YouTube und Vimeo datenschutzfreundlich in Website einbinden

Videoinhalte sind auf vielen Websites ein wichtiger Bestandteil. Sie machen Inhalte anschaulicher, verbessern die Nutzererfahrung und erhöhen die Verweildauer. Die Einbindung von YouTube- oder Vimeo-Videos bringt jedoch datenschutzrechtliche Herausforderungen mit sich. Dabei sind insbesondere die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Telemedien-Datenschutz-Gesetz (TDDDG) zu beachten.

Wir schauen uns an, worauf man beim Einbinden von Videos achten muss und welche datenschutzfreundlichen Optionen möglich sind. Zwar konzentrieren wir uns in diesem Leitfaden auf YouTube und Vimeo, da sie die häufigsten Anbieter für eingebettete Videos sind – doch die meisten Anforderungen gelten auch für andere Videodienste, die externe Ressourcen laden oder Nutzerdaten verarbeiten.

Dienste mit Sitz in den USA – Sicherstellung eines angemessenen Datenschutzniveaus

Sowohl YouTube (Google LLC) als auch Vimeo Inc. haben ihren Unternehmenssitz in den USA. Das bedeutet, dass personenbezogene Daten wie IP-Adressen, Geräteinformationen oder Cookie-Daten unter Umständen in die USA übertragen werden. Nach der DSGVO ist ein solcher Drittlandtransfer nur zulässig, wenn für das Zielland ein angemessenes Schutzniveau gewährleistet ist.

Ein möglicher Mechanismus zur Sicherstellung des Datenschutzes ist das Data Privacy Framework (DPF), ein Abkommen zwischen der EU und den USA. Sowohl Google (YouTube) als auch Vimeo sind nach dem DPF zertifiziert, wodurch ein angemessenes Datenschutzniveau nach europäischem Standard bestätigt wird. Dennoch ist dies nicht mit einer generellen Freigabe der Dienste gleichzusetzen – eine Einwilligung der Nutzer bleibt erforderlich.

Laden externer Ressourcen – Einwilligungspflicht bereits beim Seitenaufruf

Ein oft übersehener Aspekt bei der Videoeinbindung ist, dass bereits beim Laden der Seite eine Verbindung zu den Servern von YouTube oder Vimeo aufgebaut wird – und zwar allein durch das Anzeigen des Vorschaubildes (Thumbnail).

Das bedeutet konkret:

• Selbst wenn das Video nicht abgespielt wird, fließen bereits personenbezogene Daten an die jeweiligen Anbieter.
• Die IP-Adresse des Besuchers sowie Informationen über das verwendete Gerät und den Browser können an YouTube oder Vimeo übermittelt werden.
• In bestimmten Fällen können bereits Cookies gesetzt oder Tracking-Mechanismen aktiviert werden.

Diese Datenübertragung erfordert nach dem TDDDG (§ 25 Abs. 1 TDDDG) eine aktive Einwilligung des Nutzers, bevor das Vorschaubild oder das eingebettete Video geladen wird.

Einwilligungspflicht nach DSGVO und TDDDG

Da sowohl YouTube als auch Vimeo personenbezogene Daten verarbeiten, darf eine direkte Einbindung der Videos auf einer Website nicht ohne vorherige Einwilligung des Nutzers erfolgen. Dies ist in der DSGVO (Art. 6 Abs. 1 lit. a DSGVO) sowie im TDDDG geregelt.

Selbst wenn YouTube im erweiterten Datenschutzmodus oder Vimeo mit aktivierter „Do Not Track“-Funktion eingebunden wird, besteht die Einwilligungspflicht weiterhin. Ein Consent-Management-Tool ist daher notwendig, um sicherzustellen, dass Videos erst nach Zustimmung geladen werden.

