Ein eingebettetes YouTube-Video oder ein Social-Media-Plugin baut schon beim Laden der Seite eine Verbindung zum Anbieter auf. Dabei gehen mindestens die IP-Adresse und Browserdaten an Google, Meta oder LinkedIn. Laden Sie solche Inhalte deshalb erst nach einer Einwilligung, etwa per Zwei-Klick-Lösung. Das gilt auch für den erweiterten Datenschutzmodus von YouTube.
Was technisch beim Laden passiert
Ein YouTube-Video steckt in einem iframe. Ruft ein Besucher Ihre Seite auf, lädt sein Browser den Player direkt von Servern von Google. Dabei übermittelt er seine IP-Adresse, Angaben zu Browser und Gerät und die Adresse Ihrer Seite. Der Player kann außerdem Cookies setzen oder Informationen im lokalen Speicher des Browsers ablegen und auslesen. Ähnlich funktionieren eingebettete Beiträge von Instagram, X oder LinkedIn und klassische Like- oder Teilen-Buttons.
Die Datenschutzkonferenz stellt klar: Wer Drittinhalte wie Videos oder Social-Media-Beiträge einbindet, legt regelmäßig personenbezogene Daten gegenüber dem Drittanbieter offen und braucht dafür eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO (OH Digitale Dienste, Version 1.2, November 2024, Rn. 101).
Zwei Prüfungen: TDDDG und DSGVO
§ 25 Abs. 1 TDDDG verlangt eine Einwilligung, sobald Informationen auf dem Gerät des Besuchers gespeichert oder ausgelesen werden. Die Ausnahme für unbedingt erforderliche Zugriffe (§ 25 Abs. 2 Nr. 2 TDDDG) greift beim bloßen Seitenaufruf nicht. Nach Auffassung der Aufsichtsbehörden wünscht ein Besucher Zusatzfunktionen wie Videos erst, wenn er sie bewusst nutzt, nicht schon mit dem Aufruf der Seite (OH Digitale Dienste, Rn. 76).
Art. 6 Abs. 1 DSGVO verlangt eine Rechtsgrundlage für die Übermittlung der IP-Adresse. Das berechtigte Interesse trägt nach Ansicht der Aufsichtsbehörden in der Regel nicht, wenn der Drittanbieter die Daten auch für eigene Zwecke nutzen kann (OH Digitale Dienste, Rn. 111). Praktisch bleibt die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
Als Vergleich hilft ein Urteil zu Google Fonts: Das LG München I sah in der Weitergabe der dynamischen IP-Adresse an Google ohne Zustimmung eine Persönlichkeitsrechtsverletzung (Urteil vom 20.01.2022, 3 O 17493/20). Die Schriften ließen sich auch ohne Verbindung zu Google nutzen.
Warum der Datenschutzmodus nicht genügt
YouTube bietet den erweiterten Datenschutzmodus über die Domain youtube-nocookie.com an. Google beschreibt in seiner Hilfe nur, was der Modus verhindert: Die Wiedergabe wird nicht zur Personalisierung von YouTube und nicht für personalisierte Werbung außerhalb Ihrer Website genutzt. Dass keine Daten an Google fließen oder nichts im Browser gespeichert wird, sagt Google dort nicht. Die Verbindung zu Google-Servern und damit die Übertragung der IP-Adresse bleibt. Nutzen Sie den Modus, aber laden Sie den Player trotzdem erst nach Einwilligung.
Einbindungen im Vergleich
| Einbindung | Was wird übertragen | Einwilligung nötig? | Bessere Lösung |
|---|---|---|---|
| YouTube-iframe (youtube.com) | IP-Adresse, Browserdaten, Seitenadresse, Cookies oder lokaler Speicher | ja | Zwei-Klick mit Vorschaubild |
| YouTube im erweiterten Datenschutzmodus | IP-Adresse, Browserdaten, Seitenadresse | in der Regel ja | zusätzlich Zwei-Klick |
| Vimeo mit Parameter dnt=1 | IP-Adresse, Browserdaten, laut Vimeo nur noch als notwendig eingestufte Cookies, ältere Vimeo-Cookies sendet der Browser weiter | in der Regel ja | Zwei-Klick oder eigenes Hosting |
| Eingebetteter Instagram-, X- oder LinkedIn-Beitrag | IP-Adresse, Browserdaten, oft Cookies und Login-Status | ja | Screenshot mit Link oder Laden per Klick |
| Like- oder Teilen-Button des Netzwerks | IP-Adresse, Seitenadresse, Cookies | ja | einfache Teilen-Links ohne Skript |
| Video auf eigenem Server oder beim Hoster mit AVV | Daten bleiben bei Ihnen und Ihrem Auftragsverarbeiter | nein, soweit keine Tracking-Cookies | für Imagefilme die erste Wahl |
| Einfacher Link zum Kanal | nichts, bis der Besucher klickt | nein | für Kanäle und Profile ausreichend |
Zwei-Klick-Lösung und Consent-Banner
Bei der Zwei-Klick-Lösung zeigt Ihre Seite zunächst nur einen Platzhalter mit Hinweistext. Erst ein Klick auf "Video laden" baut die Verbindung auf. Der Hinweis nennt den Anbieter, die Übermittlung in die USA und einen Link zur Datenschutzerklärung.
