Webflow-Entwicklung für Kosmetik­studios

Was ist Consent Pro?

Consent Pro ist eine Consent-Management-Plattform für Webflow von Finsweet Inc., dem US-Unternehmen, das auch die Klassen-Konvention Client-First veröffentlicht. Consent Pro zeigt das Cookie-Banner, hält nicht notwendige Skripte bis zur Einwilligung an, speichert jede Entscheidung als Nachweis und übergibt sie als Signal an Google Consent Mode v2.

Installiert wird Consent Pro als App aus dem Webflow Apps Marketplace, eingerichtet im Webflow Designer. Banner, Einstellungsfenster und Platzhalter entstehen als native Webflow-Elemente, gesteuert über Attribute mit dem Präfix fs-consent. Auf der veröffentlichten Website läuft ein Skript von rund 15 KB. Finsweet lässt seine Informationssicherheit nach eigenen Angaben jährlich nach SOC 2 Typ II prüfen.

Wann braucht eine Website ein Cookie-Banner?

Eine Website braucht ein Cookie-Banner, sobald sie Cookies oder ähnliche Techniken einsetzt, die für ihren Betrieb nicht unbedingt erforderlich sind, etwa Google Analytics, Werbe-Pixel, Google Maps oder YouTube-Videos. In Österreich verlangt § 165 Abs. 3 TKG 2021 dafür eine Einwilligung, in Deutschland § 25 TDDDG, beide auf Grundlage von Art. 5 Abs. 3 der ePrivacy-Richtlinie 2002/58/EG. In der Schweiz verlangt Art. 45c FMG eine Information mit der Möglichkeit, abzulehnen; ein Opt-in-Banner erfüllt auch das.

Für die Einwilligung selbst gilt die DSGVO. Sie muss freiwillig, für den bestimmten Fall, informiert und unmissverständlich erteilt werden (Art. 4 Nr. 11). Der Betreiber der Website muss sie nachweisen können (Art. 7 Abs. 1), und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3). Nach dem Urteil des EuGH vom 1. Oktober 2019 (C-673/17, Planet49) ist ein vorausgewähltes Ankreuzkästchen keine wirksame Einwilligung.

So arbeitet Consent Pro beim ersten Seitenaufruf

1. Das Skript von Consent Pro steht als erstes Skript im Head-Bereich der Website. KROND bindet es synchron mit zwei Dateien ein, einer kleinen Konfigurationsdatei je Website und der gemeinsamen Laufzeitdatei. Nur diese Einbindung erlaubt die automatische Skript-Sperre.
2. Das Banner erscheint als Opt-in-Banner: Statistik, Marketing und Personalisierung sind ausgeschaltet, bis die Besucherin sie selbst aktiviert.
3. Bis zur Entscheidung hält Consent Pro alle Skripte an, die nicht als notwendig eingestuft sind. Eingebettete Inhalte wie Google Maps oder YouTube ersetzt ein Platzhalter.
4. Im Google Tag Manager setzt das Tag „Consent Pro Init“ mit dem Trigger Consent Initialization - All Pages alle Signale von Google Consent Mode auf denied, bevor ein anderes Tag startet.
5. Die Besucherin wählt „Alle akzeptieren“, „Ablehnen“ oder einzelne Kategorien im Einstellungsfenster.
6. Consent Pro speichert die Auswahl im Cookie fs-consent, 365 Tage gültig, meldet sie mit dem Ereignis consent-updated an den Google Tag Manager, stellt die freigegebenen Signale auf granted und lädt nur die freigegebenen Skripte nach.
7. Die Entscheidung wird mit einer eigenen Consent-ID im Consent-Protokoll gespeichert.
8. Über den Link „Cookie-Einstellungen“ in der Fußzeile öffnet die Besucherin das Einstellungsfenster jederzeit wieder und ändert oder widerruft ihre Auswahl. Jede Änderung ergibt einen neuen Datensatz.

Cookie-Kategorien und Signale in Google Consent Mode

Consent Pro ordnet jeden Tracker einer von vier Kategorien zu, jede Kategorie steuert bestimmte Signale von Google Consent Mode. Im Banner tragen die Kategorien deutsche Namen, die Besucherinnen ohne Fachwissen verstehen.

