Ja, eine automatisch eingebundene Google-Maps-Karte auf der Firmenwebsite braucht in aller Regel eine vorherige Einwilligung, weil beim Laden des iframes ohne Zutun des Besuchers dessen IP-Adresse und weitere Verbindungsdaten an Google-Server übertragen werden. Rechtsgrundlage ist Paragraf 25 TDDDG für den Zugriff aufs Endgerät, dazu Artikel 6 DSGVO für die anschließende Datenverarbeitung. Die in der Praxis übliche Lösung ist ein zweistufiger Aufbau: erst ein Platzhalter, erst nach einem Klick die echte Karte.
Was beim Einbinden technisch passiert
Die gängigste Art, eine Anfahrtskarte auf die Website zu bringen, ist ein iframe mit dem Google-Maps-Embed-Code, entweder direkt aus Google Maps kopiert oder über die Maps Embed API mit eigenem Schlüssel. Dieser iframe lädt in dem Moment, in dem die Seite im Browser aufgebaut wird, nicht erst, wenn der Besucher mit der Karte interagiert. Schon dieser erste Ladevorgang schickt IP-Adresse, Browserkennung und die aufgerufene Seite an Google, unabhängig davon, ob am Ende überhaupt jemand hineinzoomt oder eine Route abruft.
Für die datenschutzrechtliche Bewertung zählt dieser erste Kontakt, nicht die spätere Nutzung. Der Unterschied zu einem eigenen Foto oder einer eigenen Grafik liegt darin, dass eine Ressource vom fremden Server geladen wird: Jedes Mal, wenn ein Browser eine Datei von maps.googleapis.com oder maps.google.com anfragt, weiß Google, welche Seite gerade besucht wird, unabhängig davon, ob die Karte am Ende überhaupt betrachtet wird.
Die Rechtsgrundlage: Paragraf 25 TDDDG und Artikel 6 DSGVO
Zwei Normen greifen ineinander. Paragraf 25 Absatz 1 TDDDG verlangt eine Einwilligung, bevor auf dem Endgerät eines Besuchers Informationen gespeichert oder ausgelesen werden, etwa über Cookies, die eine eingebettete Karte mit sich bringt. Eine Ausnahme gilt nur, wenn die Technik unbedingt notwendig ist, um genau den Dienst zu liefern, den der Besucher ausdrücklich angefragt hat. Eine Anfahrtskarte, die beim bloßen Aufruf der Kontaktseite automatisch mitlädt, fällt nicht darunter: Sie ist eine Komfortfunktion des Betriebs, keine technische Notwendigkeit für einen vom Besucher gewünschten Dienst.
Selbst wenn diese erste Hürde übersprungen wäre, braucht die Übermittlung der IP-Adresse an Google noch eine eigene Rechtsgrundlage nach Artikel 6 DSGVO. In der Praxis ist das meist die Einwilligung nach Artikel 6 Absatz 1 Buchstabe a, weil ein berechtigtes Interesse nach Buchstabe f für eine Karte, die genauso gut ohne automatische Datenübertragung an Google laufen könnte, kaum trägt. Hinzu kommt der Drittlandtransfer in die USA nach Artikel 44 ff. DSGVO, der eine zusätzliche rechtliche Schicht auf dieselbe Frage legt.
Gibt es ein Gerichtsurteil speziell zu Google-Maps-Einbindungen?
Ein Grundsatzurteil, das die Google-Maps-Einbindung so konkret bewertet wie das bekannte Google-Fonts-Urteil, gibt es bislang nicht. Die Referenz bleibt LG München I, Urteil vom 20.01.2022, Az. 3 O 17493/20: Dort wurde die ungefragte Übermittlung der IP-Adresse durch die dynamische Einbindung von Google Fonts als DSGVO-Verstoß gewertet, mit Unterlassungs- und Schadensersatzanspruch. Rechtsberatung und Aufsichtsbehörden übertragen diese Begründung regelmäßig auf andere automatisch nachladende Google-Dienste, Kartenwidgets eingeschlossen, weil die technische Ausgangslage identisch ist: ein iframe, das beim Seitenaufruf ohne Einwilligung Daten an Google sendet.
Ein separates Urteil, LG Berlin vom 27.01.2022, Az. 26 O 177/21, betrifft einen anderen Sachverhalt und lässt sich nicht direkt auf die Einbindungsfrage übertragen: Es ging dort darum, ob eine bloße Adresse ohne Namensbezug in Google Maps ein personenbezogenes Datum ist, nicht um die technische Einbindung einer Karte auf einer Firmenwebsite. Für die IP-Adress-Übertragung beim Kartenladen ändert dieses Urteil nichts.
Die Zwei-Klick-Lösung in der Praxis
Der in der Praxis übliche Weg ist derselbe Mechanismus, der sich bereits bei Video-Embeds bewährt hat: Statt der echten Karte zeigt die Seite zunächst nur ein Vorschaubild oder eine unscharfe Kartenvorschau, technisch ein einfaches Bild vom eigenen Server, ganz ohne Verbindung zu Google. Darunter steht ein Hinweis wie „Durch Laden der Karte werden Daten an Google in den USA übertragen” plus ein Button „Karte laden”. Erst ein Klick lädt den eigentlichen iframe, entweder direkt oder nachdem der Besucher zuvor über ein Consent-Tool zugestimmt hat.
