Google Maps, YouTube, reCAPTCHA: Warum Einbettungen abmahnbar sind — und wie die Zwei-Klick-Lösung hilft

Worum es geht

Ein eingebettetes YouTube-Video, eine Google-Maps-Karte im Kontaktbereich, ein reCAPTCHA vor dem Formular — technisch sind das alles iframes und Skripte, die von fremden Servern geladen werden. Und genau da liegt das Problem: Schon beim Aufruf der Seite überträgt der Browser die IP-Adresse des Besuchers an Google, Meta oder Vimeo — bevor irgendjemand auf „Play” gedrückt oder der Datenverarbeitung zugestimmt hat. Dieselbe Logik, mit der das LG München I 2022 die externe Einbindung von Google Fonts als DSGVO-Verstoß eingestuft hat, trifft jede dieser Einbettungen; nach § 25 TDDDG braucht der Zugriff auf Endgeräte-Informationen zudem eine vorherige Einwilligung.

Ein Cookie-Banner allein löst das nicht: Die meisten Banner blockieren iframes gar nicht, sondern fragen nur — während das Video darunter längst geladen ist.

Selbst prüfen

Der schnellste Weg: unser kostenloser Embed-Checker — Adresse eingeben, er listet alle eingebetteten Drittanbieter auf. Von Hand:

1. Seite in Chrome oder Firefox öffnen, F12 drücken, Reiter Netzwerk.
2. Seite neu laden (Strg+R), ohne im Cookie-Banner etwas anzuklicken.
3. Im Filterfeld nacheinander suchen: youtube, maps, recaptcha, vimeo, gstatic, facebook.
4. Jeder Treffer vor jeder Einwilligung ist eine Übertragung ohne Rechtsgrundlage.

Prüfen Sie besonders: Kontaktseite (Karte, reCAPTCHA), Blogbeiträge (Videos), Footer (Social-Media-Widgets). Die Startseite ist oft die sauberste Seite des ganzen Auftritts.

Warum WordPress hier besonders anfällig ist

WordPress macht Einbetten bequem — das ist das Problem. Eine YouTube-URL in den Editor kopiert, und WordPress baut automatisch den iframe (oEmbed). Dazu kommen:

• Formular-Plugins, die reCAPTCHA standardmäßig aktivieren
• Page-Builder-Widgets für Karten, Videos und Bewertungs-Feeds
• Themes mit fest verdrahteten Social-Icons, die Skripte der Plattformen laden
• Alte Beiträge — ein Video von 2019 lädt heute noch bei jedem Aufruf

Niemand hat diese Einbettungen je als Datenschutzentscheidung wahrgenommen. Genau deshalb sind sie so verbreitet — und so leicht zu finden.

Was Sie sofort selbst tun können

1. Bestandsaufnahme mit dem Embed-Checker oder dem Netzwerk-Tab, alle Seitentypen.
2. Entbehrliches entfernen: Braucht die Kontaktseite wirklich eine Live-Karte, oder tut es ein statisches Bild mit Link zu Google Maps?
3. Zwei-Klick-Lösung für den Rest: Statt des echten iframes zeigt die Seite zunächst nur eine lokale Vorschau (Fassade) mit Hinweis; erst der Klick des Besuchers lädt den Inhalt und stellt die Verbindung her — das ist die Einwilligung. Für YouTube und Maps gibt es dafür etablierte Plugins, viele Consent-Tools bringen einen Content-Blocker mit. Wichtig: danach im Netzwerk-Tab nachprüfen, ob die Blockade wirklich greift.
4. YouTube-nocookie kennen, aber nicht überschätzen: Die Variante youtube-nocookie.com setzt weniger Cookies, überträgt die IP-Adresse aber trotzdem beim Laden. Sie ist besser als der Standard-Embed — eine Einwilligung ersetzt sie nicht.
5. reCAPTCHA ersetzen: Datenschutzfreundlichere Alternativen wie Friendly Captcha oder ein Honeypot-Feld schützen Formulare, ohne Google einzubinden — eine Fassade vor einem Pflicht-Captcha wäre auch schlicht unpraktisch.

Ob im Einzelfall ein berechtigtes Interesse trägt oder eine Einwilligung nötig ist, prüft eine Anwältin oder ein Anwalt — die Erfahrung zeigt aber: Wo keine Verbindung mehr aufgebaut wird, gibt es auch nichts abzumahnen.

Unser Angebot

Die Embed-Sanierung für 199 € Festpreis macht genau das: vollständige Bestandsaufnahme aller Einbettungen über alle Seitentypen, Umbau auf Zwei-Klick-Lösungen bzw. lokale Alternativen, Ersatz von reCAPTCHA wo gewünscht — und eine Netzwerkanalyse als Nachweis, dass vor der Einwilligung keine Verbindung mehr zu Drittanbietern aufgebaut wird. Wenn Sie ohnehin den ganzen Auftritt prüfen lassen wollen, ist die Embed-Prüfung im Abmahnsicher-Komplettcheck enthalten.