Vimeo DSGVO-konform einbinden

Was beim Einbetten von Vimeo passiert

Vimeo-Videos werden als iframe von player.vimeo.com eingebunden. Der Browser lädt es zusammen mit der Seite, nicht erst beim Abspielen. Das ist derselbe Mechanismus wie bei YouTube, und er entscheidet die Datenschutzfrage: Die Verbindung steht, bevor der Besucher etwas getan hat.

Was der dnt-Parameter ändert

Vimeo bietet für die Einbettung den Parameter dnt an. Mit ?dnt=1 an der Adresse des iframes weist der Website-Betreiber den Player an, Sitzungsdaten einschließlich Cookies nicht zu verfolgen. So beschreibt es die Entwicklerdokumentation von Vimeo, und sie nennt den Preis gleich mit: Der Parameter blockiert auch die Video-Statistik. Technische Cookies der Auslieferungsinfrastruktur können trotzdem gesetzt werden, das ist in der Dokumentation nicht im Einzelnen aufgeführt und sollte im Browser geprüft werden.

Rechtlicher Rahmen in Kürze

Zwei Regelwerke greifen ineinander. § 25 TDDDG verlangt eine Einwilligung, wenn Informationen im Endgerät gespeichert oder von dort gelesen werden (dazu zählt nach der Orientierungshilfe der Aufsichtsbehörden auch der lokale Speicher des Browsers) und das nicht unbedingt erforderlich ist. Die DSGVO verlangt für die Übermittlung der IP-Adresse an Vimeo eine Rechtsgrundlage nach Art. 6. Die Orientierungshilfe Digitale Dienste (Version 1.2, November 2024, Rn. 101) nennt Videos ausdrücklich als Drittinhalt, bei dem regelmäßig Daten an den Betreiber des Drittservers fließen. Der EuGH hat im Fall Fashion ID (C-40/17) entschieden, dass der Seitenbetreiber für die Einbettung eines fremden Plugins mitverantwortlich ist. Die ausführliche Fassung steht im Überblick zu den Rechtsgrundlagen.

Vimeo und das Data Privacy Framework

Vimeo gibt an, am EU-US Data Privacy Framework teilzunehmen, ebenso an den Erweiterungen für das Vereinigte Königreich und die Schweiz. In der DPF-Liste des US-Handelsministeriums war Vimeo.com, Inc. beim Abruf am 14. Oktober 2026 als aktiv geführt. Sie ist die Grundlage für die Übermittlung in die USA. Sie beantwortet nicht, ob Sie die Einbettung ohne Einwilligung laden dürfen. Das Europäische Gericht hat eine Klage gegen das Framework im September 2025 abgewiesen, ein Rechtsmittel liegt beim EuGH (C-703/25 P). Bis zu einer Entscheidung bleibt der Angemessenheitsbeschluss wirksam. Beachten Sie außerdem: Vimeo ist 2025 von Bending Spoons übernommen worden. Betreibergesellschaft, Datenschutzerklärung und Zertifizierungsstatus sollten Sie deshalb gegen den aktuellen Stand bei Vimeo und in der DPF-Liste prüfen.

Rolle von Vimeo: kein Auftragsverarbeiter

Vimeo schreibt in seinem Hilfecenter, dass es sich als Verantwortlicher im Sinne der DSGVO versteht und deshalb mit Nutzern keine Auftragsverarbeitungsverträge abschließt. Für den eingebetteten Player verweist Vimeo auf Standardvertragsklauseln zwischen Verantwortlichen (Controller-to-Controller), die sich über ein Formular abschließen lassen. Daraus folgt: Die Einbettung ist keine Auftragsverarbeitung, sondern eine Übermittlung an einen eigenständigen Verantwortlichen. Entsprechend gehört Vimeo nicht in den Auftragsverarbeiter-Teil Ihrer Unterlagen, sondern in die Empfängerliste von Datenschutzerklärung und Verarbeitungsverzeichnis.

Drei Wege, Vimeo sauber einzubinden

Umsetzung: Platzhalter mit lokalem Vorschaubild

Das Vorschaubild holen Sie einmal über die oEmbed-Schnittstelle von Vimeo ab, speichern es auf Ihrem Server und verweisen im Platzhalter darauf. Danach entsteht vor dem Klick keine Verbindung zu Vimeo. Dasselbe Muster beschreibt der Ratgeber zu YouTube.

