Ein Google-Maps-Iframe ist in weniger als einer Minute eingebunden. Eine wirklich DSGVO-konforme Kartenanbindung braucht dagegen ein Verständnis dafür, was im Hintergrund passiert, bevor überhaupt jemand geklickt hat. Beide Varianten wirken zunächst identisch, ein Kartenausschnitt, ein paar Pins, fertig. Technisch liegt zwischen ihnen aber ein großer Unterschied: Die eine schickt die IP-Adresse jedes Website-Besuchers automatisch los, sobald die Seite lädt, die andere wartet, bis jemand aktiv zustimmt. Wie sich Google Maps einbinden lässt, ohne dass daraus eine Abmahnung wird, und was das mit einer wirklich rechtssicheren Website zu tun hat, schreibe ich hier so konkret wie möglich auf.
Google Maps einbinden heißt zuerst: Daten fließen, bevor jemand zugestimmt hat
Technisch passiert das über einen ganz gewöhnlichen Website-Aufruf: Der Iframe-Code lädt Ressourcen direkt von den Servern des Kartenanbieters, und dazu gehört automatisch auch die IP-Adresse des Besuchers, ganz ohne Rückfrage. Das passiert, noch bevor die Karte überhaupt fertig gezeichnet ist. Seit dem Schrems-II-Urteil gilt so ein automatischer Datentransfer in die USA ohnehin als rechtlich heikel, auch wenn ich die juristischen Details hier bewusst nicht vertiefe – dafür bin ich keine Juristin.
An meinem Laminatschreibtisch, mit dem zweiten, älteren Monitor rechts und gefühlt zwanzig offenen Tabs darauf, habe ich mir das zum ersten Mal im Netzwerk-Tab des Browsers angeschaut, während draußen vor dem hohen Altbaufenster eine Straßenbahn vorbeirauschte und aus der Küche der Kaffeeduft rüberzog. Dort steht schwarz auf weiß, welche Verbindung wann aufgebaut wird, und bei einem normalen Iframe steht die Anfrage an Google schon in der Liste, bevor überhaupt ein Cookie-Banner sichtbar war.
Genau solche Abkürzungen hatte ich vorher schon einmal unterschätzt: Bei meinem Impressum hatte ich mal eine Vorlage aus einem Reddit-Thread kopiert und eingefügt, ohne sie wirklich an meinen eigenen Fall anzupassen, und erst beim genaueren Hinsehen gemerkt, dass wichtige Angaben fehlten. Copy-Paste-Lösungen bei rechtlichen Themen sind eben selten wirklich fertig, egal ob es um ein Impressum oder um eine eingebundene Karte geht. Seitdem lese ich mir lieber genauer durch, warum ich einen Impressum und Datenschutz Generator statt Vorlagen nutze, bevor ich irgendwo blind kopiere.
Warum ein Cookie-Banner allein die Karte nicht rechtssicher macht?
Viele Plugins und Consent-Tools werben genau damit, das Problem zu lösen, laden im Hintergrund aber trotzdem die externe Ressource nach, sobald die Seite aufgerufen wird – nur eben unsichtbar hinter dem Banner. Das hätte ich vorher gerne gewusst: Ein Cookie-Banner allein macht eine eingebundene Karte noch nicht rechtssicher, wenn die Verbindung zum Anbieter technisch längst steht, während der Besucher noch über 'Ablehnen' oder 'Zustimmen' nachdenkt. Die Cookie-Einwilligung selbst ist dabei nur die halbe Miete; entscheidend ist, ob das dahinterliegende Skript überhaupt wartet, bis diese Einwilligung vorliegt.
Das gleiche Prinzip gilt für praktisch jedes eingebundene Drittanbieter-Element, nicht nur für Karten. Bei Analytics-Tools bin ich zum Beispiel schon länger dazu übergegangen, Google Analytics Alternativen ohne Cookie Banner rechtssicher zu nutzen, weil mir das Prinzip 'erst laden, dann fragen' generell zu riskant ist. Bei YouTube-Videos funktioniert übrigens genau dieselbe Logik: Eine statische Vorschau mit Klick-Overlay verhindert den Datenabfluss vollständig, bevor überhaupt eine Einwilligung vorliegt, und genau diese Technik lässt sich eins zu eins auf Google Maps übertragen.
