Kurzfassung
YouTube-nocookie.com ist der „erweiterte Datenschutzmodus“ von Google, mit dem sich Videos einbetten lassen, ohne beim Laden der Seite Cookies zu setzen. In der Praxis garantiert diese Domain keine DSGVO-Konformität: Sie nutzt den Local Storage, um vor jeder Interaktion eine Gerätekennung (yt-remote-device-id) zu speichern, und setzt Cookies, sobald der Besucher auf „Play“ klickt. Für Rechtskonformität müssen Sie youtube-nocookie.com mit einer Blockierung des iframes vor der Einwilligung kombinieren, über eine CMP oder eine „2-Klick-Lösung“.
Was ist youtube-nocookie.com?
YouTube-nocookie.com ist eine alternative Domain von Google, mit der Sie YouTube-Videos im „erweiterten Datenschutzmodus“ einbetten können. Sie ersetzt die Domain youtube.com im iframe-Einbettungscode.
Wenn Sie den Einbettungscode eines YouTube-Videos kopieren, finden Sie unten im Einbettungsfenster die Option „Erweiterten Datenschutzmodus aktivieren“. Wenn Sie dieses Kästchen anhaken, ändert sich die iframe-Domain von youtube.com zu youtube-nocookie.com.
Das erklärte Ziel: Es werden keine Cookies gesetzt, solange der Besucher nicht mit dem Video interagiert. Google beschreibt diesen Modus so: Aufrufe von Videos im erweiterten Datenschutzmodus werden nicht zur Personalisierung des Nutzererlebnisses auf YouTube verwendet.
So aktivieren Sie den nocookie-Modus bei YouTube
Das Vorgehen ist einfach und erfordert keine technischen Kenntnisse.
Rufen Sie die YouTube-Seite des Videos auf, das Sie einbetten möchten. Klicken Sie unter dem Video auf „Teilen“ und dann auf „Einbetten“. Haken Sie im sich öffnenden Fenster unten das Kästchen „Erweiterten Datenschutzmodus aktivieren“ an. Der iframe-Code wird automatisch aktualisiert.
Die Änderung ist an der URL erkennbar: Die Domain wechselt von https://www.youtube.com/embed/VIDEO_ID zu https://www.youtube-nocookie.com/embed/VIDEO_ID.
Vorher (Standardmodus)
<iframe width="560" height="315" src="https://www.youtube.com/embed/VIDEO_ID" frameborder="0" allowfullscreen></iframe>Nachher (nocookie-Modus)
<iframe width="560" height="315" src="https://www.youtube-nocookie.com/embed/VIDEO_ID" frameborder="0" allowfullscreen></iframe>Wenn auf Ihrer Website bereits Videos im Standardmodus eingebettet sind, können Sie in Ihrer Datenbank eine Massenersetzung vornehmen: Ersetzen Sie alle Vorkommen von youtube.com/embed/ durch youtube-nocookie.com/embed/. Das geht schnell und beeinträchtigt die Funktion der Videos nicht.
Warum youtube-nocookie.com für die DSGVO-Konformität nicht ausreicht
Das ist der Kernpunkt dieses Artikels und der Grund, warum viele Websites sich für konform halten, obwohl sie es nicht sind.
Der Local Storage wird vor jeder Interaktion genutzt. Auch ohne Klick auf „Play“ schreibt allein das Laden des youtube-nocookie.com-iframes eine eindeutige Gerätekennung (yt-remote-device-id) in den Local Storage des Browsers. Diese Kennung ist eine UUID, die nach einem Jahr abläuft. Sie kann ein Gerät potenziell über mehrere Besuche hinweg verfolgen. Die DSGVO und die ePrivacy-Richtlinie regeln nicht nur Cookies: Jeder Speichermechanismus, der personenbezogene Daten erfassen kann, fällt in ihren Anwendungsbereich. Der Local Storage ist davon erfasst.
Cookies werden gesetzt, sobald Sie auf „Play“ klicken. Der Begriff „nocookie“ ist irreführend. Treffender wäre „verzögerte Cookies“. Sobald der Besucher die Wiedergabe startet, setzt YouTube Cookies auf seinem Gerät, ohne dass eine Einwilligung über einen konformen Mechanismus eingeholt wurde. Die bloße weitere Nutzung des Inhalts stellt nach der DSGVO keine gültige Einwilligung dar.
Es werden Netzwerkverbindungen zu Google aufgebaut. Auch im nocookie-Modus baut das Laden des iframes Verbindungen zu Google-Servern auf (unter anderem für die im Player eingebundenen Google Fonts). Diese Verbindungen übermitteln die IP-Adresse des Besuchers, was eine Übermittlung personenbezogener Daten darstellt.