<div class="vimeo-consent" data-video-id="123456789">
  <img src="/assets/vimeo-vorschau.jpg" alt="Vorschaubild: Titel des Videos"
       width="640" height="360" loading="lazy">
  <p>Wenn Sie das Video laden, überträgt Ihr Browser Ihre IP-Adresse an Vimeo.
     <a href="/datenschutz/#vimeo">Mehr erfahren</a></p>
  <button type="button">Video laden</button>
</div>

<script>
document.querySelectorAll('.vimeo-consent button').forEach(function (btn) {
  btn.addEventListener('click', function () {
    var box = btn.closest('.vimeo-consent');
    var frame = document.createElement('iframe');
    frame.src = 'https://player.vimeo.com/video/' + box.dataset.videoId + '?dnt=1&autoplay=1';
    frame.width = 640;
    frame.height = 360;
    frame.title = 'Vimeo-Video';
    frame.allow = 'autoplay; fullscreen; picture-in-picture';
    frame.allowFullscreen = true;
    box.replaceChildren(frame);
  });
});
</script>

Den Hinweistext sollten Sie an Ihre Datenschutzerklärung binden, damit beide dasselbe sagen.

Die häufigsten Fehler

• Das Vorschaubild kommt von Vimeo. Wer das Bild direkt von i.vimeocdn.com lädt, hat die Verbindung trotz Platzhalter. Auch Dienste, die Vimeo-Vorschaubilder per URL ausliefern, sind ein weiterer Dritter.
• Das Steuerungs-Skript lädt immer. Das Player-SDK von player.vimeo.com steht oft im Footer des Themes und verbindet sich mit Vimeo, auch wenn gar kein Video auf der Seite steht.
• Hintergrundvideos. Ein Vimeo-Video im Hero-Bereich startet automatisch und trägt das iframe im ersten Render. Es braucht dieselbe Behandlung wie ein sichtbares Video.
• dnt=1 nur beim ersten Video. Bei mehreren Videos wird der Parameter gern vergessen. Ein zentrales Muster statt Copy-und-Paste verhindert das.
• Nur die Startseite geprüft. Videos stehen auf Unterseiten, in Referenzen und im Blog.

Datenschutzerklärung und Verarbeitungsverzeichnis

Die Datenschutzerklärung nennt die Einbindung mit Zweck, Empfänger (die Vimeo-Gesellschaft, die in der aktuellen Datenschutzerklärung von Vimeo genannt ist), den übermittelten Daten, der Rechtsgrundlage und dem Transfermechanismus. Bei einer Umsetzung mit Einwilligung ist die Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Ins Verarbeitungsverzeichnis gehört die Einbindung als eigene Verarbeitungstätigkeit mit der Einordnung der Rollen. Die Standardvertragsklauseln, die Vimeo für den Player anbietet, gehören in den Mandantenordner. Einen Eintrag im AVV-Tracker gibt es dafür nicht, weil kein Auftragsverarbeitungsvertrag besteht.

Für Agenturen: Vimeo in vielen Projekten im Griff behalten

1. Ein Muster pro CMS. Ein Block oder Shortcode, der den Platzhalter mit dnt=1 ausgibt. Der Standard-Embed wird deaktiviert, sonst setzt sich bei jedem neuen Beitrag der Weg des geringsten Widerstands durch.
2. Das Theme prüfen. Viele Themes laden das Vimeo-SDK global. Eine Seite ohne Video darf keine Verbindung zu Vimeo haben.
3. Messen statt vermuten. Complianty lädt jede Kundenseite in einem frischen Browser und zeigt, welche Verbindungen vor dem Einwilligungsklick entstehen, mit URL und Zeitpunkt. Dass Vimeo dort nicht erscheint, ist dann belegt und nicht angenommen.

So prüfen Sie das Ergebnis

1. Seite in einem privaten Fenster öffnen, Entwicklerwerkzeuge und Reiter Netzwerk öffnen, dann neu laden.
2. Das Cookie-Banner nicht bedienen.
3. Nach vimeo und vimeocdn filtern. Es darf kein Treffer erscheinen.
4. Dann das Video laden. Jetzt entsteht die Verbindung, und die Adresse des iframes muss dnt=1 enthalten.
5. Jede Unterseite mit Video einzeln prüfen.