Framer DSGVO: Schriften, Cookies und Analytics prüfen

Titelbild: KI-generiert

Framer schreibt in seiner Hilfe, eine Framer-Website brauche standardmäßig kein Cookie-Banner, auch nicht mit Framers eigener Statistik. Daraus liest man leicht, das Thema sei erledigt. Dann öffnet jemand die Entwicklerwerkzeuge des Browsers und sieht beim ersten Seitenaufruf Anfragen an fonts.gstatic.com, einen Server von Google. Ein Cookie ist dafür nicht nötig, eine Übertragung der IP-Adresse schon. Genau hier beginnt das Thema Framer DSGVO.

Wir gehen vier Prüfpunkte durch: Schriften, Cookie-Banner, Analytics sowie Hosting und Auftragsverarbeitung. Wir zitieren Gesetzestext, ein Urteil und Framers eigene Angaben und sagen, was wir auf rankprompt.de, das selbst auf Framer läuft, umgesetzt haben. Dies ist keine Rechtsberatung. Stand: 29. Oktober 2026.

Ist Framer DSGVO-konform?

Pauschal lässt sich das nicht beantworten, weil es auf die einzelne Website ankommt. Framer beschreibt die Rollen so: Der Website-Betreiber ist Verantwortlicher für die Daten seiner Besucher, Framer ist Auftragsverarbeiter. Auf die Frage, ob Framer die DSGVO-Pflichten für Ihre Website übernimmt, antwortet Framer selbst mit „No“ (Quelle: Framer Help Center, 2026).

Für das eigene Hosting nennt Framer SOC 2 Type II, ISO 27001, DSGVO und CCPA (Quelle: Framer Help Center, 2026). Das sind Herstellerangaben, die Zertifikate haben wir nicht eingesehen. Und selbst ein sauber betriebenes Hosting sagt nichts darüber, welche Schriften, Skripte und Einbettungen Sie auf Ihrer Website verwenden.

Deshalb prüfen wir vier Punkte einzeln. Die Tabelle zeigt, worum es jeweils geht und woran man einen möglichen Befund erkennt:

Prüfpunkt 1: Laden die Schriften von Google?

Bei Google Fonts aus Framers Auswahl muss man damit rechnen. Framer bietet Google Fonts im Editor an, Quelle laut Framer ist fonts.google.com. Framer empfiehlt sogar ausdrücklich, Google Fonts aus der Auswahl zu nehmen statt sie hochzuladen, weil sie durch automatisches Subsetting schneller laden (Quelle: Framer Help Center, 2026). Von welchem Server die Schriften dann an Besucher gehen, steht in diesem Hilfeartikel nicht.

Eine Stichprobe zeigt die Richtung. Zwei mit Framer gebaute Seiten von Framer selbst, die Preisseite und der Hilfeartikel zu DSGVO und Cookies, luden Google-Schriften am 29. Oktober 2026 direkt von fonts.gstatic.com. Schriften des Anbieters Fontshare kamen dagegen von Framers eigenem Server framerusercontent.com. Das ist eine Stichprobe an zwei Seiten, keine Aussage über alle Framer-Websites. Die Annahme, Framer hoste Google Fonts automatisch selbst, lässt sich damit aber nicht halten.

Warum das relevant ist, zeigt ein Urteil des Landgerichts München I. Am 20. Januar 2022 (Az. 3 O 17493/20) entschied das Gericht über eine Website, die Google Fonts von Google-Servern lud. Der redaktionelle Leitsatz lautet: „Eine Verletzung des Rechts auf informationelle Selbstbestimmung und des Persönlichkeitsrechts stellt es dar, wenn der Inhaber einer Webseite bei Aufruf dieser Webseite durch einen Dritten dessen dynamische IP-Adresse automatisiert und ohne Zustimmung des Dritten an Google weiterleitet.“ (Quelle: BAYERN.RECHT, LG München I, 2022)

Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO verneinte das Gericht, weil Google Fonts auch ohne Verbindung zu Google-Servern nutzbar sind. Die dynamische IP-Adresse sei für den Betreiber ein personenbezogenes Datum. Verurteilt wurde die Beklagte zur Unterlassung, angedroht wurde dafür ein Ordnungsgeld von bis zu 250.000 € für jeden Fall der Zuwiderhandlung. Dazu kamen 100 € Schadensersatz nach Art. 82 DSGVO (Quelle: BAYERN.RECHT, LG München I, 2022). Die 250.000 € sind die Obergrenze des angedrohten Ordnungsgelds, kein verhängter Betrag.

Einordnen sollte man das Urteil vorsichtig. Es ist die Entscheidung eines einzelnen Landgerichts, nicht eines obersten Gerichts. Es fiel vor dem EU-US Data Privacy Framework von 2023, und die Begründung zur Übermittlung in die USA ist an diese Zeit gebunden. Die Kernaussage, dass Schriften auch ohne Verbindung zu Google genutzt werden können, gilt technisch unverändert.

