Prevents falling behindBuilding blockEstablished
Cloudflare Pages
Cloudflare, Inc. ·pages.cloudflare.com· As of: 2026-07-30
Delivers a website's files worldwide and runs small functions at the network edge, without operating your own server.
Work through this tool with an AI
Our verdict
Delivery keeps nobody ahead, and missing it puts you behind. It only becomes a topic when it is absent, or when rules at the edge start carrying business logic. That is also exactly when switching hurts.
Evidence:DPA, EU localisation, subprocessors, certifications, third-country basisOpen sourceFree allowance for function invocations and free static deliveryOpen source
Who it fits
Solo
suitable
The free tier is enough for a complete website. Static assets are free and unmetered, per the vendor.
Mid-market
suitable
Predictable as long as the site is mostly files. Function invocations count against a shared daily limit.
Enterprise
suitable
Contract-ready: the vendor offers a DPA, a public subprocessor list, EU data localisation and attestations up to C5 and the EU Cloud Code of Conduct.
Buy, switch or build
Off-the-shelf
Classic hosting or a managed server
Familiar, available everywhere, with a clear invoice. In return you carry availability and network distribution yourself, and worldwide delivery gets expensive fast.
AI-native
No AI-native category
Delivery is not an AI question. Anyone chasing AI promises here is optimising in the wrong place.
Build it yourself
Your own server or container
Worth it when data must not leave the building or a regulator dictates where it runs. Costs on-call duty, updates and a second person who can also do it.
Our advice
- Solo: Free tier; nothing more is needed.
- Mid-market: Take it, but document the edge rules so they are not lost when you move.
- Enterprise: Take it, with EU localisation as an add-on and documented edge rules.
Who is behind it
Staying power: Established
A listed vendor with a broad certification record. The risk is not the vendor disappearing but the tie to its edge.
- Ownership: publicly listed (NYSE: NET)cloudflare.netOpen source · As of 2026-07-30
- Certifications: ISO 27001, ISO 27701, ISO 27018, SOC 2 Type II, PCI DSS Level 1, EU Cloud Code of Conduct, C5 2020DPA, EU localisation, subprocessors, certifications, third-country basisOpen source · As of 2026-07-30
- Transparency: subprocessor list maintained publiclycloudflare.com/gdpr/subprocessorsOpen source · As of 2026-07-30
Cost of leaving: Moderate
The files are portable, the edge is not. Redirect rules, access rules and functions are vendor-specific and have to be rebuilt when you move. In our case the redirect logic sits in four zone rules rather than in code; that is convenient, and it is exactly the lock-in you need to be aware of.
Regulation and data
How to read the traffic lightThe traffic light rates how well a point is evidenced, not how good the tool is. It draws only on the value, note and source held in the profile. Where a statement is missing, it rates the absence, not a guess. A well-reasoned "unclear" on a point that matters little for this tool is yellow. A missing source on a point that decides whether you can use it at all is red.documented, no condition attacheddocumented, tied to a conditiondocumented, but unfavourableopen on a point that decides usability
| Data processing agreementdocumented, no condition attached: Auftragsverarbeitungsvertrag öffentlich abrufbar und ohne weitere Bedingung Bestandteil des Vertrags; oder er entfällt nachvollziehbar begründet, weil kein Anbieter Kundendaten verarbeitet.documented, tied to a condition: Vertrag existiert, ist aber an einen Tarif gebunden, nur nach Anfrage einsehbar oder allein in den Nutzungsbedingungen geregelt statt als eigenes Dokument.documented, but unfavourable: Kein Auftragsverarbeitungsvertrag im üblichen Sinn: entweder weil der Anbieter für das Kerngeschäft eigenständig Verantwortlicher ist und stattdessen eine andere Konstruktion gilt, oder weil öffentlich offen bleibt, ob überhaupt einer angeboten wird.open on a point that decides usability: Weder ein Vertrag noch ein dokumentierter Weg zu einem Vertrag; der Einkauf hätte nichts, worauf er sich stützen kann. | documented, no condition attachedyes, publicly availablecloudflare.com/cloudflare-customer-dpaOpen sourceA standard DPA, incorporated into the self-serve and enterprise agreements.As of 2026-07-30 |
|---|---|
