Du kannst ein Video sofort laden lassen und hoffen, dass niemand genau hinschaut, oder lieber einen Klick mehr verlangen und dafür ruhig schlafen. Genau vor dieser Wahl stehst du, sobald du als Solopreneur ein YouTube-Video auf deiner Website einbinden willst, ohne dass im Hintergrund schon Daten in die USA wandern, bevor überhaupt jemand zugestimmt hat. In meinem eigenen Datenschutz-Tagebuch steht inzwischen einiges, was ich falsch gemacht und später wieder repariert habe – und beim Video-Embed war der Unterschied zwischen zwei scheinbar gleichwertigen Lösungen größer, als mir lieb war.
Zwei Varianten geistern durch fast jede Anleitung zum Thema: der klassische Embed-Code direkt von YouTube und die sogenannte No-Cookie-Domain. Beide sehen im Quellcode fast identisch aus, nur ein paar Buchstaben in der URL unterscheiden sie. Rechtlich liegen trotzdem Welten dazwischen, und genau diesen Vergleich wollte ich für mich selbst einmal sauber durchziehen, bevor ich wieder irgendein Plugin installiere, nur weil es in einem Forum empfohlen wurde.
Standard-Embed oder No-Cookie-Domain: Wo ist der Unterschied?
Der klassische Embed-Code, den YouTube über den 'Teilen'-Button anbietet, baut die Verbindung zum Google-Server auf, sobald die Seite bei deinem Besucher lädt. Noch bevor jemand den Play-Button anklickt oder überhaupt registriert, dass da ein Video wartet, fließen technische Daten wie die IP-Adresse ab. Für diese Übertragung brauchst du laut DSGVO Artikel 6 Absatz 1 eine Rechtsgrundlage, in der Praxis fast immer eine aktive Einwilligung – und die hat zu diesem Zeitpunkt niemand gegeben.
No-Cookie-Domain klingt dagegen nach der sicheren Wahl, weil der Name das Problem ja quasi schon löst. Google verspricht damit nur, keine Werbe-Cookies zu setzen, nicht aber, komplett auf jede Verbindung zum eigenen Server zu verzichten. Sobald das Vorschaubild oder der Player selbst von den YouTube-Servern nachgeladen wird, geht wieder eine Anfrage raus, inklusive IP-Adresse. Ein Bekannter, der neulich über den Marktplatz in der Leipziger Innenstadt lief und dort Gäste für seinen nächsten veganen Kochkurs einlud, fragte mich, warum ich mich über so ein Detail überhaupt aufrege – für ihn klang das nach Erbsenzählerei, bis ich erklärt habe, dass genau dieses Detail über rechtmäßig oder abmahnfähig entscheidet.
Das Vorschaubild ist der eigentliche Knackpunkt
Etliche Embed-Plugins, die sich selbst als DSGVO-konform bewerben, laden trotzdem das Vorschaubild direkt von den YouTube-Servern nach, weil das technisch am einfachsten umzusetzen ist. Schon dieser eine Schritt macht die ganze No-Cookie-Domain wieder wertlos, denn die Verbindung ins Ausland passiert bei jedem Seitenaufruf, egal ob später überhaupt geklickt wird. Bevor ich mich näher mit dem Embed-Thema beschäftigt habe, hatte ich übrigens schon einmal versucht, einen Cookie-Banner selbst im HTML zusammenzubasteln, ohne wirklich zu prüfen, ob der Banner überhaupt rechtskonform war – ein Griff ins Klo, der mir gezeigt hat, dass technische Bastellösungen ohne Kontrolle meistens nach hinten losgehen.
Zwei Anbieter, ein Symptom, das identisch aussieht: eine harmlose Miniaturansicht, die leise nach Hause telefoniert. Wer das Vorschaubild stattdessen selbst herunterlädt und auf dem eigenen Server oder im eigenen Content-Management-System speichert, kappt genau diese Verbindung. Erst wenn jemand aktiv klickt, baut sich die Verbindung zu YouTube auf, und erst dann ist überhaupt eine Einwilligung nötig.
Wie eine wirklich trackingfreie Einbindung von YouTube-Videos funktioniert
Genau das ist der Kern der sogenannten Drittanbieter-Einbindung ohne Tracking: Alles, was ein Nutzer sieht, bevor er aktiv zustimmt, liegt komplett auf dem eigenen Server. Kein Skript von YouTube, kein Vorschaubild von YouTube, keine Ressource von einem fremden Server – nur ein statisches Bild, ein Play-Symbol und ein Klick-Handler in eigenem Code. Erst der Klick löst den eigentlichen Embed aus und lädt dann, und wirklich erst dann, den Player samt aller Cookies nach.