Transparente Information in der Datenschutzerklärung

Nutzer müssen nicht nur vor der Datenverarbeitung ihre Einwilligung geben, sondern auch klar darüber informiert werden, welche Daten an YouTube oder Vimeo übermittelt werden: 

• Die Datenschutzerklärung sollte eine detaillierte Erläuterung der Datenverarbeitung enthalten.
• Es muss darauf hingewiesen werden, dass bereits das Laden des Vorschaubildes eine Datenübertragung auslöst.
• Zusätzlich sollte die Möglichkeit des Widerrufs der Einwilligung beschrieben werden.

Da sowohl YouTube (Google LLC) als auch Vimeo Inc. ihren Sitz in den USA haben, erfolgt eine Übermittlung personenbezogener Daten in ein unsicheres Drittland. Nach der DSGVO ist dies nur zulässig, wenn für das Zielland ein angemessenes Datenschutzniveau sichergestellt wird.

Die gute Nachricht: Sowohl Google als auch Vimeo sind nach dem Data Privacy Framework (DPF) zertifiziert. Das DPF ist ein von der EU anerkanntes Datenschutzabkommen, das eine sichere Übertragung personenbezogener Daten in die USA ermöglicht. Damit wird gewährleistet, dass die Anbieter bestimmte Datenschutzstandards einhalten und sich an die Vorgaben der EU-Kommission zur Datenverarbeitung in den USA halten.

Trotz der DPF-Zertifizierung sollte jedoch zusätzlich darauf geachtet werden, dass ein Auftragsverarbeitungsvertrag (AVV) abgeschlossen wird, wenn YouTube- oder Vimeo-Videos in einen geschäftlichen Kontext eingebunden werden. Ein AVV stellt sicher, dass die Verarbeitung der personenbezogenen Daten im Auftrag des Website-Betreibers erfolgt und klare vertragliche Regelungen über den Datenschutz getroffen werden. Unternehmen und Website-Betreiber sollten daher stets prüfen, ob ein AVV mit Google bzw. Vimeo abgeschlossen werden kann oder bereits besteht, um auf der sicheren Seite zu sein.

Beide Anbieter stellen Optionen bereit, um die Weitergabe personenbezogener Daten zu reduzieren:

• YouTube bietet den erweiterten Datenschutzmodus, der Tracking-Cookies erst setzt, wenn das Video aktiv abgespielt wird.
• Vimeo erlaubt mit der „Do Not Track“-Funktion (dnt=1) die Deaktivierung von personalisiertem Tracking.

Allerdings bedeutet das nicht, dass keine Daten übermittelt oder verarbeitet werden. Auch mit diesen Einstellungen werden beim Abspielen des Videos personenbezogene Daten wie die IP-Adresse an die Anbieter übermittelt und es können Cookies gesetzt werden.

Der erweiterte Datenschutzmodus von YouTube stellt sicher, dass keine Tracking-Cookies direkt beim Laden der Seite gesetzt werden. Das Video wird dabei über youtube-nocookie.com eingebunden:

Einschränkungen des erweiterten Datenschutzmodus

Obwohl der erweiterte Datenschutzmodus von YouTube dazu beiträgt, die Datenübertragung beim bloßen Laden der Seite zu reduzieren, bietet er keinen vollständigen Schutz vor der Verarbeitung personenbezogener Daten. Im Folgenden werfen wir einen genaueren Blick darauf, welche Einschränkungen bestehen und warum trotz dieser Option eine Einwilligung erforderlich bleibt.

✅ Kein Tracking beim bloßen Laden der Seite:

Durch die Nutzung des erweiterten Datenschutzmodus von YouTube wird verhindert, dass beim Laden der Seite automatisch Tracking-Cookies gesetzt werden. Anders als bei der normalen Einbettung werden hier zunächst keine Cookies im Browser des Nutzers gespeichert, solange das Video nicht abgespielt wird.

✅ Verhindert die direkte Speicherung von YouTube-Cookies:

Da das Video über youtube-nocookie.com eingebunden wird, unterbindet YouTube die sofortige Speicherung von Cookies. Das bedeutet, dass keine personalisierten Werbecookies oder Analyse-Daten durch YouTube oder Google erhoben werden, solange das Video nicht aktiv gestartet wird.

