Verhindert RückstandBausteinEtabliert
Cloudflare Pages
Cloudflare, Inc. ·pages.cloudflare.com· Stand: 2026-07-30
Liefert die Dateien einer Website weltweit aus und führt kleine Funktionen an der Netzkante aus, ohne dass ein eigener Server betrieben wird.
Dieses Werkzeug mit KI durchgehen
Unser Urteil
Auslieferung hält niemanden vorn, ihr Fehlen wirft zurück. Zum Thema wird sie erst, wenn sie fehlt oder wenn Regeln an der Kante Geschäftslogik übernehmen. Genau dann ist sie auch die Stelle, an der ein Wechsel weh tut.
Belege:Auftragsverarbeitung, EU-Lokalisierung, Subprozessoren, Zertifikate, DrittlandgrundlageZur QuelleFreigrenze für Funktionsaufrufe und kostenlose statische AuslieferungZur Quelle
Für wen es taugt
Solopreneur
geeignet
Der kostenlose Tarif reicht für eine vollständige Website. Statische Dateien sind laut Anbieter kostenlos und ohne Mengenbegrenzung.
KMU
geeignet
Kalkulierbar, solange die Seite überwiegend aus Dateien besteht. Funktionsaufrufe zählen gegen ein gemeinsames Tageslimit.
Konzern
geeignet
Vertragsfähig: der Anbieter führt Auftragsverarbeitung, öffentliche Subprozessorenliste, EU-Datenlokalisierung und Nachweise bis C5 und EU Cloud Code of Conduct.
Kaufen, wechseln oder bauen
Standardprodukt
Klassisches Hosting oder ein betreuter Server
Vertraut, überall beschaffbar, mit klarer Rechnung. Dafür trägt man Verfügbarkeit und Netzverteilung selbst, und weltweite Auslieferung wird schnell teuer.
KI-nativ
Keine KI-native Kategorie
Auslieferung ist keine KI-Frage. Wer hier auf KI-Versprechen achtet, optimiert an der falschen Stelle.
Eigenbau
Eigener Server oder Container
Lohnt, wenn Daten das Haus nicht verlassen dürfen oder eine Behörde den Betriebsort vorschreibt. Kostet Bereitschaftsdienst, Aktualisierungen und eine zweite Person, die es auch kann.
Unser Rat
- Solopreneur: Kostenloser Tarif, mehr braucht es nicht.
- KMU: Nehmen, aber die Regeln an der Kante dokumentieren, damit sie beim Wechsel nicht verloren sind.
- Konzern: Nehmen, mit EU-Lokalisierung als Zusatz und dokumentierten Kantenregeln.
Wer dahinter steht
Tragfähigkeit: Etabliert
Börsennotierter Anbieter mit breitem Zertifikatsstand. Das Risiko liegt nicht im Wegfall des Anbieters, sondern in der Bindung an seine Kante.
- Eigentumsverhältnis: börsennotiert (NYSE: NET)cloudflare.netZur Quelle · Stand 2026-07-30
- Zertifikate: ISO 27001, ISO 27701, ISO 27018, SOC 2 Type II, PCI DSS Level 1, EU Cloud Code of Conduct, C5 2020Auftragsverarbeitung, EU-Lokalisierung, Subprozessoren, Zertifikate, DrittlandgrundlageZur Quelle · Stand 2026-07-30
- Transparenz: Subprozessorenliste öffentlich geführtcloudflare.com/gdpr/subprocessorsZur Quelle · Stand 2026-07-30
Ausstiegskosten: Mittel
Die Dateien sind portabel, die Kante nicht. Weiterleitungsregeln, Zugriffsregeln und Funktionen sind anbieterspezifisch und müssen bei einem Wechsel neu gebaut werden. Bei uns steckt die Umleitungslogik in vier Regeln der Zone und nicht im Programmcode; das ist bequem und es ist genau die Bindung, die man kennen muss.