| Storage locationdocumented, no condition attached: EU-Speicherort ohne Zusatzkosten und ohne Tarifbindung, oder der Ort ist vollständig selbst bestimmbar, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: EU-Speicherort möglich, aber an einen Tarif, einen gesondert zu aktivierenden Zusatz oder einen Umzug in eine getrennte Umgebung gebunden; oder die EU-Region ist nicht die Voreinstellung.documented, but unfavourable: Kein EU-Speicherort, der Ort ist aber eindeutig benannt, sodass die Folgen bewertbar sind.open on a point that decides usability: Der Speicherort ist öffentlich nicht benannt oder vom Kunden nicht steuerbar, sodass sich die Verarbeitung nicht verorten lässt. | documented, tied to a conditionEU localisation selectable as a paid add-onDPA, EU localisation, subprocessors, certifications, third-country basisOpen sourceThe Data Localization Suite covers Regional Services, Metadata Boundary, Geo Key Manager and Keyless SSL. Without that add-on, processing happens across the global network.As of 2026-07-30 |
| Subprocessorsdocumented, no condition attached: Vollständige öffentliche Liste der Unterauftragnehmer mit Zweck und Land; oder es gibt keine, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: Liste existiert und ist benannt, aber nur nach Anfrage oder nach Zugang zu einem Vertrauensportal einsehbar, oder sie nennt Zweck und Land nicht vollständig.documented, but unfavourable: Keine geführte Liste; namentlich stehen nur einzelne Dienste in der Datenschutzerklärung, überwiegend solche der eigenen Website.open on a point that decides usability: Weder eine Liste noch eine Nennung der Verarbeiter des Produkts, und kein dokumentierter Weg, sie zu erfahren. | documented, no condition attachedpublic listcloudflare.com/gdpr/subprocessorsOpen sourceAs of 2026-07-30 |
| Third-country transferdocumented, no condition attached: Keine Übermittlung in ein Drittland, oder die Übermittlung findet statt und die Grundlage ist benannt und im Vertrag verankert, etwa Standardvertragsklauseln, Angemessenheitsbeschluss oder EU-US-Datenschutzrahmen.documented, tied to a condition: Übermittlung findet statt, eine Grundlage ist genannt, aber ohne Zuordnung, welcher Empfänger auf welcher Grundlage arbeitet.documented, but unfavourable: Übermittlung findet statt und die eigenen Unterlagen widersprechen sich, oder die genannte Grundlage bezieht sich erkennbar nur auf einen Randbereich wie die Marketing-Website.open on a point that decides usability: Übermittlung findet erkennbar statt und eine Grundlage wird nirgends genannt. | documented, no condition attachedEU standard contractual clauses with supplementary measures, or the EU-US Data Privacy FrameworkDPA, EU localisation, subprocessors, certifications, third-country basisOpen sourceAs of 2026-07-30 |
| Training on customer datadocumented, no condition attached: Vertraglich oder in der Datenschutzerklärung ausdrücklich ausgeschlossen, mit Erstreckung auf die eingesetzten Modellanbieter; oder es gibt keine Datenübertragung an einen Anbieter.documented, tied to a condition: Ausschluss ab einem bestimmten Tarif, oder die Zusage steht nur auf einer Dokumentationsseite statt im Vertrag, oder die Frage stellt sich für das Werkzeug sachlich kaum und der Anbieter schweigt dazu.documented, but unfavourable: Nutzung ist die Voreinstellung und nur ein Widerspruch beendet sie; oder der Anbieter trainiert eigene Modelle auf bereinigten Kundendaten.open on a point that decides usability: Keine Aussage, obwohl das Werkzeug KI-Funktionen auf Kundeninhalten betreibt. | documented, tied to a conditionnot applicable to content deliveryFor the same vendor's AI services the question must be reviewed separately; this entry does not answer it.no source given · As of 2026-07-30 |
| Retention and deletiondocumented, no condition attached: Löschfristen nach Vertragsende beziffert und die Löschung oder Rückgabe zugesagt; oder die Fristen bestimmt der Betreiber selbst, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: Löschung ist zugesagt, die Fristen sind aber nur teilweise beziffert, oder Sicherungskopien sind ausdrücklich ausgenommen.documented, but unfavourable: Nur der Grundsatz der Erforderlichkeit ohne jede Frist nach Vertragsende, oder Fristen sind allein für Randbereiche wie Website-Protokolle genannt.open on a point that decides usability: Keine Aussage zu Aufbewahrung und Löschung. | documented, but unfavourableunclearRetention periods for log data were not reviewed here.no source given · As of 2026-07-30 |