Selbst hochgeladene Schriften liegen auf Framers Server. Framer erlaubt das Hochladen eigener Schriften. Die Lizenz muss der Betreiber laut Framer selbst sicherstellen (Quelle: Framer Help Center, 2026). Auf rankprompt.de liegen alle Schriften auf framerusercontent.com, beim Seitenaufruf geht keine Anfrage an Google-Schriftserver. Das kann jeder in den Entwicklerwerkzeugen seines Browsers nachprüfen.

Prüfpunkt 2: Braucht die Website ein Cookie-Banner?

Das hängt davon ab, was außer Framer selbst auf der Website läuft. Maßgeblich ist § 25 TDDDG. Absatz 1 lautet: „Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.“ (Quelle: gesetze-im-internet.de, § 25 TDDDG)

Keine Einwilligung braucht es nach Absatz 2 unter anderem, wenn der Zugriff „unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann“ (Quelle: gesetze-im-internet.de, § 25 TDDDG). § 25 regelt den Zugriff auf das Endgerät. Die Übertragung der IP-Adresse beim Laden einer Schrift ist eine andere Frage. Das Münchner Urteil stützt sich dafür auf das Persönlichkeitsrecht und die DSGVO.

Framers eigene Aussage ist klar, aber begrenzt. Laut Framer braucht eine Framer-Website standardmäßig kein Cookie-Banner, auch mit Framer Analytics. Fügt der Betreiber Dienste oder Skripte hinzu, die Daten erheben könnten, etwa Google Analytics, HubSpot oder YouTube, ist er laut Framer selbst für ein passendes Banner verantwortlich (Quelle: Framer Help Center, 2026). Die Aussage betrifft Cookies. Eine Verbindung zu Google wegen einer Schrift deckt sie nicht ab.

Framers Banner-Komponente steuert, was über den Google Tag Manager läuft. Sie wurde im September 2023 vorgestellt, ist laut Framer in Googles Consent Mode integriert und kann für die EU und den Rest der Welt unterschiedlich reagieren (Quelle: Framer Updates, 2023). Sie braucht eine Container-ID des Google Tag Managers, und Framer empfiehlt, die Einrichtung auf der veröffentlichten Seite zu prüfen (Quelle: Framer Academy, 2023). Skripte, die direkt über eigenen Code eingebunden sind, steuert die Komponente nach Framers Beschreibung nicht. Ob sie die neuere Fassung von Consent Mode unterstützt, schreibt Framer nicht.

Woran Sie einen Befund erkennen:

• Cookies von Drittanbietern sind gesetzt, bevor im Banner eine Entscheidung gefallen ist

• Skripte von Analyse- oder Werbediensten laden, obwohl die Einwilligung abgelehnt wurde

• eingebettete Videos oder Karten laden schon beim Seitenaufruf vom Server des Anbieters

• im eigenen Code der Website stehen Dienste, die am Banner vorbeilaufen

Auf rankprompt.de lädt Google Analytics erst, nachdem Besucher im Cookie-Banner zugestimmt haben. Auch das lässt sich von außen nachprüfen: Vor der Zustimmung geht keine Anfrage an Google Analytics.

Prüfpunkt 3: Framer Analytics oder Google Analytics?

Framer Analytics kommt laut Framer ohne Cookies und ohne Einwilligung aus, Google Analytics braucht laut Framer ein Banner. Die Unterschiede liegen aber nicht nur im Datenschutz, sondern auch darin, was gemessen wird:

Die Angaben zu Framer Analytics stammen aus Framers Hilfe (Quelle: Framer Help Center, 2026; Framer Help Center, 2026). Weil die Zählweisen verschieden sind, weichen die Zahlen beider Werkzeuge laut Framer voneinander ab.

Auch ohne Cookies werden Daten verarbeitet. Framer hasht IP-Adresse und Browserkennung, um Besucher pro Tag zu zählen. Dass dabei keine personenbezogenen Daten entstehen, ist Framers Einschätzung. Eine juristische Bewertung dieser Hash-Verarbeitung haben wir nicht gefunden. Die Aussage, es brauche kein Banner, bezieht sich auf Cookies und damit auf § 25 TDDDG, nicht auf jede Frage der DSGVO.

Welches Werkzeug passt, hängt an den Fragen, die Sie beantworten wollen. Framer Analytics zeigt laut Framer unter anderem Seitenaufrufe, Absprungrate, Quellen, UTM-Parameter, Länder und Geräte. Wer darüber hinaus Google Analytics einsetzt, braucht nach Framers eigener Aussage ein Banner. Wie sich Besuche aus ChatGPT und anderen KI-Diensten in GA4 auswerten lassen, beschreibt unser Beitrag zum KI-Traffic-Tracking in GA4.

Prüfpunkt 4: Hosting und Auftragsverarbeitung

Framer stellt einen Auftragsverarbeitungsvertrag bereit, das Hosting läuft bei Amazon Web Services mit Servern unter anderem in den USA. Der Vertrag (Data Processing Addendum, Version 2.0) gilt seit dem 16. Juni 2026. Er ist per Verweis Teil der Nutzungsbedingungen, ein eigenes Unterschreiben ist nicht nötig. Vertragspartner ist Framer B.V. in Amsterdam als Auftragsverarbeiter (Quelle: Framer, Data Processing Addendum, 2026). Ob ein solcher Vertrag per Verweis die Anforderungen von Art. 28 DSGVO im Einzelfall erfüllt, ist eine Rechtsfrage.