Regulatorik und Daten
Wie die Ampel zu lesen istDie Ampel bewertet den Belegstand je Regulatorik-Punkt, nicht die Qualität des Werkzeugs. Grundlage ist ausschließlich der im Profil hinterlegte wert samt notiz und quelle in toolboxDetail.json, Stand 30.07.2026. Wo eine Angabe fehlt, bewertet die Ampel das Fehlen, nicht eine Vermutung. Ein sauber begründetes „unklar" an einem für das Werkzeug nachrangigen Punkt ist gelb. Ein fehlender Beleg an einem Punkt, der über die Einsetzbarkeit entscheidet, ist rot.belegt, ohne Auflagebelegt, an eine Auflage gebundenbelegt, aber ungünstigan einem kritischen Punkt offen
| Auftragsverarbeitungbelegt, ohne Auflage: Auftragsverarbeitungsvertrag öffentlich abrufbar und ohne weitere Bedingung Bestandteil des Vertrags; oder er entfällt nachvollziehbar begründet, weil kein Anbieter Kundendaten verarbeitet.belegt, an eine Auflage gebunden: Vertrag existiert, ist aber an einen Tarif gebunden, nur nach Anfrage einsehbar oder allein in den Nutzungsbedingungen geregelt statt als eigenes Dokument.belegt, aber ungünstig: Kein Auftragsverarbeitungsvertrag im üblichen Sinn: entweder weil der Anbieter für das Kerngeschäft eigenständig Verantwortlicher ist und stattdessen eine andere Konstruktion gilt, oder weil öffentlich offen bleibt, ob überhaupt einer angeboten wird.an einem kritischen Punkt offen: Weder ein Vertrag noch ein dokumentierter Weg zu einem Vertrag; der Einkauf hätte nichts, worauf er sich stützen kann. | belegt, ohne Auflageja, öffentlichcloudflare.com/cloudflare-customer-dpaZur QuelleStandard-Auftragsverarbeitung, in die Selbstbedienungs- und Unternehmensverträge einbezogen.Stand 2026-07-30 |
|---|---|
| Speicherortbelegt, ohne Auflage: EU-Speicherort ohne Zusatzkosten und ohne Tarifbindung, oder der Ort ist vollständig selbst bestimmbar, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: EU-Speicherort möglich, aber an einen Tarif, einen gesondert zu aktivierenden Zusatz oder einen Umzug in eine getrennte Umgebung gebunden; oder die EU-Region ist nicht die Voreinstellung.belegt, aber ungünstig: Kein EU-Speicherort, der Ort ist aber eindeutig benannt, sodass die Folgen bewertbar sind.an einem kritischen Punkt offen: Der Speicherort ist öffentlich nicht benannt oder vom Kunden nicht steuerbar, sodass sich die Verarbeitung nicht verorten lässt. | belegt, an eine Auflage gebundenEU-Lokalisierung als Zusatzleistung wählbarAuftragsverarbeitung, EU-Lokalisierung, Subprozessoren, Zertifikate, DrittlandgrundlageZur QuelleDie Data Localization Suite umfasst Regional Services, Metadata Boundary, Geo Key Manager und Keyless SSL. Ohne diese Zusatzleistung liegt die Verarbeitung im weltweiten Netz.Stand 2026-07-30 |
| Subunternehmerbelegt, ohne Auflage: Vollständige öffentliche Liste der Unterauftragnehmer mit Zweck und Land; oder es gibt keine, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Liste existiert und ist benannt, aber nur nach Anfrage oder nach Zugang zu einem Vertrauensportal einsehbar, oder sie nennt Zweck und Land nicht vollständig.belegt, aber ungünstig: Keine geführte Liste; namentlich stehen nur einzelne Dienste in der Datenschutzerklärung, überwiegend solche der eigenen Website.an einem kritischen Punkt offen: Weder eine Liste noch eine Nennung der Verarbeiter des Produkts, und kein dokumentierter Weg, sie zu erfahren. | belegt, ohne Auflageöffentliche Listecloudflare.com/gdpr/subprocessorsZur QuelleStand 2026-07-30 |