| Certificationsdocumented, no condition attached: Mehrere anerkannte Nachweise, benannt mit Norm, Fassung und Geltungsbereich, und bezogen auf den Anbieter selbst.documented, tied to a condition: Ein anerkannter Nachweis für den Anbieter belegt, der Bericht aber nur auf Anfrage, oder der Nachweis hängt an einem Tarif, oder der Geltungsbereich bleibt teilweise offen.documented, but unfavourable: Nur pauschale Nennung ohne Norm-Fassung und Geltungsbereich, oder bloße Selbstauskunft, oder die Nachweise gehören dem Infrastrukturanbieter statt dem Anbieter, oder der Prüfzeitraum ist erkennbar veraltet, oder die eigenen Angaben widersprechen sich.open on a point that decides usability: Kein Nachweis genannt und keine Sicherheits- oder Vertrauensseite vorhanden. | documented, no condition attachedISO 27001, ISO 27701, ISO 27018, SOC 2 Type II, PCI DSS Level 1, EU Cloud Code of Conduct, C5 2020DPA, EU localisation, subprocessors, certifications, third-country basisOpen sourceC5 and the EU Cloud Code of Conduct are the two attestations German procurement asks about first.As of 2026-07-30 |
| EU AI Act, Article 50documented, no condition attached: Der Anbieter macht eine belegte Aussage, die die eigene Pflicht trägt, etwa Modelldokumentation und Zertifizierung nach ISO/IEC 42001; oder das Werkzeug enthält nachvollziehbar begründet kein KI-System im Sinne der Verordnung.documented, tied to a condition: Der Anbieter äußert sich zur Verordnung oder ordnet die eigene Funktion ein, eine benannte Zusage zu den Transparenzpflichten aus Artikel 50 fehlt aber; oder das Werkzeug enthält kein KI-System, das gegenüber Menschen auftritt, und der Anbieter schweigt.documented, but unfavourable: Das Produkt enthält KI-Funktionen, der Anbieter schweigt dazu oder trägt ein Selbstetikett ohne Nachweis; die Kennzeichnung ist vom Betreiber aber selbst setzbar.open on a point that decides usability: KI spricht im Produkt unmittelbar mit Endkunden und der Anbieter sagt zu Artikel 50 nichts; die Kennzeichnung lässt sich ohne Zusage des Anbieters nicht sicher setzen. | documented, no condition attachednot engaged for content deliveryno source given · As of 2026-07-30 |
| Audit loggingdocumented, no condition attached: Nachvollziehbares Protokoll über Zugriffe und Änderungen in allen Tarifen enthalten, mit benannter Frist und Ausleitung in eigene Systeme; oder die Nachvollziehbarkeit liegt vollständig in eigener Hand, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: Protokoll vorhanden, aber an einen höheren Tarif oder einen kostenpflichtigen Zusatz gebunden, oder die Ausleitung fehlt in den unteren Stufen; Reichweite und Frist sind benannt.documented, but unfavourable: Protokolle sind nur anbieterseitig beschrieben, oder Reichweite und Frist bleiben offen, sodass sich Nachweispflichten nicht planen lassen.open on a point that decides usability: Öffentlich nicht belegt, ob der Kunde überhaupt ein auswertbares Protokoll erhält. | documented, but unfavourabledepends on the plan, not reviewedWhich logs are available in which plan remained open in this review.no source given · As of 2026-07-30 |
What it really costs
Entry price
Free tier with 100,000 daily requests for functions, counted together with Workers. Requests to static assets are free and unlimited, per the vendor.Free allowance for function invocations and free static deliveryOpen source
As of 2026-07-30
What gets expensive
Only once you use edge functions and the add-ons. The Pages page names no prices for the paid tier and points to the Workers plans, so that is where any calculation has to happen.
What it displaces
- Your own web server for static sites
- A separate CDN line item
Interfaces
- Git integration
- Command line tool
- Rules at the zone level
Matching methods
- DORA Delivery DiagnosticThe diagnosis measures lead time into production and time to restore after a failure, and both figures hang on the delivery step Cloudflare Pages performs for every change.
- Regulatory Density TestThe test asks whether a rule hits you specifically, and edge rules on storage location or access restriction are where a specific exposure gets implemented technically.
Sources
- 1.DPA, EU localisation, subprocessors, certifications, third-country basis (opens in a new tab)cloudflare.com/trust-hub/gdpr · As of 2026-07-30
- 2.Free allowance for function invocations and free static delivery (opens in a new tab)developers.cloudflare.com/pages/functions/pricing · As of 2026-07-30
- 3.cloudflare.net (opens in a new tab)As of 2026-07-30
- 4.cloudflare.com/gdpr/subprocessors (opens in a new tab)As of 2026-07-30
- 5.cloudflare.com/cloudflare-customer-dpa (opens in a new tab)As of 2026-07-30
Last reviewed: 2026-07-30 by Dr. Oliver Gausmann, Convios GmbH
Details out of date? Let us know.