YouTube, Google Maps und reCAPTCHA datenschutzkonform einbetten

Warum das wichtig ist

Ein <iframe> von YouTube oder Google Maps ist im Grunde ein Fenster zu Google. Der Browser lädt dessen Inhalte sofort, und mit jeder Anfrage gehen IP-Adresse, Browserdaten und die aufgerufene Seite an den Anbieter. Oft werden dabei auch Cookies gesetzt oder Speicher im Browser genutzt. Für den Besucher ist das unsichtbar, er wollte vielleicht nur deine Öffnungszeiten lesen.

Dafür brauchst du in der Regel eine Einwilligung, für Zugriffe auf das Gerät nach § 25 TDDDG und für die Datenübermittlung nach der DSGVO. Dasselbe gilt für Vimeo, Instagram-Feeds, Facebook-Like-Boxen und eingebettete Posts aus sozialen Netzwerken.

reCAPTCHA ist ein Sonderfall, weil es oft auf jeder Seite mitläuft und nicht nur beim Formular. Version 3 bewertet das Verhalten der Besucher im Hintergrund, um Bots zu erkennen, und schickt die Daten dafür an Google.

Wichtig zur Einordnung: Das ist allgemeine Information, keine Rechtsberatung. Wie weit die Einwilligungspflicht bei einzelnen Diensten reicht, wird unterschiedlich bewertet. Für dein konkretes Setup sollte im Zweifel ein Anwalt entscheiden.

So prüfst du es selbst

Mit dem kostenlosen Check von checkfrei findest du automatisch direkt eingebettete iframes und Skripte von YouTube, Google Maps, Vimeo, reCAPTCHA und sozialen Netzwerken. Ein Treffer gibt eine Warnung. YouTube über youtube-nocookie.com werten wir nicht als Treffer. Auch hier gilt: checkfrei sieht nur den ersten Aufruf der geprüften Seite ohne Klick. Einbettungen auf Unterseiten oder solche, die ein Skript später nachlädt, zeigt dir nur der Test im Browser:

1. 01Öffne die Seite mit Video, Karte oder Formular in einem privaten Fenster.
2. 02Drück F12, wähl den Reiter Netzwerk und lade die Seite neu, ohne etwas anzuklicken.
3. 03Filter nach youtube, ytimg, google, gstatic und vimeo. Jede Anfrage vor deinem Klick zeigt, dass der Dienst zu früh lädt.

So behebst du es

Das Prinzip heißt Zwei-Klick-Lösung. Statt des Dienstes zeigst du ein Vorschaubild mit einem kurzen Hinweis, dass beim Laden Daten an den Anbieter gehen. Erst ein Klick lädt das echte Video oder die Karte. Soll die Entscheidung für künftige Besuche gelten, ist das eine Einwilligung und gehört ins Consent-Tool.

Achte darauf, dass das Vorschaubild auf deinem Server liegt. Viele fertige Lösungen holen das Thumbnail direkt bei YouTube (i.ytimg.com) ab, dann geht die IP-Adresse doch schon beim Laden an Google.

Der erweiterte Datenschutzmodus über youtube-nocookie.com reduziert, was YouTube beim bloßen Laden speichert. Eine Verbindung zu Google-Servern entsteht trotzdem, und der Player kann weiterhin Speicher im Browser nutzen. Verlass dich nicht darauf, dass er eine Einwilligung ersetzt, und kombinier ihn lieber mit der Zwei-Klick-Lösung.

Für die Anfahrt reicht oft ein statisches Kartenbild mit dem Link "Route in Google Maps öffnen". Halte dich bei Kartenausschnitten an die Nutzungs- und Lizenzbedingungen des Kartenanbieters. Eine eingebettete OpenStreetMap-Karte lädt übrigens auch Kacheln von fremden Servern, für sie gilt dieselbe Logik.

<div class="video-box" data-video-id="VIDEO-ID">
  <img src="/bilder/video-vorschau.jpg" alt="Vorschau: Rundgang durch unsere Werkstatt" width="640" height="360">
  <p>Beim Laden des Videos werden Daten an YouTube (Google) übertragen. Mehr dazu in der <a href="/datenschutz">Datenschutzerklärung</a>.</p>
  <button type="button">Video laden</button>
</div>

<script>
  document.querySelectorAll(".video-box button").forEach(function (knopf) {
    knopf.addEventListener("click", function () {
      var box = knopf.closest(".video-box");
      var iframe = document.createElement("iframe");
      iframe.src = "https://www.youtube-nocookie.com/embed/" + box.dataset.videoId + "?autoplay=1";
      iframe.title = "Video: Rundgang durch unsere Werkstatt";
      iframe.width = "640";
      iframe.height = "360";
      iframe.allow = "autoplay; encrypted-media; picture-in-picture; fullscreen";
      box.replaceWith(iframe);
    });
  });
</script>

Spamschutz ohne reCAPTCHA

Für ein Kontaktformular brauchst du nicht unbedingt Google. Ein Honeypot ist ein Feld, das Menschen nicht sehen, Bots aber ausfüllen. Ist es befüllt, verwirft der Server die Nachricht. Das kostet nichts, stört niemanden und hält in der Praxis einen großen Teil des Spams ab.

Reicht das nicht, gibt es Dienste wie Friendly Captcha aus Deutschland, die ohne Cookies und ohne Bilderrätsel arbeiten. Auch so ein Dienst ist ein externer Anbieter und gehört in die Datenschutzerklärung.

Typische Fehler

• ·Das Video kommt von youtube-nocookie.com, lädt aber sofort ohne Klick, und man hält die Sache damit für erledigt.
• ·Das Vorschaubild der Zwei-Klick-Lösung kommt von i.ytimg.com statt vom eigenen Server.
• ·reCAPTCHA läuft auf allen Seiten, obwohl es nur auf der Kontaktseite ein Formular gibt.