| Drittlandübermittlungbelegt, ohne Auflage: Keine Übermittlung in ein Drittland, oder die Übermittlung findet statt und die Grundlage ist benannt und im Vertrag verankert, etwa Standardvertragsklauseln, Angemessenheitsbeschluss oder EU-US-Datenschutzrahmen.belegt, an eine Auflage gebunden: Übermittlung findet statt, eine Grundlage ist genannt, aber ohne Zuordnung, welcher Empfänger auf welcher Grundlage arbeitet.belegt, aber ungünstig: Übermittlung findet statt und die eigenen Unterlagen widersprechen sich, oder die genannte Grundlage bezieht sich erkennbar nur auf einen Randbereich wie die Marketing-Website.an einem kritischen Punkt offen: Übermittlung findet erkennbar statt und eine Grundlage wird nirgends genannt. | belegt, ohne AuflageEU-Standardvertragsklauseln mit ergänzenden Maßnahmen oder EU-US-DatenschutzrahmenAuftragsverarbeitung, EU-Lokalisierung, Subprozessoren, Zertifikate, DrittlandgrundlageZur QuelleStand 2026-07-30 |
| Training mit Kundendatenbelegt, ohne Auflage: Vertraglich oder in der Datenschutzerklärung ausdrücklich ausgeschlossen, mit Erstreckung auf die eingesetzten Modellanbieter; oder es gibt keine Datenübertragung an einen Anbieter.belegt, an eine Auflage gebunden: Ausschluss ab einem bestimmten Tarif, oder die Zusage steht nur auf einer Dokumentationsseite statt im Vertrag, oder die Frage stellt sich für das Werkzeug sachlich kaum und der Anbieter schweigt dazu.belegt, aber ungünstig: Nutzung ist die Voreinstellung und nur ein Widerspruch beendet sie; oder der Anbieter trainiert eigene Modelle auf bereinigten Kundendaten.an einem kritischen Punkt offen: Keine Aussage, obwohl das Werkzeug KI-Funktionen auf Kundeninhalten betreibt. | belegt, an eine Auflage gebundenfür die Auslieferung nicht anwendbarFür KI-Dienste desselben Anbieters ist die Frage gesondert zu prüfen; sie ist mit diesem Eintrag nicht beantwortet.ohne Quellenangabe · Stand 2026-07-30 |
| Aufbewahrung und Löschungbelegt, ohne Auflage: Löschfristen nach Vertragsende beziffert und die Löschung oder Rückgabe zugesagt; oder die Fristen bestimmt der Betreiber selbst, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Löschung ist zugesagt, die Fristen sind aber nur teilweise beziffert, oder Sicherungskopien sind ausdrücklich ausgenommen.belegt, aber ungünstig: Nur der Grundsatz der Erforderlichkeit ohne jede Frist nach Vertragsende, oder Fristen sind allein für Randbereiche wie Website-Protokolle genannt.an einem kritischen Punkt offen: Keine Aussage zu Aufbewahrung und Löschung. | belegt, aber ungünstigunklarAufbewahrungsfristen für Protokolldaten sind hier nicht geprüft worden.ohne Quellenangabe · Stand 2026-07-30 |
| Zertifikatebelegt, ohne Auflage: Mehrere anerkannte Nachweise, benannt mit Norm, Fassung und Geltungsbereich, und bezogen auf den Anbieter selbst.belegt, an eine Auflage gebunden: Ein anerkannter Nachweis für den Anbieter belegt, der Bericht aber nur auf Anfrage, oder der Nachweis hängt an einem Tarif, oder der Geltungsbereich bleibt teilweise offen.belegt, aber ungünstig: Nur pauschale Nennung ohne Norm-Fassung und Geltungsbereich, oder bloße Selbstauskunft, oder die Nachweise gehören dem Infrastrukturanbieter statt dem Anbieter, oder der Prüfzeitraum ist erkennbar veraltet, oder die eigenen Angaben widersprechen sich.an einem kritischen Punkt offen: Kein Nachweis genannt und keine Sicherheits- oder Vertrauensseite vorhanden. | belegt, ohne AuflageISO 27001, ISO 27701, ISO 27018, SOC 2 Type II, PCI DSS Level 1, EU Cloud Code of Conduct, C5 2020Auftragsverarbeitung, EU-Lokalisierung, Subprozessoren, Zertifikate, DrittlandgrundlageZur QuelleC5 und der EU Cloud Code of Conduct sind die beiden Nachweise, nach denen deutsche Beschaffung zuerst fragt.Stand 2026-07-30 |
