{"id":18218,"date":"2022-03-02T14:45:37","date_gmt":"2022-03-02T13:45:37","guid":{"rendered":"https:\/\/www.iitr.de\/blog\/?p=18218"},"modified":"2025-08-06T11:13:34","modified_gmt":"2025-08-06T09:13:34","slug":"datenschutzkonforme-einbindung-tools-webseiten","status":"publish","type":"post","link":"https:\/\/www.iitr.de\/blog\/datenschutzkonforme-einbindung-tools-webseiten\/18218\/","title":{"rendered":"Datenschutzkonforme Einbindung verschiedener Tools auf Webseiten"},"content":{"rendered":"

\"IITR[IITR<\/a> – 02.03.22] Die datenschutzkonforme Gestaltung von Webseiten steht derzeit im Focus der Datenschutz-Aufsichtsbeh\u00f6rden. W\u00e4hrend bereits das \u201eOb\u201c der Einbindung eines bestimmten Tools \u00e4u\u00dferst umstritten ist, \u00e4ndert sich das keineswegs im folgenden Schritt bei der Frage nach dem \u201eWie\u201c. Die unterschiedliche Handhabe, Ausgestaltung und komplexe Einsatzm\u00f6glichkeit derzeitig eingesetzter Anwendungen birgt einige Stolpersteine und f\u00fchrt zu kniffligen datenschutzrechtlichen Problemstellungen, die im folgenden beschrieben werden.<\/p>\n

<\/p>\n

TTDSG: \u201eJe Eingriff, desto Einwilligung\u201c<\/h2>\n

Das neue Telekommunikation-Telemedien-Datenschutz-Gesetz<\/a>, kurz TTDSG, das am 1. Dezember 2021 in Kraft getreten ist, sch\u00fctzt insbesondere die Integrit\u00e4t der Hardware von Endnutzern. Cookies stellen durch ihre Funktion einen Eingriff in eben diese Endger\u00e4te dar, so dass grunds\u00e4tzlich eine Einwilligung erforderlich wird. Seltene Ausnahmen sind in \u00a7 25 Abs. 2 TTDSG<\/a> dargelegt, so kann beispielsweise bei \u201eunbedingt erforderlichen\u201c Cookies von einer Einwilligung abgesehen werden.<\/p>\n

Im Umkehrschluss gilt also, dass ein Tracking ohne Einwilligung dann m\u00f6glich erscheint, wenn kein Eingriff ins Endger\u00e4t notwendig ist, dieses Tracking also beispielsweise \u201ecookielos\u201c erfolgt. Zus\u00e4tzlich muss zur Datenanalyse unweigerlich zun\u00e4chst anonymisiert werden, da ansonsten eine Einwilligung nach DSGVO erforderlich w\u00fcrde.<\/p>\n

DSGVO: \u201eJe Datentransfer, desto Einwilligung\u201c<\/h2>\n

Die DSGVO sch\u00fctzt die Seitennutzer des Weiteren davor, dass personenbezogene Daten ungehindert \u00fcbermittelt werden k\u00f6nnen. Oftmals werden bestimmte Verfahren \u2013 weit \u00fcber das Tracking hinaus \u2013 durch Drittanbieter vorgenommen, so dass eine \u00dcbermittlung der personenbezogenen Daten an diese unerl\u00e4sslich wird. Dies gilt allerdings nicht f\u00fcr anonymisierte \u2013 sehr wohl aber f\u00fcr pseudonymisierte \u2013 Daten.<\/p>\n

H\u00e4ufig werden in Webseiten Codes von solchen Dritt-Dienstleistern verbaut, die einen Datenfluss der Nutzerdaten automatisiert ausl\u00f6sen. Bei vielen dieser Tools ist es durch technische Anpassungen m\u00f6glich, diesen Datenfluss zu unterbinden, so dass die Tools einwilligungsfrei eingesetzt werden k\u00f6nnen.<\/p>\n

Externe Schriftarten (wie Google Fonts)<\/h2>\n

\u201eGrunds\u00e4tzlich ist es rechtlich begr\u00fcndbar, externe Schriftarten auf seiner Webseite einzubinden. Jedoch empfehlen wir, diese \u00fcber den eigenen Webserver einzubinden und selbst zu hosten. Bei Aktivierung des Tools wird ansonsten eine Verbindung zu den Servern der Drittanbieter hergestellt, welche bei solchen Diensten oft zu einer \u00dcbermittlung personenbezogener Daten in Drittl\u00e4nder f\u00fchrt. Dies gilt z.B. bei Google Fonts, da bei Aufruf der Webseite der Browser des Nutzers die ben\u00f6tigten Webfonts l\u00e4dt und zu diesem Zweck zu den Google-Servern Kontakt aufnimmt, so dass eine Daten\u00fcbermittlung in die USA stattfinden kann.\u201c (BayLDA in seinem FAQ zu \u201eInternet\u201c<\/a>)<\/p><\/blockquote>\n

