Leitfaden Leitfaden · Webflow und DSGVO
Leitfaden · Webflow und DSGVO
Datenschutz für Ihre Website, Schritt für Schritt.
Webflow lässt sich DSGVO-konform betreiben, aber nicht im Auslieferungszustand. Diese Checkliste zeigt, was ich bei jedem Webflow-Projekt für Kunden in Deutschland, Österreich und der Schweiz einrichte. Sie ersetzt keine Rechtsberatung.
Ich baue Webflow-Websites für Unternehmen in Deutschland, Österreich und der Schweiz, zum Beispiel für DIPRO, einen Dielenhersteller aus dem Schwarzwald. Die Fragen zur DSGVO sind dabei immer dieselben. Hier ist, was ich jedes Mal prüfe und einrichte. Rechtliche Bewertungen gehören zu einer Anwältin oder einem Datenschutzbeauftragten; dieser Leitfaden beschreibt die technische Seite.
Auftragsverarbeitung (AVV) mit Webflow
Webflow ist Ihr Hoster und verarbeitet damit personenbezogene Daten Ihrer Besucher, mindestens die IP-Adresse. Dafür braucht es einen Vertrag zur Auftragsverarbeitung. Webflow stellt ein Data Processing Addendum bereit, das die EU-Standardvertragsklauseln enthält, laut Webflow für alle Tarife gilt und in die Nutzungsbedingungen einbezogen ist. Laden Sie es herunter und legen Sie es zu Ihren Unterlagen.
Die Daten liegen in den USA. Webflow ist nach dem EU-U.S. Data Privacy Framework zertifiziert, was Sie auf dataprivacyframework.gov selbst nachsehen können, und nennt seine Unterauftragsverarbeiter öffentlich, darunter CDN-Anbieter wie Cloudflare, Fastly und Amazon CloudFront. Prüfen Sie den Status einmal im Jahr; das Framework ist politisch nicht unumstritten.
Schriften lokal einbinden, nicht über Google
Die Google-Fonts-Integration von Webflow lädt die Schriften von Googles Servern und überträgt dabei die IP-Adresse jedes Besuchers an Google. Das Landgericht München I hat dafür am 20.01.2022 (Az. 3 O 17493/20) einem Besucher 100 Euro Schadensersatz zugesprochen, und danach kam eine Welle von Abmahnungen. Die Lösung ist einfach: Schriftdateien herunterladen, in Webflow unter den Projekteinstellungen als eigene Schriften hochladen und die Google-Fonts-Einbindung entfernen. Die Website wird dadurch nebenbei schneller.
Cookie-Banner nur, wenn er nötig ist
Eine Webflow-Seite ohne zusätzliche Skripte setzt im Normalfall keine Cookies; prüfen Sie das selbst in den Entwicklertools Ihres Browsers. Ein Banner wird nötig, sobald Dienste dazukommen, die Cookies setzen oder Daten an Dritte senden: Google Analytics, Werbe-Pixel, eingebettete YouTube-Videos, Google Maps, Chat-Widgets.
Webflow hat keine eingebaute Einwilligungsverwaltung. Dafür braucht es ein eigenes Tool, etwa Finsweet Consent Pro, Cookiebot oder Usercentrics, das diese Skripte blockiert, bis eingewilligt wurde. Meine Empfehlung: Jeder Dienst, den Sie weglassen, ist eine Einwilligung weniger. Für Besucherzahlen gibt es Analyse-Tools, die ohne Cookies auskommen.
Formulare
Webflow speichert Formulareingaben auf seinen Servern in den USA. Legen Sie fest, wie lange Sie Anfragen aufbewahren, und löschen Sie alte Eingaben regelmäßig. Alternativ lassen sich Formulare direkt an Ihr CRM oder einen Dienst in der EU senden. Google reCAPTCHA überträgt ebenfalls Daten an Google; gegen Spam genügt oft ein unsichtbares Feld, das nur Bots ausfüllen, und erst bei echtem Spam kommt ein Captcha dazu.
Eingebettete Inhalte
YouTube-Videos binde ich über den datensparsamen Modus und erst nach einem Klick ein, Karten als statisches Bild, das die echte Karte erst nach Zustimmung lädt. Dasselbe gilt für Kalender-Widgets und Social-Media-Einbettungen.
Impressum und Datenschutzerklärung
Geschäftsmäßige Websites mit Zielgruppe in Deutschland brauchen ein Impressum nach § 5 DDG, erreichbar mit einem Klick von jeder Seite. Die Datenschutzerklärung muss Webflow als Hoster und Auftragsverarbeiter nennen, die Übermittlung in die USA erklären und jeden weiteren Dienst aufführen. Anbieter wie e-recht24 und die IT-Recht Kanzlei haben dafür eigene Bausteine für Webflow.
Die Checkliste
- AVV von Webflow heruntergeladen und abgelegt.
- Webflow und seine Unterauftragsverarbeiter in der Datenschutzerklärung genannt.
- Alle Schriften lokal hochgeladen, keine Verbindung zu Google Fonts.
- Liste aller externen Dienste erstellt; Unnötiges entfernt.
- Einwilligungs-Tool für alles, was Cookies setzt oder Daten an Dritte sendet.
- Formulare: Aufbewahrungsfrist festgelegt, reCAPTCHA nur wenn nötig.
- YouTube, Karten und andere Einbettungen erst nach Klick.
- Impressum und Datenschutzerklärung von jeder Seite aus verlinkt.
- Mit den Entwicklertools geprüft: Vor der Einwilligung gehen keine Anfragen an Dritte.
Häufige Fragen
Ist Webflow DSGVO-konform?
Webflow lässt sich DSGVO-konform betreiben, wenn die Website entsprechend eingerichtet ist. Webflow stellt einen Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln bereit und ist nach dem EU-U.S. Data Privacy Framework zertifiziert; Schriften, Formulare, Cookies und Drittdienste liegen in Ihrer Verantwortung.
Brauche ich einen AVV mit Webflow?
Ja, denn Webflow verarbeitet als Hoster personenbezogene Daten Ihrer Besucher. Das Data Processing Addendum von Webflow gilt laut Webflow für alle Tarife und ist Teil der Nutzungsbedingungen; bewahren Sie eine Kopie auf und nennen Sie Webflow in der Datenschutzerklärung.
Braucht meine Webflow-Website einen Cookie-Banner?
Nur, wenn sie Dienste lädt, die Cookies setzen oder Daten an Dritte senden, etwa Analytics, Werbe-Pixel, YouTube oder Google Maps. Webflow hat keine eingebaute Einwilligungsverwaltung, also braucht es dafür ein eigenes Tool.
Darf ich Google Fonts in Webflow verwenden?
Ja, aber lokal eingebunden: Schriftdateien herunterladen und in Webflow als eigene Schriften hochladen. Die direkte Einbindung über Google überträgt die IP-Adresse Ihrer Besucher an Google, wofür das LG München I 2022 Schadensersatz zugesprochen hat.
Wo speichert Webflow die Daten?
In den USA. Webflow speichert Kundendaten und Formulareingaben auf Servern in den USA und nennt seine Unterauftragsverarbeiter öffentlich; die Übermittlung stützt sich auf das Data Privacy Framework und die Standardvertragsklauseln.
Ihre Frage ist nicht dabei? Stellen Sie sie im Gespräch.
Gespräch buchen