YouTube Einbettung

Was eine YouTube Einbettung tatsächlich macht

YouTube ist die Videoplattform der Google Ireland Limited (Verantwortlicher für EU Publisher) und Google LLC (Unterauftragsverarbeiter in den USA). Wenn der Publisher ein YouTube Video einbettet, wird der Standard iFrame von youtube.com geladen und ruft sofort JavaScript, Schriftarten und Player Ressourcen von ytimg.com, googlevideo.com und doubleclick.net ab. Der Player tauscht Werbesignale mit der Google Marketing Platform aus, auch wenn auf dem Video keine Werbung gezeigt wird.

Cookies und Speicherzugriffe durch YouTube Einbettungen

Die Standard youtube.com Einbettung setzt sofort beim Laden des iFrames die Cookies VISITOR_INFO1_LIVE (Besucherkennung, 6 Monate), YSC (Sitzungskennung, Sitzung), PREF (Präferenzen, 8 Monate) und IDE auf doubleclick.net (Werbekennung, 13 Monate). Der datenschutzfreundliche Modus youtube-nocookie.com setzt dieselben Cookies erst nach dem Klick auf Wiedergabe. Beide Modi schreiben zusätzlich localStorage Einträge für Wiedergabeposition und Qualitätsstufen.

Rechtsgrundlage und Einwilligung

Vor dem Laden einer YouTube Einbettung ist eine Einwilligung nach Art. 6(1)(a) DSGVO und §25 TTDSG erforderlich, da der iFrame Werbe Cookies auf Drittanbieter Domains (doubleclick.net, google.com) setzt. Der EuGH (Fashion ID, C 40/17, Juli 2019) bestätigt die gemeinsame Verantwortlichkeit der einbettenden Website. Die CNIL hat französische Organisationen für das Laden von YouTube ohne Einwilligung sanktioniert (Carrefour 2020, Université du Mans 2023). Auch youtube-nocookie.com ist nicht ohne Einwilligung möglich: die Auflösung der Domain übermittelt bereits die IP an Google.

Internationale Datenübermittlungen und Schrems II

Das Laden einer YouTube Einbettung überträgt IP, User Agent, Referer und Cookies an Google LLC in die USA. Google LLC ist seit dem 10. Juli 2023 unter dem EU US Data Privacy Framework zertifiziert und die YouTube Bedingungen enthalten die EU SCC (Modul 3). Die EDSA Bindebewirkungsentscheidung gegen Google Analytics (1/2022) und mehrere Bußgelder von Aufsichtsbehörden bestätigen jedoch, dass der Publisher auch Zusatzmaßnahmen umsetzen, eine TIA dokumentieren und die Nutzer informieren muss.

Praktische Compliance Checkliste

Ersetzen Sie den Standard iFrame durch einen Klick zum Laden Platzhalter (Vorschaubild plus Play Button), der die YouTube Einbettung erst nach Einwilligung lädt. Verwenden Sie die Domain youtube-nocookie.com statt youtube.com, um Cookies vor dem Klick zu vermeiden. Dokumentieren Sie Google Ireland Limited und Google LLC im Verarbeitungsverzeichnis (Art. 30 DSGVO) und in der Datenschutzerklärung. Führen Sie VISITOR_INFO1_LIVE, YSC, PREF und IDE in der Cookie Richtlinie. Erwägen Sie für sensible Inhalte Self Hosting mit Plyr, Mux Video, Vimeo Pro oder Bunny.net. Erneuern Sie die Einwilligung alle 6 Monate (CNIL Beratung 2020 091).

Alternativen

DSGVO freundliche Alternativen: Vimeo Privacy Friendly Embed (USA mit EU Residenz), Cloudflare Stream, Mux Video (EU und USA), Bunny Stream (Slowenien und globales Edge), PeerTube (Open Source selbst hostbar), Dailymotion (Frankreich) sowie der selbst gehostete Plyr oder Video.js Stack mit HLS Manifesten auf eigenem CDN.