Eine Webflow-Website ist schnell gebaut. Damit sie auch rechtlich sauber läuft, braucht es mehr als ein Impressum im Footer. Datenschutz, Cookie-Einwilligung, Schriftarten, eingebettete Videos, Formulare, Barrierefreiheit und seit August 2026 auch Hinweise bei KI-Chatbots: Die Liste der Anforderungen ist in den letzten Jahren deutlich länger geworden.
Dazu kommen Besonderheiten von Webflow selbst. Webflow ist ein US-Anbieter, bringt keinen eigenen Cookie-Banner mit und lädt Google Fonts standardmäßig von Google-Servern. Wer das nicht weiß, hat schnell eine Website online, die bei einer Prüfung oder Abmahnung Probleme macht.
Dieser Artikel gibt einen Überblick, welche Themen Betreiber einer Webflow-Website kennen sollten und wo Webflow technisch genau hinschauen lässt. Er zeigt, was es gibt, nicht was im Einzelfall gilt.
Hinweis: Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Wir sind eine Webdesign-Agentur und keine Rechtsanwaltskanzlei. Die Inhalte geben unseren Kenntnisstand vom Oktober 2026 wieder. Gesetze und Rechtsprechung ändern sich laufend. Ob und welche Pflichten für deine Website gelten, kann nur eine Rechtsanwältin oder ein Rechtsanwalt im Einzelfall beurteilen.
Das Wichtigste in Kürze
- Rechtsgrundlage für das Impressum ist seit Mai 2024 der § 5 DDG. Verweise auf das alte TMG sind überholt.
- Webflow hat keinen eigenen Cookie-Banner. Für Tracking, Marketing-Tools und externe Inhalte braucht es ein separates Consent-Tool.
- Webflow lädt Google Fonts über Google-Server. Wer das vermeiden will, lädt die Schriften als eigene Dateien hoch.
- Der Link zur EU-Streitschlichtungsplattform ist seit Juli 2025 nicht mehr nötig, weil die Plattform abgeschaltet wurde. Alte Hinweise sollten entfernt werden.
- Seit dem 28. Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz für viele Websites, über die Verbraucher Verträge abschließen.
- Seit dem 2. August 2026 müssen KI-Chatbots offenlegen, dass Nutzer mit einer KI sprechen.
Impressum nach § 5 DDG
Am 14. Mai 2024 hat das Digitale-Dienste-Gesetz (DDG) das Telemediengesetz abgelöst. Die Impressumspflicht steht seitdem in § 5 DDG. Inhaltlich hat sich wenig geändert, aber viele Websites verweisen noch auf § 5 TMG.
Das Gesetz verlangt, dass die Angaben leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sind. In der Praxis heißt das: ein klar benannter Link im Footer jeder Seite. Typische Pflichtangaben sind:
- Name und Anschrift, bei Unternehmen zusätzlich Rechtsform und vertretungsberechtigte Person
- E-Mail-Adresse und ein weiterer schneller Kontaktweg
- Handelsregister und Registernummer, falls vorhanden
- Umsatzsteuer-Identifikationsnummer, falls vorhanden
- bei bestimmten Berufen Angaben zu Kammer, Berufsbezeichnung und Berufsrecht
- bei erlaubnispflichtigen Tätigkeiten die zuständige Aufsichtsbehörde
Welche Angaben genau nötig sind, hängt von Rechtsform und Branche ab. Bei mehrsprachigen Websites sollte das Impressum in jeder Sprachversion erreichbar sein.
Datenschutzerklärung und DSGVO
Jede Website, die personenbezogene Daten verarbeitet, braucht eine Datenschutzerklärung. Personenbezogen ist schon die IP-Adresse, die bei jedem Seitenaufruf übertragen wird. Die Datenschutzerklärung beschreibt, welche Daten zu welchem Zweck auf welcher Rechtsgrundlage verarbeitet werden, an wen sie gehen und welche Rechte Besucher haben.
Für eine Webflow-Website gehören in der Regel mindestens hinein:
- Hosting über Webflow und das Content Delivery Network
- Formulare und was mit den eingegebenen Daten passiert
- Webanalyse, etwa Webflow Analyze oder Google Analytics
- eingebundene Dienste wie Videos, Karten, Buchungstools oder Chat-Widgets
- Schriftarten, sofern sie von externen Servern geladen werden
- Newsletter-Anmeldung und eingesetzter Versanddienst
Wichtig für die Praxis: Seit einem Urteil des Europäischen Gerichtshofs vom Oktober 2024 und einer Entscheidung des Bundesgerichtshofs vom März 2025 ist geklärt, dass Mitbewerber Datenschutzverstöße über das Wettbewerbsrecht abmahnen können. Eine fehlerhafte Datenschutzerklärung ist damit nicht nur ein Thema für die Aufsichtsbehörde.
