YouTube-Videos auf der eigenen Website einbinden, das klingt einfach. Rechtlich ist es das nicht. Wer Videos von YouTube einbettet, überträgt in vielen Fällen Nutzerdaten an Google, oft ohne dass der Besucher es merkt. Die DSGVO (und das TDDDG) machen diesen Vorgang zur Pflichtdisziplin: Wer YouTube einsetzt, muss das in seiner Datenschutzerklärung korrekt und vollständig abbilden, sonst drohen Abmahnungen, Bußgelder und Reputationsschäden.
Dieser WissensSnack erklärt Schritt für Schritt, was zu tun ist und wie der Händlerbund dich dabei absichert.
Kurz erklärt: Warum YouTube in der Datenschutzerklärung Pflicht ist
Wer ein YouTube-Video auf seiner Website einbindet, stellt damit in vielen Fällen eine Verbindung zu den Servern von Google her. Sobald der YouTube-Player über einen iframe beim Seitenaufruf geladen wird, werden Daten wie IP-Adresse, Browser-Informationen, Gerätedaten und (falls der Nutzer bei Google eingeloggt ist) sogar seine Nutzerkennung übertragen.
Damit handelt es sich um eine Verarbeitung personenbezogener Daten, die einer Rechtsgrundlage bedarf und gegenüber den Betroffenen transparent gemacht werden muss. Die Datenschutzerklärung ist das zentrale Instrument dieser Transparenzpflicht.
Für wen gilt das? Typische Use Cases
YouTube-Einbindungen sind in der Praxis weit verbreitet, oft ohne dass Websitebetreiber sich der Konsequenzen bewusst sind. Typische Szenarien:
- Online-Händler, die Produktvideos oder Anleitungsfilme auf ihren Shopseiten einbetten
- Dienstleister mit Image- oder Erklärvideos auf der Startseite
- Blogs und Redaktionen, die YouTube-Clips zur Illustrierung einbinden
- Unternehmen, die auf YouTube-Tutorials oder -Webinare verweisen
Entscheidend ist vor allem, ob beim Laden der Seite oder spätestens beim Aktivieren des Players eine Datenverbindung zu YouTube/Google hergestellt wird.
Diese Einbindungsarten unterscheiden sich und verändern die Pflichten
Nicht alle YouTube-Einbindungen sind rechtlich gleich zu behandeln. Je nach Methode variieren die Pflichten und Risiken erheblich.
Consent & Cookies: Wann braucht man eine Einwilligung?
Beim Einbinden von YouTube-Videos sind zwei Ebenen zu unterscheiden: die DSGVO und das TDDDG. Die DSGVO regelt die Verarbeitung personenbezogener Daten, etwa IP-Adresse, Geräteinformationen oder Nutzungsverhalten. Das TDDDG ist zusätzlich relevant, wenn durch den YouTube-Player Informationen auf dem Endgerät des Nutzers gespeichert oder ausgelesen werden, etwa Cookies oder vergleichbare Technologien.
Für solche Zugriffe auf das Endgerät ist nach § 25 TDDDG grundsätzlich eine vorherige Einwilligung erforderlich, sofern sie nicht technisch unbedingt erforderlich sind. YouTube-Embeds dienen in der Regel nicht dem zwingend notwendigen Betrieb der Website, sondern der komfortablen Darstellung externer Videoinhalte. Deshalb sollte der Player erst geladen werden, nachdem der Nutzer aktiv eingewilligt hat.
Ein Consent Management Tool kann dabei helfen, Einwilligungen wirksam einzuholen, zu dokumentieren und einen Widerruf zu ermöglichen.
Checkliste: Was muss konkret in die Datenschutzerklärung?
Ein DSGVO-konformer YouTube-Abschnitt in der Datenschutzerklärung soll u. a. folgende Informationen enthalten:
- Name und Kontaktdaten des Verantwortlichen
- Name des Drittanbieters: Google Ireland Limited/Google LLC (je nach Kontext)
- Zweck der Einbindung (z. B. Darstellung von Produktvideos, Tutorials)
- Art der verarbeiteten Daten (IP-Adresse, Gerätedaten, Nutzungsverhalten, ggf. Nutzerkennung)
- Rechtsgrundlage der Verarbeitung
- Speicherdauer bzw. Kriterien der Speicherdauer
- Information über Drittlandtransfer in die USA
- Hinweis auf Möglichkeit der Einwilligung und deren Widerruf
- Hinweis auf Betroffenenrechte (Auskunft, Löschung, Widerspruch etc.)
Fehlt der YouTube-Abschnitt oder ist er unvollständig, riskierst du:
- Abmahnungen durch Mitbewerber oder Abmahnvereine
- Beschwerden bei Datenschutzbehörden und daraus folgende Bußgeldverfahren
- Vertrauensverlust bei Kunden, die professionellen Datenschutz erwarten
