TL;DR
Eine Webflow-Website, die keine Drittanbieter-Skripte nutzt (kein Google Analytics, kein Meta Pixel, kein Hotjar, kein Live-Chat) und nur Cookies setzt, die für den Betrieb der Website unbedingt erforderlich sind, braucht nach der ePrivacy-Richtlinie und Artikel 82 des französischen Gesetzes „Informatique et Libertés“ kein Cookie-Consent-Banner. Sobald jedoch ein einziges nicht notwendiges Drittanbieter-Skript hinzukommt (im Custom Code, über ein Embed oder eine Integration), wird die Einwilligung Pflicht. Die meisten produktiven Webflow-Websites nutzen mindestens einen Drittanbieter-Tracker, daher ist ein Banner in den allermeisten Fällen notwendig.
Welche Cookies sind nach DSGVO und ePrivacy von der Einwilligung ausgenommen?
Artikel 5 Absatz 3 der ePrivacy-Richtlinie (in französisches Recht umgesetzt als Artikel 82 des Gesetzes „Informatique et Libertés“) sieht zwei Kategorien von Trackern vor, die keine Einwilligung erfordern: Tracker, die für die Bereitstellung eines vom Nutzer ausdrücklich gewünschten Online-Kommunikationsdienstes unbedingt erforderlich sind, und Tracker, deren einziger Zweck darin besteht, die elektronische Kommunikation zu ermöglichen oder zu erleichtern.
In der Praxis betrifft das Session-Cookies (Anmeldung, Warenkorb), technische Präferenz-Cookies (Sprachauswahl, Anzeigeeinstellungen), Load-Balancing-Cookies und Sicherheits-Cookies (CSRF-Tokens, Rate Limiting).
Die CNIL geht zudem davon aus, dass bestimmte Cookies zur Reichweitenmessung ausgenommen sein können, sofern sie ausschließlich der Reichweitenmessung für den Websitebetreiber dienen, kein websiteübergreifendes Tracking ermöglichen und nur anonyme Daten erzeugen. Google Analytics erfüllt diese Bedingungen in der Standardkonfiguration nicht. Eine Auffrischung zu den Cookie-Arten finden Sie in unserem Artikel über Cookies erklärt: Arten und Funktionsweise.
Was Webflow standardmäßig setzt
Eine einfache Webflow-Website ohne eigene Skripte verwendet vor allem technische Cookies im Zusammenhang mit dem Hosting (Session, Anzeigeeinstellungen). Diese Cookies sind für den Betrieb der Website unbedingt erforderlich und von der Einwilligung ausgenommen.
Aber Achtung: Wenn Ihre Webflow-Website Google Fonts über die native Integration lädt (nicht selbst gehostet), überträgt sie die IP-Adressen der Besucher an die Server von Google. Das ist kein Cookie, aber eine Übermittlung personenbezogener Daten, die ein eigenes DSGVO-Problem darstellt.
Wann ist ein Cookie-Banner auf einer Webflow-Website Pflicht?
Ein Banner wird Pflicht, sobald ein einziger nicht ausgenommener Tracker auf der Website vorhanden ist. Hier sind die häufigsten Auslöser auf Webflow-Websites.
Google Analytics (GA4)
GA4 setzt Tracking-Cookies (_ga, _ga_*), die für den Betrieb der Website nicht unbedingt erforderlich sind. Eine Einwilligung ist nötig. Auch wenn Google für GA4 unter dem EU-US Data Privacy Framework zertifiziert ist, unterliegen die Cookies selbst weiterhin der ePrivacy-Richtlinie. Mehr dazu in unserem Artikel Ist Google Analytics DSGVO-konform?
Meta Pixel (Facebook)
Das Meta Pixel setzt Drittanbieter-Cookies für websiteübergreifendes Werbe-Tracking. Eine Einwilligung ist ausnahmslos erforderlich.
Hotjar, Microsoft Clarity, FullStory
Diese Heatmap- und Session-Recording-Tools setzen nicht notwendige Cookies. Eine Einwilligung ist erforderlich.
Live-Chat-Tools (Intercom, Crisp, HubSpot)
Die meisten Chat-Widgets setzen Tracking- und Identifikations-Cookies. Manche setzen Cookies bereits beim Laden des Skripts, noch bevor der Nutzer überhaupt interagiert. Eine Einwilligung ist in der Regel erforderlich, es sei denn, der Anbieter garantiert, dass nur unbedingt erforderliche Cookies verwendet werden.
Embeds und iframes
Eingebettete YouTube-Videos, Google Maps, Formulare von Drittanbietern: Jedes Embed kann dazu führen, dass der Drittanbieter Cookies setzt. Ein Standard-YouTube-Embed ohne „erweiterten Datenschutzmodus“ setzt Werbe-Cookies von Google.
Google Fonts über die API (zur Erinnerung)
Kurz zusammengefasst aus unserem Artikel über Google Fonts und DSGVO auf Webflow: Extern geladene Schriftarten setzen keine Cookies, übertragen aber die IP-Adresse. Diese Übermittlung wird vom Cookie-Banner nicht abgedeckt und erfordert eine separate technische Lösung (Self-Hosting).
