YouTube

Eine Standard-YouTube-Einbettung setzt mehrere Cookies vor jeder Nutzerinteraktion: VISITOR_INFO1_LIVE (persistent, 6 Monate, Besucheridentifikation und Anzeigen-Targeting), YSC (Session, verfolgt Videoaufrufe), PREF (persistent, 2 Jahre, Nutzereinstellungen) und CONSENT (persistent, 2 Jahre, speichert den Google-Einwilligungsstatus). Wenn Videos Werbung enthalten, werden auch DoubleClick-Cookies wie IDE (persistent, 13 Monate) gesetzt. Die Verwendung der Einbettungsdomäne youtube-nocookie.com verhindert das Setzen von Cookies, bis der Nutzer auf Abspielen klickt.

Ja, für Standard-YouTube-Einbettungen. Gemäß der ePrivacy-Richtlinie und den nationalen Cookie-Gesetzen ist für das Setzen nicht notwendiger Cookies eine vorherige Einwilligung erforderlich. Standard-YouTube-Einbettungen lösen Tracking-Cookies beim Laden der Seite aus, bevor der Nutzer eine Aktion ausführt, was ohne Einwilligung nicht zulässig ist. Es gibt zwei konforme Optionen: (1) Eine CMP verwenden, um die Einbettung vollständig zu sperren, bis der Nutzer Cookies akzeptiert, oder (2) auf die youtube-nocookie.com-Einbettung wechseln, die weitgehend als mit dem berechtigten Interesse vereinbar akzeptiert wird, wenn sie ordnungsgemäß offengelegt wird.

Weitgehend ja, für die meisten EU-Jurisdiktionen. Die youtube-nocookie.com-Einbettung setzt keine Cookies, bis der Nutzer auf Abspielen klickt, was die vorherige Cookie-Einwilligungspflicht entfallen lässt. Sie kontaktiert beim Laden der Seite jedoch weiterhin Google-Server und überträgt die IP-Adresse des Besuchers an Google in den USA. Aus diesem Grund müssen Sie dennoch: YouTube-Einbettungen und die US-Datenübertragung in Ihrer Datenschutzerklärung offenlegen, Ihre Interessenabwägung dokumentieren und einen Widerspruchsmechanismus bereitstellen. Einige strengere Interpretationen (insbesondere in Deutschland) erfordern möglicherweise auch für die nocookie-Einbettung eine Einwilligung.

YouTube erfasst: (1) IP-Adresse und ungefähren Standort; (2) Geräte- und Browserinformationen (User-Agent, Bildschirmauflösung, Sprache); (3) Video-Interaktionsereignisse wie Abspielen, Pause, Vor-/Zurückspulen, Lautstärkeänderungen und Wiedergabedauer; (4) Referrer-URL, die anzeigt, auf welcher Seite sich die Einbettung befindet; (5) Google-Kontodaten, wenn der Zuschauer bei Google angemeldet ist; (6) Werbe-IDs für Anzeigen-Targeting, wenn Werbung aktiviert ist. Alle diese Daten werden mit YouTube-Zuschauerprofilen verknüpft und für personalisierte Werbung im Google-Werbenetzwerk genutzt.

Ja. YouTube wird von Google LLC, einem US-Unternehmen, betrieben, und die gesamte Datenverarbeitung erfolgt auf Google-Infrastruktur in den USA. Google überträgt personenbezogene Daten aus der EU gemäß den Standardvertragsklauseln (SCC, Ausgabe 2021) als rechtlichem Mechanismus nach DSGVO-Kapitel V in die USA. Google führt außerdem eine Datentransfer-Folgenabschätzung (TIA). Website-Betreiber, die YouTube einbetten, sollten: (1) den Auftragsverarbeitungsvertrag (AVV) von Google akzeptieren, (2) AVV und SCC in ihrer Datenschutzerklärung und ihrem Verarbeitungsverzeichnis referenzieren, (3) eine eigene TIA dokumentieren.

Eine formelle DSFA ist nicht automatisch für alle YouTube-Einbettungen erforderlich, wird aber in folgenden Szenarien empfohlen: (1) Ihre Website hat ein großes EU-Publikum und bettet YouTube extensiv ein; (2) Sie kombinieren YouTube-Zuschauerdaten mit anderen Nutzerdaten Ihrer Plattform; (3) Sie nutzen YouTube-Einbettungen zusammen mit personalisierter Werbung. Eine DSFA dokumentiert die Risiken der Übertragung von Zuschauerverhaltensdaten an Google in den USA und die ergriffenen Maßnahmen zur Risikominderung. Auch wenn eine vollständige DSFA nicht erforderlich ist, sollte bei Nutzung der nocookie-Einbettung eine Interessenabwägung durchgeführt werden.

Die konformsten Implementierungen sind: (1) Cookie-freie Einbettung: Ersetzen Sie youtube.com durch youtube-nocookie.com in allen Einbettungs-URLs, legen Sie dies in Ihrer Datenschutzerklärung offen und dokumentieren Sie eine Interessenabwägung. (2) Einwilligungsbasierte Einbettung: Nutzen Sie Ihre CMP, um das Laden des iframes zu blockieren, bis der Nutzer die entsprechende Cookie-Kategorie akzeptiert. Zeigen Sie ein Platzhalterbild mit einem Einwilligungshinweis an. (3) Fassadentechnik: Zeigen Sie ein statisches Vorschaubild mit einem Wiedergabe-Button. Laden Sie den eigentlichen YouTube-iframe erst, wenn der Nutzer auf den Wiedergabe-Button klickt, und lösen Sie dabei eine Einwilligungsaufforderung aus. Akzeptieren Sie stets den AVV von Google.

Ihre Datenschutzerklärung sollte enthalten: (1) eine Beschreibung der YouTube-Einbettungen und ihres Zwecks; (2) die von YouTube gesetzten Cookies und ihre Laufzeit; (3) die an Google in den USA übertragenen Daten und die SCC-Rechtsgrundlage; (4) einen Link zur Google-Datenschutzerklärung und den YouTube-Nutzungsbedingungen; (5) Ihren Ansprechpartner für Datenanfragen. Ihr Cookie-Banner sollte VISITOR_INFO1_LIVE, YSC, PREF und CONSENT unter der entsprechenden Kategorie mit genauen Laufzeiten auflisten. Bei Nutzung von youtube-nocookie.com dokumentieren Sie dies als datenschutzfördernde Maßnahme und erläutern Sie, dass dennoch eine IP-Übertragung an Google stattfindet.