YouTube Videos einbetten: So geht es rechtlich richtig!

Aktualisiert am 10. August 2026

YouTube Videos – so wirst Du nicht abgemahnt

von Rechtsanwalt Dr. Ronald Kandelhard

Videos sind ein hervorragendes Mittel, um Deine Website interaktiver und spannender zu machen. Aus technischen Gründen — und weil es einfach ist — bietet es sich an, YouTube-Videos als Frame einzubinden. Ohne besondere Vorkehrungen ist das rechtlich nicht sauber möglich.

Kurz gesagt

• Ein YouTube-Embed lädt Daten, sobald die Seite lädt. IP-Adresse und Browserinformationen gehen an Google, bevor irgendjemand auf Play geklickt hat.
• Rechtsgrundlage ist § 25 TDDDG (früher § 25 TTDSG, davor § 15 Abs. 3 TMG) plus Art. 6 DSGVO. Das BDSG in der alten Fassung, auf das sich die Erstfassung dieses Beitrags stützte, gilt seit dem 25.05.2018 nicht mehr.
• Achtung — der wichtigste Punkt: Der "erweiterte Datenschutzmodus" (youtube-nocookie.com) reicht nicht aus. Der Name ist irreführend.
• Was reicht: Self-Hosting, ein EU-Hoster mit Auftragsverarbeitungsvertrag oder eine echte Zwei-Klick-Lösung mit lokalem Vorschaubild.
• Urheberrecht und Datenschutz sind zwei getrennte Prüfungen. Ein urheberrechtlich einwandfreies Embed kann datenschutzrechtlich rechtswidrig sein.

1. Was beim Einbetten technisch passiert

Bettest Du ein Video ungeschützt ein, verbindet sich der Browser Deines Besuchers mit den Servern von Google, sobald Deine Seite ausgeliefert wird. Übermittelt werden dabei die IP-Adresse und Informationen aus dem HTTP-Header. Ist der Nutzer bei Google eingeloggt, lässt sich der Besuch seinem Konto zuordnen.

Die IP-Adresse ist ein personenbezogenes Datum — das hat der EuGH entschieden (Urt. v. 19.10.2016, C-582/14 "Breyer").

Zwei Normen greifen parallel:

§ 25 TDDDG verlangt eine Einwilligung für die Speicherung von Informationen auf dem Endgerät und für den Zugriff auf dort gespeicherte Informationen. Die Vorschrift ist technikneutral — sie erfasst nicht nur Cookies, sondern auch Local Storage, Session Storage, IndexedDB und Fingerprinting. Und sie gilt unabhängig davon, ob die Information personenbezogen ist.

Die DSGVO greift zusätzlich, sobald personenbezogene Daten an Google offengelegt werden. Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO trägt hier regelmäßig nicht, weil Google eigene Zwecke verfolgt.

Heißt für dich: Du brauchst eine Einwilligung, bevor der Embed lädt. Nicht bevor das Video abgespielt wird — bevor es überhaupt geladen wird.

Ergänzung zur Erstfassung: Damals stand hier, das Verfahren des OLG Düsseldorf zum Facebook-Like-Button (Beschl. v. 19.01.2017, Az. I-20 U 40/16) sei dem EuGH vorgelegt worden und eine Entscheidung stehe zu erwarten. Sie ist längst da: EuGH, Urt. v. 29.07.2019, C-40/17 "Fashion ID". Der Websitebetreiber ist danach gemeinsam Verantwortlicher — allerdings nur für die Erhebung und die Übermittlung der Daten, nicht für das, was der Drittanbieter danach damit macht. Und die erforderliche Einwilligung muss der Websitebetreiber vor der Erhebung einholen. Ihn trifft insoweit auch die Informationspflicht.

2. Warum "youtube-nocookie" nicht reicht

Das ist die wichtigste Korrektur gegenüber der ursprünglichen Fassung dieses Beitrags. Sie stellte den erweiterten Datenschutzmodus als ausreichende Lösung dar. Das ist er nicht.

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hat sich das genau angesehen (Rundschreiben Telemedien 02/2023 vom 14.12.2023). Zum erweiterten Datenschutzmodus heißt es dort wörtlich:

"In der Umsetzung wird nur das Cookie 'CONSENT' gesetzt. Weitere Informationen werden in der Index DB, im Local Storage und im Session Storage gespeichert. […] Insoweit ist wohl auch die Nutzung der Einbettung von YouTube-Videos mit der Einstellung 'erweiterter Datenschutzmodus' keine verlässliche Alternative zur Gewähr einer datenschutzrechtlich unkritischen Einbettung dieser auf der eigenen Webseite."