❌ Beim Abspielen des Videos werden trotzdem personenbezogene Daten an Google übermittelt:

Sobald ein Nutzer das Video abspielt, stellt der Browser eine Verbindung zu den YouTube-Servern her. Dabei können personenbezogene Daten wie die IP-Adresse, Geräteinformationen und Browserdaten an Google übertragen werden. Falls der Nutzer mit einem Google-Konto eingeloggt ist, kann sein Verhalten zudem direkt mit seinem Profil verknüpft werden. Auch wenn keine Tracking-Cookies direkt beim Laden der Seite gesetzt werden, bedeutet das nicht, dass YouTube keine Nutzerdaten verarbeitet.

🚨 Auch das Vorschaubild wird bereits von YouTube-Servern geladen – eine Einwilligung ist daher zwingend erforderlich!

Ein häufig übersehener Punkt ist, dass bereits das Vorschaubild des Videos von den Servern von YouTube geladen wird, sobald die Seite aufgerufen wird. Dadurch wird automatisch eine Verbindung zu YouTube aufgebaut, und die IP-Adresse des Nutzers sowie technische Gerätedaten können übermittelt werden – selbst wenn das Video nie abgespielt wird. Nach TDDDG § 25 Abs. 1 ist eine vorherige Einwilligung erforderlich, da bereits beim Laden des Vorschaubildes eine Datenübertragung an einen Drittanbieter erfolgt. Um dies zu verhindern, sollte das Video erst nach einer aktiven Zustimmung des Nutzers geladen werden.

Mit der „Do Not Track“-Einstellung können personalisierte Tracking-Cookies bei Vimeo deaktiviert werden. Dafür muss an die Url von Vimeo der Parameter ?dnt=1 angehängt werden:

Einschränkungen der „Do Not Track“-Funktion von Vimeo

Vimeo bietet mit dem Parameter ?dnt=1 eine Option, die das Tracking der Nutzer reduzieren soll. Diese Funktion sorgt dafür, dass keine personalisierten Tracking-Cookies gesetzt werden. Allerdings bedeutet dies nicht, dass keine personenbezogenen Daten verarbeitet werden. Im Folgenden betrachten wir die Einschränkungen der DNT-Option und warum auch hier eine Einwilligung erforderlich bleibt.

✅ Kein personalisiertes Tracking durch Vimeo:

Mit der Aktivierung der dnt=1-Option wird verhindert, dass Vimeo personenbezogene Tracking-Cookies setzt. Dies bedeutet, dass Vimeo keine Nutzungsprofile für Werbezwecke erstellt und keine personenbezogenen Daten für personalisierte Werbung nutzt.

✅ Keine Speicherung von Werbe-Cookies:

Da mit der DNT-Option das Tracking unterbunden wird, werden keine Cookies gesetzt, die für Marketing- oder Analysezwecke genutzt werden könnten. Dadurch wird das Verhalten der Nutzer nicht über verschiedene Websites hinweg verfolgt.

❌ Verbindung zu den Vimeo-Servern wird trotzdem hergestellt:

Auch wenn kein Tracking erfolgt, wird bereits beim Laden der Seite eine Verbindung zu den Servern von Vimeo aufgebaut, um das Video und das dazugehörige Vorschaubild bereitzustellen. Dabei werden automatisch personenbezogene Daten wie die IP-Adresse, Gerätedaten und Browserinformationen an Vimeo übertragen.

❌ IP-Adresse und technische Informationen werden weiterhin verarbeitet:

Vimeo verarbeitet weiterhin technische Informationen über das Gerät und den Browser des Nutzers, sobald das Video oder das Vorschaubild geladen wird. Diese Daten werden zur Bereitstellung des Videoinhalts genutzt und können in den USA verarbeitet werden. Falls der Nutzer bei Vimeo eingeloggt ist, kann Vimeo zudem erkennen, dass ein Video auf einer bestimmten Website abgespielt wurde.

