Cloudflare Turnstile und DSGVO: Was Betreiber prüfen sollten
Cloudflare Turnstile ist ein Captcha ohne Bilderrätsel, kostenlos und schnell eingebunden, und deshalb für viele die naheliegende Alternative zu reCAPTCHA. Datenschutzrechtlich stellen sich bei Turnstile dieselben zwei Fragen wie bei jedem Captcha: Darf das Skript ohne Einwilligung auf das Gerät zugreifen, und was passiert mit den Daten bei Cloudflare? Eine Bewertung durch eine Aufsichtsbehörde gibt es nach unserem Stand nicht. Wir stützen uns deshalb auf Cloudflares eigene Unterlagen.
Was Turnstile im Browser tut
Laut Cloudflare führt das Widget eine Reihe kleiner JavaScript-Prüfungen aus, darunter „proof-of-work“, „proof-of-space“ und das Abfragen von Web-APIs, um Signale über den Browser zu sammeln. Je nach Modus sieht der Besucher nichts, ein Widget ohne Interaktion oder bei Bedarf eine Checkbox.
Eine Cookie-Liste für das Standard-Widget veröffentlicht Cloudflare nicht. In der Anleitung für mobile Apps schreibt Cloudflare jedoch, Turnstile verlasse sich auf Cookies und Local Storage, um Zustand zu halten und Besucherverhalten zu verfolgen. Das Cookie cf_clearance kommt nur hinzu, wenn Sie die Funktion Pre-Clearance einschalten.
Für § 25 TDDDG heißt das: Die deutschen Aufsichtsbehörden werten das Auslesen von Geräteeigenschaften per JavaScript als Zugriff auf das Endgerät (DSK, Orientierungshilfe Digitale Dienste, Rn. 24), Local Storage als Speicherung (Rn. 21). Turnstile fällt also unter die Vorschrift, und die Frage ist, ob die Ausnahme für unbedingt erforderliche Zugriffe greift.
Die Doppelrolle von Cloudflare
Das Turnstile Privacy Addendum vom 18.06.2025 beschreibt zwei Rollen. Für den Schutz Ihrer Website arbeitet Cloudflare als Ihr Auftragsverarbeiter. Für die Signale, mit denen Cloudflare die Bot-Erkennung von Turnstile verbessert, ist Cloudflare dagegen selbst Verantwortlicher, gestützt auf eigene berechtigte Interessen. Als Signale nennt Cloudflare beispielhaft IP-Adresse, TLS-Fingerprint, User-Agent sowie Sitekey und Herkunft der Anfrage; eine Speicherdauer nennt das Addendum nicht. Cloudflare schreibt außerdem, Turnstile nutze Daten nie für Werbe-Retargeting. Cloudflare selbst bezeichnet die Signale als „strictly necessary“ für die Bot-Erkennung und schreibt, Turnstile greife nicht auf Formulareingaben zu; das ist Cloudflares Einschätzung, keine behördliche.
Genau an dieser zweiten Rolle setzen die Maßstäbe der Aufsichtsbehörden an. Die französische CNIL verlangt eine Einwilligung, wenn ein Captcha Daten auch für andere Zwecke als die Sicherheit der Website nutzt. Die DSK verlangt für die Ausnahme nach § 25, dass Drittdienstleister die ausgelesenen Informationen grundsätzlich nur für die aufgerufene Website verwenden (Rn. 95). Ob die Verbesserung der eigenen Bot-Erkennung als solcher anderer Zweck zählt, hat nach unserem Stand noch keine Behörde entschieden.
Wo die Daten verarbeitet werden
Cloudflare, Inc. hat ihren Sitz in San Francisco und ist unter dem EU-US Data Privacy Framework zertifiziert; die Liste zeigt am 11.10.2026 den Status „Active - Re-certification under Review“. Der Customer DPA sieht hilfsweise Standardvertragsklauseln vor.
Eine Verarbeitung nur in der EU lässt sich für Turnstile nach Cloudflares eigener Kompatibilitätsübersicht nicht einstellen: Mit den „Regional Services“ der Data Localization Suite ist Turnstile nicht kompatibel, und für die Siteverify-API gibt es laut Cloudflare noch keine Regionalisierungsgarantie. Kompatibel ist Turnstile laut Tabelle mit der „Customer Metadata Boundary“, die regelt, in welcher Region Logs und Analysedaten gespeichert werden.
