Einbettungen von Drittanbietern: YouTube, Karten und Social Plugins datenschutzkonform einbinden

Ein eingebettetes YouTube-Video, eine Landkarte zur Standortanzeige, ein Social-Media-Feed im Footer – solche Elemente wirken wie einfache Gestaltungsbausteine. Technisch handelt es sich aber um eine direkte Verbindung zwischen dem Browser des Besuchers und einem externen Anbieter, oft bevor überhaupt etwas angeklickt wurde.

Dieser Artikel erklärt, warum das ein Datenschutzthema ist, welche Embeds besonders kritisch sind und wie eine sogenannte Zwei-Klick-Lösung das Problem entschärft, ohne auf die gewünschten Inhalte verzichten zu müssen.

Was beim Einbetten technisch passiert

Wird ein YouTube-Video, eine Google-Maps-Karte oder ein Social-Media-Widget direkt in eine Seite eingebunden, geschieht das üblicherweise über einen sogenannten iframe – ein Fenster innerhalb der eigenen Seite, das Inhalte von einem fremden Server lädt. Damit dieser Inhalt angezeigt werden kann, muss der Browser des Besuchers eine Verbindung zum Server des Drittanbieters aufbauen.

Dieser Verbindungsaufbau passiert beim direkten Einbetten automatisch, sobald die Seite geladen wird – unabhängig davon, ob der Besucher das eingebettete Element überhaupt zur Kenntnis nimmt oder damit interagiert. Der Drittanbieter erfährt damit unter Umständen bereits, dass diese Seite von diesem Gerät aus besucht wurde, bevor irgendeine bewusste Entscheidung getroffen wurde.

Aus Sicht der Seitengestaltung ist das praktisch: Ein einzelner eingefügter Code-Block reicht, und der Inhalt erscheint fertig formatiert auf der eigenen Seite. Genau diese Bequemlichkeit führt aber dazu, dass viele Website-Betreiber solche Elemente einbauen, ohne sich bewusst zu machen, dass damit auch eine dauerhafte technische Verbindung zu einem fremden Anbieter entsteht.

Warum das ein Datenschutzthema ist

Bei diesem automatischen Verbindungsaufbau werden typischerweise IP-Adresse, Zeitpunkt des Aufrufs und die Adresse der besuchten Seite an den Drittanbieter übertragen. Je nach Anbieter kann das mit weiteren Daten verknüpft werden, etwa wenn der Besucher gleichzeitig bei diesem Anbieter angemeldet ist.

Diese Datenübertragung findet statt, bevor eine informierte Entscheidung des Besuchers möglich war – ein zentraler Unterschied zu einem klassischen Text-Link auf ein Social-Media-Profil, bei dem keine automatische Verbindung entsteht, solange der Link nicht angeklickt wird.

Besonders deutlich wird das Problem bei Besuchern, die gleichzeitig bei dem jeweiligen Drittanbieter angemeldet sind. In diesem Fall kann der Anbieter den Seitenbesuch unter Umständen direkt einem bestehenden Nutzerkonto zuordnen, ohne dass der Besucher davon überhaupt etwas mitbekommt oder dem aktiv zugestimmt hat.

Die Zwei-Klick-Lösung als praktikabler Mittelweg

Statt den Drittinhalt direkt einzubinden, zeigt eine Zwei-Klick-Lösung zunächst nur ein Vorschaubild oder einen Platzhalter mit Hinweistext an – ohne Verbindung zum externen Server. Erst wenn der Besucher aktiv auf den Platzhalter klickt, wird der eigentliche Inhalt geladen, meist verbunden mit einem kurzen Hinweis, dass dabei Daten an den jeweiligen Anbieter übertragen werden.

Diese Lösung erlaubt es, den gewünschten Inhalt weiterhin anzubieten, ohne die Datenübertragung automatisch bei jedem Seitenaufruf auszulösen. Der erste Klick ersetzt dabei praktisch die informierte Entscheidung des Besuchers, sich auf die Verbindung mit dem Drittanbieter einzulassen.

