, ein AV-Vertrag ist verfügbar. Technisch und preislich eine solide Alternative, wenn du bewusst außerhalb von EU-Jurisdiktion, aber innerhalb eines anerkannten Angemessenheitsrahmens bleiben willst.

BlazingCDN operiert über eine polnische Gesellschaft (Advanced Administrations Sp. z o.o., Warschau) mit einer weiteren Konzerneinheit auf Zypern — im Kern also EU-Struktur, praktisch als Nischenanbieter mit kleinerer Marktbekanntheit im DACH-Raum als Bunny.net.

Anbieter	Serverstandort/Sitz	AV-Vertrag verfügbar	Drittlandtransfer	Cookies auf CDN-Ebene
Bunny.net*	Slowenien (EU)	Ja	Nein (bei EU-PoP-Beschränkung)	Nein
Cloudflare (redaktionell)	USA, globale PoPs	Ja (DPA)	Ja, über DPF abgesichert (Kritik anhängig)	Teils, je nach Produkt
KeyCDN	Schweiz	Ja	Nein (Schweiz = Angemessenheitsbeschluss)	Nein
BlazingCDN	Polen/Zypern (EU)	Ja	Nein	Nein

Stand: Juli 2026, Angaben laut Anbieter-Dokumentation.

Der Klassiker: Google Fonts lokal einbinden

Der wohl bekannteste DSGVO-Stolperstein bei WordPress ist die dynamische Einbindung von Google Fonts über Google-Server. Das Landgericht München I hat 2022 100 € Schadensersatz zugesprochen, weil die IP-Adresse eines Besuchers ohne Einwilligung an Google übertragen wurde (LG München I, 20.01.2022, 3 O 17493/20 — Zusammenfassung bei dr-datenschutz.de). Die Lösung ist unkompliziert und hat einen Performance-Bonus obendrauf: Fonts lokal im eigenen /wp-content/-Verzeichnis einbinden statt das Stylesheet von Google zu laden. Das entfällt eine externe DNS-Auflösung und einen zusätzlichen Verbindungsaufbau — schneller und ohne Drittlandtransfer in einem Schritt. Die meisten Cache- und Performance-Plugins bringen dafür eine Funktion mit; wer keins nutzt, findet spezialisierte kostenlose Plugins für genau diesen einen Zweck.

DSGVO und Performance werden fast immer getrennt behandelt, obwohl sie sich an einer Stelle direkt in die Quere kommen: Cookie-Consent-Banner. Ihre Zustimmungs-Skripte verarbeiten den Klick auf „Akzeptieren" häufig mit spürbarer Verzögerung und blockieren dabei kurzzeitig den Hauptthread — das schlägt sich direkt in einem schlechteren INP-Wert nieder (ausführlich dazu der Abschnitt zu INP im Core-Web-Vitals-Grundlagenartikel). Ein rechtlich korrektes, aber technisch schwerfälliges Consent-Management-Plugin eines Drittanbieters kann also selbst zum Performance-Problem werden. Die Lösung liegt nicht darin, auf Compliance zu verzichten, sondern ein schlankes, idealerweise selbst gehostetes Banner zu wählen, das nicht bei jedem Klick ein ganzes Skript-Ökosystem nachlädt.

Häufige Fehler in der Praxis

AV-Vertrag als „einmal angeklickt, für immer erledigt" behandeln. Anbieter aktualisieren ihre DPA-Bedingungen gelegentlich — ein einmal akzeptierter Vertrag sollte nach größeren Anbieter-Updates erneut geprüft werden.
Google Fonts durch ein CDN „mitgelöst" glauben. Ein CDN für Bilder oder statische Assets ändert nichts daran, wenn das Theme parallel weiterhin Google Fonts extern einbindet. Beide Baustellen sind unabhängig voneinander zu prüfen.
Datenschutzerklärung nach Anbieterwechsel nicht aktualisiert. Wechselst du von Cloudflare zu Bunny.net oder umgekehrt, muss der entsprechende Abschnitt der Datenschutzerklärung mitgezogen werden — das wird in der Praxis regelmäßig vergessen, weil es kein sichtbarer Frontend-Fehler ist.

Die dritte Option: kein CDN, keine externen Assets

Die konsequenteste DSGVO-Lösung wird in Vergleichsartikeln selten erwähnt, weil sie kein Produkt verkauft: gar kein CDN und keine externen Einbindungen. Diese Seite hier ist bewusst so aufgebaut — keine Webfonts, kein externes CDN-JavaScript, keine Drittanbieter-Einbindungen im Frontend. Für eine überwiegend deutsch- oder europäisch-besuchte Business-Seite mit vernünftigem Hosting ist das kein Kompromiss, sondern oft die einfachste und rechtlich unkomplizierteste Lösung: Was nicht an Dritte übermittelt wird, muss auch nicht vertraglich abgesichert werden. Diese Option ist immer der erste Punkt im Entscheidungsbaum, bevor überhaupt ein Anbieter zur Debatte steht.

Entscheidungsbaum

Brauchst du überhaupt ein CDN? Nur lokaler/deutscher Traffic, kleine Bildlast, gutes deutsches Hosting → meistens nein, siehe oben. Miss mit unserem Speed-Test, ob Auslieferungsgeschwindigkeit dein Engpass ist.
Internationaler Traffic oder DDoS-Schutz nötig, Drittlandtransfer akzeptabel (AV-Vertrag vorhanden)? → Cloudflare, korrekt konfiguriert wie oben beschrieben.
Drittlandtransfer soll grundsätzlich vermieden werden, oder du berätst Kunden mit strengen Compliance-Vorgaben? → Bunny.net* mit EU-PoP-Beschränkung, alternativ KeyCDN (Schweiz).
In jedem Fall, unabhängig vom CDN: Google Fonts lokal einbinden. Das ist keine Ermessensfrage, sondern der Punkt mit dem höchsten Abmahnrisiko bei geringstem Aufwand, ihn zu beheben.

Weiterführend: WordPress Bilder optimieren für die Bild-CDN-Perspektive, WordPress schneller machen für die Gesamt-Roadmap, oder Speed-Test starten.