Und zum bloßen Laden des iframes:

"Diese Übermittlung der Daten stellt einen Zugriff auf bereits auf der Endeinrichtung gespeicherten Informationen dar. Für diesen Zugriff kann zu diesem Zeitpunkt der Ausnahmetatbestand aus § 25 Abs. 2 TTDSG nicht greifen."

Merke: Der Name "nocookie" ist Marketing, keine Rechtslage. Es wird ein Cookie gesetzt, und es werden zusätzlich Daten in drei weiteren Speichern abgelegt. Google selbst verspricht auch etwas anderes, als viele lesen: Der Modus verhindert nach den Google-Hilfeseiten die Personalisierung — nicht jede Speicherung.

Der erweiterte Datenschutzmodus ist also eine sinnvolle zusätzliche Datenminimierung. Er ersetzt die Einwilligung nicht.

3. Die Lösungen, in der Reihenfolge ihrer Sicherheit

Der BfDI und der Landesbeauftragte für den Datenschutz Baden-Württemberg (Handreichung vom 07.11.2022) empfehlen im Kern dieselbe Rangfolge:

a) Self-Hosting — die sauberste Lösung

Video auf den eigenen Server, Ausgabe über das HTML5-<video>-Element. Kein Drittanbieter, keine Einwilligung nötig, kein Drittlandtransfer. Für die meisten Websites mit ein paar Erklärvideos ist das technisch unspektakulär und rechtlich das Ende der Diskussion.

b) Videohoster in der EU mit Auftragsverarbeitungsvertrag

Wer die Videos nicht selbst ausliefern will, kann einen Hoster in der EU beauftragen. Dann ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwingend. Der BfDI formuliert das ausdrücklich so.

c) Echte Zwei-Klick-Lösung

Das Video wird erst nach aktiver Zustimmung geladen. Der BfDI erkennt das an: Beim ersten Aufruf werden keine personenbezogenen Daten an YouTube übermittelt; erst nach der Interaktion wird geladen.

Achtung — der Fehler, der fast immer gemacht wird: Das Vorschaubild muss lokal liegen. Wer das Thumbnail von i.ytimg.com nachlädt, hat die Verbindung zu Google bereits hergestellt — die Zwei-Klick-Lösung ist dann wertlos. Dasselbe gilt für Player-Skripte, Schriften und für preconnect- oder dns-prefetch-Hinweise auf Google-Domains im Seitenkopf.

Weitere Anforderungen an ein tragfähiges Consent-Banner: aktive Handlung statt vorangekreuztem Kästchen (EuGH, Urt. v. 01.10.2019, C-673/17 "Planet49"; BGH, Urt. v. 28.05.2020, I ZR 7/16 "Cookie-Einwilligung II"), Information über Zweck, Empfänger und Drittlandtransfer, Widerrufsmöglichkeit — und Protokollierung, denn nach Art. 7 Abs. 1 DSGVO musst Du die Einwilligung nachweisen können.

Rat: Ein "Ablehnen"-Button auf der ersten Ebene ist praktisch dringend zu empfehlen. Ob er in jeder Konstellation zwingend ist, wird zwischen den Aufsichtsbehörden unterschiedlich gesehen — aber ein Banner ohne gleichwertige Ablehnungsmöglichkeit ist bereits als wettbewerbswidrig eingestuft worden (OLG Köln, Urt. v. 19.01.2024, Az. 6 U 80/23).

d) Und zusätzlich: nocookie verwenden

Wenn Du nach alledem noch einbettest, nimm den erweiterten Datenschutzmodus dazu. Als Datenminimierung — nie als Ersatz für Schritt c).

4. Andere Video-Anbieter

Bei Vimeo, Wistia oder anderen gilt dieselbe Prüfung: Fließen beim Laden Daten an den Anbieter? Wo sitzt er? Gibt es einen Auftragsverarbeitungsvertrag? Ein Anbieter mit Sitz und Servern in der EU und einem sauberen AVV vereinfacht die Sache erheblich.

5. Das ungelöste Problem: Auftragsverarbeitung mit Google

Hier ist eine Klarstellung nötig, weil das Thema gern zu einfach dargestellt wird — auch in der Erstfassung dieses Beitrags.

Für einen gewöhnlichen YouTube-Embed ist Google kein Auftragsverarbeiter. Google legt Playertechnik, Sicherheitszwecke und Personalisierung selbst fest und handelt insoweit nicht weisungsgebunden. Die YouTube Data Processing Terms betreffen die von gewerblichen Nutzern hochgeladenen Inhalte — nicht die Besuchertelemetrie eines Embeds auf Deiner Seite.