Für die Umsetzung reicht in vielen Fällen ein statisches Bild des Kartenausschnitts oder ein Vorschaubild des Videos mit einem eingeblendeten Abspiel-Symbol. Wichtig ist, dass dieser Platzhalter selbst keine Verbindung zum Drittanbieter benötigt, sondern direkt von der eigenen Website ausgeliefert wird – sonst entsteht an dieser Stelle genau das Problem, das die Lösung eigentlich vermeiden sollte.

Welche Embeds besonders kritisch sind

Nicht jede Einbettung ist gleich riskant. Videos großer Plattformen und Kartendienste gehören zu den am häufigsten genutzten und gleichzeitig am genauesten geprüften Embeds, weil sie auf praktisch jeder zweiten Unternehmenswebsite vorkommen. Social-Media-Widgets, die einen Live-Feed oder eine Kommentarfunktion einbinden, sind oft noch enger mit dem jeweiligen Netzwerk verzahnt und übertragen entsprechend mehr Kontextinformationen.

Reine Bewertungs- oder Empfehlungs-Widgets fallen in eine ähnliche Kategorie, sobald sie aktiv Daten an den Anbieter zurückspielen, etwa zur Anzeigepersonalisierung. Der Artikel zum Einbinden von Google-Bewertungen geht auf diesen konkreten Fall näher ein.

Kopplung an das Consent-System

Damit eine Zwei-Klick-Lösung nicht zur einzigen Schutzmaßnahme wird, sollte sie mit dem allgemeinen Consent-System der Website verzahnt sein. Hat ein Besucher die entsprechende Kategorie – etwa „Marketing“ oder „externe Medien“ – bereits generell akzeptiert, kann der Inhalt direkt angezeigt werden, ohne bei jedem einzelnen Element erneut zu fragen.

Umgekehrt sollte eine spätere Ablehnung oder ein Widerruf der Einwilligung auch dazu führen, dass zuvor geladene Drittinhalte wieder durch den Platzhalter ersetzt werden, sobald die Seite neu geladen wird. Wie diese Kopplung technisch umgesetzt wird, hängt stark vom eingesetzten Consent-Tool und Content-Management-System ab.

Social-Media-Buttons im Vergleich zu reinen Links

Ein reiner Text- oder Icon-Link, der beim Klick auf eine externe Social-Media-Seite weiterleitet, verhält sich technisch anders als ein aktives Plugin, das direkt auf der eigenen Seite eingebettet ist und beispielsweise die Anzahl der Follower live anzeigt oder eine „Folgen“-Funktion direkt integriert. Der reine Link baut keine Verbindung zum Drittanbieter auf, solange er nicht angeklickt wird – das eingebettete Plugin dagegen schon.

Für die meisten kleinen Websites reicht ein einfacher Link auf die eigenen Social-Media-Profile völlig aus und vermeidet die gesamte Diskussion um eingebettete Plugins von vornherein, ohne auf die Sichtbarkeit der eigenen Kanäle zu verzichten.

Checkliste vor dem Einbetten eines neuen Elements

Bevor ein neues Drittanbieter-Element eingebunden wird, lohnt sich eine kurze Prüfung: Baut das Element beim reinen Laden der Seite automatisch eine Verbindung zu einem externen Server auf? Lässt sich stattdessen eine Zwei-Klick-Lösung mit Vorschaubild umsetzen? Ist das Element im Consent-System korrekt kategorisiert, und wird die Anzeige bei fehlender oder widerrufener Einwilligung tatsächlich blockiert?

Diese vier Fragen lassen sich bei jedem neuen Embed in wenigen Minuten klären und sollten fester Teil der Umsetzung sein – unabhängig davon, ob es sich um ein Video, eine Karte oder ein Social-Media-Widget handelt.

Diese Prüfung sollte nicht einmalig beim ursprünglichen Website-Aufbau erfolgen, sondern bei jedem einzelnen neuen Element wiederholt werden – auch wenn es auf den ersten Blick nach einer kleinen, unbedeutenden Ergänzung aussieht.

Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine individuelle Rechtsberatung.

Häufige Fragen