Kurz: Lädt deine Seite Programmbibliotheken von cdnjs oder jsDelivr, gehören diese Dienste in deine Datenschutzerklärung, mit der IP-Adresse als übertragenem Datum und dem Ausland als Ziel. Einfacher ist, die Dateien selbst auszuliefern.
Fast jede Website lädt Programmbibliotheken nach: jQuery, ein Karussell, ein Icon-Satz, eine Animationsbibliothek. Liegen sie nicht auf deinem eigenen Server, kommen sie von einem Auslieferungsnetz (englisch CDN, ein Netz von Servern, das Dateien von einem Ort nahe beim Besucher ausliefert), meist von cdnjs oder von jsDelivr. Und damit die Datei ankommt, erfährt dieses Netz die IP-Adresse deines Besuchers.
In meiner Erhebung über 206 Schweizer KMU-Websites (August 2026) lief cdnjs auf 9 Seiten und jsDelivr auf 6. Genannt wurde beides praktisch nie.
Warum das niemand bemerkt
Weil es niemand ausgewählt hat. Diese Einbindungen stammen aus einem Theme, aus einer Erweiterung oder aus der Vorlage, mit der die Seite gebaut wurde. Es gibt keinen Vertrag, keine Rechnung, keine Anmeldung, und darum gibt es auch keine Erinnerung daran.
Das ist der Grund, warum sie in Fragebogen-Generatoren nie auftauchen: Es wird gefragt, welche Dienste du nutzt, und ehrlich beantwortet lautet die Antwort „keine“. Der Seitencode sagt etwas anderes. Wie du ihn selbst liest, steht in Welche Dienste laufen auf meiner Website?.
Was übertragen wird
- Die IP-Adresse deines Besuchers, technisch unvermeidbar.
- Browser und Betriebssystem, damit die passende Datei ausgeliefert wird.
- Die Adresse deiner Seite, von der die Anfrage stammt.
Ein Inhalt wird dabei nicht übertragen. Es ist eine Bekanntgabe mit wenigen Daten und ohne Profilbildung. Sie gehört trotzdem in die Erklärung, weil ein Dritter im Ausland eine IP-Adresse bekommt.
Die Angaben, soweit geprüft
cdnjs wird über das Netz von Cloudflare, Inc., 101 Townsend Street, San Francisco CA 94107, USA ausgeliefert; für Cloudflare liegt die Firmierung mit Quelle und Prüfdatum vor. Für jsDelivr liegt mir keine geprüfte Firmierung vor. Die genaue Vertragspartnerin nenne ich hier bewusst nicht aus dem Gedächtnis. Für über hundert Dienste liegt mir die Firmierung mit Quelle und Prüfdatum vor, für diesen nicht, und eine plausibel klingende Gesellschaft hinzuschreiben wäre genau der Fehler, den ich in fremden Erklärungen laufend finde. Nimm die Angabe aus den Rechtstexten des Anbieters, dort steht sie verbindlich.
Was das revDSG zur Auslandbekanntgabe verlangt
Gehen Personendaten ins Ausland, musst du nach Art. 19 Abs. 4 revDSG den Staat nennen; Garantien wie Standardvertragsklauseln gehören nur dann dazu, wenn der Staat keinen angemessenen Schutz bietet. Die USA gelten seit dem 15. September 2024 als angemessen, aber nur für Unternehmen, die im Swiss-U.S. Data Privacy Framework eingetragen sind (Art. 16 Abs. 1 revDSG, Anhang 1 DSV). Die Grundlage trotzdem dazuzuschreiben ist keine Pflicht, aber gute Praxis, weil es Vertrauen schafft.
Die bessere Lösung, wo sie möglich ist
Bibliotheken lokal ausliefern. Das ist bei den meisten eine Frage von zwei Dateien, es macht die Seite unabhängiger und spart dir den Abschnitt. Wo dein Theme das nicht zulässt, bleibt es beim Eintrag in der Erklärung, und der ist kurz. Bei Schriften ist die Lage dieselbe, siehe Google Fonts und Adobe Fonts.
So kann der Abschnitt aussehen
Programmbibliotheken
Für die Darstellung und einzelne Funktionen laden wir Programmbibliotheken über Auslieferungsnetze (cdnjs, betrieben von Cloudflare, Inc., USA, sowie jsDelivr). Dabei werden die IP-Adresse, der Browser und die aufgerufene Seite übertragen. Zweck ist die technische Auslieferung der Website. Daten können dabei ins Ausland, insbesondere in die USA, übermittelt werden.
Oder zuerst ansehen, wie du die Datenschutzerklärung für deine Website erstellst.