Externe Dienste DSGVO-konform einbinden

Die Grundfrage: Wann verbindet sich der Browser?

Datenschutz beim Einbinden von Diensten entscheidet sich an einem einzigen Moment: dem Laden der Seite. Ein iframe, ein script-Tag, ein Stylesheet oder ein Bild von einer fremden Domain löst eine Verbindung aus, sobald der Browser die Seite verarbeitet. Dabei erfährt der Empfänger die IP-Adresse des Besuchers, die aufgerufene Seite als Referrer und die üblichen Header des Browsers. Das braucht keinen Cookie und keinen Klick.

Daraus folgt eine Faustregel, die sich bei jedem Dienst anwenden lässt: Es kommt nicht darauf an, was der Dienst mit den Daten später tut, sondern ob die Verbindung entsteht, bevor der Besucher entschieden hat. Alles, was nach einem informierten Klick lädt, ist ein anderer Fall als alles, was beim Seitenaufruf lädt.

Vier Fragen, die für jeden Dienst gelten

1. Wohin geht die Verbindung, und wann entsteht sie? Netzwerk-Reiter der Entwicklerwerkzeuge, Seite neu laden, Cookie-Banner nicht bedienen. Alles, was dort steht, ist vor der Entscheidung passiert.
2. Wird auf das Endgerät zugegriffen? Cookies, lokaler Speicher, Fingerprinting. Das löst § 25 TDDDG aus und verlangt eine Einwilligung, es sei denn, der Zugriff ist unbedingt erforderlich.
3. Welche Rolle hat der Anbieter? Verarbeitet er in Ihrem Auftrag (dann braucht es einen Vertrag nach Art. 28 DSGVO), oder verarbeitet er für eigene Zwecke (dann geht es um Übermittlung, gemeinsame Verantwortlichkeit und Rechtsgrundlage)?
4. Geht es in ein Drittland? Dann braucht es einen Transfermechanismus: Angemessenheitsbeschluss (etwa das Data Privacy Framework), Standardvertragsklauseln oder eine Ausnahme nach Art. 49 DSGVO.

Die Antworten unterscheiden sich je Dienst. Genau deshalb gibt es eine Seite pro Dienst.

Die fünf Dienste im Vergleich

Die Quoten für YouTube, Vimeo, Google Maps und Cloudflare stammen aus der Auswertung von 1.193.438 geprüften .de-Websites (Stand Juni 2026, weite Zählung), die Quote für Schriften aus der Auswertung von 3.824.300 Websites (Stand September 2026). Karten und Videos zählen in unserem strengen Kernwert nicht mit, weil ihre rechtliche Einordnung im Einzelfall umstritten ist. Sie stehen hier, weil die Verbindung bestehen bleibt, unabhängig davon, wie man sie rechtlich einordnet.

Der Rechtsrahmen auf einer Seite

Zugriff auf das Endgerät: § 25 TDDDG

Speichern oder Auslesen von Informationen im Endgerät braucht die Einwilligung des Nutzers, außer der Zugriff ist unbedingt erforderlich, damit ein vom Nutzer ausdrücklich gewünschter Dienst erbracht werden kann (§ 25 Abs. 2 Nr. 2 TDDDG). Die Einwilligung muss aktiv, informiert und freiwillig sein. Das hat der EuGH in der Rechtssache Planet49 (C-673/17) und der BGH in Cookie-Einwilligung II (I ZR 7/16) klargestellt: Voreingestellte Häkchen sind keine Einwilligung.

Verarbeitung personenbezogener Daten: DSGVO

Die IP-Adresse ist ein personenbezogenes Datum (EuGH, Breyer, C-582/14). Wer einen Dienst einbettet, der sie empfängt, braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Nach der Entscheidung des EuGH in Fashion ID (C-40/17) ist der Betreiber einer Seite für das Erheben und Übermitteln der Daten durch ein eingebettetes Plugin gemeinsam mit dem Anbieter verantwortlich und muss deshalb selbst eine Rechtsgrundlage vorweisen und die Besucher informieren.