Unterauftragnehmer genehmigen Kunden pauschal. Framer führt die Liste in seinem Trust Center und kündigt Änderungen mindestens 30 Tage vorher an. Die Ankündigung erhält aber nur, wer dort Benachrichtigungen abonniert (Quelle: Framer, Data Processing Addendum, 2026). Die Liste selbst haben wir nicht ausgewertet.

Für Übermittlungen in Drittländer nennt der Vertrag zwei Grundlagen: einen Angemessenheitsbeschluss, etwa das EU-US Data Privacy Framework, wenn der Empfänger zertifiziert ist, oder sonst die EU-Standardvertragsklauseln aus dem Durchführungsbeschluss 2021/914 (Quelle: Framer, Data Processing Addendum, 2026). In Framers Datenschutzerklärung heißt es, die genutzten Server stünden unter anderem in den USA (Quelle: Framer, Privacy Statement, 2026). Die Erklärung betrifft vor allem Framers eigene Kunden und Besucher von framer.com, nicht automatisch die Besucher Ihrer Website.

Ein Hosting in der EU sagt Framer nirgends zu. Ausgeliefert werden die Seiten über ein weltweites Netzwerk von AWS CloudFront (Quelle: Framer Help Center, 2026). Wer intern eine EU-Hosting-Vorgabe hat, sollte das vor der Entscheidung für Framer klären, nicht danach.

Wie sich Framer und WordPress darüber hinaus unterscheiden, vergleicht unser Beitrag Framer vs. WordPress.

Was hat Datenschutz mit Sichtbarkeit zu tun?

Ein Banner verändert, was Sie messen, aber nicht, was Google und KI-Systeme sehen. Wenn Google Analytics erst nach Zustimmung lädt, fehlen alle Besuche von Menschen, die ablehnen. Die Search Console ist davon nicht betroffen, sie braucht kein Skript auf Ihrer Website. Für Fragen der Sichtbarkeit in Google, auch in KI-Übersichten, bleibt sie deshalb die verlässlichere Quelle.

Umgekehrt beeinflussen die vier Prüfpunkte nicht, ob Suchmaschinen oder KI-Crawler Ihre Inhalte lesen können. Selbst gehostete Schriften und ein Banner ändern nichts an den Texten, die Crawler lesen. Wer Datenschutz und Sichtbarkeit zusammen prüfen lassen möchte, findet in unserem SEO-Audit den technischen Teil. Für das Audit genügt uns Lesezugriff auf Search Console und Analytics.

Was Framer bei SEO leistet und wo seine Grenzen liegen, beschreibt unser Beitrag Framer SEO.

FAQ: Framer DSGVO

Ist Framer DSGVO-konform? Diese Frage lässt sich nur für eine einzelne Website beantworten. Framer ist Auftragsverarbeiter und stellt einen Vertrag bereit, übernimmt laut eigener Aussage aber nicht die Pflichten des Betreibers. Es kommt darauf an, welche Schriften, Dienste und Einbettungen Sie nutzen.

Braucht eine Framer-Website ein Cookie-Banner? Laut Framer nicht, solange nur Framer selbst und Framer Analytics laufen. Sobald Dienste wie Google Analytics, HubSpot oder YouTube eingebunden sind, ist der Betreiber laut Framer für ein passendes Banner verantwortlich.

Hostet Framer Google Fonts selbst? Das können wir nicht bestätigen. In einer Stichprobe an zwei Framer-Seiten kamen Google-Schriften direkt von fonts.gstatic.com. Selbst hochgeladene Schriften liegen dagegen auf Framers Server.

Wo stehen Framers Server? Framer nutzt Amazon Web Services und liefert über ein weltweites Netzwerk aus. Laut Datenschutzerklärung stehen die genutzten Server unter anderem in den USA. Eine Zusage für Hosting in der EU haben wir nicht gefunden.

Gibt es einen Auftragsverarbeitungsvertrag mit Framer? Ja, das Data Processing Addendum in Version 2.0, gültig seit dem 16. Juni 2026. Es ist per Verweis Teil der Nutzungsbedingungen. Ob das im Einzelfall den Anforderungen von Art. 28 DSGVO genügt, ist eine Rechtsfrage.

Darf ich Framer Analytics ohne Einwilligung nutzen? Framer sagt ja, weil keine Cookies und keine dauerhaften Kennungen entstehen. IP-Adressen werden aber zum Hashen verarbeitet. Die rechtliche Bewertung dieser Verarbeitung ist Framers Sicht, keine geprüfte Aussage.

Bei Framer DSGVO geht es weniger um Framer als um das, was Sie einbinden: Schriften, Dienste und Einbettungen. Wenn Sie wissen möchten, was Ihre Framer-Website beim Seitenaufruf tatsächlich lädt, sprechen Sie mit uns. Dies ist keine Rechtsberatung.