🚨 Auch hier gilt: Bereits das Laden des Vorschaubildes erfordert eine Einwilligung!

Da das Vorschaubild eines Vimeo-Videos von den Servern des Unternehmens geladen wird, wird bereits eine Verbindung zu Vimeo hergestellt, bevor das Video überhaupt abgespielt wird. Nach TDDDG § 25 Abs. 1 ist dafür eine vorherige Einwilligung erforderlich, da personenbezogene Daten an einen Drittanbieter übermittelt werden. Um dies zu vermeiden, sollte das Video erst nach einer aktiven Zustimmung des Nutzers geladen werden.

Die datenschutzfreundlichste Variante zur Einbindung von Videos ist die lokale Bereitstellung auf dem eigenen Server. Dabei wird das Video nicht über YouTube oder Vimeo geladen, sondern direkt vom Webserver der eigenen Website bereitgestellt.

Vorteile der lokalen Einbindung:

✅ Keine Datenübertragung an Dritte: Da das Video direkt von der eigenen Website geladen wird, erfolgt keine Übermittlung personenbezogener Daten an externe Anbieter.

✅ Keine Einwilligung erforderlich: Da kein Drittanbieter involviert ist, entfällt die Notwendigkeit einer vorherigen Einwilligung gemäß DSGVO und TDDDG.

✅ Maximale Kontrolle über die Daten: Website-Betreiber behalten die volle Kontrolle über die Videodaten und können selbst bestimmen, wie sie verarbeitet werden.

Das folgende Video ist lokal eingebunden:

Nachteile der lokalen Einbindung:

❌ Hoher Speicherplatzbedarf: Hochauflösende Videos (z. B. in 4K) können mehrere Gigabyte an Speicherplatz beanspruchen, was besonders bei vielen Videos schnell zu einem Problem werden kann.

❌ Hohe Serveranforderungen: Webserver sind in der Regel nicht für das Streaming optimiert, was dazu führen kann, dass Videos beim Abspielen nachladen oder ruckeln. CDN-Lösungen oder spezielle Streaming-Server sind hier oft besser geeignet.

➡ Tipp: Falls viele Videos in hoher Qualität benötigt werden, könnte der Einsatz eines eigenen Video-Streaming-Servers oder eines Content Delivery Networks (CDN) in Betracht gezogen werden.

Falls eine lokale Einbindung nicht möglich ist, sollte das Video erst nach aktiver Zustimmung des Nutzers geladen werden. Dies verhindert eine frühzeitige Datenübertragung an YouTube oder Vimeo und sorgt für eine rechtskonforme Einwilligung nach DSGVO und TDDDG.

Vorteil dieser Methode:

✅ Kein automatischer Datentransfer an YouTube oder Vimeo ohne vorherige Zustimmung.

✅ Einwilligung wird aktiv durch den Nutzer erteilt (wenn auch nicht dokumentiert – für vollständige DSGVO-Konformität wäre ein Consent-Management-Tool erforderlich).

✅ Einfache Implementierung ohne zusätzliche Plugins oder externe Dienste.

Das folgende Video ist bei Youtube eingebunden, wird aber erst geladen, wenn der Besucher seine Einwilligung gegeben hat:

Was passiert hier?

1. Der Nutzer klickt auf „Video laden“.
2. Ein Bestätigungsdialog (confirm) erscheint und weist darauf hin, dass personenbezogene Daten an YouTube übermittelt werden.
3. Der Nutzer kann auswählen:
   „OK“ → Das Video wird geladen.
   „Abbrechen“ → Das Video bleibt blockiert, der Platzhalter bleibt sichtbar.

Diese Version der Videoeinbettung stellt sicher, dass keine personenbezogenen Daten an Drittanbieter übertragen werden, bevor der Nutzer zustimmt. Damit erfüllt sie die Anforderungen von DSGVO und TDDDG und bietet eine einfache, aber effektive Lösung für eine datenschutzfreundliche Videoeinbettung.

