Webflow-Website betreiben: Rechtliche Pflichten und technische Umsetzung 2026

Eine Webflow-Website lässt sich technisch sauber aufbauen und trotzdem mit rechtlichen Lücken veröffentlichen. Ein veralteter Hinweis im Footer, ein vorzeitig geladenes Marketing-Skript oder ein unklarer Buchungsablauf reichen dafür schon aus. Entscheidend ist deshalb, dass Rechtsprüfung, Gestaltung und tatsächliche Datenverarbeitung zusammenpassen.

Dieser Leitfaden richtet sich an Unternehmen mit Websites für den deutschen Markt. Er zeigt, welche Fragen vor dem Launch und im laufenden Betrieb geklärt werden sollten. Er ersetzt keine individuelle Rechtsberatung; branchenspezifische Pflichten können hinzukommen. Stand: 25. Oktober 2026.

Zuerst die Aufgaben der Website klären

Bevor wir über Rechtstexte sprechen, müssen wir wissen, was die Website tut. Informiert sie ausschließlich über Leistungen? Können Besucher Termine buchen, Produkte bestellen oder Abonnements abschließen? Gibt es Newsletter, Bewerbungsformulare oder einen KI-Chat?

Erstelle dafür eine kurze Funktions- und Diensteliste. Notiere je Eintrag Zweck, Anbieter, übermittelte Daten und die verantwortliche Person. Beziehe Tag Manager, externe Formulare und eingebettete Inhalte ein. Diese Bestandsaufnahme ist die Arbeitsgrundlage für Datenschutzverantwortliche, Rechtsberatung und die technische Umsetzung.

Impressum: Angaben und Erreichbarkeit prüfen

Für geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste regelt § 5 DDG die allgemeinen Informationspflichten. Je nach Unternehmen gehören Name, ladungsfähige Anschrift, Vertretung, elektronische Kontaktmöglichkeit sowie gegebenenfalls Register-, Identifikations- oder Berufsangaben dazu. Prüfe auch, ob eine vorhandene Wirtschafts-Identifikationsnummer anzugeben ist.

In Webflow sollten die freigegebenen Angaben über einen verständlich bezeichneten Link erreichbar sein. Teste ihn auch auf Landingpages, mobilen Ansichten und Sprachversionen. Ein Footer in einer Hauptvorlage hilft wenig, wenn einzelne Kampagnenseiten ihn nicht verwenden. Alte Verweise auf das TMG sollten bei der Aktualisierung überprüft werden.

Datenschutzhinweise müssen zum tatsächlichen Setup passen

Die Datenschutzerklärung sollte die realen Verarbeitungsvorgänge beschreiben. Dazu zählen insbesondere Zwecke und Rechtsgrundlagen, Empfänger, Speicherdauer beziehungsweise deren Kriterien und die Rechte betroffener Personen. Ein kopierter Text für eine andere Website bildet dein Setup nicht zuverlässig ab. Die Informationen der EU-Kommission erläutern diese Transparenzpflichten.

Für die Umsetzung brauchen wir deshalb mehr als eine Tool-Liste: Wohin geht eine Formularanfrage? Wird sie zusätzlich per E-Mail verschickt oder in ein CRM übernommen? Wer hat dort Zugriff und wann wird sie gelöscht? Ein neues Widget kann diese Antworten verändern, auch wenn am sichtbaren Seitendesign kaum etwas passiert.

Webflow, Auftragsverarbeitung und internationale Datenflüsse

Webflow beschreibt sich bei Daten, die Kunden über ihre Websites erheben, grundsätzlich als Auftragsverarbeiter; das betreibende Unternehmen hat eigene Pflichten. Das Data Processing Addendum und die Liste der Unterauftragsverarbeiter gehören deshalb in die Prüfung des eingesetzten Setups.

Nach den Privacy FAQs von Webflow ist auch die Verarbeitung in den USA zu berücksichtigen. Prüfe die aktuell anwendbaren Übermittlungsgrundlagen und Vertragsunterlagen. Ein Hostingvertrag oder ein Hinweis auf das Data Privacy Framework macht nicht automatisch jede einzelne Website-Verarbeitung zulässig.

Einwilligung: den Ablauf testen, nicht nur das Banner

Ob ein Consent-Banner benötigt wird, ergibt sich aus den eingesetzten Funktionen. Nicht jede Website braucht allein wegen ihrer Existenz ein solches Banner. § 25 TDDDG betrifft das Speichern von Informationen auf Endgeräten und den Zugriff darauf. Das Gesetz sieht Ausnahmen vor, etwa für unbedingt erforderliche Vorgänge zur Bereitstellung eines ausdrücklich gewünschten Dienstes. Die Verarbeitung personenbezogener Daten ist zusätzlich nach der DSGVO zu bewerten.