| EU-KI-Verordnung, Artikel 50belegt, ohne Auflage: Der Anbieter macht eine belegte Aussage, die die eigene Pflicht trägt, etwa Modelldokumentation und Zertifizierung nach ISO/IEC 42001; oder das Werkzeug enthält nachvollziehbar begründet kein KI-System im Sinne der Verordnung.belegt, an eine Auflage gebunden: Der Anbieter äußert sich zur Verordnung oder ordnet die eigene Funktion ein, eine benannte Zusage zu den Transparenzpflichten aus Artikel 50 fehlt aber; oder das Werkzeug enthält kein KI-System, das gegenüber Menschen auftritt, und der Anbieter schweigt.belegt, aber ungünstig: Das Produkt enthält KI-Funktionen, der Anbieter schweigt dazu oder trägt ein Selbstetikett ohne Nachweis; die Kennzeichnung ist vom Betreiber aber selbst setzbar.an einem kritischen Punkt offen: KI spricht im Produkt unmittelbar mit Endkunden und der Anbieter sagt zu Artikel 50 nichts; die Kennzeichnung lässt sich ohne Zusage des Anbieters nicht sicher setzen. | belegt, ohne Auflagenicht berührt für die Auslieferungohne Quellenangabe · Stand 2026-07-30 |
| Protokollierungbelegt, ohne Auflage: Nachvollziehbares Protokoll über Zugriffe und Änderungen in allen Tarifen enthalten, mit benannter Frist und Ausleitung in eigene Systeme; oder die Nachvollziehbarkeit liegt vollständig in eigener Hand, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Protokoll vorhanden, aber an einen höheren Tarif oder einen kostenpflichtigen Zusatz gebunden, oder die Ausleitung fehlt in den unteren Stufen; Reichweite und Frist sind benannt.belegt, aber ungünstig: Protokolle sind nur anbieterseitig beschrieben, oder Reichweite und Frist bleiben offen, sodass sich Nachweispflichten nicht planen lassen.an einem kritischen Punkt offen: Öffentlich nicht belegt, ob der Kunde überhaupt ein auswertbares Protokoll erhält. | belegt, aber ungünstigtarifabhängig, nicht geprüftWelche Protokolle in welchem Tarif verfügbar sind, ist in dieser Prüfung offen geblieben.ohne Quellenangabe · Stand 2026-07-30 |
Was es wirklich kostet
Einstieg
Kostenloser Tarif mit 100.000 Anfragen pro Tag für Funktionen, gemeinsam gezählt mit Workers. Anfragen an statische Dateien sind laut Anbieter kostenlos und unbegrenzt.Freigrenze für Funktionsaufrufe und kostenlose statische AuslieferungZur Quelle
Stand 2026-07-30
Was teuer wird
Erst mit Funktionen an der Kante und mit den Zusatzleistungen. Die Seite zu Pages nennt keine Preise für die bezahlte Stufe, sie verweist auf die Workers-Tarife; wer kalkulieren muss, kalkuliert also dort.
Was es verdrängt
- Eigener Webserver für statische Seiten
- Content-Delivery-Netz als Einzelposten
Schnittstellen
- Git-Anbindung
- Kommandozeilen-Werkzeug
- Regeln in der Zone
Passende Methoden
- DORA-Delivery-DiagnoseDie Diagnose misst Durchlaufzeit bis in den Betrieb und Wiederherstellzeit nach einem Fehlschlag, und beide Größen hängen an der Auslieferungsstufe, die Cloudflare Pages je Änderung übernimmt.
- Regulatorik-Dichte-TestDer Test fragt, ob eine Vorschrift Sie besonders trifft, und Regeln an der Netzkante zu Speicherort oder Zugriffsbeschränkung sind die Stelle, an der eine besondere Betroffenheit technisch umgesetzt wird.
Quellen
- 1.Auftragsverarbeitung, EU-Lokalisierung, Subprozessoren, Zertifikate, Drittlandgrundlage (öffnet in neuem Tab)cloudflare.com/trust-hub/gdpr · Stand 2026-07-30
- 2.Freigrenze für Funktionsaufrufe und kostenlose statische Auslieferung (öffnet in neuem Tab)developers.cloudflare.com/pages/functions/pricing · Stand 2026-07-30
- 3.cloudflare.net (öffnet in neuem Tab)Stand 2026-07-30
- 4.cloudflare.com/gdpr/subprocessors (öffnet in neuem Tab)Stand 2026-07-30
- 5.cloudflare.com/cloudflare-customer-dpa (öffnet in neuem Tab)Stand 2026-07-30
Zuletzt geprüft: 2026-07-30 von Dr. Oliver Gausmann, Convios GmbH
Angaben veraltet? Schreiben Sie uns.