Daten & Recht · Prüfpunkt
Wie lassen sich YouTube-Videos und Google Maps datenschutzfreundlich einbinden?
Am saubersten mit einer Zwei-Klick-Lösung: Der Besucher sieht zunächst nur ein Vorschaubild, und erst sein Klick lädt den eigentlichen Inhalt vom fremden Server. Unsere Prüfung erkennt beide Zustände — Einbettungen, die schon beim Seitenaufruf laden, meldet sie als Fund; Einbettungen mit Zwei-Klick-Muster oder Consent-Loader wertet sie als korrekt gelöst.
Was beim Einbetten wirklich passiert
Ein eingebettetes Video oder eine eingebettete Karte ist ein Fenster zu einem fremden Server. Lädt es beim Seitenaufruf mit, kontaktiert der Browser jedes Besuchers automatisch den Anbieter — YouTube, Google Maps, Vimeo, Facebook, Instagram, Spotify oder SoundCloud — und überträgt dabei die IP-Adresse und Gerätedaten. Das geschieht, bevor der Besucher das Video überhaupt abspielen wollte. Die Prüfung untersucht den Zustand der Seite vor jeder Einwilligung und listet jeden Drittinhalt auf, der in diesem Moment bereits vom fremden Server geladen wurde.
Die Zwei-Klick-Lösung besteht die Prüfung
Bei der Zwei-Klick-Lösung liegt an der Stelle des Videos zunächst nur ein Platzhalter vom eigenen Server — meist ein Vorschaubild mit Abspielknopf und einem kurzen Hinweis. Erst der Klick des Besuchers lädt den Inhalt vom Anbieter nach; dieser Klick ist zugleich seine Einwilligung für genau diesen Inhalt. Die Prüfung erkennt dieses Muster technisch und wertet solche Einbettungen als erfüllt. Der Bericht führt sie eigens auf, damit sichtbar bleibt, welche Inhalte bereits korrekt gelöst sind und welche noch umgestellt werden sollten.
Auch Like-Buttons laden ein fremdes Skript
Einbettungen kommen in zwei Formen: als eingebetteter Rahmen und als Skript. Ein Facebook-Like-Button etwa ist kein Rahmen, sondern lädt ein Programm direkt vom Facebook-Server — und überträgt damit ebenfalls Besucherdaten beim bloßen Seitenaufruf. Die Prüfung erkennt bekannte Skript-Einbindungen von Facebook, X, Instagram, TikTok, Pinterest, LinkedIn und SoundCloud und behandelt sie wie sichtbare Einbettungen. Wer solche Knöpfe anbieten will, lässt sie über denselben Weg nachladen wie Videos: erst nach der Einwilligung oder nach einem bewussten Klick des Besuchers.
So gehen Sie es an
- Zählen Sie durch, welche Seiten Ihrer Website Videos, Karten oder Social-Media-Beiträge einbetten.
- Bitten Sie Ihre Agentur, jede Einbettung auf eine Zwei-Klick-Vorschau oder einen Consent-Loader umzustellen.
- Ersetzen Sie eine eingebettete Anfahrtskarte testweise durch ein statisches Bild mit Link — oft genügt das völlig.
- Prüfen Sie auch Like- und Teilen-Knöpfe: Sie laden fremde Skripte und zählen wie Einbettungen.
- Laden Sie Ihre Seite nach der Umstellung in einem privaten Fenster und beobachten Sie im Netzwerk-Reiter (F12), ob vor jedem Klick noch fremde Server kontaktiert werden.
Häufige Fragen
Reicht der erweiterte Datenschutzmodus von YouTube (youtube-nocookie)?
Die Prüfung wertet auch diese Variante als einwilligungspflichtig. Der Modus verzichtet zwar auf bestimmte Cookies, der Browser kontaktiert beim Laden aber weiterhin Google-Server und überträgt dabei die IP-Adresse des Besuchers. Wer auf der sicheren Seite sein will, kombiniert die Einbettung mit einer Zwei-Klick-Vorschau — dann lädt auch diese Variante erst nach dem Klick.
Was ist eine Zwei-Klick-Lösung?
Ein Platzhalter vom eigenen Server steht dort, wo später das Video oder die Karte erscheint — meist ein Vorschaubild mit Hinweis. Der erste Klick des Besuchers gilt als Einwilligung und lädt den Inhalt vom Anbieter nach, der zweite startet ihn. Vor dem ersten Klick fließen keine Besucherdaten an den Anbieter. Die Prüfung erkennt dieses Muster und wertet es als erfüllt.
Gilt eine OpenStreetMap-Karte auch als einwilligungspflichtige Einbettung?
Die Prüfung stuft OpenStreetMap-Einbettungen nicht als einwilligungspflichtig ein und zieht dafür keine Punkte ab. Hinter dem Dienst steht ein gemeinnütziges Projekt ohne Werbe-Tracking. Wie bei allen Einordnungen gilt: Das ist eine technische Klassifikation für die Bewertung, keine Rechtsberatung — die Übertragung der IP-Adresse an den Kartenserver findet auch hier statt.
Zählt ein Facebook-Like-Button als Einbettung?
Ja. Der Knopf lädt ein Skript direkt vom Facebook-Server, und schon dieses Laden überträgt Besucherdaten — unabhängig davon, ob jemand den Knopf drückt. Die Prüfung erkennt solche Skript-Einbindungen und behandelt sie wie sichtbare Einbettungen: Sie sollen erst nach der Einwilligung oder nach einem bewussten Klick des Besuchers laden.
Weiter im Prüfbereich Daten & Recht
- Warum sollten Google Fonts lokal eingebunden sein?Google Fonts vom Google-Server übertragen bei jedem Aufruf die IP-Adresse des Besuchers. Lokal eingebundene Schriften vermeiden diese Übertragung.
- Wann braucht eine Website ein Cookie-Banner?Ein Cookie-Banner ist nur nötig, wenn einwilligungspflichtige Dienste laufen. Eine Website ohne Tracking kommt ohne Banner aus.
- Gehört „Ablehnen“ auf die erste Ebene des Cookie-Banners?Ja — die Ablehnung muss auf der ersten Banner-Ebene genauso leicht erreichbar sein wie die Zustimmung. Die Prüfung liest die Schaltflächen aus.
- Wirkt der Klick auf „Ablehnen“ im Cookie-Banner wirklich?Das zeigt nur ein Praxistest: Ablehnen klicken, Seite neu laden, messen. Die Prüfung führt genau diesen Test automatisch durch.
Dieser Prüfpunkt gehört zum Prüfbereich Daten & Recht — dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.