Für einwilligungsbedürftige Funktionen muss die technische Steuerung zur rechtlichen Entscheidung passen. Eine sichtbare Zustimmungsschaltfläche hilft nicht, wenn das betreffende Skript längst Daten überträgt. Plane außerdem eine verständliche Ablehnung und den späteren Widerruf. Die Orientierungshilfe der Datenschutzaufsichtsbehörden erläutert die Anforderungen und die Bedeutung der konkreten Bannergestaltung.

Für die Abnahme prüfen wir drei Zustände: erster Besuch ohne Entscheidung, Ablehnung und gezielte Zustimmung. Danach testen wir eine Änderung der Auswahl. Kontrolliert werden dabei auch Netzwerkaufrufe und Browser-Speicher. Ein bloßer Screenshot des Banners belegt dieses Verhalten nicht.

Webflow Analyze und Optimize einbeziehen

Auch Webflows eigene Analyse- und Optimierungsfunktionen gehören in das Inventar. Die Tracking-Einstellungen unterscheiden zwischen deaktiviertem Tracking und verschiedenen Modi nach der Aktivierung. Für einen vorgesehenen Opt-in-Ablauf müssen Einstellungen und Consent-Lösung zusammenarbeiten.

Die Webflow-Schnittstellen zur Einwilligungsverwaltung beziehen sich auf Analyze und Optimize. Sie sind keine automatische Steuerung sämtlicher fremder Skripte. Ob eine Einwilligung erforderlich ist, wird für die konkrete Verarbeitung beurteilt; die Bezeichnung „cookieless“ entscheidet das nicht allein.

{{callout}}

Schriften, Videos und Widgets bewusst einbinden

Prüfe auf der veröffentlichten Website, welche externen Verbindungen tatsächlich entstehen. Dazu können Google Fonts, Videoplayer, Karten, Terminbuchung und Chat-Widgets gehören. Die Datenschutzhinweise und ein gegebenenfalls erforderlicher Aktivierungsablauf müssen diese Einbindungen abdecken.

Für Schriften bietet Webflow den Upload eigener Font-Dateien. Beachte die Lizenz und verwende eindeutige Namen. Webflow weist ausdrücklich darauf hin, dass eine gleichnamige Custom Font sonst weiterhin aus der Google-Fonts-Integration geladen werden kann. Nach dem Austausch müssen verwendete Styles und die veröffentlichten Netzwerkaufrufe kontrolliert werden. Quelle: Webflow zu Custom Fonts.

Bei externen Inhalten kann eine Vorschau mit bewusster Aktivierung Teil der Lösung sein. Entscheidend ist, dass die Einbindung vor der vorgesehenen Freigabe tatsächlich nicht startet und der Hinweis erklärt, was beim Aktivieren passiert.

Kontaktanfrage und Newsletter getrennt behandeln

Ein Kontaktformular soll die Angaben abfragen, die für die konkrete Anfrage benötigt werden. Plane Empfänger, Zugriff, Löschung und Spam-Schutz mit ein. Eine Pflicht-Checkbox ist kein universeller Ersatz für eine passende Rechtsgrundlage; eine normale Anfrage und eine Newsletter-Anmeldung sind verschiedene Vorgänge.

Für Werbe-E-Mails gilt grundsätzlich das Einwilligungserfordernis aus § 7 UWG; die dort geregelte Bestandskundenausnahme hat eigene Voraussetzungen. Beim Newsletter ist ein dokumentierter Double-Opt-in-Ablauf ein gängiger Weg zum Nachweis. Teste Anmeldung, Bestätigung und Abmeldung bis zum jeweiligen Versanddienst.

Die Zustimmung zu Werbung darf nicht einfach aus dem Absenden einer Projektanfrage abgeleitet werden. Freigegebener Wortlaut und technische Speicherung müssen zusammenpassen. Wenn der Text geändert wird, sollte nachvollziehbar bleiben, welche Fassung bei einer früheren Anmeldung verwendet wurde.

Barrierefreiheit: den Anwendungsbereich vorab bestimmen

Seit dem 28. Juni 2025 gelten die Anforderungen des BFSG für die erfassten Produkte und Dienstleistungen. Bei Websites ist insbesondere der elektronische Geschäftsverkehr mit Verbrauchern relevant. Dabei darf nicht nur auf einen klassischen Warenkorb geschaut werden: Auch der konkrete Buchungs- oder Vertragsablauf kann entscheidend sein. Die Bundesfachstelle Barrierefreiheit erläutert den Anwendungsbereich.