Diese Trennung zwischen 'anzeigen' und 'wirklich laden' ist der einzige Punkt, der eine YouTube-Einbindung tatsächlich einwilligungsfrei macht, bis der Klick erfolgt. Kein Consent-Banner-Text kann diesen technischen Unterschied ersetzen, denn ein Banner regelt nur, wie die Zustimmung eingeholt wird – er verhindert aber keine Datenübertragung, die längst vorher technisch stattgefunden hat. Diesen Punkt hatte ich anfangs komplett durcheinandergebracht, weil ich dachte, ein Banner allein würde reichen, egal wie der Embed im Hintergrund gebaut ist.
Cookie-Banner oder Zwei-Klick-Lösung: Zwei Wege zum gleichen Ziel
Was für die Cookie-Einwilligung insgesamt gilt, zeigt sich hier im Kleinen: Bei einem klassischen Embed brauchst du ein rechtskonformes Banner mit einer echten Ablehnmöglichkeit, während die No-Cookie-Zwei-Klick-Variante genau deshalb funktioniert, weil sie komplett ohne Banner auskommt – kein Tracking vor dem Klick, also auch keine Einwilligungspflicht an dieser Stelle. Beide Wege sind rechtlich denkbar, sie unterscheiden sich nur darin, wie viel Aufwand du in den Aufbau steckst und wie viel Kontrolle über den Ladezeitpunkt du behalten willst.
Vorher hatte ich mir schon angeschaut, wie ich mit easyRechtssicher eine rechtssichere Website als Solopreneur baue, aber Videos waren nochmal ein eigenes Kapitel, weil dort ein zusätzlicher externer Dienst mit im Spiel ist. Für alle, die gerade neu anfangen: Die Impressumspflicht, eine vollständige Datenschutzerklärung, die DSGVO-Grundlagen insgesamt, das lokale Einbinden von Google Fonts, ein sauberer Double-Opt-in beim Newsletter, die AGB-Pflicht für Dienstleisterinnen und ein AV-Vertrag mit jedem Tool-Anbieter sind eigene Baustellen, die an anderer Stelle ausführlich drankommen – hier reicht der Hinweis, dass sie neben dem Video-Thema mit auf der Liste stehen.
Meine Wahl für YouTube-Videos ohne Tracking
Für ein einzelnes eingebettetes Tutorial-Video reicht oft schon ein selbst gespeichertes Vorschaubild mit Klick-Funktion, das ich mir Schritt für Schritt in einer Art eigenem DSGVO-Schritt-Generator notiert habe, einer simplen Checkliste, die ich bei jedem neuen Embed durchgehe. Sobald mehrere Videos auf einer Seite laufen oder ein ganzer Kursbereich mit Videos gefüllt ist, lohnt sich dagegen eher ein fertiges Consent-Tool, das die Zwei-Klick-Logik automatisch für jedes Embed übernimmt, statt jedes Vorschaubild von Hand hochzuladen.
Die Faustregel, die sich für mich daraus ergibt: Wähle die einfache, selbst gebaute Lösung, wenn du nur wenige Videos einbindest und die Kontrolle lieber selbst behältst, und wähle ein Consent-Tool, sobald die Zahl der Videos wächst und Handarbeit keinen Sinn mehr ergibt. Wichtiger als das Werkzeug ist, dass du selbst prüfst, ob wirklich erst nach dem Klick Daten fließen – die Browser-Konsole zeigt das zuverlässiger als jedes Siegel auf einer Plugin-Seite. Ich weiß noch, wie ich das Kontaktformular mit der Datenschutz-Checkbox testete und die erste echte Kundenanfrage ganz ohne Fehlermeldung im Postfach landete – ein ähnliches Gefühl hatte ich, als die Konsole beim Video-Embed endlich leer blieb, kein einziger Aufruf zu einem fremden Server, bevor ich es wollte. Diese Erfahrung ist auch der Grund, warum ich heute lieber einen Impressum und Datenschutz Generator statt Vorlagen nutze, weil solche Tools die technischen Fallstricke mitdenken, an denen ich als Laie sonst verzweifeln würde.
Rechtlicher Hinweis: Die Inhalte dieser Webseite dienen ausschließlich der allgemeinen Information und stellen keine individuelle medizinische, finanzielle oder rechtliche Beratung dar. Eine fachkundige Beurteilung Ihres Einzelfalls kann nur durch eine qualifizierte Fachperson erfolgen -- bitte konsultieren Sie diese vor wesentlichen Entscheidungen.