Diese Lösung erfüllt Paragraf 25 TDDDG, weil vor dem technischen Zugriff auf Google-Server eine bewusste Handlung des Besuchers steht. Die meisten Consent-Management-Tools bringen dafür eine fertige Kategorie „Karten” oder „Funktional” mit, sodass sich die Einbindung ohne eigenen Code umsetzen lässt.
Drei Einbindungsarten im Vergleich
| Methode | Daten an Google beim Seitenaufruf | Consent-Tool nötig | Aufwand |
|---|---|---|---|
| Standard-iframe (direkt eingebettet) | Ja, sofort | Ja, zwingend | Gering, aber Risiko bleibt |
| Zwei-Klick-Lösung mit Vorschaubild | Nein, erst nach Klick | Meist als Kategorie im Tool hinterlegt | Mittel, einmalige Einrichtung |
| OpenStreetMap, selbst gehostete Kartenkacheln | Nein, kein Drittanbieter-Aufruf | Nein | Höher, eigenes Hosting und Pflege |
Für Betriebe ohne eigene Entwicklung ist die Zwei-Klick-Lösung meist der pragmatischste Weg, weil sie Google Maps als vertrautes Werkzeug behält und nur den Ladezeitpunkt verschiebt. Eine selbst gehostete OpenStreetMap-Lösung mit Leaflet oder MapLibre spart die Einwilligungspflicht komplett, verlangt aber laufende Pflege der Kartendaten und einen eigenen Server für die Kartenkacheln, was sich für die meisten Handwerksbetriebe kaum lohnt.
Abgrenzung zum Google-Unternehmensprofil
Eine eingebettete Anfahrtskarte ist etwas anderes als das Google-Unternehmensprofil, das im Local Pack der Google-Suche erscheint. Das Unternehmensprofil ist ein Eintrag bei Google, den Sie über business.google.com pflegen, unabhängig von Ihrer eigenen Website. Die hier behandelte Karte ist dagegen ein technisches Bauteil auf Ihrer eigenen Seite, ein iframe oder API-Aufruf, den Sie selbst einbinden und der beim Laden Daten an Google überträgt. Beide ergänzen sich sinnvoll: Das Unternehmensprofil sorgt für Sichtbarkeit in der Suche, die eingebettete Karte zeigt Interessenten auf der eigenen Website den Weg. Die Einwilligungspflicht betrifft ausschließlich die zweite, technische Ebene.
Was bei einem Verstoß tatsächlich droht
Die DSGVO erlaubt bei Verstößen Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Für einen Handwerksbetrieb mit ungeprüfter Google-Maps-Einbindung ist ein Bußgeld in dieser Höhe unrealistisch, das Muster aus der Praxis sieht anders aus: Verbraucherschutzverbände, einzelne Website-Besucher oder spezialisierte Kanzleien mahnen ab, meist verbunden mit einer Unterlassungserklärung und überschaubaren Anwaltskosten. Das folgt demselben Muster, das bei Google Fonts zu einer breiten Abmahnwelle geführt hat, bislang allerdings in kleinerem Umfang, weil eine eingebettete Karte seltener automatisiert gescannt wird als die leicht erkennbare Google-Fonts-Signatur im Quelltext. Planbar bleibt das Risiko trotzdem: Wer die Zwei-Klick-Lösung einmal einrichtet, muss sich um diesen Punkt danach nicht mehr kümmern.
So richten Sie es in der Praxis ein
- Vorschaubild statt automatischem iframe einsetzen, entweder über eine Facade-Funktion des Consent-Tools oder manuell mit einem Standbild und Button.
- Adresse und Telefonnummer parallel als Text ausgeben, damit die Anfahrt auch ohne Klick auf die Karte auffindbar bleibt.
- Im Consent-Tool die Kategorie für Karten- oder Funktions-Cookies aktivieren und Google Maps zuordnen.
- In der Datenschutzerklärung einen Absatz zum eingebundenen Kartendienst ergänzen, inklusive Anbieter, Zweck, Drittlandtransfer und Widerrufsmöglichkeit.
- Nach der Umstellung testen: Seite im Inkognito-Fenster öffnen, Entwicklertools unter Netzwerk prüfen, vor einer Zustimmung darf keine Verbindung zu maps.googleapis.com oder maps.google.com erscheinen.
Eine Kartenkomponente ist nur ein Beispiel für ein größeres Muster: Jeder Dienst, der automatisch von einem fremden Server nachlädt, kann beim Seitenaufruf Daten übertragen, das gilt für Google Fonts genauso wie für YouTube-Videos. Der Artikel Cookie-Banner: Wann eine Website ihn wirklich braucht ordnet ein, welche Dienste generell eine Einwilligung auslösen und wie ein Consent-Tool die Kategorien technisch sauber trennt.
Der nächste Schritt für Ihren Betrieb
Eine Karte richtig einzubinden ist eine einmalige technische Einstellung, die danach nicht mehr angefasst werden muss, wenn die Zwei-Klick-Lösung einmal steht. Mr.Site betreut mehrere hundert Unternehmens-Websites und übernimmt solche Einstellungen im Rahmen der laufenden Website-Betreuung, inklusive einer kurzen Prüfung, welche weiteren eingebundenen Dienste auf der eigenen Seite ohne Zustimmung Daten nach außen senden.