> Varnish Cache DSGVO-konform betreiben: Aufbewahrung von Logs, Umgang mit IP-Adressen und warum ein selbst betriebener Proxy kein Tracking-Dienst ist. > > Canonical: https://www.flowconsent.com/de/services/cdn/varnish CDN # Varnish Nicht eingestuft · [Offizielle Website](https://www.varnish-cache.org) Varnish ist ein quelloffener HTTP Beschleuniger und Reverse Proxy Cache, ursprünglich von Poul Henning Kamp für die norwegische Zeitung VG entwickelt und heute vom Open Source Projekt Varnish Cache und von Varnish Software AS gepflegt. Es sitzt zwischen Client und Origin Server, cacht HTTP Antworten nach VCL Regeln und liefert gecachte Inhalte aus, ohne das Backend zu treffen. Aus Datenschutzsicht ist Varnish Server Software: keine Client Cookies, aber Zugriffslogs mit IP und Request Metadaten. [Varnish bis zur Einwilligung blockieren](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=cdn) · [Meine Website scannen](https://www.flowconsent.com/de/scan) Auf einen Blick - Kategorie [CDN](https://www.flowconsent.com/de/services/cdn) - Einwilligung Nicht eingestuft - Vorherige Einwilligung Nicht erforderlich - Dokumentierte Cookies 0 - Server Operator controlled. Varnish is open source software (Varnish Cache) that runs wherever the operator hosts it. Varnish Software AS (Norway, Sweden, Germany) offers Varnish Enterprise and the Varnish Controlled Edge SaaS, with EU data residency available. Überblick ## Was macht Varnish? ## **Was Varnish ist** Varnish ist ein leistungsstarker HTTP Beschleuniger und Reverse Proxy Cache. Es wurde 2006 von Poul Henning Kamp für die norwegische Zeitung VG geschrieben, um Lastspitzen zu bewaeltigen, und wird heute vom Open Source Projekt Varnish Cache und der Firma Varnish Software AS (Norwegen, Schweden, Deutschland) gepflegt. Varnish steht vor einem oder mehreren Origin Servern, cacht HTTP Antworten nach der Konfigurationssprache VCL und liefert gecachte Antworten direkt an Clients, was Backend Last und Latenz drastisch reduziert. Es wird breit von Publishern, E Commerce Plattformen, Video Streaming Diensten und SaaS APIs eingesetzt. ## **Welche Daten Varnish erzeugt** Varnish setzt oder liest keine eigenen Client Cookies. Es kann Cookies vom Client zum Origin weiterreichen (oder im VCL entfernen), diese Cookies gehören aber den Anwendungsbackends, nicht Varnish. Was Varnish produziert, sind detaillierte Transaktionslogs über varnishlog (vollständiges Request/Response Tracing) und varnishncsa (Combined Log Format), mit Client IP, Zeitstempel, Methode, URL, Status, Antwortzeit und Headern. Diese Logs sind personenbezogene Daten nach DSGVO. Varnish speichert Antwortkoerper im Shared Memory während des Caches, was kurzzeitig personenbezogene Daten aus API Antworten oder HTML enthalten kann. ## **DSGVO und ePrivacy Implikationen** Da Varnish weder Informationen auf dem Endgerät speichert noch von dort liest, greift Art. 5 Abs. 3 ePrivacy Richtlinie (Cookie Einwilligung) auf Varnish nicht. Cache und Zugriffslogs unterliegen der DSGVO und stützen sich auf berechtigtes Interesse nach Art. 6 Abs. 1 lit. f: Caching ist eine erwartbare Betriebsaktivitaet und Logs sind für Cache Tuning, Sicherheit und Stabilität erforderlich. Die Aufbewahrungsfrist sollte standardmäßig kurz sein, da Cache Logs nicht für langfristige forensische Untersuchungen genutzt werden. ## **Datenschutzfreundliche VCL Muster** Varnish liefert ein Default VCL, das Cookies von cachebaren GET Requests entfernt, um die Hit Rate zu maximieren. Das ist ein datenschutzfreundlicher Default, weil Tracking Cookies nicht auf gecachte Inhaltspfade gelangen. Betreiber können varnishncsa so konfigurieren, dass IPs durch Kürzung des letzten Oktetts anonymisiert werden, oder ein eigenes Combined Log Format nutzen. Die Cache Key Konstruktion kann so eingestellt werden, dass Session IDs