Kurz zusammengefasst

Eingebettete Videos und Karten laden Inhalte von Google-Servern, sobald die Seite aufgerufen wird, auch wenn niemand auf Abspielen klickt.
youtube-nocookie.com verbessert die Ausgangslage, ersetzt aber keine Einwilligung und keine saubere Lösung.
Bei der Zwei-Klick-Lösung steht zunächst nur ein eigenes Vorschaubild, erst der Klick lädt den Fremdinhalt.
Eine Karte lässt sich als eigenes Bild mit Link zur Routenplanung zeigen, dann entsteht kein Datenfluss beim Laden.
In die Datenschutzerklärung gehört jeder eingebundene Dienst.

Was beim Einbetten passiert

Das übliche Einbettungselement eines Videos oder einer Karte ist ein Rahmen, der Inhalt von einem anderen Server holt. Sobald die Seite im Browser aufgebaut wird, fragt der Browser dort Skripte, Vorschaubilder, Kartenkacheln und Schriften an. Der Betreiber dieses Servers erhält dabei die IP-Adresse des Besuchers und technische Angaben zum Browser. Je nach Dienst kommen Cookies oder Einträge im lokalen Speicher hinzu. Das geschieht unabhängig davon, ob der Besucher das Video jemals startet. Das Attribut loading="lazy" am Rahmen verschiebt das Laden nur, bis der Rahmen in die Nähe des sichtbaren Bereichs kommt. Eine Einwilligung ersetzt es nicht.

Rechtlich ist das relevant, weil die IP-Adresse in der Regel als personenbezogenes Datum gilt und gegebenenfalls Informationen auf dem Gerät gespeichert oder ausgelesen werden. Meist läuft es deshalb auf eine Einwilligung hinaus, die vor dem Laden eingeholt wird. Wie das zusammenhängt, steht bei Cookies und Einwilligung.

Was youtube-nocookie.com leistet

YouTube bietet einen erweiterten Datenschutzmodus an, erkennbar an der Domain youtube-nocookie.com im Einbettungscode. Nach Angaben von YouTube setzt der Player in diesem Modus keine Cookies, die das Sehverhalten verfolgen, und angesehene Videos sollen das Nutzungsprofil bei YouTube nicht beeinflussen. Daten fließen trotzdem. Der Player kommt von einem Google-Server, die Verbindung entsteht also schon beim Seitenaufruf, und spätestens beim Abspielen legt er Daten im lokalen Speicher des Browsers ab. Auch das fällt unter § 25 TDDDG. Die Umstellung der Adresse allein erledigt das Thema deshalb nicht. In der Praxis kombiniert man sie mit der Zwei-Klick-Lösung.

Die Zwei-Klick-Lösung

Statt des Rahmens zeigt die Seite zunächst ein Vorschaubild und einen kurzen Hinweis, etwa: „Mit dem Klick laden Sie das Video von YouTube. Dabei werden Daten an Google übertragen.“ Dazu gehört ein Link zur Datenschutzerklärung. Erst nach dem Klick erzeugt die Seite den Rahmen und lädt das Video.

Zwei Dinge werden dabei häufig übersehen. Das Vorschaubild muss auf Ihrem eigenen Server liegen. Zieht es die Seite von einem YouTube-Server, besteht die Verbindung wieder vor dem Klick. Außerdem sollte das Element für die Tastatur erreichbar sein, also als Schaltfläche statt als anklickbares Bild gebaut. Einige Einwilligungswerkzeuge bringen fertige Platzhalter für Einbettungen mit. Wer sich die Entscheidung für spätere Besuche merken lässt, sollte das im Hinweis erwähnen.

Google Maps ohne Datenübertragung

Für Karten gibt es mehrere Wege, die sich nach dem Zweck richten. Der einfachste: ein eigenes Kartenbild mit Anschrift und einem Link zur Routenplanung. Das Bild kann aus Daten von OpenStreetMap entstehen, mit der verlangten Quellenangabe, oder eine gezeichnete Anfahrtsskizze sein. Erst wer den Link anklickt, verlässt die Seite und landet bei einem Kartendienst. Darauf sollte die Seite hinweisen.

