Google Maps DSGVO: Anfahrtskarte rechtssicher einbinden

Die Anfahrtskarte auf der Kontaktseite gehört zu den beliebtesten Website-Elementen – und gleichzeitig zu den häufigsten automatisierten Funden bei Datenschutzprüfungen. Der Grund liegt in der Art, wie Google Maps technisch eingebunden wird.

Warum ist Google Maps auf der Website ein DSGVO-Thema?

Ein eingebettetes Google-Maps-iFrame lädt beim Aufruf der Seite automatisch Inhalte direkt von Google-Servern – unabhängig davon, ob der Besucher die Karte überhaupt nutzen möchte. Dabei werden technische Daten wie IP-Adresse, Browser-Informationen und ggf. bereits vorhandene Google-Cookies an Google übertragen. Genau wie bei Google Fonts handelt es sich um eine Datenübertragung an einen Dritten (Google Ireland Limited bzw. in der Verarbeitungskette auch Google LLC in den USA), die einer Rechtsgrundlage bedarf.

Technischer Hintergrund: Was passiert beim Einbinden per iFrame?

Ein typischer Google-Maps-Embed sieht im Quelltext etwa so aus: ein <iframe>-Tag mit einer Quelle unter maps.google.com oder maps.googleapis.com. Sobald der Browser diesen Tag verarbeitet, baut er automatisch eine Verbindung zu Google auf – noch bevor ein Cookie-Banner überhaupt wahrgenommen, geschweige denn bestätigt wurde. Ein nachträglich über die Seite gelegter Cookie-Banner ändert daran nichts, wenn das iFrame technisch trotzdem sofort lädt.

🍪 Lädt Ihre Karte vor Zustimmung?

Der Scanner prüft automatisch, ob Google Maps direkt beim Seitenaufruf eingebunden wird. Jetzt kostenlos prüfen ↑

Was gilt für andere eingebettete Karten?

Das Grundproblem – automatischer Verbindungsaufbau zu einem Drittanbieter beim Seitenaufruf – betrifft nicht nur Google Maps, sondern grundsätzlich jeden eingebetteten Kartendienst: Bing Maps, Apple Maps, HERE Maps und andere übertragen beim Laden ebenfalls technische Daten an den jeweiligen Anbieter. Der Unterschied liegt meist nur darin, wie genau der jeweilige Anbieter diese Daten verarbeitet und wo er seinen Sitz hat. Die grundsätzliche Empfehlung – erst nach Zustimmung laden – gilt daher unabhängig vom konkreten Kartenanbieter.

Die rechtliche Einordnung: TTDSG und DSGVO

Zwei Ebenen sind zu unterscheiden:

• TTDSG (§ 25): Regelt den Zugriff auf Endgeräte-Informationen – relevant, sobald das Embed Cookies setzt oder ausliest.
• DSGVO (Art. 6): Regelt die eigentliche Datenverarbeitung, hier insbesondere die Übertragung der IP-Adresse an Google als Verantwortlichen bzw. im Rahmen der Datenübermittlung in Drittländer.

In beiden Fällen gilt: Ohne vorherige, aktive Einwilligung des Besuchers ist das direkte Laden des Google-Maps-iFrames beim Seitenaufruf rechtlich angreifbar.

Lösungsansätze: Consent-basiertes Nachladen, Vorschaubild, Alternativen

1. Consent-basiertes Nachladen (Klick-to-Load)

Die gängigste Lösung: Statt der Karte wird zunächst ein statisches Vorschaubild oder ein Platzhalter mit Hinweistext angezeigt („Karte anzeigen – es gilt die Datenschutzerklärung von Google"). Erst nach Klick lädt das eigentliche iFrame – dieser Klick gilt als konkludente Einwilligung für den Einzelfall. Viele moderne Cookie-Consent-Tools bringen diese Funktion bereits mit.

2. Einbindung über den Consent-Manager steuern

Alternativ lässt sich das iFrame technisch so einbinden, dass es erst dann in den DOM eingefügt wird, wenn im Cookie-Banner die Kategorie „Externe Inhalte" oder „Marketing" aktiv bestätigt wurde – ähnlich wie bei Google Analytics oder Facebook Pixel.

3. Alternative Kartendienste

Dienste wie OpenStreetMap (z. B. über Leaflet eingebunden) übertragen ebenfalls die IP-Adresse an den Kartenanbieter, gelten aber datenschutzrechtlich häufig als unkritischer, da OpenStreetMap-Mitwirkende in der Regel keine kommerzielle Profilbildung betreiben. Ein Restrisiko bleibt dennoch – Transparenz in der Datenschutzerklärung ist auch hier Pflicht.