Für Kleinstunternehmen, die Dienstleistungen anbieten oder erbringen, enthält § 3 Absatz 3 BFSG eine Ausnahme. Die Definition berücksichtigt weniger als zehn Beschäftigte und höchstens zwei Millionen Euro Jahresumsatz oder Jahresbilanzsumme. Ob eine Ausnahme greift, muss anhand des Unternehmens und des Angebots geprüft werden; sie ist kein pauschaler Ausschluss aller Pflichten für kleine Unternehmen.

Bei erfassten Dienstleistungen gehören auch die vorgeschriebenen Informationen zur Barrierefreiheit in die Umsetzung. Dafür ist § 14 BFSG zusammen mit Anlage 3 relevant. Ein automatischer Website-Check ersetzt weder diese Prüfung noch die technische Abnahme.

Praktisch testen wir unter anderem Tastaturbedienung, sichtbaren Fokus, Kontraste, Formularbeschriftungen und verständliche Fehlermeldungen. Bei wichtigen Kontakt- oder Buchungswegen zählt der vollständige Ablauf. Diese Arbeit verbessert die Nutzung auch dort, wo eine bestimmte gesetzliche Pflicht nicht greift.

Bei Online-Verträgen zusätzliche Funktionen prüfen

Wenn über deine Website Verträge mit Verbrauchern geschlossen werden, reicht eine allgemeine Footer-Prüfung nicht aus. Dazu gehören je nach Angebot weitere Informationen und Funktionen im Bestell- und Vertragsablauf.

Ein aktuelles Beispiel ist die seit dem 19. Juni 2026 relevante elektronische Widerrufsfunktion für die erfassten Fernabsatzverträge über Online-Benutzeroberflächen. § 356a BGB regelt unter anderem Zugänglichkeit, Bestätigung und Eingangsbestätigung. Ein Link auf einen allgemeinen Kontaktweg bildet diesen Prozess nicht automatisch ab. Lass Anwendbarkeit und konkrete Umsetzung für dein Angebot prüfen.

Die frühere EU-Plattform zur Online-Streitbeilegung wurde zum 20. Juli 2025 eingestellt. Alte Verweise sollten aktualisiert werden. Davon getrennt zu prüfen sind die Informationspflichten nach § 36 VSBG. Dessen Ausnahme für Unternehmen mit höchstens zehn Beschäftigten am maßgeblichen Stichtag betrifft nur die dort bezeichnete allgemeine Information zur Teilnahmebereitschaft. Bestehende Verpflichtungen und weitere Hinweise dürfen nicht pauschal mit entfernt werden. Quellen zur Einstellung: EU-Verordnung 2024/3228.

KI-Funktionen brauchen eine eigene Prüfung

Seit dem 2. August 2026 gelten die Transparenzvorgaben des Artikels 50 der KI-Verordnung. Sie unterscheiden zwischen Anbietern und Betreibern sowie zwischen direkter Interaktion, bestimmten synthetischen Inhalten und weiteren Einsatzfällen. Ein pauschales „Jeder KI-Text muss gekennzeichnet werden“ wäre deshalb zu undifferenziert. Die Leitlinien der EU-Kommission erklären die Abgrenzung.

Bei einem eingebundenen KI-Chat sollte bereits vor der ersten Nachricht erkennbar sein, dass keine menschliche Person antwortet, soweit die einschlägige Pflicht dies verlangt. Prüfe mit dem Anbieter außerdem Datenverarbeitung, Speicherung und Übergabe an Menschen. Eine redaktionell geprüfte abstrakte Illustration ist anders einzuordnen als ein täuschend echtes Bild eines vermeintlich realen Ereignisses.

So dokumentieren wir die technische Übergabe

Am Ende sollten drei Dinge zusammenpassen: die rechtlich freigegebenen Vorgaben, das sichtbare Website-Verhalten und die dokumentierte Konfiguration. Dafür halten wir die folgenden Ergebnisse fest:

• Eine aktuelle Liste der Dienste und der verantwortlichen Ansprechpartner.
• Freigegebene Texte und ihre Einbindung auf den relevanten Seiten und Sprachversionen.
• Testergebnisse für Einwilligung, externe Inhalte, Formulare und wichtige Vertragsabläufe.
• Offene Punkte zu Barrierefreiheit und ein festgelegter Weg zur Behebung.
• Ein Termin zur erneuten Prüfung nach Änderungen an Tools, Angebot oder Datenflüssen.

Als Webflow-Agentur können wir diese technische Umsetzung und Prüfung begleiten. Welche rechtlichen Vorgaben auf dein Unternehmen zutreffen und wie deine Rechtstexte formuliert sein müssen, klärst du mit qualifizierter Rechtsberatung. So erhält jede Aufgabe einen klaren Verantwortlichen.

Wenn du einen Relaunch planst, gehören diese Themen von Anfang an in die Projektplanung. Für den laufenden Betrieb ergänzt unser Beitrag zur Sicherheit von Webflow-Websites die technischen Aufgaben.

{{cta}}