Nach der Fashion-ID-Linie liegt für Erhebung und Übermittlung eine begrenzte gemeinsame Verantwortlichkeit vor. Dafür wäre eine Vereinbarung nach Art. 26 DSGVO erforderlich. Eine solche Vereinbarung stellt Google für gewöhnliche Embeds nicht allgemein zur Verfügung.

Heißt für dich: Das ist ein echtes Compliance-Loch, und es lässt sich nicht dadurch schließen, dass man ersatzweise irgendeinen Auftragsverarbeitungsvertrag abschließt. Wer es sauber haben will, kommt bei den Lösungen a) oder b) heraus.

Drittlandtransfer: Vertragspartner im EWR ist Google Ireland Limited, die Daten fließen aber in die USA. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss (EU) 2023/1795 vom 10.07.2023). Der Beschluss gilt — aber er ist angefochten: Das Rechtsmittel gegen die abweisende Entscheidung des Gerichts der EU (Urt. v. 03.09.2025, T-553/23) ist beim EuGH anhängig (C-703/25 P). Mehr dazu hier.

6. Urheberrecht: Darfst Du fremde Videos überhaupt einbetten?

Das ist eine von der Datenschutzfrage getrennte Prüfung, die in der Erstfassung nur gestreift wurde.

Der Grundsatz ist für Dich günstig: Das Einbetten eines Werks, das mit Zustimmung des Rechteinhabers frei zugänglich ist, erreicht kein "neues Publikum" und ist deshalb keine erneut erlaubnispflichtige öffentliche Wiedergabe (EuGH, Urt. v. 13.02.2014, C-466/12 "Svensson"; EuGH, Beschluss v. 21.10.2014, C-348/13 "BestWater" — ein Beschluss, kein Urteil, das wird oft falsch zitiert).

Drei Grenzen musst Du kennen:

• Technische Schutzmaßnahmen. Hat der Rechteinhaber wirksame Maßnahmen gegen Framing getroffen, ist deren Umgehung eine öffentliche Wiedergabe und damit erlaubnispflichtig (EuGH, Urt. v. 09.03.2021, C-392/19 "VG Bild-Kunst"; BGH, Urt. v. 09.09.2021, I ZR 113/18). Ein bloß erklärter Vorbehalt genügt dafür nicht — die Beschränkung muss technisch ausgedrückt sein. Praktisch heißt das: Ist die Embed-Funktion beim Video deaktiviert, lass die Finger davon.
• Rechtswidrig hochgeladene Videos. Verlinkst oder framest Du ein Werk, das ohne Zustimmung online steht, kommt es auf Deine Kenntnis an (EuGH, Urt. v. 08.09.2016, C-160/15 "GS Media"). Bei geschäftlichem Einsatz gilt dabei eine widerlegliche Vermutung, dass Du es hättest wissen müssen.
• Die YouTube-AGB helfen nur begrenzt. Der Uploader räumt anderen Nutzern eine Lizenz zur Nutzung über die vom Dienst aktivierten Funktionen ein — einschließlich Embeds. Er kann aber keine Rechte übertragen, die er selbst nicht hatte.

Merke: Die aktivierte Embed-Funktion ist ein starkes Indiz und eine vertragliche Lizenz — aber keine Garantie für einen rechtmäßigen Erst-Upload. Im Zweifel: Kanal, Rechteinhaber und Lizenzlage kurz dokumentieren, oder nicht einbetten.

7. Was passiert, wenn Du es ignorierst?

Ehrlich gesagt: Eine veröffentlichte deutsche Entscheidung, die speziell wegen eines YouTube-Embeds Schadensersatz zuspricht, gibt es bis heute nicht. Das Risiko leitet sich aus Parallelfällen ab — und die sind deutlich schärfer geworden:

• BGH, Urt. v. 18.11.2024, VI ZR 10/24: Schon der bloße, kurzzeitige Verlust der Kontrolle über eigene Daten ist ein immaterieller Schaden nach Art. 82 DSGVO. Weder ein konkreter Missbrauch noch weitere spürbare Nachteile sind erforderlich. Der BGH hat keinen Betrag zugesprochen, aber ausgeführt, dass gegen eine Größenordnung von rund 100 Euro keine Bedenken bestehen.
• OLG Frankfurt, Urt. v. 11.12.2025, Az. 6 U 81/23: Auch der Drittanbieter, der technisch an einer einwilligungslosen Cookie-Setzung mitwirkt, haftet als "Anbieter" im Sinne des § 25 TDDDG. 100 Euro Schadensersatz. Revision zum BGH zugelassen.
• Google Fonts: Nach der Abmahnwelle von 2022 haben mehrere Gerichte das massenhafte, crawlergestützte Vorgehen als rechtsmissbräuchlich eingestuft (LG München I, Urt. v. 30.03.2023, Az. 4 O 13063/22; AG Ludwigsburg, Urt. v. 28.02.2023, Az. 8 C 1361/22). Die Grundsatzfrage liegt inzwischen beim EuGH: Der BGH hat mit Beschluss vom 28.08.2025 (VI ZR 258/24) vorgelegt. Mehr dazu hier.