Kurz gesagt: youtube-nocookie.com verringert das anfängliche Tracking (kein DoubleClick, keine personalisierten Vorschläge), beseitigt es aber nicht. Es ist keine eigenständige Lösung für die DSGVO-Konformität.
Was die Vorschriften tatsächlich verlangen
Die DSGVO und die ePrivacy-Richtlinie setzen einen klaren Rahmen für das Einbetten von Drittinhalten wie YouTube-Videos.
Bevor nicht notwendige Cookies oder Tracker gesetzt werden, ist eine vorherige Einwilligung Pflicht. Diese Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt werden. Auch das Laden von Drittinhalten, die personenbezogene Daten (IP-Adresse, Sitzungskennungen) an einen Server in den USA übermitteln, erfordert eine gültige Rechtsgrundlage.
Die französische Datenschutzbehörde (CNIL) setzt auf ihrer eigenen Website selbst ein System zur Blockierung von iframes ein: YouTube-Videos sind hinter einem Hinweis verborgen, bis der Besucher in das Setzen von YouTube-Cookies einwilligt. Das ist die Referenzmethode.
Die Datenschutzerklärung Ihrer Website muss die Nutzung eingebetteter YouTube-Videos, die an Google übermittelten Daten und die bei der Wiedergabe gesetzten Cookies erwähnen.
So betten Sie YouTube DSGVO-konform ein
Es gibt drei Ansätze, vom einfachsten bis zum robustesten.
Ansatz 1: externer Link zu YouTube
Statt das Video einzubetten, zeigen Sie ein statisches Vorschaubild an, das auf Ihrem eigenen Server liegt, mit einem Link zur YouTube-Seite. Kein iframe, keine Cookies, keine Verbindung zu Google. Der Besucher verlässt Ihre Website, um das Video anzusehen. Das ist die sicherste, aber auch die am wenigsten ansprechende Lösung.
Ansatz 2: „2-Klick-Lösung“
Das Video wird durch einen Platzhalter (Vorschaubild oder Hinweistext) ersetzt, bis der Besucher einwilligt. Ein Klick auf den Platzhalter zeigt einen Hinweis, dass das Laden des Videos eine Datenübermittlung an Google mit sich bringt. Ein zweiter Klick bestätigt die Einwilligung und lädt den iframe. Das lässt sich manuell in JavaScript umsetzen: Das Attribut src des iframes wird in das Attribut data-src verschoben und erst nach der Einwilligung wiederhergestellt.
Ansatz 3: iframe-Blockierung über eine CMP (empfohlen)
Eine Consent-Management-Plattform (CMP) wie FlowConsent blockiert das Laden von YouTube-iframes automatisch, bis der Besucher die entsprechende Cookie-Kategorie akzeptiert. Der Besucher sieht einen Platzhalter mit einem erklärenden Hinweis. Nach der Einwilligung über das Cookie-Banner wird der iframe normal geladen. Widerruft der Besucher seine Einwilligung, wird das Video wieder blockiert. Das ist die robusteste Lösung, weil sie die Verwaltung aller Drittinhalte (YouTube, Google Maps, Social-Media-Widgets) in einem einzigen Mechanismus bündelt.
Verwenden Sie in allen drei Fällen immer die Domain youtube-nocookie.com statt youtube.com. Auch wenn sie allein nicht ausreicht, verringert sie das Werbe-Tracking (DoubleClick) und ist eine gute ergänzende Maßnahme.
Besonderheiten der Plattformen: WordPress, Webflow und gängige CMS
Unter WordPress übernehmen mehrere Plugins die Blockierung von iframes vor der Einwilligung. Plugins wie Complianz, Borlabs Cookie oder Real Cookie Banner erkennen YouTube-iframes und ersetzen sie automatisch durch einen Platzhalter, bis die Einwilligung vorliegt. Einige dieser Plugins speichern das Vorschaubild des Videos auf Ihrem eigenen Server zwischen und verhindern so jede Verbindung zu Google vor der Einwilligung.
Unter Webflow erfordert die Blockierung von iframes ein eigenes Skript oder die Integration einer CMP, die das Blockieren von Drittanbieter-Skripten unterstützt. Das Prinzip ist dasselbe: Das Attribut src des iframes wird geleert oder in ein data-Attribut verschoben und erst nach der über das Cookie-Banner eingeholten Einwilligung wiederhergestellt.
Unter Shopify bieten die Themes keine native Blockierung von iframes. Sie benötigen eine kompatible CMP oder ein eigenes Blockierungsskript, das über die Datei theme.liquid eingebunden wird.
Mit dem FlowConsent Cookie-Scanner prüfen Sie schnell, ob Ihre eingebetteten YouTube-Videos vor der Einwilligung Cookies oder Local-Storage-Einträge setzen.
