Darf ich Social Media Icons auf meiner Website ohne Einwilligung nutzen?

Der Mauszeiger schwebt über dem kleinen Instagram-Symbol im Footer meiner Website, mein Finger liegt schon auf der Maustaste, und dann halte ich mitten in der Bewegung inne. Ein Klick, und Besucherinnen landen bei mir. Aber was, wenn schon der bloße Anblick des Icons Daten losschickt, noch bevor irgendjemand draufgedrückt hat, und ich mir damit als Solopreneurin eine waschechte DSGVO-Abmahnfalle einbaue?

Bevor es weitergeht, kurz zur Transparenz: In diesem Beitrag stecken Affiliate-Links. Kaufst du über so einen Link, bekomme ich eine kleine Provision, für dich ändert sich am Preis nichts. Ich verlinke nur Werkzeuge, die ich selbst als Solopreneurin auf meiner eigenen Website nutze oder gründlich getestet habe. Und noch etwas Grundsätzliches: Ich bin Texterin, keine Juristin. Alles hier sind meine persönlichen Erfahrungen auf dem Weg zu einer rechtssicheren Website, keine Rechtsberatung.

Ein Novemberabend an meinem Schreibtisch

Genau so ein Moment war das, an einem Novemberabend an meinem Schreibtisch in Leipzig-Plagwitz. Meine Laminatplatte steht direkt vor dem hohen Altbaufenster, durch das um diese Uhrzeit kaum noch Licht hereinfällt, und rechts von mir läuft der alte Zweitmonitor mit einem Dutzend offener Tabs mit. Auf der Suche nach etwas Konkretem war ich über Datenschutz gestolpert und fühlte mich wie bei einem Behördengang, bei dem man im falschen Stockwerk gelandet ist.

Kurze Antwort vorab, weil ich mir die selbst gewünscht hätte: Nein, pauschal darf ich Social-Media-Icons nicht einfach ohne Weiteres einbinden. Aktive Widgets senden nämlich oft schon beim Laden der Seite Daten – lange bevor jemand überhaupt geklickt hat. Genau das ist auch der Grund, warum selbst ein kleines Icon unter dieselbe Einwilligungspflicht fällt wie ein klassischer Cookie-Banner.

Diese hübschen Plugins, die Follower-Zahlen live anzeigen, hatte ich mir extra installiert, weil sie so schick aussahen. Was ich nicht bedacht hatte: Sobald jemand meine Seite öffnet, rufen manche dieser Widgets direkt bei Facebook, Pinterest oder Instagram an und melden IP-Adresse und Aufruf, ganz ohne dass irgendwer einen Button gedrückt hätte. Für Shopbetreiberinnen, die zusätzlich noch Tracking-Tools einsetzen, ist das Risiko übrigens noch größer, weil sich mehrere Datenströme überlagern.

Ich erinnerte mich an meine persönliche DSGVO Checkliste für die Website nach dem ersten Monat und merkte, dass ich das Thema Social Media darin komplett übersehen hatte. Die Frage war nicht mehr, ob die Icons hübsch aussehen, sondern ob sie mich in eine Abmahnfalle laufen lassen.

Mitten in der Steuererklärung, Mitte Februar

Zwischen Belegen sortieren und Steuererklärung schieben blieb ich wieder bei genau diesem Thema hängen. Der Unterschied zwischen einem aktiven Widget und einem rein statischen Icon leuchtete mir plötzlich ein: Ein aktives Widget ist wie ein Apothekenbeipackzettel, kaum jemand liest ihn, aber die Wirkung entfaltet sich trotzdem im Hintergrund. Ein statisches Icon dagegen ist einfach nur ein Bild, das auf meinem eigenen Server liegt und erst beim Klick irgendwohin führt.