nicht enthalten sind, was Effizienz erhält und das Risiko verringert, Sessiondaten unbeabsichtigt zu cachen. ## **Transfers und Hosting** Varnish Cache als Open Source transferiert selbst keine Daten. Wo der Betreiber den Server hostet, entscheidet über das Transferregime. Varnish Software AS, das kommerzielle Unternehmen, hat Sitz in Norwegen (unter DSGVO als angemessen anerkannt) mit Büros in Schweden und Deutschland; bei Kauf von Varnish Enterprise oder Controlled Edge gilt ein norwegischer Vertrag mit EU/EEA Datenresidenz als Standard. ## **Praktische Umsetzung** Varnish im Verarbeitungsverzeichnis als operative Caching Schicht unter berechtigtem Interesse führen. varnishncsa Aufbewahrung auf 7 bis 30 Tage setzen, Logrotation per logrotate, Logs auf EU Infrastruktur speichern. VCL so konfigurieren, dass Tracking Cookies auf cachebaren Pfaden entfernt werden, IPs anonymisiert werden, und Query Strings auf token tragenden Routen aus Logs ausgeschlossen werden. Bei Varnish Enterprise oder Controlled Edge das Varnish Software DPA unterzeichnen. Varnish gehört nicht in den Cookie Banner, da es keine Cookies setzt, kann aber in der Tech Stack Sektion der Datenschutzerklärung erwähnt werden. Datenschutz ## Varnish und die DSGVO - Rechtsgrundlage Legitimate interest (GDPR Art. 6(1)(f)) for server access logs and cache operations, justified by performance, security and operational stability. ePrivacy Directive Art. 5(3) does not apply because Varnish does not read or write information on the client device. - Risikostufe low - Anwendbare Vorschriften GDPR, ePrivacy Directive (only for cookies that the operator chooses to set or pass through via VCL, not Varnish itself), German TTDSG, French CNIL guidance on server logs ### Datenschutz-Folgenabschätzung (DSFA) Varnish benötigt selbst keine DSFA, da es serverseitige Caching Software ohne Client Tracking ist. Seine Logs (varnishlog, varnishncsa) protokollieren Einträge mit IP, URLs und Statuscodes, also personenbezogene Daten nach DSGVO. Erwägungen: (1) Cache Logs haben kürzere Aufbewahrungshorizonte als vollständige Anwendungslogs, da sie der Cache Optimierung dienen, 7 bis 30 Tage sind typisch; (2) Request URLs können Tokens oder personenbezogene Daten in Query Strings tragen, was bei Aufbewahrung und Zugriff zu berücksichtigen ist; (3) Varnish kann über VCL Cookies auf der Anfrage und Antwort entfernen, was ein datenschutzfreundlicher Default ist; (4) Varnish Software AS sitzt in der EU (Norwegen HQ), was die Schrems II Exposition für Enterprise Kunden begrenzt; (5) der Cache speichert Antwortkoerper in Shared Memory und kann kurzzeitig personenbezogene Daten enthalten, was als operatives berechtigtes Interesse gilt. ### Beispieltext für Ihr Banner > Wir setzen Varnish Cache als HTTP Beschleuniger und Reverse Proxy auf unserer Infrastruktur ein. Varnish setzt keine Cookies auf Ihrem Gerät. Wie jeder HTTP Intermediary schreibt es Zugriffslogs mit Ihrer IP, der angeforderten Seite, Headern und dem Antwortcode. Diese Logs dienen der Performance Optimierung, Sicherheits Investigation und Betriebsstabilitaet unter unserem berechtigten Interesse. Logs werden \[XX] Tage aufbewahrt und danach anonymisiert oder gelöscht. Cookies und Tracker ## Was Varnish setzt und kontaktiert - Tracking-Methode Server side HTTP accelerator and reverse proxy cache. Varnish sits between the client and the origin server, caches HTTP responses according to its VCL (Varnish Configuration Language) rules and serves cached content directly without hitting the backend. It does not set any client side cookie or pixel of its own. Like any HTTP intermediary it generates request logs (varnishlog, varnishncsa) containing IP addresses, request URLs and headers. - Serverstandort Operator controlled. Varnish is open source software (Varnish Cache) that