Worum geht's?
Auch wenn das Embedding von Videos eine Website oft erst richtig ansprechend macht, ist es aus datenschutzrechtlicher Sicht nicht immer unbedenklich – vor allem, wenn es sich bei den Videoplattformen um YouTube und Vimeo handelt. Denn: Sobald ein Nutzer die Website mit dem Video aufruft, werden einwilligungspflichtige Cookies gesetzt und persönliche Daten übertragen – bevor das Video überhaupt angeklickt wurde. Warum das ein Problem ist und ob Embedding auch datenschutzkonform möglich ist, klären wir in diesem Artikel.
1. Videos auf eigener Website einbinden: Was muss ich wissen?
Möchten Sie Videos von Plattformen wie YouTube oder Vimeo auf der Website Ihres Unternehmens einbinden, ist das technisch zwar einfach, aber datenschutzrechtlich nicht ganz unbedenklich.
Wieso ist das Einbetten von YouTube-Videos datenschutzrechtlich bedenklich?
Plattformen wie YouTube und Vimeo sammeln nicht nur Daten, wenn Sie sich selbst Videos anschauen, sondern auch, wenn Sie diese auf Ihrer Website einbinden (sogenanntes Embedding).
Sobald ein Nutzer die Website mit dem Video aufruft, stellt diese automatisch eine Verbindung zum YouTube- oder Vimeo-Server her – und überträgt persönliche Daten wie die IP-Adresse durch das Setzen von Cookies an Drittserver. Die Daten werden von den Plattformen u. a. verwendet, um Nutzern personalisierte Werbung auszuspielen. Erlaubt ist das jedoch nicht ohne Weiteres.
WICHTIG ZU WISSEN
Sobald Sie selbst oder über einen externen Dienst wie YouTube oder Vimeo personenbezogene Daten von Nutzern erheben wollen, brauchen Sie deren Einwilligung in die Datenverarbeitung und Datenübermittlung. Ohne die ist das Setzen von Cookies nicht zulässig. Dabei spielt es keine Rolle, ob Sie die Daten für eigene Zwecke verwenden wollen oder nicht.
Beachten Sie diese Vorgaben nicht, verstoßen Sie gegen die Datenschutzgrundverordnung (DSGVO) – und das kann im schlimmsten Fall saftige DSGVO-Bußgelder und DSGVO-Abmahnungen nach sich ziehen.
Ab wann werden beim Video-Embedding Cookies gesetzt?
Bereits beim Laden der Website können durch Tracking Cookies im Browser des Nutzers Verbindungen zu den Servern von Vimeo und YouTube hergestellt werden. Das passiert, bevor der Nutzer das eingebettete Video auf der Website angeklickt oder gesehen hat. Allein das Aufrufen der Website reicht aus.
Löschen die Nutzer die Cookies nicht wieder, werden die Daten über mitunter lange Zeiträume von mehreren Jahren übertragen.
2. Das Problem mit der Datenschutzerklärung beim Embedding
Jetzt könnte man davon ausgehen, dass es ausreichend ist, sich die Einwilligung der Websitebesucher für die Einbindung einzuholen und die Nutzung von YouTube oder Vimeo in die Datenschutzerklärung aufzunehmen.
Zunächst einmal: Ja, die Einwilligung Ihrer Nutzer brauchen Sie in jedem Fall. Sie können sich diese über Cookie Consent Banner Plugins einholen (dazu später mehr). Zusätzlich sind Sie verpflichtet, Ihre Nutzer in Ihrer Datenschutzerklärung darüber aufzuklären, dass Ihre Website durch das Video Embedding Tracking Cookies von YouTube setzt.
Um Ihrer Informationspflicht korrekt nachzukommen, müssten Sie eigentlich wissen, was YouTube mit den Daten macht und diesen Verwendungszweck in die Datenschutzerklärung aufnehmen. Genau darüber lässt die Videoplattform User jedoch im Unklaren.
Weil Sie nicht genau wissen, wofür YouTube die erhobenen Daten verwendet, sind Sie praktisch gar nicht in der Lage, Ihre Nutzer umfassend über die Datenerhebungen aufzuklären. Streng genommen ist Ihre Datenschutzerklärung damit unvollständig und die Gefahr einer Abmahnung erhöht.
3. Wie kann ich Videos DSGVO-konform auf meiner Website einbetten?
Um Videos datensparsamer auf Ihrer Website einzubetten, gibt es mehrere Möglichkeiten.
Möglichkeit 1: Cookie Consent Tool/Cookie Banner
Möchten Sie Videos von Vimeo oder YouTube auf Ihrer Website einbinden, holen Sie sich am besten immer die Einwilligung Ihrer Nutzer mit einem Cookie Banner/Cookie Consent Tool ein. Durch den Cookie Hinweis hat Ihr Nutzer die Wahl und kann entscheiden, welche Cookies er beim Besuchen der Website akzeptieren möchte und welche nicht.
