Ein eingebettetes Video wirkt harmlos, weil es aussieht wie ein Bild, das man anklicken kann. Tatsächlich lädt der Browser deiner Besucherin dabei Inhalte von Google-Servern, und zwar sofort beim Öffnen der Seite, nicht erst beim Klick auf Play.
In meinem Scan von 206 Schweizer KMU-Websites fand ich auf 5% eine YouTube-Einbindung.
Was beim Seitenaufruf passiert
Sobald die Seite lädt, wird eine Verbindung zu Google aufgebaut. Dabei werden übermittelt:
- die IP-Adresse deiner Besucherin
- Angaben zu Browser, Betriebssystem und Bildschirm
- vorhandene Google-Cookies, sofern die Person bei Google angemeldet ist
- die Information, welche Seite deiner Webseite gerade aufgerufen wurde
Bei angemeldeten Google-Nutzern lässt sich das direkt mit dem Konto verknüpfen. Wer also ein Video über Rückenschmerzen auf deiner Seite eingebettet hat, gibt damit einen Hinweis weiter, den man lieber nicht weitergeben würde.
Was das revDSG verlangt
Das revidierte Schweizer Datenschutzgesetz stellt die Informationspflicht ins Zentrum: Du musst nachvollziehbar sagen, welche Personendaten du bearbeitest, zu welchem Zweck und wer sie sonst noch zu sehen bekommt. Geht ein Dienst ins Ausland, kommt die Auslandbekanntgabe dazu, du musst also auch das Zielland nennen.
Seit dem 15. September 2024 anerkennt die Schweiz die USA über das Swiss-U.S. Data Privacy Framework wieder als Land mit angemessenem Datenschutzniveau, allerdings nur für US-Unternehmen, die sich unter diesem Rahmen zertifiziert haben. Für zertifizierte Dienste braucht es keine zusätzlichen Garantien mehr, für nicht zertifizierte weiterhin schon. Die Pflicht, transparent zu informieren, bleibt in beiden Fällen bestehen. Genau die wird am häufigsten übersehen.
Die einfache Verbesserung: erweiterter Datenschutzmodus
YouTube bietet eine Einbettung über die Domain `youtube-nocookie.com` an. Damit werden keine Cookies gesetzt, solange das Video nicht abgespielt wird. Die Verbindung zu Google und damit die Übermittlung der IP-Adresse findet weiterhin statt, es ist also eine Verbesserung und keine Lösung.
Wirklich sauber wird es mit einer Zwei-Klick-Lösung: Du zeigst zunächst ein Vorschaubild von deinem eigenen Server, und erst wenn jemand darauf klickt, wird das Video nachgeladen. Dann entscheidet die Person selbst.
Was in deine Erklärung gehört
Auch mit erweitertem Datenschutzmodus gehört die Einbindung deklariert: YouTube beziehungsweise Google als Anbieter, der Zweck der Einbindung, die übermittelten Daten und die Auslandbekanntgabe in die USA. Nutzt du eine Zwei-Klick-Lösung, beschreib das ruhig, es ist ein Punkt, bei dem du besser dastehst als die meisten.