YouTube DSGVO: Videos rechtssicher einbinden

Ein eingebettetes YouTube-Video gehört zu den beliebtesten Content-Elementen im Web – Erklärvideos, Imagefilme, Tutorials. Gleichzeitig ist es einer der am häufigsten automatisiert gefundenen Datenschutz-Verstöße, denn YouTube gehört zu Google und lädt beim Einbetten standardmäßig Inhalte direkt von Google-Servern.

Wie verbreitet ist das Problem wirklich?

YouTube-Embeds gehören neben Google Maps zu den am häufigsten automatisiert gefundenen Drittinhalten auf deutschen Websites – von Unternehmens-Imagefilmen über Produktvideos bis zu eingebetteten Kundenreferenzen. Der Grund liegt auf der Hand: YouTube-Hosting ist kostenlos, technisch simpel per Copy-paste einzubinden und liefert zuverlässig performante Video-Wiedergabe auf allen Endgeräten. Genau diese Bequemlichkeit führt aber dazu, dass die datenschutzrechtliche Seite bei der Einbindung oft schlicht übersehen wird – zumal das Video selbst auf den ersten Blick völlig unauffällig wirkt und niemand vermutet, dass bereits das bloße Laden der Seite eine Datenübertragung auslöst.

Warum ist ein eingebettetes YouTube-Video ein Datenschutzthema?

Sobald ein <iframe> mit einer youtube.com/embed/...-Quelle im Seitenquelltext steht, baut der Browser des Besuchers automatisch eine Verbindung zu Google auf – noch bevor das Video überhaupt abgespielt wird. Dabei werden IP-Adresse, Browser-Informationen und ggf. vorhandene Google-Cookies übertragen. Ist der Besucher gleichzeitig bei einem Google-Konto angemeldet, lässt sich der Seitenbesuch theoretisch sogar diesem Konto zuordnen. Diese Datenübertragung an einen Dritten benötigt eine Rechtsgrundlage – bei einer reinen Video-Einbindung ohne vorherige Einwilligung fehlt diese in aller Regel.

Technischer Hintergrund: Standard-Embed vs. erweiterter Datenschutzmodus

YouTube bietet beim Teilen eines Videos die Option „Erweiterten Datenschutzmodus aktivieren" an. Dabei wird statt youtube.com die Domain youtube-nocookie.com verwendet. Das reduziert zwar das Setzen bestimmter personalisierter Tracking-Cookies vor der Interaktion mit dem Player, ändert aber nichts an der grundsätzlichen Tatsache, dass beim Laden des iFrames weiterhin eine Verbindung zu Google-Servern aufgebaut und die IP-Adresse übertragen wird. Der erweiterte Datenschutzmodus ist also ein sinnvoller zusätzlicher Baustein, aber kein Ersatz für eine vorherige Einwilligung.

Die rechtliche Einordnung

Wie bei Google Maps und Google Fonts sind zwei Ebenen relevant: § 25 TTDSG für den technischen Zugriff auf das Endgerät (sofern Cookies gesetzt werden) und Art. 6 DSGVO für die Übertragung der IP-Adresse an Google als Verantwortlichen. Hinzu kommt bei YouTube die Frage des Drittlandtransfers: Google LLC hat seinen Hauptsitz in den USA, auch wenn die Verarbeitung für europäische Nutzer über Google Ireland Limited erfolgt. Ohne aktive, vorherige Einwilligung ist das automatische Laden des Embeds rechtlich angreifbar – unabhängig davon, ob der Standard- oder der datenschutzfreundlichere Modus verwendet wird.

Lösungsansätze: Klick-to-Load und Consent-Steuerung

1. Vorschaubild mit Klick-to-Load

Die gängigste Lösung: Statt des iFrames wird zunächst ein statisches Vorschaubild des Videos (das YouTube ohnehin über eine separate, unkritische Bild-URL bereitstellt) mit einem Play-Button angezeigt. Erst nach Klick wird das eigentliche iFrame nachgeladen. Dieser Klick gilt als Einwilligung für den Einzelfall.

2. Steuerung über den Cookie-Consent-Manager

Alternativ lässt sich das iFrame technisch erst dann in die Seite einfügen, wenn im Cookie-Banner die passende Kategorie („Externe Medien", „Marketing") aktiv bestätigt wurde – strukturell identisch zur Steuerung von Google Analytics oder Facebook Pixel.