Auftragsverarbeitung mit Webflow
Webflow verarbeitet als Hoster personenbezogene Daten im Auftrag des Websitebetreibers. Dafür verlangt die DSGVO einen Auftragsverarbeitungsvertrag. Bei Webflow ist das Data Processing Addendum Teil der Vertragsbedingungen und muss nicht separat unterschrieben werden. Es empfiehlt sich, das Dokument herunterzuladen und für die eigene Dokumentation abzulegen. Dasselbe gilt für jeden weiteren Dienst, der Daten im Auftrag verarbeitet, etwa ein Newsletter-Tool oder ein Consent-Anbieter.
Datenübermittlung in die USA
Vertragspartner ist Webflow, Inc. mit Sitz in den USA. Gehostet wird laut der Liste der Unterauftragsverarbeiter bei Amazon Web Services, als CDN dient Cloudflare. Daten fließen also in die USA.
Grundlage dafür ist aktuell das EU-US Data Privacy Framework. Webflow gibt an, danach zertifiziert zu sein. Das Gericht der EU hat eine Klage gegen das Abkommen im September 2025 abgewiesen. Dagegen läuft ein Rechtsmittel beim Europäischen Gerichtshof. Nach einem Urteil des US Supreme Court zur Unabhängigkeit von US-Behörden im Juni 2026 hat der Europäische Datenschutzausschuss die EU-Kommission gebeten, die Auswirkungen auf das Abkommen zu prüfen.
Kurz gesagt: Das Abkommen gilt, steht aber unter Druck. Das Data Processing Addendum von Webflow sieht als Rückfallebene Standardvertragsklauseln vor. Wie dieser Punkt in der eigenen Datenschutzerklärung zu beschreiben ist, sollte rechtlich geprüft werden. Unseren älteren Beitrag zur Frage, ob Webflow datenschutzkonform einsetzbar ist, findest du hier.
Cookies und Einwilligung nach § 25 TDDDG
Wer Informationen auf dem Endgerät eines Besuchers speichert oder ausliest, braucht nach § 25 TDDDG eine Einwilligung. Ausgenommen ist nur, was für den vom Nutzer gewünschten Dienst unbedingt erforderlich ist. Das Gesetz hieß bis Mai 2024 TTDSG. Es gilt für Cookies ebenso wie für LocalStorage, Pixel und ähnliche Techniken.
Was Gerichte und Behörden zum Cookie-Banner sagen
- Das Oberlandesgericht Köln hat im Januar 2024 entschieden, dass eine Einwilligung unwirksam ist, wenn es keine gleichwertige Möglichkeit zum Ablehnen gibt.
- Das Verwaltungsgericht Hannover hat im März 2025 bestätigt: Neben „Alle akzeptieren“ braucht es ein gleichwertiges „Alle ablehnen“.
- Das Bayerische Landesamt für Datenschutzaufsicht verlangt eine Ablehnungsmöglichkeit auf derselben Ebene wie die Zustimmung.
Webflow hat keinen eigenen Cookie-Banner
Anders als Shopify bringt Webflow keinen eigenen Consent-Banner mit. Die Entwickler-Dokumentation von Webflow sagt ausdrücklich, dass Websitebetreiber eine eigene Lösung einrichten müssen. Verbreitete Werkzeuge sind zum Beispiel Finsweet Consent Pro, Cookiebot oder Usercentrics. Die Nennung ist ein Beispiel, keine Empfehlung.
Entscheidend ist nicht nur, dass ein Banner erscheint, sondern dass Skripte wirklich erst nach der Zustimmung laden. Das betrifft Google Analytics, den Google Tag Manager, Meta Pixel, LinkedIn Insight Tag, Hotjar und ähnliche Dienste. Ein Banner, der Tracking schon vor dem Klick startet, hilft nicht.