Checkliste für den Einsatz
| Punkt | Was Sie tun können |
|---|---|
| Zeitpunkt | Binden Sie Turnstile nur auf Seiten mit Formular ein und nutzen Sie das explizite Rendering, damit die Prüfung erst am Formular startet. |
| Pre-Clearance | Lassen Sie die Funktion aus, wenn Sie das Cookie cf_clearance nicht brauchen. |
| Einwilligung | Klären Sie mit Ihrer oder Ihrem Datenschutzbeauftragten, ob Sie Turnstile auf § 25 Abs. 2 Nr. 2 TDDDG stützen oder eine Einwilligung einholen, und halten Sie die Begründung fest. |
| Datenschutzerklärung | Nennen Sie Cloudflare als Empfänger, die Übermittlung in die USA mit Rechtsgrundlage und die eigene Verantwortlichkeit von Cloudflare für die Signale. |
| unsichtbarer Modus | Cloudflare verlangt dann, dass Sie in Ihrer Datenschutzerklärung auf das Turnstile Privacy Addendum verweisen. |
Wer von reCAPTCHA kommt, findet bei Cloudflare einen Kompatibilitätsmodus, der laut Dokumentation reCAPTCHA bis Version 2 abdeckt. Wie sich die Lage bei reCAPTCHA nach Googles Rollenwechsel darstellt, steht im Ratgeber reCAPTCHA und DSGVO, die allgemeinen Kriterien im Beitrag Captcha und Einwilligung.
Andere Wege
Wer Turnstile mit anderen Diensten vergleicht, sollte bei allen dieselben Fragen stellen: Nutzt der Anbieter Daten nur für Ihren Schutz, wo verarbeitet er, und was liest das Skript aus? Das gilt auch für Myra EU CAPTCHA. Unser Widget erhebt beim Laden der Seite Browser- und Gerätemerkmale, darunter Verhaltensmerkmale wie Mausbewegungen, und fällt damit ebenso unter § 25 TDDDG.
Häufige Fragen
Ist Cloudflare Turnstile DSGVO-konform?
Das lässt sich nicht pauschal sagen, und uns ist keine Bewertung einer Aufsichtsbehörde zu Turnstile bekannt (Stand 11.10.2026). Entscheidend sind die Fragen nach § 25 TDDDG, nach der Rolle von Cloudflare und nach der Übermittlung in die USA, die diese Seite einzeln durchgeht.
Setzt Turnstile Cookies?
Cloudflare veröffentlicht für das Standard-Widget keine Liste der Cookies. In der Dokumentation für mobile Apps schreibt Cloudflare aber, Turnstile verlasse sich auf Cookies und Local Storage, um Zustand zu halten und Besucherverhalten zu verfolgen. Das Cookie cf_clearance setzt Turnstile nur, wenn die Funktion Pre-Clearance eingeschaltet ist; ab Werk ist sie aus.
Kann ich Turnstile so einstellen, dass Daten nur in der EU verarbeitet werden?
Laut Cloudflares eigener Übersicht ist Turnstile nicht mit den „Regional Services“ der Data Localization Suite kompatibel, und für die Siteverify-API gibt es nach Cloudflare noch keine Regionalisierungsgarantie.
Brauche ich für Turnstile andere Cloudflare-Dienste?
Nein. Cloudflare schreibt, Turnstile lasse sich unabhängig nutzen, ohne andere Cloudflare-Dienste. Der kostenlose Tarif erlaubt laut Cloudflare bis zu 20 Widgets mit unbegrenzt vielen Prüfungen.
Quellen
- Cloudflare, Turnstile Privacy Addendum (18.06.2025), abgerufen am 11.10.2026
- Cloudflare, Turnstile Dokumentation, abgerufen am 11.10.2026
- Cloudflare, Turnstile (Produktseite), abgerufen am 11.10.2026
- Cloudflare, Turnstile Widget-Modi, abgerufen am 11.10.2026
- Cloudflare, Turnstile Mobile Implementation, abgerufen am 11.10.2026
- Cloudflare, Turnstile Pre-Clearance, abgerufen am 11.10.2026
- Cloudflare, Turnstile Plans, abgerufen am 11.10.2026
- Cloudflare, Data Localization Suite: Product compatibility, abgerufen am 11.10.2026
- Cloudflare, Customer DPA, abgerufen am 11.10.2026
- Data Privacy Framework, Teilnehmerliste, abgerufen am 11.10.2026
- Cloudflare, Migration von reCAPTCHA, abgerufen am 11.10.2026
- § 25 TDDDG, gesetze-im-internet.de, abgerufen am 11.10.2026
- DSK, Orientierungshilfe für Anbieter:innen von digitalen Diensten, Version 1.2 (November 2024), abgerufen am 11.10.2026
- CNIL, Cookies et autres traceurs, FAQ (Frage 17, Stand 29.04.2026), abgerufen am 11.10.2026