Google Maps DSGVO-konform einbinden

Was ein Google-Maps-Embed überträgt

Eine Karte entsteht aus Kacheln, Skripten, Schriften und Symbolen, die der Browser von Google lädt. Das passiert beim Aufruf der Seite. Dabei erfährt Google mindestens die IP-Adresse des Besuchers, die aufgerufene Seite als Referrer und die üblichen Header des Browsers. Es braucht keinen Cookie, damit das geschieht.

Es gibt zwei übliche Einbindungen. Das iframe (Maps Embed API oder der Einbettungscode aus Google Maps) ist die einfache Variante und die häufigste auf kleinen Websites. Die JavaScript-API lädt das Kartenskript direkt in die Seite und erlaubt Marker, Routen und eigene Gestaltung. Beide verbinden sich beim Laden mit Google. Der Unterschied liegt darin, was zusätzlich geladen wird und wie sich die Einbindung kontrollieren lässt.

Beachten Sie die letzte Zeile: Eine statische Karte von der Static Maps API ist ein Bild, aber es kommt weiterhin von Google. Erst ein Bild, das Sie einmal erzeugt und auf Ihrem eigenen Server ablegen, ist keine Verbindung mehr.

Wann eine Einwilligung nötig ist

§ 25 TDDDG verlangt eine Einwilligung, wenn Informationen im Endgerät gespeichert oder von dort gelesen werden. Eine Karte tut das je nach Einbindung, etwa durch Einträge im lokalen Speicher. Unabhängig davon verlangt die DSGVO für die Übermittlung der IP-Adresse an Google eine Rechtsgrundlage nach Art. 6. Dass die IP-Adresse ein personenbezogenes Datum ist, hat der EuGH in der Rechtssache Breyer (C-582/14) geklärt.

Dazu kommt der Drittlandtransfer. Google LLC ist am EU-US Data Privacy Framework beteiligt. Das Europäische Gericht hat eine Klage gegen das Framework im September 2025 abgewiesen, ein Rechtsmittel liegt beim EuGH (C-703/25 P). Wer langfristig plant, baut die Karte so, dass sie ohne Google-Verbindung auskommt.

Rolle von Google bei Google Maps

Google führt die Maps-APIs in seiner Dienstliste unter den Datenschutzbedingungen zwischen Verantwortlichen (Google Maps Controller-Controller Data Protection Terms) und nicht unter dem Auftragsverarbeitungszusatz. Google versteht sich bei Maps also als eigenständiger Verantwortlicher. Daraus folgt: Es gibt keinen Auftragsverarbeitungsvertrag, und die Einbettung ist eine Übermittlung an einen Verantwortlichen. Google kann diese Zuordnung ändern, prüfen Sie die aktuelle Dienstliste von Google und halten Sie Ihre Einordnung im Verarbeitungsverzeichnis fest.

Vier Wege zur Karte ohne Vorab-Verbindung

Für eine einzelne Anfahrtskarte auf einer Kundenseite ist Weg 1 oder 2 fast immer richtig. Weg 1 braucht keine Einwilligung und keine Pflege. Weg 2 erhält die Interaktivität und kostet ein paar Zeilen Code. Das Muster entspricht dem Platzhalter für YouTube, den Rechtsrahmen für alle Dienste fasst der Überblick zusammen.

Umsetzung: Platzhalter für das Google-Maps-iframe

<div class="map-consent" data-src="https://www.google.com/maps/embed?pb=EINBETTUNGSCODE">
  <img src="/assets/karte-vorschau.jpg" alt="Kartenausschnitt: Anfahrt zu Musterfirma"
       width="640" height="360" loading="lazy">
  <p>Wenn Sie die Karte laden, überträgt Ihr Browser Ihre IP-Adresse an Google.
     <a href="/datenschutz/#google-maps">Mehr erfahren</a></p>
  <button type="button">Karte laden</button>
</div>

