Fast jede Website lädt Programmbibliotheken nach: jQuery, ein Karussell, ein Icon-Satz, eine Animationsbibliothek. Liegen sie nicht auf deinem eigenen Server, kommen sie von einem Auslieferungsnetz, meist von cdnjs oder von jsDelivr. Und damit die Datei ankommt, erfährt dieses Netz die IP-Adresse deines Besuchers.
In meiner Erhebung über 206 Schweizer KMU-Websites (August 2026) lief cdnjs auf 9 Seiten und jsDelivr auf 6. Genannt wurde beides praktisch nie.
Warum das niemand bemerkt
Weil es niemand ausgewählt hat. Diese Einbindungen stammen aus einem Theme, aus einer Erweiterung oder aus der Vorlage, mit der die Seite gebaut wurde. Es gibt keinen Vertrag, keine Rechnung, keine Anmeldung, und darum gibt es auch keine Erinnerung daran.
Das ist der Grund, warum sie in Fragebogen-Generatoren nie auftauchen: Es wird gefragt, welche Dienste du nutzt, und ehrlich beantwortet lautet die Antwort „keine“. Der Seitencode sagt etwas anderes. Wie du ihn selbst liest, steht in Welche Dienste laufen auf meiner Website?.
Was übertragen wird
- Die IP-Adresse deines Besuchers, technisch unvermeidbar.
- Browser und Betriebssystem, damit die passende Datei ausgeliefert wird.
- Die Adresse deiner Seite, von der die Anfrage stammt.
Ein Inhalt wird dabei nicht übertragen. Es ist eine Randbekanntgabe, keine Profilbildung. Sie gehört trotzdem in die Erklärung, weil ein Dritter im Ausland eine IP-Adresse bekommt.
Die Angaben, soweit geprüft
cdnjs wird von Cloudflare, Inc., 101 Townsend Street, San Francisco CA 94107, USA betrieben; diese Angabe liegt mit Quelle und Prüfdatum vor. Für jsDelivr liegt mir keine geprüfte Firmierung vor. Die genaue Vertragspartnerin nenne ich hier bewusst nicht aus dem Gedächtnis. Für 115 Dienste liegt mir die Firmierung mit Quelle und Prüfdatum vor, für diesen nicht, und eine plausibel klingende Gesellschaft hinzuschreiben wäre genau der Fehler, den ich in fremden Erklärungen laufend finde. Nimm die Angabe aus den Rechtstexten des Anbieters, dort steht sie verbindlich.
Was das revDSG dazu verlangt
Die Informationspflicht nach Art. 19 revDSG verlangt, dass du nachvollziehbar sagst, welche Personendaten du bearbeitest, zu welchem Zweck und wer sie sonst noch bekommt. Geht ein Dienst ins Ausland, kommt die Auslandbekanntgabe nach Art. 19 Abs. 4 revDSG dazu: das Zielland gehört genannt, und auf welcher Grundlage die Übermittlung erfolgt.
Seit dem 15. September 2024 anerkennt die Schweiz die USA über das Swiss-U.S. Data Privacy Framework wieder als Land mit angemessenem Datenschutzniveau, aber nur für Unternehmen, die dort tatsächlich eingetragen sind. Für eingetragene Dienste braucht es keine zusätzlichen Garantien, für die übrigen weiterhin Standardvertragsklauseln. Zu informieren ist in beiden Fällen.
Die bessere Lösung, wo sie möglich ist
Bibliotheken lokal ausliefern. Das ist bei den meisten eine Frage von zwei Dateien, es macht die Seite unabhängiger und spart dir den Abschnitt. Wo dein Theme das nicht zulässt, bleibt es beim Eintrag in der Erklärung, und der ist kurz. Bei Schriften ist die Lage dieselbe, siehe Google Fonts und Adobe Fonts.
So kann der Abschnitt aussehen
Programmbibliotheken
Für die Darstellung und einzelne Funktionen laden wir Programmbibliotheken über Auslieferungsnetze (cdnjs, betrieben von Cloudflare, Inc., USA, sowie jsDelivr). Dabei werden die IP-Adresse, der Browser und die aufgerufene Seite übertragen. Zweck ist die technische Auslieferung der Website. Daten können dabei ins Ausland, insbesondere in die USA, übermittelt werden.