Als Platzhalter eignet sich ein Vorschaubild, das Sie selbst hosten, damit nicht schon das Bild von Google-Servern kommt. Bei eigenen Videos ist das unproblematisch. Bei fremden Videos klären Sie vorher, ob Sie das Standbild verwenden dürfen.
Im Consent-Banner ordnen Sie YouTube, Vimeo und Social-Media-Inhalte einer eigenen Kategorie zu, etwa "Externe Medien". Der Platzhalter und das Banner sollten dieselbe Einstellung nutzen. Der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO), etwa über einen Link im Footer. Wie ein Banner rechtssicher aufgebaut ist, lesen Sie unter Brauche ich ein Cookie-Banner?.
Like-Buttons und gemeinsame Verantwortung
Binden Sie einen Like-Button ein, sind Sie mit dem Netzwerk gemeinsam verantwortlich, allerdings nur für das Erheben der Daten und ihre Übermittlung (EuGH, Urteil vom 29.07.2019, C-40/17, Fashion ID). Für die spätere Verarbeitung allein durch das Netzwerk sind Sie grundsätzlich nicht verantwortlich. Die Einwilligung müssen Sie für diese Vorgänge selbst einholen. Für die gemeinsame Verantwortung brauchen Sie eine Vereinbarung nach Art. 26 DSGVO, deren wesentlicher Inhalt den Besuchern zur Verfügung stehen muss.
Teilen-Links ohne Skript umgehen das Problem: Sie senden erst Daten an das Netzwerk, wenn der Besucher klickt. Für eigene Unternehmensseiten in sozialen Netzwerken gilt Ähnliches. Der EuGH hat Betreiber einer Facebook-Fanpage als gemeinsam verantwortlich angesehen (Urteil vom 05.06.2018, C-210/16).
Drittland und Datenschutzerklärung
YouTube gehört zu Google. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Für zertifizierte Unternehmen gilt der Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 (Art. 45 DSGVO). Prüfen Sie bei anderen Anbietern, ob eine Zertifizierung besteht. Mehr dazu im Artikel zur Datenübermittlung in Drittländer.
In die Datenschutzerklärung gehören für jeden eingebundenen Dienst nach Art. 13 DSGVO: Anbieter, Zweck, übertragene Daten, Rechtsgrundlage (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), Übermittlung in die USA mit Grundlage, Widerruf und gegebenenfalls die gemeinsame Verantwortung.
Drei Beispiele
- Handwerksbetrieb mit Imagefilm: Der Film liegt auf dem eigenen Webspace. Kein YouTube auf der Seite, keine Einwilligung für das Video nötig.
- Online-Shop mit Produktvideos: Die Videos laufen über YouTube im erweiterten Datenschutzmodus, jeweils hinter einem Platzhalter mit eigenem Vorschaubild.
- Kanzlei mit LinkedIn-Feed: Statt des eingebetteten Feeds zeigt die Seite einen Link zum Unternehmensprofil. So entsteht kein Datenfluss an LinkedIn, solange niemand klickt.
Checkliste
- Alle eingebetteten Videos, Beiträge, Feeds und Buttons erfasst
- Vor der Einwilligung lädt nichts von fremden Servern, auch nicht das Vorschaubild
- YouTube im erweiterten Datenschutzmodus und hinter Zwei-Klick
- Eigenes Hosting für wichtige Videos geprüft
- Like-Buttons durch einfache Teilen-Links ersetzt
- Consent-Banner und Platzhalter greifen auf dieselbe Einstellung zu
- Datenschutzerklärung mit allen Diensten, Rechtsgrundlagen und Drittlandangaben
- Vereinbarung nach Art. 26 DSGVO, wo Plugins bleiben
Datenkodex unterstützt als externer Datenschutzbeauftragter Unternehmen dabei, eingebundene Dienste zu finden und sauber zu dokumentieren. Welche Verbindungen Ihre Website heute aufbaut, zeigt ein Datenschutz-Audit.