Heißt für dich: Massenabmahnungen per Crawler haben schlechte Karten. Ein einzelner Betroffener, der den Datenabfluss mit einem Netzwerkprotokoll dokumentiert, hat es dagegen leichter als früher — und Du musst die Einwilligung nachweisen, nicht er ihr Fehlen.

8. Datenschutzerklärung

Hast Du Deine Videos eingebettet, musst Du das auch in der Datenschutzerklärung beschreiben: welcher Dienst, welche Daten, welche Rechtsgrundlage, welcher Empfänger, welcher Drittlandtransfer.

Achtung bei Generator-Texten: Manche Generatoren geben bis heute Formulierungen aus, die dem Nutzer empfehlen, sich vor dem Besuch der Website bei YouTube auszuloggen. Das ist keine Rechtsgrundlage, sondern eine Verlagerung der Verantwortung auf den Betroffenen — und nach Fashion ID gerade nicht das, was von Dir verlangt wird.

9. Vergiss nicht: Social-Media-Account absichern

Du brauchst nicht nur für Deine Website, sondern auch für Deinen Social-Media-Account ein Impressum und eine Datenschutzerklärung. Das gilt auch für Deinen Kanal auf YouTube oder Vimeo.

Und es reicht nicht, dort einfach auf die Datenschutzerklärung Deiner Website zu verlinken. Diese beschreibt die Datenverarbeitung auf Deiner Website. Die Erklärung für den Kanal muss die Verarbeitung auf der Plattform darstellen. In gängigen Generatoren ist das oft nicht enthalten.

Zum Komplett-Schutz

Wie Du das konkret einbindest, habe ich am Beispiel Instagram gezeigt. Umfassend zu Social-Media-Accounts: hier.

10. Ausblick: Ändert sich das bald?

Kurz gesagt: nicht so schnell, wie viele hoffen.

• Die ePrivacy-Verordnung ist gescheitert. Die Kommission hat das Vorhaben am 12.02.2025 zurückgezogen. Es bleibt bei § 25 TDDDG.
• Die Einwilligungsverwaltungsverordnung (EinwV) gilt seit dem 01.04.2025. Sie regelt die Anerkennung von Diensten zur Einwilligungsverwaltung nach § 26 TDDDG. Anerkennungsstelle ist der BfDI. Praktisch ist sie noch marginal und ersetzt kein Consent-Management-Tool.
• Der Digital Omnibus der EU-Kommission (Vorschlag vom 19.11.2025) sieht Erleichterungen vor, unter anderem maschinenlesbare Browsersignale. Er ist im August 2026 kein geltendes Recht, sondern ein Entwurf im laufenden Verfahren.

Rat: Stell Deine Consent-Praxis jetzt nicht auf angekündigte Lockerungen um. Browsersignale sind heute kein Ersatz für ein Consent-Banner.

11. Ergebnis

Videos einzubinden ist kein Problem — vorausgesetzt, Du entscheidest bewusst, welchen Weg Du gehst.

• Willst Du es einfach und sicher: Self-Hosting oder ein EU-Hoster mit AVV. Dann brauchst Du keine Einwilligung für den Video-Teil.
• Willst Du bei YouTube bleiben: echte Zwei-Klick-Lösung mit lokalem Vorschaubild, sauberes Consent-Banner, Protokollierung — und youtube-nocookie obendrauf.
• Nicht ausreichend ist der erweiterte Datenschutzmodus allein. Das war die Kernaussage der ursprünglichen Fassung dieses Beitrags, und sie ist überholt.

Dazu brauchst Du passende Texte in der Datenschutzerklärung sowie ein Impressum und eine Datenschutzerklärung für Deinen Kanal bei YouTube oder Vimeo.

Stand: 09.08.2026

Wichtiger Hinweis: Dieser Beitrag ersetzt keine individuelle Rechtsberatung. Bei konkreten Fragen zu Deiner Website wende Dich an einen Fachanwalt für IT-Recht.

Dr. Ronald Kandelhard, Rechtsanwalt und Mediator. Ronald war lange Zeit an der Universität, in der Rechtsberatung von Staaten und als Rechtsanwalt tätig. Jetzt entwickelt er mit seinem Startup Paragraf7 automatisierte Lösungen für rechtliche Probleme von Unternehmen.