runs wherever the operator hosts it. Varnish Software AS (Norway, Sweden, Germany) offers Varnish Enterprise and the Varnish Controlled Edge SaaS, with EU data residency available. - Cookieloser Modus verfügbar Ja Fragen ## Häufige Fragen zu Varnish Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell. [Schreiben Sie uns](https://www.flowconsent.com/de/demo) ### Setzt Varnish Cookies? Nein. Varnish setzt oder liest keine Cookies auf dem Endgerät. Es kann Cookies in Anfrage und Antwort weiterleiten oder per VCL entfernen, diese Cookies gehören aber den Anwendungsbackends hinter Varnish. ### Ist eine Einwilligung für Varnish erforderlich? Nein. Da Varnish weder Informationen auf dem Endgerät speichert noch von dort liest, greift Art. 5 Abs. 3 ePrivacy Richtlinie nicht. Cache und Zugriffslogs unterliegen der DSGVO und stützen sich auf berechtigtes Interesse. ### Welche Rechtsgrundlage gilt für Varnish Verarbeitungen? Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f, gerechtfertigt durch Caching für Performance, Sicherheit und Stabilität und durch Log Aufbewahrung für Tuning und Betrieb. ### Überträgt Varnish Daten in die USA? Varnish Cache als Open Source transferiert keine Daten. Das Hosting bestimmt das Transferregime. Varnish Software AS, das kommerzielle Unternehmen, sitzt in Norwegen (DSGVO konform anerkannt) mit Büros in Schweden und Deutschland. ### Brauche ich eine DSFA für Varnish? Eine DSFA ist für Varnish selbst nicht erforderlich. Sie kann für die uebergeordnete Cache und Logging Architektur nötig sein, wenn Logs für fortgeschrittene Sicherheitsanalytik genutzt oder in Drittlandsysteme exportiert werden. ### Wie konfiguriere ich Varnish datenschutzfreundlich? Das Default VCL Verhalten beibehalten, Cookies auf cachebaren GET Pfaden zu entfernen. varnishncsa mit eigenem log\_format konfigurieren, das IPs anonymisiert und Query Strings auf token tragenden Routen weglaesst. Logs über logrotate mit kurzer Aufbewahrung (7 bis 30 Tage) drehen. Session IDs nicht im Cache Key. ### Welche Alternativen gibt es zu Varnish? Andere HTTP Cache Schichten und Reverse Proxies: Nginx (proxy\_cache), Apache (mod\_cache), Squid, Traefik, HAProxy, Caddy. Cloud CDNs (Cloudflare, Fastly, Akamai, Bunny.net, EdgeOne) bringen eigene Datenschutz und Residenz Erwaegungen mit. ### Wie aktualisiere ich Cookie oder Datenschutzhinweise? Varnish gehört nicht in den Cookie Banner, da es keine Cookies setzt. In der Datenschutzerklärung können Sie erwähnen, dass die Site einen HTTP Cache und Reverse Proxy für Performance und Stabilität nutzt, die Rechtsgrundlage, Datenkategorien, Aufbewahrung und Empfänger nennen. Gleiche Kategorie ## Weitere Dienste: CDN [Ganze Kategorie ansehen](https://www.flowconsent.com/de/services/cdn) ### [SpeedSize](https://www.flowconsent.com/de/services/cdn/speedsize) [CDN](https://www.flowconsent.com/de/services/cdn/speedsize) · ### [Vercel Analytics](https://www.flowconsent.com/de/services/cdn/vercel-analytics) [CDN](https://www.flowconsent.com/de/services/cdn/vercel-analytics) · ### [QUIC.cloud](https://www.flowconsent.com/de/services/cdn/quic-cloud) [CDN](https://www.flowconsent.com/de/services/cdn/quic-cloud) · ### [Gcore](https://www.flowconsent.com/de/services/cdn/gcore) [CDN](https://www.flowconsent.com/de/services/cdn/gcore) · ### [FastPixel](https://www.flowconsent.com/de/services/cdn/fastpixel) [CDN](https://www.flowconsent.com/de/services/cdn/fastpixel) · ### [Oracle Web Cache](https://www.flowconsent.com/de/services/cdn/oracle-web-cache) [CDN](https://www.flowconsent.com/de/services/cdn/oracle-web-cache) ## Machen Sie Ihre Website noch heute konform. Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung. [Mein Banner erstellen](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Meine Website scannen](https://www.flowconsent.com/de/scan)