YouTube DSGVO-konform einbinden

Was beim Einbetten technisch passiert

Ein YouTube-Video wird fast immer als iframe eingebunden. Der Browser lädt dieses iframe sofort mit der Seite, nicht erst, wenn jemand auf Abspielen klickt. Dabei entstehen mehrere Verbindungen, und jede davon überträgt mindestens die IP-Adresse und den Browser-Fingerabdruck der üblichen Request-Header an den Empfänger.

Der Videostrom selbst kommt also erst beim Abspielen. Alles andere ist da, bevor der Besucher etwas getan hat. Das ist der Kern des Problems: Die Datenschutzfrage entscheidet sich nicht beim Klick auf Abspielen, sondern beim Laden der Seite.

Dazu kommen Zugriffe auf das Endgerät. Je nach Modus und Player-Version legt der eingebettete Player Einträge im lokalen Speicher des Browsers ab oder setzt Cookies. Welche das im Einzelfall sind, hängt von Google ab und ändert sich. Wer es genau wissen will, schaut in die Entwicklerwerkzeuge des Browsers (siehe Abschnitt zur Prüfung am Ende).

Wann eine Einwilligung nötig ist

Zwei Regelwerke greifen ineinander, und beide müssen erfüllt sein.

Zugriff auf das Endgerät: § 25 TDDDG

Speichert ein Dienst Informationen im Endgerät des Besuchers oder liest sie von dort aus, braucht das nach § 25 Abs. 1 TDDDG eine Einwilligung, es sei denn, der Zugriff ist unbedingt erforderlich, damit der ausdrücklich gewünschte Dienst erbracht werden kann. Ein Video, das der Besucher nicht angefordert hat, weil es nur eingebettet ist, fällt typischerweise nicht darunter. Der Maßstab für die Einwilligung ist streng: aktiv, informiert, freiwillig (EuGH, Planet49, C-673/17).

Datenübermittlung an Google: DSGVO

Die IP-Adresse ist ein personenbezogenes Datum (EuGH, Breyer, C-582/14). Wer ein YouTube-Video einbettet, veranlasst, dass sie an Google übermittelt wird. Dafür braucht der Seitenbetreiber eine Rechtsgrundlage nach Art. 6 DSGVO. Der EuGH hat im Fall Fashion ID (C-40/17) entschieden, dass der Betreiber einer Seite, die ein Plugin eines Dritten einbettet, für das Erheben und Übermitteln der Daten gemeinsam mit dem Anbieter verantwortlich ist. Das Urteil betraf den Facebook-Like-Button, die Logik überträgt sich auf Einbettungen mit vergleichbarem Datenfluss.

Dazu kommt der Drittlandtransfer. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (in der DPF-Liste am 14. Oktober 2026 als aktiv geführt), das die EU-Kommission 2023 als angemessen anerkannt hat. Das Europäische Gericht hat eine Klage dagegen im September 2025 abgewiesen, ein Rechtsmittel liegt beim EuGH (C-703/25 P). Bis dahin bleibt der Beschluss wirksam. Das Framework regelt nur den Transfer, es ersetzt keine Einwilligung nach § 25 TDDDG. Den Rechtsrahmen für alle Dienste fasst der Überblick zusammen. Wer vorsichtig plant, hält für den Fall eines Wegfalls eine Alternative bereit, und die einfachste ist, vor der Einwilligung gar keine Verbindung aufzubauen.

Der erweiterte Datenschutzmodus: was er leistet, was nicht

Beim Einbetten bietet YouTube den erweiterten Datenschutzmodus an. Das iframe verweist dann auf die Domain youtube-nocookie.com statt auf youtube.com. Im Einbettungsdialog beschreibt YouTube den Modus so, dass keine Informationen über Besucher der Seite gespeichert werden, solange sie das Video nicht abspielen. Unabhängige Tests haben vor dem Abspielen trotzdem Einträge im lokalen Speicher des Browsers gefunden.

