Das Einbetten von YouTube-Videos, Facebook-Like-Buttons, Instagram-Feeds oder Twitter-Widgets auf Websites ist datenschutzrechtlich problematisch, weil diese Plugins bereits beim Laden der Seite Daten an die jeweiligen Drittanbieter übermitteln - oft einschließlich IP-Adresse, Browser-Informationen und Cookies.
Einwilligungspflicht nach Paragraph 25 TDDDG: Social-Media-Plugins und eingebettete Videos setzen in der Regel Cookies oder greifen auf Informationen in der Endeinrichtung zu. Da dies nicht "unbedingt erforderlich" für einen vom Nutzer gewünschten Dienst ist, bedarf es der vorherigen Einwilligung. Die DSK-OH Digitale Dienste nennt Social-Media-Plugins ausdrücklich als einwilligungspflichtig.
Zwei-Klick-Lösung oder Consent-Management: Eine datenschutzkonforme Lösung ist die sogenannte Zwei-Klick-Lösung: Erst nach aktivem Klick des Nutzers wird das Plugin geladen und die Verbindung zum Drittanbieter hergestellt. Alternativ kann die Einwilligung über ein Cookie-Banner eingeholt werden, wobei die eingebetteten Inhalte erst nach Zustimmung geladen werden.
Gemeinsame Verantwortlichkeit: Der EuGH hat im Fall Facebook-Fanpages (C-210/16, Wirtschaftsakademie) entschieden, dass Betreiber von Fanpages mitverantwortlich für die Datenverarbeitung durch Facebook sind. Nach Art. 26 DSGVO ist eine Vereinbarung über die gemeinsame Verantwortlichkeit erforderlich. Die DSK-Fanpages-FAQ (2022) stellt fest, dass das aktuelle Meta-Addendum die Anforderungen nicht erfüllt und Betreiber die Rechtskonformität derzeit nicht sicherstellen können.
YouTube-Datenschutzmodus: YouTube bietet einen erweiterten Datenschutzmodus (youtube-nocookie.com) an, der weniger Cookies setzt. Auch dieser Modus erfordert jedoch nach herrschender Auffassung eine Einwilligung, da weiterhin Daten an Google übermittelt werden.