Ein Tracker mit mehreren Kategorien lädt erst, wenn die Besucherin allen zugestimmt hat.

Google Consent Mode v2 mit dem Google Tag Manager einrichten

Google Consent Mode v2 übermittelt die Entscheidung der Besucherin in vier zentralen Signalen an Google-Dienste: ad_storage, analytics_storage, ad_user_data und ad_personalization. Seit März 2024 verlangt Google diese Signale für Nutzer im Europäischen Wirtschaftsraum, damit Messung, Remarketing und personalisierte Werbung in Google Ads weiter funktionieren. KROND richtet den Container nach der Anleitung von Consent Pro ein:

1. Das noscript-Element des Google Tag Manager wird aus dem Code der Website entfernt, weil es ohne JavaScript und damit an Consent Pro vorbei laden würde.
2. Die Vorlage „Consent Pro - GTM Template“ wird in den Container importiert.
3. Das Tag „Consent Pro Init“ startet mit dem Trigger Consent Initialization - All Pages. In den regionsspezifischen Einstellungen stehen für das Opt-in-Banner alle sechs Speicherarten auf denied: analytics_storage, ad_storage, functionality_storage, personalization_storage, ad_user_data und ad_personalization.
4. Ein Trigger vom Typ „Benutzerdefiniertes Ereignis“ mit dem Ereignisnamen consent-updated ersetzt bei Google Analytics 4 und allen Marketing-Tags den bisherigen Trigger.
5. Jedes Tag erhält zusätzliche Einwilligungsprüfungen passend zu seiner Kategorie, etwa analytics_storage für Google Analytics 4 oder ad_storage, ad_user_data und ad_personalization für einen Werbe-Pixel.
6. Nach dem Veröffentlichen des Containers bestätigt KROND die Einrichtung in der Aufgabenliste von Consent Pro.

Basic oder Advanced Consent Mode?

Im Basic-Modus starten Google-Tags erst nach der Zustimmung, vorher sendet die Website keine Daten an Google. Im Advanced-Modus laden Google-Tags schon vor der Entscheidung und senden cookielose Pings, die Google zur Modellierung von Besuchen und Conversions nutzt. Consent Pro empfiehlt Basic als Standard und rät, vor Advanced den Datenschutzbeauftragten oder eine Rechtsberatung einzubeziehen. KROND richtet Basic ein, Advanced nur auf ausdrücklichen Wunsch des Studios nach rechtlicher Prüfung.

Prüfung vor dem Launch

• Der Debugger von Consent Pro läuft auf der Staging-Adresse unter webflow.io. Er zeigt, welche Tracker vor und nach der Entscheidung gesperrt oder erlaubt sind, und die ID des gespeicherten Datensatzes.
• Im Vorschaumodus des Google Tag Assistant prüft KROND, dass die Consent-Mode-Signale gesetzt sind, bevor ein Tag startet.
• Vor der Zustimmung darf im Netzwerkprotokoll des Browsers keine Anfrage der Analyse-Tags an google-analytics.com erscheinen und kein Cookie _ga gesetzt sein. Nach „Alle akzeptieren“ erscheinen beide.

Wie wird eine Cookie-Einwilligung nachgewiesen?

Consent Pro speichert jede Interaktion mit dem Banner als unveränderlichen Datensatz: Zustimmung, Ablehnung und jede spätere Änderung. Eine neue Entscheidung überschreibt keinen alten Eintrag, sie ergibt einen neuen. Zu jedem Datensatz gehört der Bannertext, den die Besucherin gesehen hat. Das Consent-Protokoll dient so als Nachweis im Sinne von Art. 7 Abs. 1 DSGVO.