Einige Cookies – die sogenannten essenziellen Cookies – sind für den technischen Betrieb Ihrer Website notwendig. Für diese benötigen Sie keine extra Zustimmung. Bei der Verwendung von Drittanbieter-Diensten wie YouTube, Vimeo, Hotjar oder Google Analytics, geht es jedoch nicht ohne Einwilligung – denn zwingend erforderlich für Aufbau und Funktion der Website sind diese nicht.
Unser Tipp: Als eRecht24 Premium-Mitglied stehen Ihnen verschiedene DSGVO-konforme Cookie-Consent-Lösungen für Unternehmen zur Verfügung.
Möglichkeit 2: Erweiterter Datenschutzmodus bzw. Do Not Track
Eine weitere Möglichkeit sind zwei datenschutzfreundlichere Einstellungen, die die Plattformen selbst zur Verfügung stellen: Der erweiterte Datenschutzmodus auf YouTube bzw. Do Not Track Parameter auf Vimeo.
Erweiterter Datenschutzmodus auf YouTube
Mit dem „Erweiterten Datenschutzmodus“ können Sie Ihren Video-Content so einbetten, dass zumindest beim Aufrufen der Website (fast) keine Cookies durch YouTube gespeichert werden – sondern erst, wenn der Nutzer das Video anklickt und abspielt.
Das funktioniert über das YouTube-Cookie „No-Cookie“. Aktivieren Sie dazu den „Erweiterten Datenschutzmodus“, indem Sie auf Video teilen → Einbetten → Optionen zum Einbetten gehen und ein Häkchen im entsprechenden Kästchen setzen:
Ist die No-Cookie-Funktion aktiviert, wird aus youtube.com youtube-nocookie.com: Das Ergebnis: Beim Aufrufen der Website wird noch keine Verbindung zu den YouTube-Servern aufgebaut – sondern erst, wenn der Nutzer das Video abspielt.
WICHTIG
Der “nocookie”-Modus verhindert zwar das Setzen von Cookies beim initialen Laden – nicht aber die Datenübertragung an Google, wenn das Video abgespielt wird.
Wichtig ist auch: Sie können sich zwar die ausdrückliche Einwilligung Ihrer Nutzer einholen, sobald diese auf „Video abspielen“ klicken. Allerdings stellt der YouTube-eigene Datenschutzmodus keine Möglichkeit bereit, eine einmal erteilte Einwilligung zu widerrufen und bereits gesetzte YouTube-Cookies wieder zu entfernen.
Diese Möglichkeit ist also datenschutzfreundlicher, aber immer noch nicht datenschutzkonform. Daher sollten Sie zusätzlich zum erweiterten Datenschutzmodus ein Cookie Consent Tool einbinden, das Ihren Nutzern die Möglichkeit gibt, ihre Einwilligung in die Datenerhebung und -übertragung zu widerrufen.
Do Not Track Parameter auf Vimeo
Auch beim Einbetten von Video-Inhalten auf Vimeo lässt sich das Speichern von Cookies einschränken. Zwar überträgt Vimeo nicht dermaßen viele Nutzerdaten wie YouTube an Drittanbieter, allerdings werden auch hier Cookies gesetzt – etwa, um die Lautstärke-Einstellungen oder den Abspielstand eines Videos zu speichern.
Essentiell sind die Cookies nicht, weshalb Sie sich auch hier zusätzlich mit einem Cookie Consent Tool absichern sollten. Um das Setzen von Cookies zu unterbinden bzw. einzuschränken, können Sie mit Do Not Track Parameter angeben, dass bestimmte Tracking-Optionen bei der Einbettung des Videos deaktiviert werden sollen.
Dazu betten Sie eine sogenannte dnt-Bezeichnung („Do-Not-Track“) in den Einbettungscode des Videos ein:
Möglichkeit 3: 2-Klick-Lösung
Ähnlich wie bei Social Media Plugins können Sie auch bei YouTube-Videos auf die sogenannte 2-Klick-Lösung setzen, um Tracking ohne Einwilligung zu verhindern und den Datenschutz für Ihre Nutzer zu erhöhen.
Die 2-Klick-Lösung funktioniert wie folgt:
- Damit eine Verbindung zu den Servern der Plattform aufgebaut werden kann, müssen die Besucher der Website das eingebettete Video erst anklicken.
- Ihre Nutzer sehen vorab statt des Videos ein Vorschaubild mit einem Hinweis, der darüber informiert, dass durch das Abspielen eine Verbindung zu YouTube hergestellt wird und Daten übertragen werden.
- Erst, wenn der Nutzer den Hinweis bestätigt, wird das Video im „erweiterten Datenschutzmodus“ eingebettet und abgespielt.
GUT ZU WISSEN
Bei der 2-Klick-Lösung werden die Cookies erst nach dem zweiten Klick gesetzt – und nicht sofort beim Aufrufen der Website.
Möglichkeit 4: Link zu YouTube oder Vimeo setzen
Die vierte Möglichkeit, YouTube- oder Vimeo-Videos der Datenschutz-Grundverordnung entsprechend auf der Website einzubetten, ist auch die einfachste: Hinterlegen Sie den Link zur Plattform hinter einem Vorschaubild des Videos.