Die Zwei-Klick-Lösung für eine DSGVO-konforme Kartenanbindung
Der Trick bei einer sauberen Lösung liegt darin, dass beim ersten Laden der Seite gar keine Verbindung zu Google aufgebaut wird. Statt der echten Karte erscheint zunächst nur eine statische Vorschau oder ein Platzhalter mit Hinweistext, und erst ein aktiver Klick darauf löst den Aufruf der Kartenanbindung wirklich aus. Wer selbst so ein Tool oder Plugin einsetzt, sollte genau das prüfen, bevor er sich darauf verlässt: Blockt es wirklich jede Anfrage an den Kartenanbieter, oder versteckt es die Karte nur optisch, während die Anfrage im Hintergrund trotzdem längst läuft? Nur die erste Variante ist wirklich rechtssicher.
Birgit Tönnis, die ich vom Leipziger Freelancer-Stammtisch kenne und die technische Compliance-Fragen grundsätzlich wie eine nüchterne Checkliste abarbeitet statt sich davon stressen zu lassen, hat mir genau diesen Trick gezeigt: den Netzwerk-Tab öffnen, den Platzhalter anklicken und beobachten, ob die Anfrage an den Kartenanbieter erst danach auftaucht. Wenn ja, ist die Lösung sauber. Wenn die Anfrage schon vorher in der Liste steht, hilft auch das schönste Consent-Design nichts.
So prüfe ich, ob die Karte wirklich sauber lädt
Diese Prüfung mache ich inzwischen bei jeder neuen Karten- oder Tool-Einbindung: Seite frisch laden, Netzwerk-Tab offen lassen und erst dann auf den Platzhalter klicken. Zusätzlich lasse ich am Schluss einen Datenschutz-Scanner über die fertige Seite laufen, und der Moment, in dem dort plötzlich nur noch grüne Häkchen stehen statt roter Warnungen, ist jedes Mal der Punkt, an dem sich meine Schultern spürbar entspannen. Kein Trick, keine Magie, einfach nur die Bestätigung, dass die Reihenfolge stimmt: erst die Zustimmung, dann die Verbindung.
Was diese eine Kartenanbindung mit dem Rest der Website-Pflichten zu tun hat
Eine rechtssicher eingebundene Karte ist nur ein Baustein von vielen. Genauso wichtig sind eine vollständige Datenschutzerklärung, die auch neue Tools wie eine Kartenanbindung nennt, dazu je nach Geschäftsmodell Dinge wie die Impressumspflicht, eigene AGB, ein Auftragsverarbeitungsvertrag mit den genutzten Tools oder ein sauberes Double-Opt-In beim Newsletter. Wer bei diesen Grundbegriffen noch unsicher ist, findet einen guten Einstieg im Glossar der wichtigsten Rechtsbegriffe für Website-Starter. Auch bei Google Fonts bin ich inzwischen dazu übergegangen, die Schriften lokal einzubinden, statt sie live vom Anbieter laden zu lassen – aus demselben Grund wie bei der Karte.
Die eine Frage, die ich mittlerweile bei jedem eingebetteten Element zuerst stelle, lautet: Baut es die Verbindung zum Anbieter schon beim Laden der Seite auf, oder erst nach einem aktiven Klick? Lautet die Antwort 'schon beim Laden', ist es nicht rechtssicher, egal wie professionell das Plugin aussieht oder wie bekannt der Anbieter ist. Diese eine Prüf-Frage hat mir bei Google Maps mehr geholfen als jede lange Erklärung zu Paragrafen, die ich ohnehin nicht auswendig kann.
Rechtlicher Hinweis: Die Inhalte dieser Webseite dienen ausschließlich der allgemeinen Information und stellen keine individuelle medizinische, finanzielle oder rechtliche Beratung dar. Eine fachkundige Beurteilung Ihres Einzelfalls kann nur durch eine qualifizierte Fachperson erfolgen -- bitte konsultieren Sie diese vor wesentlichen Entscheidungen.