Soweit eine externe Schriftart auf der Webseite verwendet werden soll, muss diese von externen Servern \u2013 wie Google \u2013 geladen werden. Es wird automatisch eine Verbindung aufgebaut und so flie\u00dfen personenbezogene Daten des Seitennutzers in Drittl\u00e4nder, wozu es einer Einwilligung bedarf. Um nun einen solchen Datentransfer \u2013 und damit gleichzeitig die Anforderung einer Einwilligung \u2013 zu umgehen, besteht die M\u00f6glichkeit, die ausgew\u00e4hlte Schriftart auf die eigenen Server zwischenzuladen. Eine vertiefende Darstellung finden Sie hier.<\/p>\n

Kartendienst-Anbieter (wie Google Maps)<\/h2>\n

\u201eZun\u00e4chst sollten die Inhalte von Google Maps erst dann geladen werden, wenn der Nutzer aktiv den Kartendienst in Anspruch nimmt, z.B. durch einen extra Klick. Au\u00dferdem sind Kartendienste Dritter im Rahmen der Datenschutzerkl\u00e4rung der Webseite zu ber\u00fccksichtigen. Da beim Aktivieren des Tools eine Verbindung zu den Servern der Drittanbieter hergestellt wird, f\u00fchren solche Dienste oft zu einer \u00dcbermittlung personenbezogener Daten in Drittl\u00e4nder. Dies ist etwa der Fall bei der Einbindung von Google Maps.\u201c (BayLDA in seinem FAQ zu \u201eInternet\u201c<\/a>)<\/p><\/blockquote>\n

Es soll also zun\u00e4chst unbedingt verhindert werden, dass bereits mit Aufrufen der Webseite Inhalte des Kartendienstleisters geladen werden, weil dies grunds\u00e4tzlich nur mit Einwilligung zul\u00e4ssig ist.<\/p>\n

So k\u00f6nnte hier eine \u201eVorschalt-Funktion\u201c eingebaut werden, die darauf hinweist, dass die Kartenfunktion lediglich mit Einwilligung erfolgen kann und somit ein \u201eZustimmen\u201c des Seitennutzers verlangt wird oder man integriert eine rein statische Karte als Link zum Anbieter, so dass keinerlei \u00dcbermittlung stattfindet, die Karte aber auch letztlich nicht mehr eingebettet ist. \u2013 Alternativ kann nat\u00fcrlich auch auf andere Maps-Anbieter zur\u00fcckgegriffen werden\u00a0(m\u00f6gliche Alternative: \u201eOpenStreetMap\u201c<\/a>).<\/p>\n

Video-Einbindung (insb. YouTube)<\/h2>\n

Analog zu der Einbindung von Kartendienst-Anbietern ist auch bei der Einbindung von Videos (insb. von YouTube) darauf zu achten, dass nicht bereits mit Aufrufen der Webseite Daten des Webseiten-Besuchers an YouTube\/Google \u00fcbermittelt werden bzw. von YouTube\/Google Cookies gesetzt werden. YouTube bietet hierzu einen „privacy-enhanced mode“ bei der Video-Einbindung an. Alternativ kann auch bei den Videos mit einer Vorschalt-Funktion gearbeitet oder mit einem alternativen europ\u00e4ischen Video-Dienstanbieter\/eigenem Hosting der Videos gearbeitet werden.<\/p>\n

Social Plugins (z.B. von Twitter, Facebook, Instagram)<\/h2>\n

\u201eDie Einbindung ist rechtm\u00e4\u00dfig m\u00f6glich, soweit vorher eine Einwilligung des Nutzers eingeholt und in der Datenschutzerkl\u00e4rung \u00fcber den Einsatz informiert wird. Hierzu kommen Zwei-Klickl\u00f6sungen in Betracht beispielsweise von Shariff Wrapper und Embetty in Betracht.\u201c (BayLDA in seinem FAQ zu \u201eInternet\u201c<\/a>)<\/p><\/blockquote>\n

\u00c4hnlich wie bei Kartendienstanbietern ist sicherzustellen, dass ein personenbezogener Datentransfer nicht bereits mit Aufrufen der Webseite erfolgt. Dies gelingt beispielsweise mit dem Einsatz von \u201ec\u2018t Shariff<\/a>\u201c. Soweit hier jedoch aktiv mit dem Sozialen Medium interagiert werden soll, ist eine Einwilligung unumg\u00e4nglich. Es kann wiederum nur darauf verzichtet werden, sollte lediglich ein Button, der ausschlie\u00dflich als Link fungiert, eingesetzt werden.<\/p>\n