Damit Nutzer transparent informiert werden, muss die Verarbeitung personenbezogener Daten durch die Einbindung von YouTube- oder Vimeo-Videos in der Datenschutzerklärung der Website erläutert werden. Diese Information sollte beinhalten, welche Daten verarbeitet werden, auf welcher Rechtsgrundlage die Verarbeitung erfolgt und wie die Nutzer ihre Einwilligung widerrufen können.

Nachfolgend findest du ein Muster für einen Datenschutzhinweis, der die wichtigsten Punkte abdeckt. Dieses Muster ist jedoch nur eine allgemeine Vorlage und sollte an die spezifischen Gegebenheiten der jeweiligen Website angepasst werden. Insbesondere, wenn Videos über ein Consent-Management-Tool gesteuert werden oder weitere Drittanbieter-Dienste involviert sind, muss die Datenschutzerklärung entsprechend ergänzt werden.

Die Einbindung von Videos auf einer Website ist datenschutzrechtlich anspruchsvoll, da dabei personenbezogene Daten an Dritte übermittelt werden können. Besonders bei Diensten wie YouTube und Vimeo, die ihre Server in den USA betreiben, müssen DSGVO- und TDDDG-Anforderungen berücksichtigt werden.

Um eine rechtskonforme Einbindung sicherzustellen, sollten folgende Punkte beachtet werden:

✅ Datenübertragung in Drittstaaten absichern:

YouTube (Google LLC) und Vimeo sind nach dem Data Privacy Framework (DPF) zertifiziert, was eine sichere Datenübertragung in die USA ermöglicht. Dennoch sollte zusätzlich ein AVV (Auftragsverarbeitungsvertrag) abgeschlossen werden, wenn Videos geschäftlich genutzt werden.

✅ Bereits das Laden des Vorschaubildes erfordert eine Einwilligung:

Sobald ein eingebettetes Video auf einer Webseite erscheint, wird eine Verbindung zu den Servern von YouTube oder Vimeo aufgebaut, selbst wenn das Video nicht abgespielt wird. Dabei werden personenbezogene Daten (z. B. IP-Adresse) übertragen – eine Einwilligung ist daher bereits vor dem Laden des Vorschaubildes erforderlich.

✅ Datenschutzfreundliche Einstellungen nutzen, aber nicht überschätzen:

• YouTube bietet den erweiterten Datenschutzmodus, der verhindert, dass Tracking-Cookies beim bloßen Laden der Seite gesetzt werden. Beim Abspielen werden jedoch weiterhin personenbezogene Daten an Google übermittelt.

• Vimeo bietet mit „Do Not Track“ (dnt=1) eine Option zur Reduzierung des Trackings, jedoch werden auch hier beim Laden des Videos Verbindungen zu Vimeo-Servern hergestellt und Daten verarbeitet.

✅ Lokale Einbindung als beste Lösung – wenn technisch möglich:

Die datenschutzfreundlichste Variante ist die lokale Bereitstellung von Videos auf dem eigenen Server. Allerdings benötigt diese Methode viel Speicherplatz und kann zu Performance-Problemen führen, da Webserver nicht für Video-Streaming optimiert sind.

✅ Alternative: Platzhalter mit expliziter Einwilligung:

Falls eine lokale Speicherung nicht praktikabel ist, sollte ein statischer Platzhalter mit einer Einwilligungsabfrage verwendet werden. Erst nach Zustimmung des Nutzers wird das Video geladen.

✅ Transparente Information in der Datenschutzerklärung:

Die Datenschutzerklärung sollte die Verarbeitung personenbezogener Daten durch die Videoeinbindung klar erläutern. Sie muss Angaben zu den Datenempfängern, der Rechtsgrundlage, der Drittlandübermittlung und den Widerrufsmöglichkeiten der Einwilligung enthalten.