YouTube-Videos DSGVO konform einbinden

Aktualisiert am 10. August 2026

Gastbeitrag von Robert Kampczyk (realxlab.com)

Redaktioneller Hinweis (Stand 10. August 2026): Dieser Gastbeitrag stammt aus dem Jahr 2018, kurz nach dem Start der DSGVO. Der technische Ansatz — das Video erst nach der Einwilligung nachladen — ist bis heute richtig. Die rechtlichen Bezüge und der Beispielcode wurden aktualisiert; die Ergänzungen sind als solche gekennzeichnet.

YouTube ist sensationell, und die Möglichkeit, kostenfrei Videos zu speichern und auf der eigenen Website einzubinden, macht den Dienst wertvoll.

Doch mit der DSGVO stellt uns das Einbetten vor einige Herausforderungen.

1. Das Grundproblem: Es wird geladen, bevor jemand klickt

Bettest Du ein YouTube-Video mit dem Standard-Code ein, verbindet sich der Browser Deines Besuchers mit Google, sobald die Seite lädt. IP-Adresse und Browserinformationen gehen raus, bevor irgendjemand auf Play gedrückt hat.

Ergänzung 2026 — die maßgeblichen Normen: Einschlägig ist heute § 25 TDDDG. Die Vorschrift hieß bei Erscheinen dieses Beitrags noch § 15 Abs. 3 TMG, wurde 2021 zu § 25 TTDSG und trägt seit dem 14.05.2024 die Bezeichnung TDDDG. Sie verlangt eine Einwilligung für die Speicherung von Informationen auf dem Endgerät und für den Zugriff darauf — technikneutral, also nicht nur für Cookies, sondern auch für Local Storage, Session Storage und IndexedDB. Daneben greift die DSGVO, sobald personenbezogene Daten an Google fließen. Die IP-Adresse gehört dazu (EuGH, Urt. v. 19.10.2016, C-582/14 "Breyer").

2. Kein Auftragsverarbeitungsvertrag

Google stellt für gewöhnliche YouTube-Embeds keinen Auftragsverarbeitungsvertrag zur Verfügung. Zu unsicher ist die Sachlage, was wo gespeichert und verarbeitet wird. Auch die Tatsache, dass Google Fonts, DoubleClick, Gstatic und andere mitgeladen werden, hinterlässt einen faden Beigeschmack.

Ergänzung 2026: Das Problem ist inzwischen präziser beschreibbar — und es lässt sich nicht durch einen Auftragsverarbeitungsvertrag lösen, weil Google in dieser Konstellation gar kein Auftragsverarbeiter ist. Google legt Playertechnik, Sicherheitszwecke und Personalisierung selbst fest und handelt nicht weisungsgebunden.

Nach der Rechtsprechung des EuGH zum Facebook-Like-Button (Urt. v. 29.07.2019, C-40/17 "Fashion ID") liegt für die Erhebung und die Übermittlung eine gemeinsame Verantwortlichkeit vor — nicht aber für das, was Google danach mit den Daten macht. Dafür wäre eine Vereinbarung nach Art. 26 DSGVO nötig, die Google für gewöhnliche Embeds nicht allgemein anbietet.

Heißt für dich: Das ist ein offenes Compliance-Loch. Wer es ganz vermeiden will, hostet die Videos selbst oder nutzt einen EU-Hoster mit echtem AVV.

3. Video sicher einbetten

Du musst trotzdem nicht auf Videos verzichten. Mit den folgenden Schritten wird es deutlich sicherer.

• Nutze bei der Einbettung immer die NoCookie-Option (youtube-nocookie.com).
• Erweitere den Erklärtext Deines Consent-Banners um einen Hinweis, dass YouTube-Videos erst nach der Zustimmung angezeigt werden.
• Erweitere Deine Datenschutzerklärung um einen Abschnitt zur Einbindung von Diensten und Inhalten Dritter.
• Ändere im Einbettungscode das Attribut src zu data-src. So verhindert der Browser das Laden, weil er die Adresse nicht kennt.

So nicht — lädt sofort beim Seitenaufruf:

<iframe src="https://www.youtube-nocookie.com/embed/VIDEO_ID?rel=0"
        width="560" height="315" frameborder="0" allowfullscreen></iframe>

So — lädt erst, wenn Du es auslöst:

<iframe data-src="https://www.youtube-nocookie.com/embed/VIDEO_ID?rel=0"
        width="560" height="315" frameborder="0" allowfullscreen></iframe>

Wichtige Ergänzung 2026 — der Fehler, der fast immer gemacht wird: Das Vorschaubild muss lokal liegen. Wer als Platzhalter das Thumbnail von i.ytimg.com nachlädt, hat die Verbindung zu Google bereits hergestellt — und die ganze Lösung ist wertlos. Dasselbe gilt für Player-Skripte, Schriften und für preconnect- oder dns-prefetch-Einträge auf Google-Domains im Seitenkopf.

Achtung: youtube-nocookie.com ist eine sinnvolle Datenminimierung, aber kein Ersatz für die Einwilligung. Der Bundesbeauftragte für den Datenschutz hat den erweiterten Datenschutzmodus untersucht (Rundschreiben Telemedien 02/2023 vom 14.12.2023) und festgestellt, dass auch dort ein Cookie gesetzt und zusätzlich in IndexedDB, Local Storage und Session Storage geschrieben wird. Wörtlich: Der Modus sei "keine verlässliche Alternative zur Gewähr einer datenschutzrechtlich unkritischen Einbettung". Der Name ist irreführend.

