YouTube- und Vimeo-Videos datenschutzkonform einbetten
Ein eingebettetes Video wertet viele Seiten auf, vom Produktvideo bis zum Imagefilm. Doch YouTube- und Vimeo-Einbettungen setzen oft schon beim Laden Cookies und übertragen Daten. Dieser Ratgeber zeigt, wie Sie Videos einbinden, ohne den Datenschutz zu vernachlässigen.
Worum geht es?
Wenn Sie ein Video von YouTube oder Vimeo per Standard-Einbettungscode einfügen, wird der Player direkt von den Servern des Anbieters geladen. Das ist bequem, hat aber eine Kehrseite: Bereits beim Laden des Players werden Cookies gesetzt und Daten übertragen, unter anderem an Server in den USA.
Dabei fließen technische Informationen und Nutzungsdaten Ihrer Besucher, häufig noch bevor jemand überhaupt auf Play geklickt hat. Das Video muss also gar nicht abgespielt werden, allein das Laden der Einbettung genügt, damit Daten das Gerät verlassen.
Wie bei anderen eingebetteten Drittinhalten gilt: Ein Video ist für den Betrieb Ihrer Website nicht technisch erforderlich. Damit stellt sich auch hier die Frage nach der Einwilligung.
Ist Ihre Website DSGVO-konform?
Kostenloser Schnelltest – die ersten 10 Seiten, ohne Anmeldung, Ergebnis in rund 60 Sekunden.
Die Rechtslage
Für eingebettete Videos sind vor allem diese Punkte maßgeblich:
- Datenübertragung und Cookies: Da beim Laden bereits Cookies gesetzt und Daten in die USA übertragen werden, findet eine Verarbeitung personenbezogener Daten statt.
- Erweiterter Datenschutzmodus: YouTube bietet einen erweiterten Datenschutzmodus an (Einbindung über youtube-nocookie.com). Dieser reduziert das Tracking, ersetzt aber nicht die Einwilligung.
- Einwilligungspflicht: Weil die Einbettung nicht technisch notwendig ist, greift die Einwilligungspflicht nach § 25 TDDDG und Art. 6 DSGVO.
Der erweiterte Datenschutzmodus ist also ein sinnvoller Baustein, aber kein Freifahrtschein: Er senkt das Datenaufkommen, macht die Einwilligung jedoch nicht überflüssig.
So wird es DSGVO-konform
Der sichere Weg ist, das Video erst nach einer aktiven Zustimmung zu laden.
- Zwei-Klick-Lösung einsetzen: Zeigen Sie statt des direkt geladenen Players zunächst nur ein Vorschaubild mit einem Hinweis an. Der eigentliche Player lädt erst nach einem aktiven Klick.
- Vorschaubild statt Direkteinbettung: Verwenden Sie ein statisches Vorschaubild, das keine Verbindung zu den Video-Servern aufbaut, solange nicht geklickt wurde.
- Erweiterten Datenschutzmodus nutzen: Betten Sie YouTube-Videos zusätzlich über youtube-nocookie.com ein, um das Tracking nach dem Klick zu reduzieren. Das ersetzt die Einwilligung nicht.
- Einwilligung dokumentieren: Verbinden Sie das Laden mit Ihrem Consent-Management.
- Datenschutzerklärung ergänzen: Beschreiben Sie die Einbindung und weisen Sie auf die mögliche Datenübermittlung in die USA hin.
So sehen Ihre Besucher das Video, wenn sie es wünschen, und es fließen keine Daten, bevor eine Einwilligung vorliegt.
Prüfen Sie Ihre Website
Ob ein eingebettetes Video schon vor der Einwilligung Daten überträgt, ist von außen nur schwer zu beurteilen. Viele Baukästen und Themes fügen den Standard-Einbettungscode automatisch ein.
Der kostenlose Scan von easy-DSGVO.de prüft automatisch, ob YouTube- oder Vimeo-Einbettungen vorhanden sind und ob dabei schon vor einer Einwilligung Daten fließen.