Bei meiner Recherche bin ich über den Begriff des berechtigten Interesses gestolpert. Sobald Formulierungen wie Interessenabwägung auftauchen, klappe ich innerlich das gedankliche Tab wieder zu und überlasse solche Feinheiten lieber jemandem mit Jura-Hintergrund. Für mich als Nicht-Juristin reicht eine einfache Faustregel: ohne Einwilligung lieber nur statische Icons, alles andere ist mir zu riskant.

Was mir in dieser Phase geholfen hat, war ein Blick auf easyRechtssicher. Das Team ist seit acht Jahren am Markt und hat eine sehr stabile Refund-Rate von nur 2,72 Prozent, für mich ein Zeichen, dass ich dort kein Eintagsfliegen-Tool kaufe, sondern etwas, das andere Solopreneurinnen langfristig nutzen.

Ein Spaziergang zum Lindenauer Markt, drei Wochen später

Drei Wochen Recherche später brauchte ich dringend frische Luft und keinen Bildschirm mehr vor der Nase. Auf dem Weg zum Lindenauer Markt lief mir Christel über den Weg, meine Nachbarin aus dem Treppenhaus, die auf ihrem Balkon Yogastunden gibt. Sie fragte mich, ob sie jetzt auch bei ihrem eigenen kleinen Instagram-Button aufpassen müsse, weil sie gerade Online-Buchungen für ihre Stunden einführt. Als ich ihr sagte, das sei einfacher als es klingt, sah ich sie sichtlich entspannen.

Bei derselben Recherche bin ich auch über ein bekanntes EuGH-Urteil gestolpert, das sich mit genau solchen eingebetteten Buttons beschäftigt (hier geht es zu den Hintergründen des EuGH, falls dich die Details interessieren). Für mich blieb am Ende nur ein Satz hängen: Als Betreiberin bin ich mit im Boot, sobald ich so einen Button einbaue, egal wie klein er aussieht. Genauso war es übrigens bei den Google Fonts, die ich anfangs einfach im WordPress-Theme belassen und auf das Beste gehofft hatte, auch da lief im Hintergrund etwas mit, das ich eigentlich nicht wollte, aber das ist nochmal eine andere Geschichte.

Also löschte ich die Plugins und suchte nach einem Weg, einfache Bilder selbst hochzuladen, die auf meinem eigenen Server liegen. Genau nach diesem Prinzip habe ich später auch für mein DSGVO konformes Kontaktformular einen Generator genutzt, weil ich gemerkt habe: Man kann nicht jedes technische Detail selbst durchdringen, man muss nur wissen, wo die passenden Werkzeuge stehen.

Woche sechs: der grüne Haken im Scanner

Es muss ungefähr die sechste Woche gewesen sein, seit ich mich mit dem Icon-Thema beschäftigte, als ich zum ersten Mal einen kompletten Datenschutz-Scan über meine Seite laufen ließ. Bei jedem einzelnen Punkt sprang ein grünes Häkchen auf, keine roten Warnungen mehr, nichts. Ich glaube, ich habe direkt vor dem Monitor gegrinst wie lange nicht mehr.

Mein Test seitdem ist simpel: Sobald ich ein neues Icon einbauen will und mir nicht zu hundert Prozent sicher bin, ob es nur ein Bild oder ein aktives Widget ist, schaue ich mir den Seitenquelltext an. Lädt da schon beim bloßen Aufruf ein Script von einer fremden Domain nach, fliegt das Icon direkt wieder raus oder wird durch eine simple Verlinkung ersetzt.

Alle Icons sind jetzt statisch

An einem regnerischen Dienstagnachmittag im Homeoffice habe ich endlich den Speichern-Button gedrückt. Alle Social-Media-Icons auf meiner Seite sind jetzt rein statisch eingebunden, keine ungefragten Datenströme mehr, kein schlechtes Gewissen beim Scrollen durch den Footer.