4. Der Code zum Nachladen

Sobald die Einwilligung vorliegt, wird data-src in src umgeschrieben und das Video geladen.

Aktualisierte Fassung 2026 — ohne jQuery, mit korrigierter Cookie-Auswertung:

<script>
function hasAcceptedConsent() {
  return document.cookie
    .split(';')
    .some(function (entry) {
      return entry.split('=')[0].trim() === 'DEIN_CONSENT_COOKIE';
    });
}

function loadEmbeds() {
  document.querySelectorAll('iframe[data-src]').forEach(function (frame) {
    frame.src = frame.dataset.src;
    frame.removeAttribute('data-src');
  });
}

if (hasAcceptedConsent()) {
  loadEmbeds();
}
</script>

Hinweise zur Anpassung:

• DEIN_CONSENT_COOKIE musst Du durch den Namen ersetzen, den Dein Consent-Tool tatsächlich setzt. Der in der Erstfassung genannte Name cookieconsent_dismissed stammt aus einem Banner-Skript, das lediglich das Wegklicken protokollierte — das genügt heute nicht mehr als Einwilligung.
• Besser als das direkte Auslesen des Cookies ist es, das Event Deines Consent-Tools zu nutzen. Alle gängigen Tools bieten einen Callback, der nach der Zustimmung feuert. Dann lädt das Video ohne Neuladen der Seite.
• Der Selektor greift alle iframe-Elemente mit data-src. Wenn Du nur bestimmte laden willst, gib ihnen eine eigene Klasse und passe den Selektor an.

Anmerkung: Der ursprüngliche Beispielcode enthielt zwei Fehler in der Cookie-Schleife — es wurde ca.split() statt ca[i].split() aufgerufen und anschließend das ganze Array statt seines ersten Elements getrimmt. Beides ist in der Fassung oben behoben.

5. Im Grunde eine Zwei-Klick-Lösung

Genau das ist es: Der Nutzer entscheidet, bevor Daten fließen.

Ergänzung 2026: Der Ansatz hat sich rechtlich bewährt. Der BfDI erkennt die Zwei-Klick-Lösung ausdrücklich an — beim ersten Aufruf werden keine personenbezogenen Daten übermittelt, erst nach der Interaktion wird geladen.

Zwei Dinge, die 2018 noch nicht absehbar waren:

• Die in der Erstfassung erwähnte ePrivacy-Verordnung ist nie gekommen. Die EU-Kommission hat das Vorhaben am 12.02.2025 zurückgezogen. Es bleibt bei § 25 TDDDG.
• Die Anforderungen an das Banner selbst sind gestiegen: aktive Handlung statt vorangekreuztem Kästchen (EuGH, Urt. v. 01.10.2019, C-673/17 "Planet49"; BGH, Urt. v. 28.05.2020, I ZR 7/16), Information über Zwecke und Empfänger, Widerrufsmöglichkeit — und Protokollierung, denn nach Art. 7 Abs. 1 DSGVO musst Du die Einwilligung nachweisen können. Ein Banner ohne gleichwertige Ablehnungsmöglichkeit ist als wettbewerbswidrig eingestuft worden (OLG Köln, Urt. v. 19.01.2024, Az. 6 U 80/23).

6. Was passiert, wenn Du es lässt?

Eine veröffentlichte deutsche Entscheidung speziell zu YouTube-Embeds gibt es bis heute nicht. Die Parallelfälle sind aber deutlich schärfer geworden:

• BGH, Urt. v. 18.11.2024, VI ZR 10/24: Schon der kurzzeitige Verlust der Kontrolle über eigene Daten ist ein immaterieller Schaden nach Art. 82 DSGVO. Der BGH hat keinen Betrag zugesprochen, aber eine Größenordnung von rund 100 Euro nicht beanstandet.
• OLG Frankfurt, Urt. v. 11.12.2025, Az. 6 U 81/23: Auch der Drittanbieter, der technisch an einer einwilligungslosen Speicherung mitwirkt, haftet als "Anbieter" im Sinne des § 25 TDDDG.

Massenabmahnungen per Crawler haben dagegen schlechte Karten — mehrere Gerichte haben das Vorgehen in der Google-Fonts-Welle als rechtsmissbräuchlich eingestuft (LG München I, Urt. v. 30.03.2023, Az. 4 O 13063/22). Die Grundsatzfrage liegt inzwischen beim EuGH (BGH, Vorlagebeschluss v. 28.08.2025, VI ZR 258/24).

7. Weiterführend

Die rechtlichen Hintergründe und die Alternativen zum Embedding — Self-Hosting, EU-Hoster mit Auftragsverarbeitungsvertrag — findest Du ausführlich in unserem Beitrag YouTube Videos einbetten. Umfassende Informationen zur rechtssicheren Nutzung von Social-Media-Accounts stehen hier. Unseren Datenschutz-Generator mit Komplett-Schutz kannst Du Dir hier anschauen.

Robert

Über Robert: Passionierter Ultratrailrunner, Bergliebender, Podcaster und Webworker mit Ausdauer. Auch bei trockenen Themen.

Stand: 09.08.2026

Wichtiger Hinweis: Dieser Beitrag ersetzt keine individuelle Rechtsberatung. Der Beispielcode ist ein Muster und muss auf Dein Consent-Tool und Dein Template angepasst werden. Bei konkreten Fragen wende Dich an einen Fachanwalt für IT-Recht.