DSGVO und YouTube-Embeds erklärt

Die DSGVO ist die EU-Verordnung, die regelt, wie personenbezogene Daten, einschließlich Daten aus Cookies und Tracking-Pixeln, verarbeitet werden dürfen. Weil ein Standard-YouTube-Embed Cookies von Google-Domains setzen kann, gilt es auf deiner Seite als Datenverarbeitung durch Dritte, was DSGVO-Pflichten mit sich bringt.

Was das in der Praxis bedeutet

Viele Websites warten mit dem Laden des Standard-Embeds bis zur Cookie-Einwilligung, oder wechseln zur Domain youtube-nocookie.com, die das Setzen von Cookies bis zur aktiven Wiedergabe verzögert. Keiner der beiden Ansätze entfernt jede Verpflichtung, aber beide verringern spürbar, wie viel Tracking stattfindet, bevor ein Besucher eine Wahl getroffen hat.

Ein praktischer Ausgangspunkt

Nutze standardmäßig den datenschutzfreundlichen Modus, halte einen klaren Cookie- oder Einwilligungshinweis vor, wenn dein Publikum in der EU sitzt, und vermeide Autoplay bei Embeds, die vor Erteilung der Einwilligung laden. Siehe unsere Anleitung zum Einbetten von YouTube-Videos ohne Cookies für die ausführliche Erklärung.

Warum Embeds besonders im Fokus der Aufsicht stehen

Eingebettete Inhalte Dritter stehen unter der DSGVO an einem unbequemen Punkt: Die Website-Betreiberin hat sich für die Einbindung entschieden, kontrolliert aber nicht, was der Dritte (in diesem Fall Google) tatsächlich mit erfassten Daten macht. Aufsichtsbehörden und Datenschutzverfechter haben YouTube-Embeds besonders genau geprüft, weil sie im Web so verbreitet sind und weil das Cookie-Setzverhalten des Standard-Embeds passiv geschieht, ohne jede Handlung des Besuchers, was genau die Art von nicht essenzieller Datenerfassung vor Einwilligung ist, auf die die Cookie-Regeln der DSGVO abzielen.

Ein praktisches Beispiel für eine konforme Einrichtung

Eine einigermaßen konforme Grundeinrichtung sieht so aus: Jedes Embed nutzt die Domain youtube-nocookie.com, Autoplay ist standardmäßig deaktiviert, und der Cookiebanner der Website erwähnt eingebettetes Drittanbieter-Video ausdrücklich, statt nur eigene Analysewerkzeuge abzudecken. Eine strengere Version fügt Click-to-Load hinzu, bei dem ein Platzhalter-Thumbnail das echte Iframe ersetzt, bis ein Besucher durch aktives Klicken zustimmt, was garantiert, dass vor diesem Klick keine einzige YouTube-Anfrage stattfindet.

DSGVO versus andere Datenschutzrahmen für Embeds

Die DSGVO ist der spezifischste und am häufigsten zitierte Rahmen in diesem Bereich, aber vergleichbare Prinzipien finden sich auch im britischen Datenschutzrecht und in verschiedenen US-Bundesstaatengesetzen, die generell zu demselben praktischen Rat kommen: unnötige Datenerfassung minimieren, klar offenlegen, was passiert, und Anfragen an Dritte vermeiden, bevor ein Besucher überhaupt ein Mitspracherecht hatte. Websites mit einem wirklich internationalen Publikum fahren meist besser damit, überall die schützenderen DSGVO-konformen Standardeinstellungen zu übernehmen, als regionsspezifisches Embed-Verhalten zu pflegen.

Behandle dies als fortlaufende Verantwortung statt als einmalige Lösung, da sich sowohl YouTubes Plattformverhalten als auch die Datenschutzregulierung selbst kontinuierlich weiterentwickeln.

Eine sinnvolle Gewohnheit für jedes Team, das eine Website betreut, ist es, embedbezogene Einstellungen im selben Turnus zu überprüfen wie andere regelmäßige Datenschutz- oder Sicherheitsprüfungen, statt YouTube-Embeds als eine einmalige Entscheidung zu behandeln, die nie wieder überdacht wird.

Häufig gestellte Fragen