Für die gesamte Website-Compliance nutze ich mittlerweile easyRechtssicher. Etwa 19 Euro im Monat sind das, weniger als ein Restaurantbesuch, aber mit der Sicherheit, dass ich bei Gesetzesänderungen automatisch ein Update bekomme. Und weil so viele andere Solopreneurinnen offenbar dabeibleiben, war das eine meiner unaufgeregtesten Entscheidungen in diesem Jahr.

Ich kann mich jetzt wieder auf das konzentrieren, was ich eigentlich machen wollte: Texte schreiben, die meine Kundinnen begeistern, während Technik und Rechtliches im Hintergrund mitlaufen, ohne dass ich bei jedem neuen Icon in Habachtstellung gehe.

Was sonst noch auf meiner DSGVO-Liste steht

Neben den Icons stehen bei mir noch ein paar andere Baustellen auf der Liste, die sich mit der Zeit angesammelt haben. Die Frage, ob ich überhaupt ein Impressum brauche, hat mich am Anfang fast genauso viel Nerven gekostet wie die Icons. Die Datenschutzerklärung selbst muss ich sowieso regelmäßig aktualisieren, sobald sich an der Website etwas ändert, und auch die absoluten DSGVO-Grundlagen frische ich immer wieder auf, wenn ich unsicher werde. Dazu kommen der Newsletter, bei dem ich auf ein sauberes Double-Opt-in achte, meine eigenen AGB als Texterin, ein AV-Vertrag mit den Tools, die ich täglich nutze, und die Frage, wie ich YouTube-Videos einbinden kann, ohne dass dabei ungefragt Daten fließen.

Miroslav, ein illustrierender Kollege aus der Freelancer-Community, hat mich neulich genau danach gefragt, weil er ein ähnliches Problem mit eingebetteten Videos auf seiner Portfolio-Seite hatte. Er meldet sich selten, aber wenn, dann mit einer sehr konkreten Frage.

Nach und nach habe ich mich Schritt für Schritt mit easyRechtssicher durchgeboxt, und jedes Mal, wenn ein Punkt von der Liste verschwindet, fühlt es sich ein bisschen mehr nach einer wirklich eigenen, rechtssicheren Website an.

Häufige Fragen zu Social-Media-Icons und DSGVO

Ein paar Fragen kommen in der Community und in meinen Kommentaren immer wieder, deshalb sammle ich sie hier.

Darf ich den Facebook-Like-Button einfach so einbinden?

In der Standardversion: nein. Der Like-Button überträgt schon beim Laden der Seite Daten, dafür brauchst du eine aktive Einwilligung über dein Cookie-Banner. Die entspanntere Alternative sind statische Verlinkungen oder Tools wie Shariff, die das Nachladen fremder Skripte verhindern.

Was unterscheidet einen Link von einem Plugin?

Ein Link ist wie ein Wegweiser: Erst wenn jemand draufklickt, passiert etwas. Ein Plugin dagegen ist wie ein neugieriger Nachbar, der schon über den Zaun schaut, sobald jemand das Grundstück betritt. Für Plugins brauchst du fast immer eine vorherige Einwilligung.

Muss ich jedes Icon in der Datenschutzerklärung nennen?

Ja, am besten machst du transparent, wohin die Links führen und dass Daten erst beim Klick an die jeweilige Plattform übertragen werden. In einer vernünftigen Datenschutzerklärung ist das mittlerweile ein Standardabschnitt, egal ob du sie selbst schreibst oder mit einem Generator erstellst.

Falls du gerade an genau diesem Punkt stehst und dich fragst, ob du Impressum, Datenschutz und Icons jemals in den Griff bekommst: Das wird schon. Es ist ein Prozess, bei dem man Stück für Stück dazulernt. Wer keine Lust mehr auf Trial-and-Error hat und lieber eine Lösung will, die mitwächst, kann sich easyRechtssicher mal in Ruhe anschauen. Und jetzt: viel Erfolg beim rechtssicheren Vernetzen!