Im \u00dcbrigen ist es derzeit nicht m\u00f6glich, eine \u201eFanpage\u201c datenschutzkonform zu betreiben, weil \u201eFanpage-Betreiber ihre Rechenschaftspflicht gem. Art. 5 Abs. 1, 2 DS-GVO nicht erf\u00fcllen k\u00f6nnen.\u201c (BayLDA in seinem FAQ zu \u201eInternet\u201c<\/a>). \u2013 Es m\u00fcssten n\u00e4mlich die verschiedenen Aspekte der Datenverarbeitung hinsichtlich der Fanpage dokumentiert dargestellt werden, was mangels ausreichender Angaben der verschiedenen Social-Media-Anbieter derzeit nach Auffassung der Datenschutz-Aufsichtsbeh\u00f6rde praktisch unm\u00f6glich ist.<\/p>\n

Captcha-Dienste (wie Google reCAPTCHA)<\/h2>\n

\u201eWebsite-Betreiber sollten unbedingt Alternativen pr\u00fcfen. Wird dennoch Google reCAPTCHA eingebunden, muss sich der Verantwortliche im Klaren sein, dass er den rechtm\u00e4\u00dfigen Einsatz gem. Art. 5 Abs. 1, 2 DS-GVO nachweisen k\u00f6nnen muss. Wer nicht darlegen kann, wie Google die Nutzerdaten verarbeitet, kann den Nutzer nicht transparent informieren und den rechtm\u00e4\u00dfigen Einsatz nicht nachweisen.\u201c (BayLDA in seinem FAQ zu \u201eInternet\u201c<\/a>)<\/p><\/blockquote>\n

Der hier angesprochenen Informationspflicht nachzukommen, erweist sich in der Praxis oftmals als Sisyphus-Aufgabe und wir so zumeist nicht gelingen. Hier ist es also ratsam, sich nach Alternativen wie \u201efriendlycaptcha\u201c<\/a> umzusehen.<\/p>\n

Analyse-Tools (wie Google Analytics)<\/h2>\n

Kaum ein Webseiten-Tool ist datenschutzrechtlich so hei\u00df diskutiert und umstritten wie \u201eGoogle Analytics\u201c. Grund daf\u00fcr ist, dass bei einem standardm\u00e4\u00dfigen Einsatz ein Cookie gesetzt wird, personenbezogene Daten (wie IP-Adressen) erhoben werden und diese Daten in die USA transferiert werden. F\u00fcr jeden genannten Aspekt bedarf es einzeln betrachtet einer Einwilligung des Seitennutzers. Nach Datenschutzgrundverordnung m\u00fcsste ein Seitennutzer zur wirksamen Einwilligung jeweils ausf\u00fchrlich informiert worden sein. Soweit dies dem Webseitenbetreiber gelingt, l\u00e4sst sich Google Analytics mit Einwilligung weiterhin einsetzen (vertiefend: Hinweise der Datenschutzkonferenz zu Google Analytics<\/a>).<\/p>\n

Alternativ ist es m\u00f6glich, Google Analytics zu einer cookielosen Variante umzugestalten und einen Proxy auf dem eigenen Server vorzuschalten, der die IP-Adressen vor der \u00dcbermittlung an Google anonymisiert. Das entspricht jedoch einem gewissen technischen Aufwand, dadurch lie\u00dfe sich aber Google Analytics \u2013 in einem etwas kleineren Umfang \u2013 einwilligungsfrei verwenden.<\/p>\n

Eine weniger aufwendige Alternative stellt datenschutzfreundlichere Tracking-Technik dar, die standardm\u00e4\u00dfig ohne Cookies funktioniert. Beispiele (in entsprechender technischer Konfiguration) daf\u00fcr sind \u201eetracker\u201c<\/a>, \u201eeconda\u201c<\/a> oder \u201ematomo\u201c<\/a>.<\/p>\n

Es ist im \u00dcbrigen auch m\u00f6glich mehrere Tracking-Tools zu kombinieren, so dass trotz nicht erfolgter Einwilligung ein Basis-Datensatz zur Analyse immer gegeben ist.<\/p>\n

Einwilligungsbanner: zwei Themen im Blick halten<\/h2>\n

Bei der Nutzung von „Einwilligungsbannern“ sollten bei der korrekten Konfiguration insbesondere folgende Themen im Blick gehalten werden:<\/p>\n