Cookie-Banner-Pflicht nach Art der Webflow-Website
Ob ein Banner nötig ist, hängt von den Skripten und Diensten ab, die in Ihre Website eingebunden sind, nicht von der Art der Website selbst. Eine minimalistische Unternehmenswebsite ohne Drittanbieter-Skripte und mit selbst gehosteten Schriftarten braucht kein Banner. Eine Unternehmenswebsite mit GA4 schon. Ein Onlineshop, ein Blog oder eine SaaS-Website nutzt fast immer mindestens einen nicht ausgenommenen Tracker, sodass ein Banner Pflicht ist.
Für YouTube-Embeds gibt es eine Alternative: Nutzen Sie die Domain youtube-nocookie.com, die deutlich weniger Cookies setzt. Prüfen Sie nach dieser Änderung dennoch per Audit, ob noch Tracker übrig sind.
So finden Sie genau heraus, welche Tracker auf Ihrer Website aktiv sind
Am zuverlässigsten ist es, Ihre Website mit einem Cookie-Audit-Tool zu scannen. Ein Cookie-Scan erkennt automatisch alle Cookies und Tracker, die Ihre Website setzt, auch solche, die von Drittanbieterdiensten eingeschleust werden, die Sie möglicherweise nicht auf dem Schirm haben.
Manuelle Methode
Wenn Sie lieber manuell prüfen möchten: Öffnen Sie Ihre Website in einem privaten Browserfenster, öffnen Sie die Entwicklertools (F12), wechseln Sie zum Tab „Application“ (Chrome) bzw. „Speicher“ (Firefox) und sehen Sie sich den Bereich „Cookies“ an. Dort finden Sie eine Liste aller gesetzten Cookies nach Domain.
Prüfen Sie außerdem den Tab „Network“, um Anfragen an Drittanbieter-Domains zu erkennen (google-analytics.com, facebook.net, hotjar.com usw.).
Achten Sie auf Skripte, die andere hinzugefügt haben
Bei Websites, die von mehreren Personen betreut werden (Agentur, Kunde, Entwickler), werden Skripte manchmal in den Custom Code eingefügt, ohne das für Compliance zuständige Team zu informieren. Ein regelmäßiges Audit ist notwendig, um Änderungen zu erkennen.
Häufige Fehler (und wie Sie sie vermeiden)
Glauben, eine „einfache“ Website habe keine Tracker. Eine Webflow-Unternehmenswebsite mag minimalistisch wirken, aber ein einziges YouTube-Embed, ein Typeform-Formular oder ein im Custom Code eingefügtes Marketing-Pixel genügt, damit ein Banner Pflicht wird.
„Kein Google Analytics“ mit „keine Tracker“ verwechseln. GA4 ist nur ein Tracker unter vielen. Meta Pixel, LinkedIn Insight Tag, TikTok Pixel, Chat-Widgets, Heatmap-Tools: Jeder setzt seine eigenen Cookies.
Cookies von Embeds ignorieren. Ein über ein Standard-<iframe> eingebettetes YouTube-Video setzt Werbe-Cookies von Google. Die Lösung: Verwenden Sie für Ihre Embeds die Domain youtube-nocookie.com.
Annehmen, dass Webflow sich automatisch um die Compliance kümmert. Webflow stellt eine Hosting-Plattform und einen Designer bereit, bietet aber kein natives Cookie-Consent-Management. Die Compliance liegt in der Verantwortung des Websitebetreibers.
Das Audit nicht nach jeder Änderung aktualisieren. Jedes neue Skript, jede Integration und jedes Embed kann die Liste der Tracker verändern. Das Cookie-Audit sollte nach jeder wesentlichen Änderung wiederholt werden.
Checkliste: Braucht Ihre Webflow-Website ein Cookie-Banner?
- Alle Skripte im Custom Code der Website auflisten (Site Settings und Page Settings).
- Embeds und iframes auf jeder Seite identifizieren (YouTube, Google Maps, Formulare von Drittanbietern).
- Prüfen, ob Google Fonts über die Google-API geladen werden (separates, aber verwandtes Thema).
- Die Website mit einem Cookie-Audit-Tool scannen, um unsichtbare Tracker zu erkennen.
- Die gefundenen Tracker mit den ePrivacy-Ausnahmen abgleichen.
- Wenn mindestens ein nicht ausgenommener Tracker vorhanden ist: ein konformes Consent-Banner einrichten.
- Wenn kein nicht ausgenommener Tracker vorhanden ist: diese Analyse dokumentieren und Besucher in der Datenschutzerklärung informieren.
- Einen regelmäßigen Scan-Prozess einrichten, um neue Tracker nach jedem Website-Update zu erkennen.
Fazit
Die Frage „Braucht meine Webflow-Website ein Cookie-Banner?“ hängt ganz von den eingebundenen Skripten und Diensten ab, nicht von der Art der Website. Eine rein statische Webflow-Website ohne Drittanbieter-Tracker und mit selbst gehosteten Schriftarten kann auf das Banner verzichten. In der Praxis ist dieses Szenario jedoch selten. Um genau zu wissen, wo Ihre Website steht, ist der zuverlässigste Weg ein kostenloser Scan mit FlowConsent, der alle Tracker in wenigen Sekunden erkennt.