Datenschutzrechtlich sind Sie mit dieser Variante auf der sichersten Seite – denn mit externem Link und Screenshot werden keine YouTube-Cookies gesetzt. Sie benötigen weder die Einwilligung Ihrer Nutzer, noch müssen Sie in Ihrer Datenschutzerklärung über die Datenerhebung informieren.
Aus Marketingsicht hat diese Variante allerdings einen Nachteil: Um das Video anzusehen, müssen die Besucher Ihre Webseite verlassen. Einmal von der Seite weg, gibt es keine Garantie, dass sie wieder zurückkommen.
4. Werden auch Cookies gesetzt, wenn ich Bilder in meine Webseite einbinde?
Wenn Sie auf Ihrer Website Stockfotos von Bilddatenbanken wie Shutterstock, iStock oder Adobe Stock einbinden, müssen Sie sich um Cookies und Nutzereinwilligung keine Sorgen machen: Beim Einbinden von Bildern werden keine Cookies gesetzt.
Was Sie aber beachten müssen, sind fremde Urheberrechte – denn sich einfach so aus dem Netz ein Foto herunterzuladen und auf Ihrer Website zu veröffentlichen, geht nur, wenn Sie daran die Bildrechte haben. Nutzungsrechte an Fotos und Bildern erhalten Sie z. B. gegen Zahlung einer Lizenzgebühr. Der Urheber hat zudem immer ein Recht darauf, als Urheber genannt zu werden – auch bei kostenlosen Bilddatenbanken.
5. Was muss in meiner Datenschutzerklärung stehen, wenn ich Videos von externen Webseiten einbette?
Möchten Sie Videos auf Ihrer Website einbinden, müssen Sie Ihre Nutzer darüber in der Datenschutzerklärung aufklären. Sie brauchen also eine Datenschutzerklärung für YouTube bzw. eine Datenschutzerklärung für Vimeo.
Informieren Sie Ihre Nutzer in der Erklärung darüber, welche Daten Sie erheben, wie Sie die Daten verarbeiten, warum Sie die Daten an die Plattform weitergeben und was die Plattform mit den Daten macht.
WICHTIG
Auch wenn insbesondere der letzte Punkt aufgrund des intransparenten Vorgehens von YouTube nicht endgültig geklärt ist – keine Datenschutzerklärung ist auch keine Lösung.
Folgende Angaben sollte Ihre Datenschutzerklärung beim Embedding von Vimeo- bzw. YouTube-Videos enthalten:
- Name und Sitz des Anbieters (Google Ireland Limited für YouTube, Vimeo.com Inc. für Vimeo)
- Art der erhobenen Daten (z. B. IP-Adresse, Geräteinformationen, Browserdaten)
- Zweck der Datenverarbeitung (z. B. Videoanzeige, Werbung, Tracking)
- Rechtsgrundlage der Datenverarbeitung (meist Art. 6 Abs. 1 lit. a DSGVO)
- Information über Cookies und Tracking (Art und Funktion der gesetzten Cookies, Hinweis auf Drittanbieter-Cookies)
- Bezug auf Datenübermittlung in die USA als Drittland (sowohl YouTube als auch Vimeo sind DPF-zertifiziert, wodurch zumindest aktuell ein sicheres Datenschutzniveau bei der Übertragung gewährleistet ist)
- Hinweis auf Widerrufsrecht und wie dieses umzusetzen ist (z. B. über Cookie Consent Tool)
- Link zur Datenschutzerklärung des Anbieters (Youtube, Vimeo)
Eine einfache und zugleich rechtssichere Möglichkeit, eine Datenschutzerklärung für die beiden Video-Plattformen zu erstellen, ist unser eRecht24 Datenschutz-Generator.
Erstellen Sie jetzt eine rechtssichere Datenschutzerklärung mit dem eRecht24 Datenschutz Generator
- Einfache Integration in Ihre Website
- Anwaltlich geprüfter Generator
- Für Sie kostenfrei in wenigen Schritten
6. Fazit: Videos (möglichst) datenschutzkonform einbinden
Das Embedding von Videos – insbesondere von Plattformen wie YouTube und Vimeo – kann datenschutzrechtlich heikel sein. Um sich so gut wie möglich abzusichern, sollten Sie die Möglichkeiten zur Datensparsamkeit nutzen: Verwenden Sie YouTube über „No-Cookie“ im erweiterten Datenschutzmodus bzw. Vimeo „Do-Not-Track”, binden Sie ein Cookie Consent Tool ein, setzen Sie auf die 2-Klick-Lösung und denken Sie auch an die Nutzereinwilligung. Informationen über die verwendeten Dienste gehören in Ihre Datenschutzerklärung.
Letztendlich sollte Ihnen aber bewusst sein, dass aufgrund der mangelhaften Transparenz von YouTube ein Restrisiko bei der Einbindung bleibt. Möchten Sie auch dieses als Webseiten-Betreiber umgehen, erwägen Sie Alternativen, indem Sie die Videos nur verlinken oder sie über EU-basierte Plattformen wie PeerTube hosten.
7. FAQ: Häufige Fragen zu Cookies einbinden, Bilder & Videos