Soll die Karte interaktiv sein, bietet sich auch hier die Zwei-Klick-Lösung an. Ein weiterer Hebel ist die Platzierung: Eine Karte, die nur auf der Kontaktseite steht und nicht im Fuß jeder Unterseite, wird seltener geladen. Bei einem Handwerksbetrieb, der zu den Kunden fährt, ist eine Karte oft ohnehin überflüssig. Dort genügt eine Beschreibung des Einsatzgebiets in Worten. Bei einer Praxis oder einem Restaurant helfen dagegen Angaben zu Haltestelle und Parkplatz in Textform, die auch ohne Karte funktionieren.

Weitere Einbettungen mit demselben Muster

Die Überlegung gilt für alles, was von fremden Servern kommt: Videos von anderen Plattformen, Instagram-Feeds, Facebook-Plugins, Audio-Player, Terminbuchungen und Bewertungs-Widgets. Fragen Sie jeweils, ob die Einbettung wirklich nötig ist. Oft genügt ein Link. Statt eines Instagram-Feeds lassen sich einige eigene Bilder zeigen, mit Verweis auf das Profil. Statt eines Bewertungs-Widgets reicht ein Link zum Google-Profil. Was bleibt, wird per Zwei-Klick-Lösung oder Einwilligung geschützt.

Neben dem Datenschutz spricht auch die Geschwindigkeit dafür, auf unnötige Einbettungen zu verzichten. Ein Video-Rahmen bringt eine Reihe von Skripten und Dateien mit, die die Seite schwerer machen, noch bevor jemand auf Abspielen klickt (mehr dazu bei Ladezeit). Die Zwei-Klick-Lösung behebt beides zugleich: Die Seite lädt schneller und stellt vorher keine Verbindung zu Fremdservern her.

Was in die Datenschutzerklärung gehört

Nach Art. 13 DSGVO sollte jeder eingebundene Dienst dort beschrieben sein: Anbieter, Zweck, Rechtsgrundlage, welche Daten fließen, an wen und, wenn der Anbieter außerhalb der EU sitzt, auf welcher Grundlage die Übermittlung erfolgt. Außerdem gehört der Hinweis hinein, wie Besucher ihre Einwilligung widerrufen können. Musterformulierungen aus dem Netz passen selten zur eigenen Seite. Entscheidend ist, was tatsächlich eingebunden ist.

Schritt für Schritt vorgehen

Suchen Sie im Quelltext nach iframe, youtube und maps, um alle Einbettungen zu finden.
Prüfen Sie je Einbettung, ob sie nötig ist, oder ob ein Link ausreicht.
Ersetzen Sie, was entbehrlich ist, durch Bild und Link.
Schützen Sie den Rest mit einer Zwei-Klick-Lösung und youtube-nocookie.com.
Aktualisieren Sie die Datenschutzerklärung.
Kontrollieren Sie im Netzwerk-Reiter des Browsers (F12), dass beim Laden keine Verbindung zu Google-Servern entsteht.

Seite testen

Der kostenlose DSGVO-Check unterscheidet bei YouTube und Google Maps zwei Fälle. „Direkt eingebunden“ heißt: Die Adresse des Dienstes steht in einem src-Attribut, etwa eines Rahmens, und lädt beim Seitenaufruf. „Im Quelltext erwähnt“ heißt: Sie kommt nur an anderer Stelle vor, zum Beispiel in einem Link zur Routenplanung oder in einem Skript, das den Rahmen erst nach einem Klick erzeugt. Einbettungen über youtube-nocookie.com meldet der Test derzeit nicht als YouTube-Video, diese prüfen Sie im Netzwerk-Reiter. Ob ein Dienst wirklich erst nach Klick oder Einwilligung lädt, stellt er nicht fest. Seine Hinweise sind technischer Natur und ersetzen ebenso wenig eine Rechtsberatung wie dieser Text.

Wer seine Kontaktseite neu aufbauen lassen möchte, findet Ablauf und Festpreis bei Bemuar unter Webdesign.

YouTube und Google Maps auf der Website: so binden Sie beides datensparsam ein