Karten und Videos einbetten

Eine Anfahrtsskizze auf der Kontaktseite, ein Erklärvideo auf der Produktseite – beides ist selbstverständlich und beides ist der häufigste Grund, warum eine Website die Einwilligungspflicht verletzt. Wer Google Maps einbinden oder ein YouTube-Video einbetten will, sendet Daten seiner Besucher an einen Dritten, bevor irgendjemand etwas angeklickt hat.

Was beim Einbetten tatsächlich passiert

Ein eingebetteter Rahmen ist kein Bild, das auf Ihrem Server liegt. Er ist eine Anweisung an den Browser, den Inhalt beim Anbieter abzuholen. Dabei übermittelt der Browser zwangsläufig die IP-Adresse, die aufgerufene Seite, Browserkennung und – wenn vorhanden – bereits gesetzte Kennungen des Anbieters.

Das geschieht beim Laden der Seite, nicht beim Klick auf die Karte oder auf den Abspielknopf. Wer das Video nie startet, hat trotzdem Daten übermittelt.

Rechtlich greifen zwei Regelwerke. Nach § 25 TDDDG braucht das Speichern oder Auslesen von Informationen auf dem Endgerät eine Einwilligung, soweit es nicht unbedingt erforderlich ist – eine Karte ist für den Betrieb einer Website nicht erforderlich. Und nach der DSGVO braucht die Übermittlung eine Rechtsgrundlage; der Europäische Gerichtshof hat in der Entscheidung zu Fashion ID festgehalten, dass der Websitebetreiber für die Erhebung und Weitergabe durch eingebundene Dritte mitverantwortlich ist.

Ein verbreiteter Irrtum betrifft die Variante ohne Kennungen: Auch der Abruf über eine als datenschutzfreundlich beworbene Adresse verhindert nicht, dass eine Verbindung zum Anbieter aufgebaut und die IP-Adresse übertragen wird. Er reduziert das Setzen von Kennungen, mehr nicht.

Die Zwei-Klick-Lösung

Der etablierte Weg: Statt des Inhalts wird zunächst ein Platzhalter angezeigt – ein Vorschaubild, das von Ihrem eigenen Server kommt, mit einem Hinweis darauf, welcher Anbieter geladen würde und welche Daten dabei fließen. Erst der Klick lädt den Inhalt nach.

Damit das trägt, müssen drei Dinge stimmen:

  1. Vorher passiert nichts. Auch kein Vorschaubild vom Anbieter, kein Skript, keine Schriftart.
  2. Der Hinweis ist konkret. Anbieter, Zweck, Übermittlung in Drittländer – nicht „Externer Inhalt”.
  3. Die Entscheidung ist widerrufbar. Wer einmal zugestimmt hat, muss das zurücknehmen können.

Eingerichtet wird das üblicherweise über die Einwilligungslösung, die ohnehin für Cookies läuft – siehe CMP Consulting.

Die Alternativen, die oft besser sind

Für Karten: das statische Bild. Ein Bildschirmfoto des Kartenausschnitts, auf Ihrem Server, verlinkt auf den Kartendienst. Der Besucher sieht sofort, wo Sie sitzen; wer eine Route will, klickt und verlässt dabei bewusst Ihre Seite. Diese Lösung braucht keine Einwilligung, weil nichts nachgeladen wird – und sie lädt schneller. Für die Anfahrt genügt sie in fast allen Fällen. Prüfen Sie die Nutzungsbedingungen des Kartendienstes, wenn Sie dessen Kartenmaterial verwenden; freie Kartendaten sind hier oft der einfachere Weg.

Für Videos: die eigene Auslieferung. Bei wenigen, kurzen Videos ist das Ausliefern vom eigenen Server unproblematisch und macht die ganze Frage gegenstandslos. Bei umfangreichen Mediatheken trägt das nicht – dort bleibt die Zwei-Klick-Lösung.

Dieselbe Überlegung gilt für alles andere, was von fremden Servern geladen wird: Schriftarten, Symbolbibliotheken, Skripte aus Verteilnetzen. Zum bekanntesten Fall siehe Google-Fonts-Checker.

Was zusätzlich zu erledigen ist

Auch mit Einwilligung bleibt die Einbettung eine Verarbeitung:

Nachsehen, was wirklich lädt

Was auf Ihrer Website eingebunden ist, weiß meist niemand vollständig – Einbettungen stecken in alten Beiträgen, in Fußzeilen und in Plugins. Der kostenlose Website-Check listet die tatsächlich kontaktierten Fremdserver; das Website-Monitoring meldet, wenn neue hinzukommen.

Kontakt

Sie wollen wissen, was Ihre Seiten nach außen laden? Das ist in Minuten festgestellt.