Webflow Analyze und Optimize
Webflow Analyze arbeitet laut Webflow ohne Cookies, nutzt aber LocalStorage. Auch das fällt unter § 25 TDDDG. Standardmäßig ist das Tracking dauerhaft aktiv. Webflow bietet in den Einstellungen einen Modus, in dem erst nach Zustimmung gemessen wird, und eine Schnittstelle, um ihn mit dem Consent-Tool zu verbinden.
Google Consent Mode
Google verlangt seit März 2024 für Werbe- und Analysefunktionen im europäischen Wirtschaftsraum den Consent Mode in Version 2. Das ist eine Vorgabe von Google, kein Gesetz, und ersetzt keinen Cookie-Banner. Der sogenannte Advanced Mode sendet schon vor einer Einwilligung Daten an Google und ist umstritten. Wie sich ein Cookie-Banner auf die Conversion auswirkt, haben wir übrigens in einem eigenen Experiment getestet.
Google Fonts, YouTube und Google Maps
Das Landgericht München hat im Januar 2022 entschieden, dass die Einbindung von Google Fonts über Google-Server ohne Einwilligung die IP-Adresse unzulässig an Google übermittelt. Danach folgte eine Welle von Forderungsschreiben.
Für Webflow ist das relevant: Schriften, die über die Google-Fonts-Integration in den Site Settings eingebunden werden, lädt Webflow von Google-Servern nach. Einen Schalter, um das zu ändern, gibt es nicht. Die übliche Lösung ist, die Schriftdateien herunterzuladen und in Webflow als Custom Fonts hochzuladen. Danach sollte man im Quelltext prüfen, ob keine Anfrage an fonts.googleapis.com mehr erfolgt.
Für eingebettete YouTube-Videos und Google-Karten gilt etwas Ähnliches. Auch der erweiterte Datenschutzmodus von YouTube überträgt beim Abspielen Daten an Google. Üblich ist, solche Inhalte erst nach Einwilligung zu laden, entweder über das Consent-Tool oder mit einem Vorschaubild, das per Klick freigegeben wird.
Formulare in Webflow
Formulareingaben laufen über die Infrastruktur von Webflow und werden dort gespeichert. Das sollte in der Datenschutzerklärung stehen. Weitere Punkte, auf die es bei Formularen ankommt:
- Nur abfragen, was nötig ist. Pflichtfelder auf das Minimum beschränken.
- Hinweis auf den Datenschutz direkt am Formular, mit Link zur Datenschutzerklärung.
- Spamschutz: Google reCAPTCHA überträgt Daten an Google. Alternativen sind Cloudflare Turnstile oder ein unsichtbares Honeypot-Feld.
- Sensible Daten: Werden etwa Gesundheitsdaten oder Bewerbungsunterlagen abgefragt, kann ein spezialisierter Formulardienst mit Servern in der EU sinnvoll sein.
Newsletter
Für Newsletter hat sich das Double-Opt-in-Verfahren durchgesetzt: Nach der Anmeldung bekommt die Person eine E-Mail mit einem Bestätigungslink. So lässt sich nachweisen, dass die Einwilligung wirklich von der Inhaberin der Adresse stammt. Das Oberlandesgericht München hat im April 2026 entschieden, dass eine Newsletter-Einwilligung nicht an eine andere Leistung wie eine Registrierung gekoppelt werden darf.
Barrierefreiheit nach dem BFSG
Seit dem 28. Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz. Es betrifft unter anderem Dienstleistungen im elektronischen Geschäftsverkehr, also Websites und Apps, über die Verbraucher Verträge abschließen. Das können Online-Shops sein, aber auch Buchungsstrecken, Terminbuchungen mit Vertragsschluss oder Abo-Abschlüsse. Eine reine Unternehmenswebsite ohne Vertragsschluss fällt nach verbreiteter Einschätzung nicht darunter. Die Abgrenzung ist im Einzelfall aber nicht immer eindeutig.
Ausgenommen sind Kleinstunternehmen, die Dienstleistungen anbieten: weniger als zehn Beschäftigte und ein Jahresumsatz oder eine Jahresbilanzsumme von höchstens zwei Millionen Euro.
Technischer Maßstab ist in der Praxis die Norm EN 301 549, die auf den WCAG 2.1 auf Stufe AA aufbaut. Dazu gehört eine Barrierefreiheitserklärung. Zuständig für die Kontrolle ist die gemeinsame Marktüberwachungsstelle der Länder in Magdeburg. Seit Ende 2025 werden außerdem Abmahnungen gemeldet. Ob Verstöße gegen das BFSG überhaupt wettbewerbsrechtlich abmahnbar sind, ist gerichtlich noch nicht geklärt.
