From 8889c186b9a564b03f1df2fac85e550d9293131e Mon Sep 17 00:00:00 2001
From: Matthias Andreas Benkard <code@mail.matthias.benkard.de>
Date: Sat, 22 Aug 2026 21:32:46 +0200
Subject: =?UTF-8?q?Die=20Erkl=C3=A4rung=20nennt,=20wer=20die=20Abrufe=20ta?=
 =?UTF-8?q?ts=C3=A4chlich=20sieht?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Die Browserfassung geht seit der Umstellung des Webpakets über Cloudflare
Workers; die Datenschutzerklärung beschrieb aber weiterhin den Zustand davor.
Sie sprach von Zugriffsprotokollen, die „nach 14 Tagen“ gelöscht würden, und von
einem Dienstleister „innerhalb der Europäischen Union“. Beides traf nicht mehr
zu: Die Verbindungsdaten fallen beim Auftragsverarbeiter an, nicht beim
Verantwortlichen, die Löschfrist bestimmt jener und nicht dieser, und
übermittelt wird in die Vereinigten Staaten. Eine Erklärung, die den Betrieb
nicht trifft, verfehlt Art. 13 DSGVO gerade dort, wo sie gebraucht wird.

Der Abschnitt über die Zugriffsprotokolle sagt nunmehr, was anfällt, weshalb es
anfällt — Art. 6 Abs. 1 lit. f DSGVO, sicherer Betrieb und Abwehr von
Angriffen — und wo es liegt: bei Cloudflare, gelöscht nach dessen Fristen, ohne
dass der Verantwortliche Protokolle oder Auswertungen abriefe. Eine eigene
Tagesfrist steht dort nicht mehr, denn sie könnte nur wieder veralten. Sie
bleibt allein für die eigene Auslieferung mit nginx genannt, die als Nebenweg
offen ist.

Ein neuer Abschnitt benennt die Auslieferung selbst: Cloudflare Germany GmbH und
Cloudflare, Inc. als Auftragsverarbeiter nach Art. 28 DSGVO,
Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c für die Übermittlung und die
Zertifizierung unter dem EU-US Data Privacy Framework, letztere ausdrücklich als
Angabe des Anbieters gekennzeichnet. Offen ausgesprochen ist auch, was das
technisch bedeutet: Der Mittler beendet die Transportverschlüsselung und sieht
die Abrufe. Er sieht nicht die ausgewerteten Dokumente, denn diese werden
überhaupt nicht übertragen — die tragende Aussage der Erklärung bleibt
ungeschmälert, und sie bleibt es gerade deshalb, weil im Browser gerechnet wird.

Zu den Cookies tritt hinzu, dass auch Cloudflare für die bloße Auslieferung
keine setzt und im Angriffsfall allenfalls ein kurzlebiges, technisch
notwendiges hinzukommt (§ 25 Abs. 2 Nr. 2 TDDDG). Web Analytics, Logpush, Bot
Management und Turnstile sind nicht eingeschaltet; darauf ist die Erklärung
zugeschnitten, und § 15 des README sagt fortan, dass ihr Einschalten sie zu
ergänzen zwingt. Eine Standangabe schließt die Seite, damit ein späterer Wechsel
der Betriebsart als Wechsel erkennbar bleibt.

Berührt sind allein statische Ressourcen; dreihundertfünfundzwanzig Testfälle
bestehen unverändert.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Change-Id: I0dca91a42702e5cf8b5e400a351f980ca0f08d42
---
 README.adoc | 10 ++++++++--
 1 file changed, 8 insertions(+), 2 deletions(-)

(limited to 'README.adoc')

diff --git a/README.adoc b/README.adoc
index ee363d4..a5ae13e 100644
--- a/README.adoc
+++ b/README.adoc
@@ -582,8 +582,14 @@ Schnipsel zum Einfügen in den vorhandenen (`include`). Er bringt mit:
    Stylesheet aber eingebettet trägt.
 
 (4) `impressum.html` und `datenschutz.html` tragen die Angaben nach § 5 DDG und
-Art. 13 DSGVO. Die dort genannte Aufbewahrungsfrist der Zugriffsprotokolle
-(14 Tage) muss zu derjenigen des Servers passen.
+Art. 13 DSGVO. Für den Regelfall — Auslieferung über Cloudflare — nennt
+`datenschutz.html` Cloudflare als Auftragsverarbeiter nach Art. 28 DSGVO samt
+Drittlandsübermittlung und sagt, dass Zugriffsprotokolle dort anfallen und vom
+Verantwortlichen nicht abgerufen werden. Die daneben für die eigene Auslieferung
+(Absatz 2) genannte Frist von 14 Tagen muss zu derjenigen des eigenen Servers
+passen. Wer bei Cloudflare weitere Funktionen einschaltet — Web Analytics,
+Logpush, Bot Management, Turnstile —, muss die Erklärung ergänzen; sie ist so
+gefasst, dass keine davon in Betrieb ist.
 
 (5) Der Footer der Startseite verweist auf den beigelegten Quelltext-Tarball; dies
 verlangt AGPLv3 § 13 für den Netzwerkbetrieb. Als fortlaufende Zweitquelle ist
-- 
cgit v1.2.1

