tree d7f350d7f8ce05a4660d5c46c622853ccb501ee2
parent f3b47af551fa6cd85509a65bb77d8d1b9bcb744a
author Matthias Andreas Benkard <code@mail.matthias.benkard.de> 1787427166 +0200
committer Matthias Andreas Benkard <code@mail.matthias.benkard.de> 1787427166 +0200
gpgsig -----BEGIN PGP SIGNATURE-----
 
 iJEEABYKADkWIQRE3QzuUV5Uegq6sdJPLjDfCicO+wUCaon5XhsUgAAAAAAEAA5t
 YW51MiwyLjUrMS4xMiwwLDMACgkQTy4w3wonDvs5TwD+LHT0tyfLuvdHEOJqKWum
 y+9fLrJkGfIlsUAiz2UwUzgBAN8v8Pxy5FOktnpqkRbQKNyOJ0cC/9aQAUCHvs6k
 0dkA
 =g9Nl
 -----END PGP SIGNATURE-----

Die Erklärung nennt, wer die Abrufe tatsächlich sieht

Die Browserfassung geht seit der Umstellung des Webpakets über Cloudflare
Workers; die Datenschutzerklärung beschrieb aber weiterhin den Zustand davor.
Sie sprach von Zugriffsprotokollen, die „nach 14 Tagen“ gelöscht würden, und von
einem Dienstleister „innerhalb der Europäischen Union“. Beides traf nicht mehr
zu: Die Verbindungsdaten fallen beim Auftragsverarbeiter an, nicht beim
Verantwortlichen, die Löschfrist bestimmt jener und nicht dieser, und
übermittelt wird in die Vereinigten Staaten. Eine Erklärung, die den Betrieb
nicht trifft, verfehlt Art. 13 DSGVO gerade dort, wo sie gebraucht wird.

Der Abschnitt über die Zugriffsprotokolle sagt nunmehr, was anfällt, weshalb es
anfällt — Art. 6 Abs. 1 lit. f DSGVO, sicherer Betrieb und Abwehr von
Angriffen — und wo es liegt: bei Cloudflare, gelöscht nach dessen Fristen, ohne
dass der Verantwortliche Protokolle oder Auswertungen abriefe. Eine eigene
Tagesfrist steht dort nicht mehr, denn sie könnte nur wieder veralten. Sie
bleibt allein für die eigene Auslieferung mit nginx genannt, die als Nebenweg
offen ist.

Ein neuer Abschnitt benennt die Auslieferung selbst: Cloudflare Germany GmbH und
Cloudflare, Inc. als Auftragsverarbeiter nach Art. 28 DSGVO,
Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c für die Übermittlung und die
Zertifizierung unter dem EU-US Data Privacy Framework, letztere ausdrücklich als
Angabe des Anbieters gekennzeichnet. Offen ausgesprochen ist auch, was das
technisch bedeutet: Der Mittler beendet die Transportverschlüsselung und sieht
die Abrufe. Er sieht nicht die ausgewerteten Dokumente, denn diese werden
überhaupt nicht übertragen — die tragende Aussage der Erklärung bleibt
ungeschmälert, und sie bleibt es gerade deshalb, weil im Browser gerechnet wird.

Zu den Cookies tritt hinzu, dass auch Cloudflare für die bloße Auslieferung
keine setzt und im Angriffsfall allenfalls ein kurzlebiges, technisch
notwendiges hinzukommt (§ 25 Abs. 2 Nr. 2 TDDDG). Web Analytics, Logpush, Bot
Management und Turnstile sind nicht eingeschaltet; darauf ist die Erklärung
zugeschnitten, und § 15 des README sagt fortan, dass ihr Einschalten sie zu
ergänzen zwingt. Eine Standangabe schließt die Seite, damit ein späterer Wechsel
der Betriebsart als Wechsel erkennbar bleibt.

Berührt sind allein statische Ressourcen; dreihundertfünfundzwanzig Testfälle
bestehen unverändert.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Change-Id: I0dca91a42702e5cf8b5e400a351f980ca0f08d42