Das Audit-Panel in Webflow zeigt typische Probleme wie fehlende Alt-Texte oder zu geringen Kontrast. Webflow weist selbst darauf hin, dass es keine Konformität garantiert. Overlay-Tools, die Barrierefreiheit per Skript versprechen, ersetzen keine echte Prüfung. Mehr zu den Anforderungen steht in unserem ausführlichen Beitrag zum Barrierefreiheitsstärkungsgesetz.
KI-Chatbots und KI-Inhalte
Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 der europäischen KI-Verordnung. Die Verschiebung anderer Teile der Verordnung im Sommer 2026 betrifft diese Pflichten nicht. Für Websites heißt das vor allem:
- Ein KI-Chatbot auf der Website muss erkennbar machen, dass Nutzer mit einer KI interagieren, sofern das nicht ohnehin offensichtlich ist.
- Täuschend echte KI-Bilder oder Videos, sogenannte Deepfakes, müssen gekennzeichnet werden.
In Deutschland ist seit Juli 2026 die Bundesnetzagentur die zentrale Aufsichtsbehörde für die KI-Verordnung.
Streitschlichtung: OS-Link entfernen, VSBG-Hinweis prüfen
Die Online-Streitbeilegungsplattform der EU wurde am 20. Juli 2025 abgeschaltet. Die Pflicht, auf sie zu verlinken, ist damit entfallen. Ein Link auf eine Plattform, die es nicht mehr gibt, kann irreführend sein. Er sollte aus Impressum, AGB, E-Mail-Signaturen und Social-Media-Profilen entfernt werden.
Bestehen bleibt der Hinweis nach § 36 Verbraucherstreitbeilegungsgesetz. Wer eine Website betreibt oder AGB verwendet und Verträge mit Verbrauchern schließt, muss angeben, ob er an Schlichtungsverfahren teilnimmt. Unternehmen mit höchstens zehn Beschäftigten sind davon ausgenommen.
Mehrsprachige Websites mit Webflow Localization
Mit Webflow Localization lassen sich Seiten, CMS-Inhalte und URLs pro Sprache anpassen. Für die Rechtstexte bedeutet das: Impressum, Datenschutzerklärung und Cookie-Banner sollten in jeder Sprachversion erreichbar sein. Wer übersetzte Rechtstexte einsetzt, sollte klären lassen, welche Fassung maßgeblich ist.
Rechtstexte in Webflow einbinden
Webflow hat keine eigene Schnittstelle für Rechtstexte. Üblich ist, die Texte eines spezialisierten Anbieters per Copy and Paste oder als eingebettetes Element zu übernehmen. Einige Anbieter haben Mustertexte, die auf Webflow zugeschnitten sind. Wichtig ist, dass jemand die Texte aktualisiert, wenn sich Gesetze ändern oder neue Tools auf der Website dazukommen. Viele Anbieter informieren ihre Kunden bei Änderungen.
Checkliste für deine Webflow-Website
Diese Punkte sind ein Startpunkt für das Gespräch mit Anwalt oder Rechtstext-Anbieter, keine abschließende Prüfung.
- Impressum mit Verweis auf § 5 DDG, von jeder Seite erreichbar
- Datenschutzerklärung, die alle tatsächlich eingesetzten Dienste beschreibt
- Auftragsverarbeitungsverträge mit Webflow und weiteren Dienstleistern abgelegt
- Consent-Tool eingerichtet, Ablehnen gleichwertig zum Akzeptieren
- Tracking, Pixel und externe Inhalte laden erst nach Zustimmung
- Webflow Analyze und Optimize auf Einwilligung umgestellt, falls genutzt
- Schriften lokal hochgeladen, keine Anfragen an Google-Fonts-Server
- YouTube, Vimeo und Google Maps erst nach Einwilligung geladen
- Formulare mit Datenschutzhinweis und datensparsamem Spamschutz
- Newsletter mit Double-Opt-in und ohne Kopplung
- Prüfung, ob das BFSG greift, und falls ja: Barrierefreiheitserklärung und Umsetzung nach WCAG
- KI-Chatbot mit klarem Hinweis, falls vorhanden
- OS-Link entfernt, VSBG-Hinweis geprüft
- Rechtstexte in allen Sprachversionen erreichbar
- fester Termin, um alles regelmäßig zu prüfen
Wobei wir unterstützen und wobei nicht
Als Webflow-Agentur setzen wir die technische Seite um: Consent-Tool einrichten und mit allen Skripten verbinden, Schriften lokal einbinden, externe Inhalte erst nach Zustimmung laden, Formulare datensparsam aufbauen, Barrierefreiheit im Design und in der Entwicklung berücksichtigen und Rechtstexte sauber einbinden. Im Rahmen unserer Webflow Betreuung prüfen wir regelmäßig, ob neue Tools ohne Einwilligung laden.