4. Statischer Screenshot mit Link

Die datenschutzfreundlichste, aber unkomfortabelste Variante: ein einfaches Kartenbild (Screenshot) mit einem Link, der bei Klick in einem neuen Tab zu Google Maps führt. Keine automatische Datenübertragung beim Seitenaufruf, dafür weniger interaktiv.

Schritt-für-Schritt: Klick-to-Load selbst umsetzen

Auch ohne fertiges Consent-Tool lässt sich eine einfache Klick-to-Load-Lösung mit überschaubarem aufwand technisch umsetzen:

1. Statt des <iframe>-Tags wird zunächst nur ein Vorschaubild (z. B. ein Screenshot der Kartenregion) mit einem Button „Karte laden" angezeigt.
2. Die eigentliche iFrame-URL wird nicht im src-Attribut, sondern zunächst nur in einem data-src-Attribut hinterlegt – der Browser lädt sie dadurch noch nicht.
3. Ein kurzes JavaScript-Snippet setzt beim Klick auf den Button das src-Attribut aus dem gespeicherten data-src-Wert – erst dann baut der Browser die Verbindung zu Google auf.
4. Direkt neben dem Button sollte ein Hinweis auf die Datenschutzerklärung von Google sowie der eigenen Datenschutzerklärung erscheinen.
5. Optional: Die getroffene Auswahl in localStorage merken, damit wiederkehrende Besucher die Karte nicht bei jedem Seitenaufruf erneut freigeben müssen.

Wer bereits ein Cookie-Consent-Tool im Einsatz hat, sollte prüfen, ob dieses eine entsprechende Funktion für eingebettete Inhalte („externe Medien", „Drittinhalte") bereits mitbringt – das spart die manuelle Umsetzung.

🍪 Nach dem Fix erneut prüfen

Prüfen Sie nach der Umstellung erneut, ob die Karte jetzt korrekt erst nach Zustimmung lädt. Jetzt kostenlos prüfen ↑

Alternative: Google-Business-Profil statt eingebetteter Karte

Für viele lokale Unternehmen reicht als datenschutzfreundliche Alternative bereits ein Verweis auf das kostenlose Google-Business-Profil (vormals „Google My Business"): Ein einfacher Link „Bei Google Maps ansehen" führt Interessenten direkt zum vollständigen Eintrag samt Bewertungen, Öffnungszeiten und Routenplaner – ganz ohne dass beim Aufruf der eigenen Website eine Verbindung zu Google aufgebaut wird. Für viele Kontaktseiten ist das nicht nur die datenschutzfreundlichere, sondern auch die informativere Lösung.

Praxisbeispiel: Restaurant „Trattoria Bella Vista"

Ein fiktives, inhabergeführtes Restaurant hatte auf der Kontaktseite ein Google-Maps-iFrame mit Anfahrtsbeschreibung eingebunden – Standard-Copy-paste aus einer alten Website-Vorlage. Der Scan zeigte: Die Karte lud sofort beim Seitenaufruf, unabhängig vom vorhandenen (aber wirkungslosen) Cookie-Hinweis. Die Lösung: Umstellung auf ein Vorschaubild mit „Karte laden"-Button, der das iFrame erst per Klick nachlädt. Zusätzlich wurde die Datenschutzerklärung um einen Abschnitt zu Google Maps ergänzt. Umsetzung: rund zwei Stunden inklusive Test.

Wie Sie Ihre eigene Website prüfen

Am schnellsten geht auch hier der automatisierte Weg: Ein Cookie Scanner erkennt eingebettete Google-Maps-iFrames im Quelltext der Startseite und zeigt direkt an, ob ein Problem vorliegt – inklusive der gefundenen Code-Stelle als Beleg.

Häufig gestellte Fragen

Ist ein einfacher Link zu Google Maps auch ein Problem?

Nein – ein reiner Textlink, der beim Klick in einem neuen Tab zu Google Maps führt, baut keine automatische Verbindung beim Seitenaufruf auf und ist datenschutzrechtlich unkritisch.

Reicht ein Hinweis in der Datenschutzerklärung allein aus?

Nein. Transparenz in der Datenschutzerklärung ist zusätzlich erforderlich, ersetzt aber nicht die technisch notwendige vorherige Einwilligung vor dem automatischen Laden.

Verliere ich Besucher, wenn die Karte nicht sofort lädt?

In der Praxis ist der Effekt gering: Ein ansprechendes Vorschaubild mit klarem „Karte laden"-Button wird von den meisten Besuchern anstandslos angenommen, insbesondere wenn diese Nutzererfahrung von vielen anderen Websites bereits bekannt ist.