Consent Mode v2 und eingebettete YouTube-Videos
Der Google Consent Mode v2 gilt in erster Linie für Google-Tags (Analytics, Ads, Floodlight). Er ermöglicht diesen Tags, ihr Verhalten an die Einwilligungsentscheidung des Nutzers anzupassen, und sendet bei verweigerter Einwilligung cookielose Pings.
Bei eingebetteten YouTube-iframes blockiert der Consent Mode v2 das Laden des Videos nicht automatisch. Der YouTube-iframe ist ein Drittinhalt, der unabhängig vom Google-Tag-System funktioniert. Die Blockierung des iframes vor der Einwilligung bleibt notwendig, ob der Consent Mode aktiviert ist oder nicht.
Wenn Sie den Consent Mode v2 für Ihre Google-Analytics- und Google-Ads-Tags nutzen, müssen Ihre eingebetteten YouTube-Videos separat über das iframe-Blockierungssystem Ihrer CMP verwaltet werden.
Häufige Fehler (und wie Sie sie vermeiden)
Annehmen, dass youtube-nocookie.com = DSGVO-Konformität. Der Domainname ist irreführend. Er verringert das Tracking, beseitigt es aber nicht. Local Storage und Cookies beim Klick auf „Play“ bleiben Verstöße, wenn keine Einwilligung eingeholt wurde.
YouTube nicht in der Datenschutzerklärung erwähnen. Auch mit einer CMP und dem nocookie-Modus muss die Cookie-Richtlinie YouTube als Drittanbieterdienst aufführen und die übermittelten Daten sowie die gesetzten Cookies beschreiben.
Den Local Storage beim Audit vergessen. Standardmäßige Cookie-Audits erkennen HTTP-Cookies, aber nicht immer Local Storage und Session Storage. Ein vollständiges Audit muss die Reiter „Local Storage“ und „Session Storage“ in den Entwicklertools des Browsers prüfen.
Autoplay mit youtube-nocookie.com verwenden. Autoplay bei einem eingebetteten Video löst sofort das Setzen von Cookies und die Datenübermittlung an Google aus, ohne dass vorher eine Einwilligung eingeholt werden kann. Autoplay und DSGVO-Konformität sind bei eingebetteten YouTube-Videos unvereinbar.
Neue Einbettungen anpassen, aber alte vergessen. Wenn auf Ihrer Website seit Jahren Videos eingebettet sind, nutzen diese wahrscheinlich noch die Standard-Domain youtube.com. Eine Massenersetzung in der Datenbank ist notwendig.
Checkliste: YouTube rechtskonform einbetten
- Aktivieren Sie den „erweiterten Datenschutzmodus“ (youtube-nocookie.com) für alle eingebetteten Videos.
- Ersetzen Sie alte youtube.com-Einbettungen in der Datenbank durch youtube-nocookie.com.
- Richten Sie eine Blockierung der iframes vor der Einwilligung ein (über eine CMP oder eine „2-Klick-Lösung“).
- Zeigen Sie Besuchern ohne Einwilligung statt des Videos einen informativen Platzhalter an.
- Erwähnen Sie YouTube, die gesetzten Cookies und die übermittelten Daten in der Datenschutzerklärung.
- Prüfen Sie mit den Entwicklertools des Browsers, dass vor der Einwilligung weder Cookies noch Local-Storage-Einträge geschrieben werden.
- Verwenden Sie bei eingebetteten YouTube-Videos niemals Autoplay.
- Scannen Sie die Website regelmäßig mit einem Tool wie dem FlowConsent Scanner, um verbliebene Tracker zu erkennen.
- Wenn Sie den Consent Mode v2 nutzen, verwalten Sie die Blockierung der YouTube-iframes getrennt von der Konfiguration der Google-Tags.
- Testen Sie den Widerruf der Einwilligung: Prüfen Sie nach dem Widerruf, dass das Video wieder blockiert wird.
Fazit
YouTube-nocookie.com ist ein sinnvoller erster Schritt, reicht allein aber nicht aus. Es verringert das Werbe-Tracking und verhindert Cookies beim Laden der Seite, doch Local Storage, Cookies bei der Wiedergabe und Netzwerkverbindungen zu Google bleiben Compliance-Probleme. Der einzige DSGVO-konforme Ansatz kombiniert den nocookie-Modus mit einer Blockierung des iframes vor der Einwilligung, über eine CMP oder eine „2-Klick-Lösung“.
Um zu prüfen, ob Ihre eingebetteten YouTube-Videos Compliance-Probleme verursachen, starten Sie einen kostenlosen Scan Ihrer Website mit FlowConsent.