Was wir nicht tun: Rechtstexte erstellen, rechtlich prüfen oder verbindlich beurteilen, welche Pflichten für dein Unternehmen gelten. Dafür arbeitest du am besten mit einer Kanzlei für IT-Recht oder einem spezialisierten Anbieter für Rechtstexte zusammen. Wenn du die technische Umsetzung abgeben willst, erreichst du uns über die Projektanfrage.
Häufige Fragen
Ist Webflow DSGVO-konform?
Webflow stellt die Werkzeuge bereit, die für einen datenschutzkonformen Betrieb nötig sind, etwa einen Auftragsverarbeitungsvertrag und eine Zertifizierung nach dem Data Privacy Framework. Ob eine konkrete Website DSGVO-konform ist, hängt davon ab, wie sie eingerichtet ist und welche Dienste eingebunden sind.
Hat Webflow einen eigenen Cookie-Banner?
Nein. Webflow verweist in seiner Entwickler-Dokumentation auf eigene Lösungen oder Drittanbieter. Verbreitet sind zum Beispiel Finsweet Consent Pro, Cookiebot und Usercentrics.
Muss ich Google Fonts in Webflow lokal einbinden?
Wer Google Fonts über die Webflow-Integration nutzt, lädt sie von Google-Servern. Nach dem Urteil des Landgerichts München von 2022 gilt es als risikoärmer, die Schriften als eigene Dateien hochzuladen.
Braucht meine Webflow-Website eine Barrierefreiheitserklärung?
Das hängt davon ab, ob über die Website Verträge mit Verbrauchern geschlossen werden und ob die Ausnahme für Kleinstunternehmen greift. Eine reine Informationswebsite fällt nach verbreiteter Einschätzung nicht unter das BFSG. Im Zweifel sollte das rechtlich geprüft werden.
Muss der OS-Link noch ins Impressum?
Nein. Die EU-Plattform wurde im Juli 2025 abgeschaltet. Der Link sollte entfernt werden. Der Hinweis nach § 36 VSBG kann trotzdem nötig sein.
Braucht ein Chatbot auf meiner Website einen Hinweis?
Ja, wenn er auf KI basiert und nicht ohnehin offensichtlich ist, dass es sich um eine KI handelt. Die Pflicht gilt seit dem 2. August 2026.
Quellen
- § 5 Digitale-Dienste-Gesetz
- § 25 TDDDG
- § 2 Barrierefreiheitsstärkungsgesetz
- § 36 Verbraucherstreitbeilegungsgesetz
- Webflow: Data Processing Addendum
- Webflow: Unterauftragsverarbeiter
- Webflow: Privacy FAQs
- Webflow Developer: Consent Management
- Bayerisches Landesamt für Datenschutzaufsicht: Informationsblatt Consent-Banner
- Verbraucherzentrale NRW: OLG Köln zum Cookie-Banner
- IHK: Google Fonts und das Urteil des LG München
- MLBF: Marktüberwachungsstelle der Länder für Barrierefreiheit
- IHK Bonn: Abschaltung der EU-Streitbeilegungsplattform
Haftungsausschluss: Die Informationen in diesem Artikel wurden sorgfältig recherchiert und beziehen sich auf die Rechtslage in Deutschland und der EU mit Stand Oktober 2026. Sie ersetzen keine individuelle rechtliche Beratung. Eine Gewähr für Richtigkeit, Vollständigkeit und Aktualität übernehmen wir nicht. Ob und welche Pflichten für deine Website gelten, kann nur im Einzelfall durch eine Rechtsanwältin oder einen Rechtsanwalt beurteilt werden. Wir unterstützen bei der technischen Umsetzung, erstellen oder prüfen jedoch keine Rechtstexte. Genannte Tools und Anbieter sind Beispiele und keine Empfehlung.