Was ist mit Google-Maps-Routenplanern statt reinen Anfahrtskarten?

Auch eingebettete Routenplaner-Widgets funktionieren technisch über dasselbe iFrame-Prinzip und sollten daher genauso behandelt werden wie eine einfache Kartenanzeige.

Kosten-Nutzen-Abwägung der einzelnen Lösungen

Die vorgestellten Lösungsansätze unterscheiden sich deutlich im Umsetzungsaufwand: Ein einfacher Textlink zu Google Maps ist in wenigen Minuten eingerichtet, bietet aber die geringste Interaktivität. Eine Klick-to-Load-Lösung mit Vorschaubild erfordert etwas mehr Entwicklungsaufwand (meist ein bis zwei Stunden), bewahrt aber den Komfort einer eingebetteten Karte weitgehend. Die Steuerung über ein vollwertiges Consent-Management-Tool ist am aufwendigsten in der Ersteinrichtung, skaliert dafür aber am besten, wenn neben der Karte auch weitere externe Inhalte wie Videos oder Social-Media-Einbettungen verwaltet werden müssen. Für die meisten kleinen Websites mit nur einer Anfahrtskarte ist die Klick-to-Load-Lösung meist der wirtschaftlichste Mittelweg.

Wer haftet: Website-Betreiber oder Agentur?

Häufig wurde die Karte gar nicht vom Betreiber selbst eingebunden, sondern von einer beauftragten Agentur oder einem Freelancer im Rahmen der Website-Erstellung. Datenschutzrechtlich bleibt aber in aller Regel der Website-Betreiber als Verantwortlicher im Sinne der DSGVO in der Pflicht – unabhängig davon, wer die technische Umsetzung vorgenommen hat. Es empfiehlt sich daher, bei der Beauftragung einer Agentur vertraglich festzuhalten, dass datenschutzkonforme Standardeinstellungen (z. B. Klick-to-Load für externe Karten) von vornherein Teil des Leistungsumfangs sind – das erspart nachträgliche Anpassungen und Diskussionen über Zusatzkosten.

Google Maps in mobilen Apps und AMP-Seiten

Neben der klassischen Desktop- und Mobile-Website tauchen eingebettete Karten zunehmend auch in beschleunigten mobilen Seitenformaten (AMP) oder als eingebettetes Widget in App-WebViews auf. Auch hier gilt derselbe Grundsatz: Sobald die Karte automatisch beim Öffnen der Seite oder des Bildschirms lädt, liegt dieselbe Datenübertragung an Google vor wie bei einer klassischen Website – unabhängig vom technischen Format. Bei AMP-Komponenten wie amp-iframe lässt sich das verzögerte Laden über entsprechende Attribute ebenfalls steuern, sodass auch hier eine Klick-to-Load-Lösung technisch möglich ist.

Checkliste: Google Maps datenschutzkonform einbinden

• ☐ Karte lädt nicht automatisch beim Seitenaufruf, sondern erst nach Klick oder Einwilligung
• ☐ Vorschaubild oder Platzhalter mit klarem Hinweistext vorhanden
• ☐ Datenschutzerklärung enthält einen eigenen Abschnitt zu Google Maps
• ☐ Getroffene Auswahl wird gespeichert, damit wiederkehrende Besucher nicht erneut gefragt werden müssen
• ☐ Alternative Lösungen (Google-Business-Profil-Link, OpenStreetMap, Screenshot) wurden geprüft

Auswirkungen auf die Ladezeit der Website

Ein oft übersehener Nebeneffekt: Ein sofort geladenes Google-Maps-iFrame gehört zu den ressourcenintensivsten Elementen einer durchschnittlichen Website – es lädt eigenes JavaScript, eigene Bilddaten (Kartenkacheln) und baut mehrere Verbindungen zu Google-Servern gleichzeitig auf. Eine Klick-to-Load-Lösung verbessert dadurch nicht nur den Datenschutz, sondern häufig auch spürbar die Ladezeit und die Core Web Vitals der Seite – besonders auf der oft stark frequentierten Kontaktseite.

Fazit

Eine Anfahrtskarte muss nicht auf Kosten des Datenschutzes gehen. Mit einer Klick-to-Load-Lösung oder einer sauberen Consent-Steuerung lässt sich Google Maps weiterhin komfortabel nutzen – nur eben erst, nachdem der Besucher aktiv zugestimmt hat. Der technische Aufwand dafür ist überschaubar und in der Regel in wenigen Stunden erledigt.