Google Maps und reCAPTCHA datenschutzkonform einbinden
Eine Anfahrtskarte und ein Spam-Schutz im Kontaktformular gehören auf vielen Websites zum Standard. Google Maps und Google reCAPTCHA erledigen das zuverlässig, übertragen dabei aber Daten Ihrer Besucher an Google. Dieser Ratgeber zeigt, wie Sie beide Dienste rechtssicher einbinden.
Worum geht es?
Google Maps zeigt eine interaktive Karte, zum Beispiel für Ihre Anfahrt. Google reCAPTCHA schützt Formulare vor automatisierten Spam-Einträgen. Beide Dienste haben eine Gemeinsamkeit, die vielen Website-Betreibern nicht bewusst ist: Sie laden Inhalte direkt von Google-Servern.
Das bedeutet: Bereits beim Laden der Seite werden Daten an Google übertragen, unter anderem die IP-Adresse des Besuchers sowie technische Informationen zu Browser und Gerät. Diese Übertragung geht an Google und damit in die USA, oft noch bevor der Besucher überhaupt mit der Seite interagiert.
Wie bei anderen eingebundenen Google-Diensten gilt: Eine Karte oder ein reCAPTCHA ist für den Betrieb Ihrer Website nicht technisch zwingend erforderlich. Damit stellt sich auch hier die Frage der Einwilligung.
Ist Ihre Website DSGVO-konform?
Kostenloser Schnelltest – die ersten 10 Seiten, ohne Anmeldung, Ergebnis in rund 60 Sekunden.
Die Rechtslage
Für die Einbindung von Google Maps und reCAPTCHA sind vor allem zwei Punkte entscheidend:
- Datenübermittlung in die USA: Weil beim Laden Daten wie die IP-Adresse an Google übertragen werden, findet eine Verarbeitung personenbezogener Daten statt, mit Bezug zu einem US-Anbieter.
- Einwilligungspflicht: Da beide Dienste nicht technisch notwendig sind, greift die Einwilligungspflicht nach § 25 TDDDG sowie nach Art. 6 DSGVO. Das Laden von Google Maps oder reCAPTCHA ohne vorherige Zustimmung ist rechtlich angreifbar.
Entscheidend ist der Zeitpunkt: Sobald die Karte oder das Captcha automatisch beim Seitenaufruf lädt, sind die Daten bereits geflossen. Eine nachträgliche Einwilligung kommt dann zu spät.
So wird es DSGVO-konform
Der bewährte Ansatz ist die sogenannte Zwei-Klick-Lösung: Der externe Inhalt lädt erst dann, wenn der Besucher durch einen aktiven Klick zustimmt.
- Zwei-Klick-Lösung für Google Maps: Zeigen Sie zunächst nur einen Platzhalter mit einem kurzen Hinweis an. Die eigentliche Karte lädt erst, nachdem der Besucher aktiv geklickt und damit eingewilligt hat.
- Einwilligung dokumentieren: Verknüpfen Sie das Laden mit Ihrem Consent-Management, sodass die Zustimmung nachvollziehbar erfasst wird.
- Datenschutzerklärung ergänzen: Beschreiben Sie den Einsatz von Google Maps und reCAPTCHA und weisen Sie auf die mögliche Datenübermittlung in die USA hin.
- Alternative für Karten prüfen: Statt Google Maps können Sie OpenStreetMap in Verbindung mit Leaflet einsetzen.
- Alternative für den Spam-Schutz prüfen: Anstelle von Google reCAPTCHA kommen datenschutzfreundlichere Dienste wie Friendly Captcha oder hCaptcha in Frage.
So verhindern Sie, dass Daten Ihrer Besucher ungefragt an Google fließen, und behalten trotzdem eine funktionierende Karte und einen wirksamen Spam-Schutz.
Prüfen Sie Ihre Website
Ob Google Maps oder reCAPTCHA schon vor einer Einwilligung laden, lässt sich am fertigen Erscheinungsbild der Seite kaum erkennen. Häufig ist ein Kartenmodul aus einem Theme oder ein Formular-Plugin eingebunden, das im Hintergrund direkt Verbindung zu Google aufnimmt.
Der kostenlose Scan von easy-DSGVO.de prüft automatisch, ob Google Maps oder reCAPTCHA eingebunden sind und ob dabei bereits ohne Einwilligung Daten an Google übertragen werden.