<script>
document.querySelectorAll('.map-consent button').forEach(function (btn) {
  btn.addEventListener('click', function () {
    var box = btn.closest('.map-consent');
    var frame = document.createElement('iframe');
    frame.src = box.dataset.src;
    frame.width = 640;
    frame.height = 360;
    frame.title = 'Karte: Anfahrt';
    frame.loading = 'lazy';
    frame.referrerPolicy = 'no-referrer-when-downgrade';
    box.replaceChildren(frame);
  });
});
</script>

Das Vorschaubild erzeugen Sie einmal, etwa als Bildschirmfoto der Karte, und legen es auf Ihrem Server ab. Beachten Sie die Nutzungsbedingungen von Google für Kartenmaterial, wenn Sie Bilder davon veröffentlichen. Wer sich damit nicht befassen will, nimmt eine Karte von OpenStreetMap, deren Daten unter einer offenen Lizenz stehen und bei Verwendung die Nennung der Quelle verlangen.

Die häufigsten Fehler

• Die Karte steckt im Theme. Viele Themes laden das Maps-Skript global im Header, auch auf Seiten ohne Karte. Dann besteht die Verbindung auf jeder Unterseite.
• Kontaktformular-Plugins mit Karte. Formular-Plugins und Standort-Widgets binden eine Karte ein, ohne dass der Redakteur es merkt.
• Der Footer. Eine kleine Karte oder ein Standortfinder im Footer ist auf jeder Seite präsent. Das ist häufig die Quelle, wenn der Scan Google Maps auf allen Unterseiten zeigt.
• Die Karte liegt im Cookie-Banner-Blocker, aber das Skript nicht. Das iframe ist ersetzt, das Skript, das es steuert, lädt weiter.
• Google-Maps-Link statt Einbettung ist nicht das Problem. Ein einfacher Link, der in Google Maps öffnet, verlässt Ihre Seite. Erst danach besteht die Verbindung, und Sie sind nicht Verantwortlicher dafür.

Datenschutzerklärung und Verarbeitungsverzeichnis

Die Datenschutzerklärung nennt den Dienst, den Zweck (Darstellung der Anfahrt), die übermittelten Daten (IP-Adresse, Browser-Informationen, aufgerufene Seite), die Rechtsgrundlage und den Transfermechanismus. Wer die Karte hinter eine Einwilligung stellt, nennt Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Bei einer statischen Karte ohne Verbindung entfällt der Abschnitt, und sie kann die Erklärung kürzer machen. Das Verarbeitungsverzeichnis führt die Einbindung als eigene Tätigkeit, solange Google beteiligt ist.

Für Agenturen: das Muster für viele Standorte

1. Standard festlegen. Für Anfahrtskarten gilt das statische Bild mit Link. Interaktive Karten sind die Ausnahme und brauchen den Platzhalter.
2. Das Theme aufräumen. Maps-Skript nur auf Seiten laden, die eine Karte tragen, und erst nach dem Klick.
3. Mehrere Standorte. Ein Standortfinder mit vielen Karten lohnt eigene Kacheln. Das ist die einzige Variante, die bei Last und Datenschutz zugleich trägt.
4. Messen statt vermuten. Complianty lädt jede Kundenseite in einem frischen Browser und zeigt, ob und auf welchen Unterseiten sich der Browser vor dem Einwilligungsklick mit Google Maps verbindet.

So prüfen Sie das Ergebnis

1. Seite in einem privaten Fenster öffnen, Entwicklerwerkzeuge und Reiter Netzwerk öffnen, dann neu laden.
2. Das Cookie-Banner nicht bedienen.
3. Nach maps, gstatic, googleapis und google.com filtern. Es darf kein Treffer zu Karten erscheinen.
4. Dann die Karte laden. Jetzt entsteht die Verbindung.
5. Jede Unterseite einzeln prüfen, besonders Footer, Kontaktseite und Standortseiten.