3. Erweiterten Datenschutzmodus zusätzlich nutzen

Unabhängig von der gewählten Consent-Lösung ist es sinnvoll, zusätzlich youtube-nocookie.com zu verwenden – als zusätzliche Datenschutzmaßnahme, nicht als alleinige Lösung.

Weitere eingebettete Inhalte mit demselben Muster

Das Grundproblem bei YouTube betrifft strukturell auch andere eingebettete Medien-Dienste: Spotify- und SoundCloud-Player, Vimeo-Videos, Instagram- oder TikTok-Einbettungen sowie Kartendienste übertragen beim Laden eines iFrames ebenfalls automatisch technische Daten an den jeweiligen Anbieter. Wer sein YouTube-Embed erfolgreich auf Klick-to-Load umgestellt hat, sollte den gleichen Blick auf alle anderen im Footer, in der Seitenleiste oder auf Unterseiten eingebundenen Drittinhalte werfen – oft finden sich dort ähnliche Altlasten. Ein vollständiger Website-Check sollte daher nicht bei der Startseite aufhören, sondern zumindest die am häufigsten aufgerufenen Unterseiten (Kontakt, Über uns, Leistungen) mit einbeziehen, da dort erfahrungsgemäß ebenso häufig eingebettete Medien zu finden sind wie auf der Startseite selbst.

Was YouTube selbst zur Datenverarbeitung sagt

Google weist in seinen eigenen Entwicklerdokumentationen darauf hin, dass durch die Einbettung von YouTube-Inhalten eine Verbindung zu Google-Servern hergestellt wird, sobald die Seite mit dem Embed geladen wird – unabhängig davon, ob das Video abgespielt wird. Diese technische Beschreibung deckt sich mit der oben dargestellten rechtlichen Bewertung: Das Laden der Seite allein reicht bereits für die Datenübertragung aus, ein aktives Abspielen ist dafür nicht erforderlich.

Praxisbeispiel: Kochschule „Genussküche Anna B."

Eine fiktive, freiberufliche Kochschule hatte auf ihrer Startseite ein YouTube-Imagevideo eingebettet – Standardcode direkt aus dem YouTube-„Teilen"-Dialog kopiert. Der Scan zeigte: Das iFrame lud sofort beim Seitenaufruf, unabhängig vom vorhandenen Cookie-Hinweis. Die Betreiberin entschied sich für eine einfache Klick-to-Load-Lösung mit dem YouTube-Vorschaubild als Hintergrund und einem großen Play-Button – optisch sogar ansprechender als das ursprüngliche Embed. Zusätzlich ließ sie sich von ihrer Webagentur zeigen, wie sich die getroffene Auswahl im Local Storage des Browsers speichern lässt, damit wiederkehrende Besucher nicht bei jedem Seitenaufruf erneut gefragt werden. Umsetzung: rund eineinhalb Stunden inklusive Test auf verschiedenen Geräten und Browsern – inklusive eines kurzen Funktionstests auf einem älteren Android-Gerät, auf dem sich in der Vergangenheit gelegentlich Darstellungsprobleme bei eingebetteten Videos gezeigt hatten.

Checkliste: YouTube datenschutzkonform einbinden

• ☐ Video lädt nicht automatisch beim Seitenaufruf, sondern erst nach Klick oder Einwilligung
• ☐ Vorschaubild mit Play-Button statt direktem iFrame
• ☐ Wo möglich: youtube-nocookie.com als zusätzliche Maßnahme verwendet
• ☐ Datenschutzerklärung enthält einen Abschnitt zu YouTube/Google
• ☐ Cookie-Banner erlaubt den Widerruf jederzeit
• ☐ Auswahl wird gespeichert, damit wiederkehrende Besucher nicht erneut gefragt werden müssen
• ☐ Alle Video-Einbettungen der Website erfasst, nicht nur die auf der Startseite

Mobile Apps und eingebettete Web-Ansichten

Wird eine Website auch innerhalb einer mobilen App über eine eingebettete Web-Ansicht (WebView) dargestellt, gilt dieselbe technische Logik: Ein automatisch geladenes YouTube-iFrame verhält sich in einer WebView grundsätzlich nicht anders als im normalen mobilen Browser. App-Betreiber sollten daher bei der Einbindung von Web-Inhalten in ihre App dieselbe Klick-to-Load-Logik berücksichtigen – ein häufig übersehener Aspekt, da der Fokus bei App-Entwicklungen oft auf nativen Funktionen statt auf eingebetteten Web-Inhalten liegt.