Die Ansicht in Consent Pro zeigt die Datensätze der letzten sieben Tage. Ältere Datensätze liefert der CSV-Export, bis zu 10.000 Datensätze je Export, als Download-Link per E-Mail innerhalb von zehn Minuten. Laut Auftragsverarbeitungsvertrag bewahrt Finsweet jeden Datensatz fünf Jahre ab seinem Datum auf. Auf Wunsch sendet Consent Pro zusätzlich eine Kopie jedes Datensatzes an eine eigene Datenbank des Studios. Im Premium-Tarif zeigt Consent Pro außerdem, wie viele Besucherinnen zustimmen, ablehnen oder teilweise zustimmen.

Wo speichert Consent Pro die Daten?

Verantwortlich im Sinne der DSGVO ist das Studio als Betreiber der Website. Finsweet Inc. verarbeitet die Einwilligungsdaten als Auftragsverarbeiter auf Grundlage seines Auftragsverarbeitungsvertrags (Data Processing Agreement, Fassung vom 17. September 2026).

• Speicherort: Die Einwilligungsdatensätze liegen im Objektspeicher R2 von Cloudflare in Westeuropa.
• IP-Adresse: Consent Pro speichert keine IP-Adresse im Klartext. Aus ihr entsteht mit SHA-256 und einem geheimen Schlüssel eine gekürzte, pseudonyme Kennung. Für die Region wird nur das Land bestimmt.
• Zugriff aus den USA: Mitarbeitende von Finsweet greifen für Betrieb und Support aus den USA zu. Diese Übermittlung stützt Finsweet auf die EU-Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914. Nach dem EU-US Data Privacy Framework ist Finsweet nicht zertifiziert.
• KI-Funktionen: Die Kategorisierung per KI verarbeitet Angaben zu den Trackern der Website, nicht die Einwilligungen der Besucherinnen. Personenbezogene Daten nutzt Finsweet laut Vertrag nicht zum Training von KI-Modellen.
• Sicherheit: Verbindungen sind per TLS verschlüsselt, Datenbanken und Backups auch im Ruhezustand.

Website-Scan und Cookie-Liste

Der ConsentPro Scanner ruft jede Seite in einer echten Browser-Umgebung auf und erfasst Cookies, Skripte und Tracker, auch solche, die erst nach dem Ausführen von JavaScript entstehen. Die Seiten findet er über die sitemap.xml. KROND schaltet deshalb vor dem Scan die automatische Sitemap in Webflow ein, damit auch CMS-Seiten und nicht verlinkte Seiten erfasst werden.

Consent Pro kennt Eigenheiten von Webflow, die allgemeine Cookie-Tools oft übersehen:

• das native Video-Element, das YouTube-Adressen hinter einem Embedly-Wrapper versteckt
• Videos in der nativen Lightbox
• das native Google-Maps-Element, das Cookies setzt und Google Fonts nachlädt
• Webflow Analyze und Webflow Optimize, die Consent Pro erst nach der Zustimmung freigibt, wenn in Webflow „Do not track by default“ eingestellt ist
• Google Fonts, die von Servern von Google geladen werden und dabei die IP-Adresse übertragen

Die KI von Consent Pro ordnet jeden gefundenen Tracker einer Kategorie zu und ergänzt Anbieter, Beschreibung, erfasste Daten und die Adresse der Datenschutzerklärung des Anbieters. KROND prüft jede Zuordnung. Mit der nächsten Veröffentlichung der Website erscheinen die Tracker nach Kategorien geordnet im Einstellungsfenster. Im Premium-Tarif wiederholt Consent Pro den Scan wöchentlich, monatlich oder zu einem festen Datum und meldet neue Tracker.

Google Maps und YouTube DSGVO-konform einbinden

Eingebettete Inhalte wie Google Maps, YouTube-Videos oder andere iFrames setzen Cookies, sobald sie laden. Consent Pro ersetzt sie bis zur Zustimmung durch einen Platzhalter, den KROND im Design der Website gestaltet. Nach der Zustimmung lädt der Inhalt an derselben Stelle.

Bilder, die Cookies setzen, etwa Tracking-Pixel, lädt der Browser sofort. Sie stehen deshalb ohne src im Code, mit der Adresse im Attribut fs-consent-src und der Kategorie in fs-consent-categories, und erscheinen erst nach der Zustimmung.