Für die Messung heißt das: Eine Seite, die youtube-nocookie.com ohne Vorab-Sperre lädt, verbindet sich vor der Einwilligung genauso mit Google wie eine mit youtube.com. Der Scanner führt beide Domains getrennt auf, damit der Unterschied sichtbar bleibt, bewertet die Verbindung aber nicht als erledigt.

Vier Wege, YouTube sauber einzubinden

Für die meisten Kundenseiten ist der Zwei-Klick-Platzhalter der richtige Ausgangspunkt, weil er ohne zusätzliches Produkt auskommt und die Verbindung vor der Entscheidung wirklich verhindert.

Umsetzung: ein Zwei-Klick-Platzhalter in 20 Zeilen

Das folgende Muster lädt vor dem Klick nichts von YouTube. Das Vorschaubild liegt auf Ihrem eigenen Server. Der Klick erzeugt das iframe und nutzt dabei die datensparsamere Domain.

<div class="yt-consent" data-video-id="VIDEO_ID">
  <img src="/assets/video-vorschau.jpg" alt="Vorschaubild: Titel des Videos"
       width="640" height="360" loading="lazy">
  <p>Wenn Sie das Video laden, überträgt Ihr Browser Ihre IP-Adresse an Google.
     <a href="/datenschutz/#youtube">Mehr erfahren</a></p>
  <button type="button">Video laden</button>
</div>

<script>
document.querySelectorAll('.yt-consent button').forEach(function (btn) {
  btn.addEventListener('click', function () {
    var box = btn.closest('.yt-consent');
    var frame = document.createElement('iframe');
    frame.src = 'https://www.youtube-nocookie.com/embed/'
      + box.dataset.videoId + '?autoplay=1';
    frame.width = 640;
    frame.height = 360;
    frame.title = 'YouTube-Video';
    frame.allow = 'autoplay; encrypted-media; picture-in-picture';
    frame.allowFullscreen = true;
    box.replaceChildren(frame);
  });
});
</script>

Ob der Klick auf die Schaltfläche den Anforderungen an eine Einwilligung genügt, hängt von der Ausgestaltung ab: Der Besucher muss vorher verstehen, was passiert, und er muss die Möglichkeit haben, sich später anders zu entscheiden. Viele Betreiber behandeln den informierten Klick pro Video als Einwilligung, andere koppeln ihn an das zentrale Consent-Tool. Beides ist verbreitet, wichtig ist, dass vor dem Klick wirklich keine Verbindung besteht.

WordPress und Baukästen

In WordPress erzeugt der Block-Editor beim Einfügen einer YouTube-Adresse per oEmbed ein iframe auf youtube.com. Das ist die häufigste Quelle für Verbindungen vor der Einwilligung, weil der Redakteur nichts Auffälliges sieht. Hier helfen ein Plugin, das Einbettungen durch Platzhalter ersetzt, oder die Content-Blocker der gängigen Consent-Tools. Bei Baukästen lohnt der Blick in die Einstellungen des Video-Elements: Viele bieten eine Option für Datenschutzmodus oder Platzhalter, die nicht standardmäßig aktiv ist.

Die häufigsten Fehler in der Praxis

• Das Vorschaubild kommt von YouTube. Der Platzhalter ist gebaut, das Bild lädt aber von i.ytimg.com. Damit besteht die Verbindung zu Google doch. Das Bild gehört auf den eigenen Server.
• Das Consent-Tool kennt das Video nicht. Der Blocker erkennt das iframe nur, wenn es im ursprünglichen HTML steht. Videos, die ein Slider, ein Popup oder ein Page-Builder erst per Skript erzeugt, rutschen durch.
• Hintergrundvideos im Header. Sie starten automatisch und tragen den iframe schon im ersten Render. Ein Hintergrundvideo braucht dieselbe Behandlung wie ein sichtbares.
• Playlist- und Kanal-Widgets. Plugins, die einen YouTube-Kanal als Galerie darstellen, rufen YouTube-Daten per API oder Skript ab, oft schon beim Seitenaufruf.
• Lazy Loading als Datenschutzmaßnahme. loading="lazy" verzögert das Laden, verhindert es aber nicht. Sobald das iframe in den Sichtbereich kommt, besteht die Verbindung.
• Nur die Startseite geprüft. Videos stehen in Unterseiten, Blogartikeln und Landingpages. Ein Scan der Startseite sieht sie nicht.