Auswirkungen auf die Ladezeit

Ein automatisch geladenes YouTube-iFrame gehört zu den schwereren Elementen einer durchschnittlichen Website: Es lädt eigenes JavaScript, Thumbnail-Daten und baut mehrere Verbindungen zu verschiedenen Google-Subdomains gleichzeitig auf. Eine Umstellung auf Klick-to-Load verbessert dadurch in der Regel nicht nur den Datenschutz, sondern spürbar auch die Ladezeit und die Core Web Vitals der betroffenen Seite – ein Nebeneffekt, der sich insbesondere auf Startseiten mit mehreren eingebetteten Videos bemerkbar macht.

Häufig gestellte Fragen

Reicht der erweiterte Datenschutzmodus allein aus?

Nein. Er reduziert das Tracking, ersetzt aber nicht die erforderliche vorherige Einwilligung vor dem automatischen Laden des iFrames.

Gilt das auch für andere Videoplattformen?

Ja – das Grundprinzip (automatischer Verbindungsaufbau zu einem Drittanbieter beim Seitenaufruf) gilt ebenso für Vimeo und andere eingebettete Videodienste.

Ist ein reiner Link zu einem YouTube-Video unproblematisch?

Ja, ein einfacher Textlink, der beim Klick in einem neuen Tab zu YouTube führt, baut keine automatische Verbindung beim Seitenaufruf auf.

Verändert sich durch Klick-to-Load die Ladezeit der Seite?

Im Gegenteil – da das YouTube-iFrame samt Skripten nicht mehr automatisch lädt, verbessert sich die Ladezeit der Seite in der Regel spürbar.

Was mache ich mit bereits vorhandenen, älteren Video-Einbettungen auf Unterseiten?

Am effizientesten ist es, die Umstellung nicht Seite für Seite manuell vorzunehmen, sondern – sofern technisch möglich – eine zentrale Komponente oder ein Template für YouTube-Embeds zu erstellen, die im gesamten Content-Management-System wiederverwendet wird. So lässt sich die Klick-to-Load-Logik einmal implementieren und wirkt automatisch auf allen Unterseiten, auf denen Videos eingebunden sind.

Wer haftet: Website-Betreiber oder Webagentur?

In der Praxis hat häufig eine beauftragte Webagentur die ursprüngliche Einbindung vorgenommen – etwa im Rahmen eines Relaunches vor mehreren Jahren, als das Thema Consent-Steuerung noch weniger im Fokus stand. Datenschutzrechtlich bleibt jedoch der Website-Betreiber als verantwortliche Stelle in der Pflicht, unabhängig davon, wer den Code technisch eingefügt hat. Es empfiehlt sich daher, bei bestehenden Verträgen mit Webagenturen oder Dienstleistern zu klären, wer für die laufende Pflege und Aktualisierung von Drittinhalte-Einbindungen zuständig ist – gerade bei älteren Websites, die seit der letzten technischen Überarbeitung nicht mehr systematisch auf neue Anforderungen hin geprüft wurden. Ein regelmäßiger, auch stichprobenartiger Cookie-Scan kann hier helfen, unabhängig von der vertraglichen Zuständigkeit frühzeitig auf Nachholbedarf aufmerksam zu werden.

Sinnvoll ist es außerdem, das Ergebnis einer solchen Prüfung schriftlich festzuhalten – etwa als kurze Notiz mit Datum, geprüfter URL und Befund. So lässt sich im Fall einer späteren Rückfrage einer Aufsichtsbehörde oder eines Kunden nachweisen, dass die Website tatsächlich regelmäßig kontrolliert wird, statt sich auf die bloße Erinnerung verlassen zu müssen.

Fazit

Ein eingebettetes YouTube-Video muss nicht auf Kosten des Datenschutzes gehen. Mit einer einfachen Klick-to-Load-Lösung oder einer sauberen Consent-Steuerung lässt sich das Video weiterhin komfortabel einbinden – nur eben erst, nachdem der Besucher aktiv zugestimmt hat. Der technische Aufwand dafür ist überschaubar und in der Regel innerhalb weniger Stunden erledigt.