Die Linie der Aufsichtsbehörden

Die Datenschutzkonferenz hat ihre Auffassung in der Orientierungshilfe Digitale Dienste (Version 1.2, November 2024) zusammengefasst. Für Drittinhalte gilt danach: Mit der Einbindung werden regelmäßig personenbezogene Daten an den Betreiber des Drittservers offengelegt, dafür ist eine Rechtsgrundlage nach Art. 6 DSGVO nötig, und typische Beispiele sind Werbeanzeigen, Schriftarten, Skripte, Stadtpläne, Videos und Fotos (Rn. 101). Einwilligung, Vertrag und berechtigtes Interesse kommen grundsätzlich in Betracht (Rn. 100). Das berechtigte Interesse verlangt aber eine substantielle Abwägung im Einzelfall und trägt, wo ein Anbieter Daten auch für eigene Zwecke verarbeitet, nach ihrer Auffassung für die Übermittlung, und sei es nur der IP-Adresse, in der Regel nicht (Rn. 107 bis 112, dort im Zusammenhang mit Tracking). Eine Orientierungshilfe ist kein Gesetz, Gerichte sind daran nicht gebunden. In der Praxis ist sie der Maßstab, an dem Aufsichten prüfen.

Drittlandtransfer

Die Übermittlung in die USA stützt sich für zertifizierte Unternehmen auf das EU-US Data Privacy Framework, das die Kommission 2023 als angemessen anerkannt hat. Das Europäische Gericht hat eine Klage dagegen im September 2025 abgewiesen (T-553/23), ein Rechtsmittel liegt beim EuGH (C-703/25 P). Bis zu einer Entscheidung bleibt der Beschluss wirksam. Die Zertifizierung klärt den Transfer. Sie ersetzt weder die Rechtsgrundlage für die Einbettung nach Art. 6 DSGVO noch die Einwilligung nach § 25 TDDDG, wo Informationen im Endgerät gespeichert oder gelesen werden.

Ein Beispiel aus der Rechtsprechung

Das Landgericht München I sprach 2022 einem Besucher 100 Euro Schadensersatz zu, weil eine Seite Google Fonts von Google lud und dabei seine IP-Adresse übertrug (Az. 3 O 17493/20). Das Argument: Die Schriften hätten sich lokal einbinden lassen. Die Entscheidung ist erstinstanzlich, zeigt aber, welche Frage entscheidet: Gibt es eine datensparsame Alternative, die zumutbar ist?

Die technischen Bausteine

Es gibt fünf Muster, mit denen sich fast jede Einbindung lösen lässt.

Warum Cookie-Banner oft nicht reichen

Ein Consent-Tool kann nur zurückhalten, was es kennt und was per Skript lädt. Drei Dinge laufen regelmäßig daran vorbei:

• Stylesheets und Schriften. Sie laden, bevor das Banner gezeichnet wird. Auf Seiten mit Banner laden 25,4 % ihre Schriften trotzdem extern.
• Hartkodierte Einbettungen. Ein iframe im ursprünglichen HTML ist für Blocker leicht erkennbar, ein iframe, das ein Slider oder Page-Builder erzeugt, nicht immer.
• Verbindungshinweise. Ein preconnect oder dns-prefetch auf einen fremden Host baut die Verbindung auf, auch wenn danach nichts geladen wird.

Ein Banner ist also notwendig, wo eine Einwilligung gebraucht wird, und nicht hinreichend. Ob es funktioniert, zeigt nur die Messung in einem frischen Browser.

Für Agenturen: ein Audit in dreißig Minuten pro Kundenseite

1. Startseite und eine Seite je Vorlage laden. Blog, Shop, Kontakt, Standort. Vorlagen laden unterschiedliche Dienste.
2. Vor der Entscheidung messen. Netzwerk-Reiter, Banner nicht bedienen, nach fremden Hosts filtern.
3. Hosts zuordnen. Welcher Dienst steckt hinter welcher Domain, und welche Rolle hat er?
4. Pro Treffer entscheiden. Entfernen, lokal hosten, hinter Klick stellen oder mit Einwilligung laden.
5. Dokumentieren. Datenschutzerklärung, Verarbeitungsverzeichnis und AVV-Liste anpassen.
6. Wiederholen. Neue Beiträge, Plugin-Updates und Theme-Wechsel bringen Verbindungen zurück.

Die ersten drei Schritte sind Handarbeit, die sich messen lässt. Complianty lädt jede Kundenseite in einem frischen Browser, trennt die Verbindungen vor und nach dem Einwilligungsklick mit URL und Zeitpunkt und wiederholt das regelmäßig. Dort steht dann, was sich seit dem letzten Mal verändert hat.