Datenschutzerklärung und Verarbeitungsverzeichnis

Die Datenschutzerklärung muss die Einbindung benennen: welcher Dienst, welche Daten, welche Rechtsgrundlage, welcher Empfänger und die Übermittlung in ein Drittland. Nach der Einwilligung wird die Einwilligung als Rechtsgrundlage genannt (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG). Ein Textbaustein aus einem Generator ist ein Ausgangspunkt. Er muss zur tatsächlichen Umsetzung passen: Wer einen Zwei-Klick-Platzhalter verwendet, schreibt das auch so.

Ins Verarbeitungsverzeichnis gehört die Einbindung als eigene Verarbeitungstätigkeit. Einen Auftragsverarbeitungsvertrag gibt es bei einer YouTube-Einbettung in der Regel nicht, weil Google die Daten für eigene Zwecke verarbeitet. Die Datenflüsse werden deshalb als Übermittlung an einen gemeinsam oder eigenständig Verantwortlichen beschrieben, nicht als Auftragsverarbeitung. Das sollte Ihre Rechtsberatung für den konkreten Fall bestätigen.

Für Agenturen: das Muster über viele Kundenseiten

Ein einzelnes Video sauber einzubinden ist eine Stunde Arbeit. Das eigentliche Problem ist die Menge: Bei fünfzehn Kundenseiten steht an fünfzehn Stellen ein Video, und die Redakteure der Kunden fügen laufend neue ein. Drei Dinge helfen.

1. Ein festes Muster pro CMS. Ein Block oder Shortcode, der den Platzhalter ausgibt, statt des Standard-Embeds. Der Standard-Embed wird deaktiviert.
2. Eine Regel im Relaunch. Vor jeder Übergabe ein Scan, der Verbindungen vor der Einwilligung zeigt. Ein Treffer bei youtube.com ist ein Prüfpunkt, kein Urteil.
3. Eine Wiederholung. Neue Videos entstehen nach der Übergabe. Eine regelmäßige Messung zeigt, wann ein Redakteur das Muster umgangen hat.

Complianty misst genau das: Der Scanner lädt jede Kundenseite in einem frischen Browser und trennt die Verbindungen vor und nach dem Einwilligungsklick, mit URL und Zeitpunkt je Verbindung. Je nach Einstufung des Dienstes entsteht daraus ein To-Do am Mandanten. Beim nächsten Scan sehen Sie, ob die Verbindung verschwunden ist.

So prüfen Sie das Ergebnis

1. Öffnen Sie die Seite in einem privaten Fenster, damit kein gespeicherter Zustand mitspielt.
2. Öffnen Sie die Entwicklerwerkzeuge und den Reiter Netzwerk, bevor Sie die Seite laden.
3. Laden Sie die Seite neu, ohne das Cookie-Banner zu bedienen.
4. Filtern Sie nach youtube, ytimg, googlevideo und gstatic. Es darf kein Treffer erscheinen.
5. Klicken Sie dann auf Video laden. Jetzt dürfen die Verbindungen entstehen.
6. Prüfen Sie jede Unterseite mit einem Video, nicht nur die Startseite.

Beim Gegenprobieren gilt: Ein Browser mit gespeicherter Einwilligung zeigt das falsche Bild. Der Scan in einem frischen Browser ist die belastbarere Messung, weil er nie eine Vorgeschichte hat.