Gestaltung, Sprache und Barrierefreiheit

• Banner, Einstellungsfenster und Platzhalter sind Webflow-Elemente und übernehmen Schriften, Farben und Abstände der Website.
• „Ablehnen“ steht auf derselben Ebene und in derselben Größe wie „Alle akzeptieren“, keine Kategorie ist vorausgewählt.
• Die Kategorien heißen im Banner Notwendig, Statistik, Marketing und Personalisierung.
• Die Texte stehen auf Deutsch. Übersetzungen erzeugt Consent Pro in bis zu zehn Sprachen, auch zusammen mit Webflow Localization.
• Die Kontrollkästchen haben einen sichtbaren Fokuszustand für die Bedienung mit der Tastatur.
• Der Link „Cookie-Einstellungen“ in der Fußzeile öffnet das Einstellungsfenster auf jeder Seite.
• Im Premium-Tarif zeigt Consent Pro je nach Land ein anderes Banner. Für Studios im DACH-Raum gilt einheitlich das Opt-in-Banner.

Ladezeit

Die Laufzeitdatei von Consent Pro überträgt rund 15 KB und ist für alle Websites gleich, der Browser speichert sie deshalb lange zwischen. Die kleine Konfigurationsdatei je Website enthält Lizenz, Einstellungen und Region und wird nur kurz zwischengespeichert, deshalb melden Audit-Tools wie Lighthouse sie manchmal. Lehnt eine Besucherin ab, laden weniger Skripte von Drittanbietern, und die Seite wird leichter.

Konten und Zugriffsrechte

Jedes Studio erhält ein eigenes Konto in Google Analytics 4 und im Google Tag Manager, nie ein Sammelkonto der Agentur. Die Inhaberin oder der Inhaber ist auf Kontoebene Administrator, KROND arbeitet nur mit Rechten auf Property- und Container-Ebene. Consent Pro wird je Website und Domain lizenziert.

Was Consent Pro nicht ersetzt

• Consent Pro ist ein Werkzeug und keine Rechtsberatung, darauf weist Finsweet selbst hin. Ob eine Website den Datenschutzgesetzen entspricht, hängt auch von Serverstandorten und weiteren Verarbeitungen ab, die das Studio verantwortet.
• Impressum und Datenschutzerklärung verantwortet das Studio. Der Richtlinien-Generator von Consent Pro liefert eine Vorlage, keine geprüfte Erklärung.
• Global Privacy Control, ein Browsersignal gegen die Weitergabe von Daten, wertet Consent Pro bei Opt-out-Bannern nach US-Recht aus. Beim Opt-in-Banner für Europa ändert das Signal nichts, weil ohnehin keine Kategorie vorausgewählt ist.
• Das IAB Transparency and Consent Framework (TCF) unterstützt Consent Pro derzeit nicht. Es ist für Websites gedacht, die selbst Werbeflächen vermarkten, etwa über Google AdSense, was Studio-Websites in der Regel nicht tun.

Begriffe

Consent-Management-Plattform (CMP)

Software, die Einwilligungen für Cookies und Tracker einholt, speichert und an andere Dienste weitergibt. Consent Pro ist eine CMP für Webflow.

Opt-in-Banner

Cookie-Banner, bei dem alle nicht notwendigen Kategorien ausgeschaltet sind, bis die Besucherin sie aktiv einschaltet. In der EU der Standard für Statistik- und Marketing-Cookies.

Google Consent Mode v2

Schnittstelle von Google, über die eine CMP die Entscheidung der Besucherin mit den Werten granted oder denied an Google-Tags übergibt.

Tracker

Cookie, Skript, Pixel oder eingebetteter Inhalt, der Daten über einen Besuch erfasst oder im Browser speichert.

Consent-ID

Eindeutige Kennung eines Einwilligungsdatensatzes, über die sich eine einzelne Entscheidung im Protokoll wiederfinden lässt.

Auftragsverarbeitungsvertrag

Vertrag nach Art. 28 DSGVO zwischen dem Verantwortlichen und einem Dienstleister, der personenbezogene Daten in dessen Auftrag verarbeitet.