Ja, ein eingebettetes YouTube-Video auf der Firmenwebsite braucht in aller Regel eine vorherige Einwilligung, weil beim Laden des Players automatisch Daten an Google-Server übertragen werden. Rechtsgrundlage ist Paragraf 25 TDDDG für den Zugriff aufs Endgerät, dazu Artikel 6 DSGVO für die anschließende Datenverarbeitung. Der erweiterte Datenschutzmodus über youtube-nocookie.com reduziert das Problem, löst es aber nicht vollständig, weil auch dort Anfragen an Google-Server abgehen, sobald das Video lädt.
Was beim Einbinden technisch passiert
Ein klassisches YouTube-Video landet über einen iframe auf der Seite, meist per Code-Schnipsel aus dem Teilen-Menü von YouTube oder automatisch über ein CMS-Feld. Dieser iframe lädt in dem Moment, in dem der Besucher die Seite öffnet, nicht erst, wenn er auf Play klickt. Schon dieser erste Ladevorgang überträgt IP-Adresse, Browserkennung und die aufgerufene Seite an Google, unabhängig davon, ob am Ende überhaupt jemand das Video ansieht. Für die datenschutzrechtliche Bewertung zählt dieser erste Kontakt, nicht der spätere Klick auf Play.
Der Unterschied zu einem reinen Text- oder Bild-Element ist der Grund, warum Video-Embeds anders behandelt werden als etwa ein normales Foto von der eigenen Website: Ein eigenes Bild liegt auf dem eigenen Server, ein YouTube-Video liegt auf einem fremden. Jede Ressource, die von einem fremden Server nachgeladen wird, kann diesen Server über den Besuch informieren, das ist bei Google Fonts genauso wie bei Karten-Widgets oder eben bei Video-Playern.
Die Rechtsgrundlage: Paragraf 25 TDDDG und Artikel 6 DSGVO
Zwei Normen greifen ineinander. Paragraf 25 Absatz 1 TDDDG (vormals TTDSG) verlangt eine Einwilligung, bevor auf dem Endgerät eines Besuchers Informationen gespeichert oder ausgelesen werden, etwa über Cookies oder ähnliche Kennungen, die ein eingebetteter Player mit sich bringt. Eine Ausnahme gilt nur, wenn die Technik unbedingt notwendig ist, um genau den Dienst zu liefern, den der Besucher ausdrücklich wünscht. Ein Werbevideo oder ein Imagefilm auf der Startseite fällt nicht darunter: Es ist ein Inhalt, den der Betrieb zeigen möchte, keine technische Notwendigkeit für den vom Besucher angefragten Dienst.
Selbst wenn diese erste Hürde übersprungen wäre, braucht die anschließende Verarbeitung personenbezogener Daten noch eine eigene Rechtsgrundlage nach Artikel 6 DSGVO. In der Praxis ist das meist die Einwilligung nach Artikel 6 Absatz 1 Buchstabe a, weil ein berechtigtes Interesse nach Buchstabe f für ein Video, das genauso gut ohne Datenübertragung an Google laufen könnte, kaum trägt. Beide Normen zusammen führen zum selben praktischen Ergebnis: ohne aktive Zustimmung des Besuchers sollte der Player nicht automatisch laden.
Reicht der erweiterte Datenschutzmodus?
Der erweiterte Datenschutzmodus, erkennbar an der Domain youtube-nocookie.com statt youtube.com, verhindert, dass YouTube ohne Wiedergabe des Videos Cookies auf dem Gerät des Besuchers setzt. Das ist eine echte Verbesserung gegenüber der Standardeinbindung, aber keine Rechtsgrundlage für sich. Auch im nocookie-Modus lädt der iframe beim Seitenaufruf und kontaktiert dabei Google-Server, wodurch weiterhin Verbindungsdaten wie IP-Adresse übertragen werden. Wer sich allein auf diesen Modus verlässt und den Player trotzdem automatisch laden lässt, hat das Datenschutzrisiko verkleinert, aber nicht beseitigt.
Die rechtssichere Lösung: Zwei-Klick-Player statt automatischem Embed
Der in der Praxis übliche Weg ist eine Zwei-Klick-Lösung: Statt des echten Players zeigt die Seite zunächst nur ein Vorschaubild mit Play-Symbol, ganz ohne Verbindung zu YouTube. Erst ein Klick des Besuchers lädt den eigentlichen iframe, entweder direkt oder nachdem er zuvor über ein Consent-Tool zugestimmt hat. Diese Lösung erfüllt Paragraf 25 TDDDG, weil vor dem technischen Zugriff auf Google-Server eine bewusste Handlung des Besuchers steht, und sie lässt sich mit den meisten Consent-Management-Tools als eigene Kategorie „Video” oder „Marketing” abbilden.
Vier Einbindungsarten im Vergleich
| Methode | Daten an Google beim Seitenaufruf | Consent-Tool nötig | Aufwand |
|---|---|---|---|
| Standard-Embed (youtube.com) | Ja, sofort | Ja, zwingend | Gering, aber Risiko bleibt |
| Erweiterter Datenschutzmodus (youtube-nocookie.com) | Ja, reduziert | Ja, weiterhin empfohlen | Gering |
| Zwei-Klick-Player mit Vorschaubild | Nein, erst nach Klick | Meist als Kategorie im Tool hinterlegt | Mittel, einmalige Einrichtung |
| Video selbst gehostet (kurze Clips) | Nein, eigener Server | Nein | Höher, Speicherplatz und Ladezeit im Blick behalten |
Für kurze Clips, etwa ein zehnsekündiges Werkstatt-Video auf der Startseite, kann selbst gehostetes Video die einfachste Lösung sein, weil es weder Consent-Logik noch fremden Server braucht. Für längere Inhalte, etwa ein zehnminütiges Erklärvideo zu einem Sanierungsprojekt, bleibt YouTube wegen Streaming, Komprimierung und Reichweite meist die praktischere Wahl, dann eben mit Zwei-Klick-Player.
Als Faustregel hilft die Dateigröße: Ein Video unter etwa 20 Sekunden lässt sich in mehreren Kompressionsstufen anbieten und ohne spürbaren Ladezeitverlust ausliefern, sobald es einmal fürs Web optimiert wurde. Alles darüber belastet entweder den eigenen Server merklich oder braucht ein Streaming-Format, das die meisten kleinen Hosting-Pakete gar nicht mitbringen. Wer unsicher ist, testet die eigene Website nach der Umstellung mit den gängigen Ladezeit-Werkzeugen und vergleicht den Wert vor und nach der Änderung.
Was bei einem Verstoß tatsächlich droht
Die DSGVO erlaubt bei Verstößen Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für einen Handwerksbetrieb mit ungeprüftem YouTube-Embed ist ein Bußgeld in dieser Höhe unrealistisch, das Muster aus der Praxis sieht anders aus: Verbraucherschutzverbände, einzelne Website-Besucher oder Wettbewerber mahnen ab, meist verbunden mit einer Unterlassungserklärung und überschaubaren Anwaltskosten. Das entspricht dem Muster, das bereits bei Google Fonts zu einer regelrechten Abmahnwelle geführt hat, nur bislang in kleinerem Umfang, weil YouTube-Embeds seltener automatisiert gescannt werden als die leicht erkennbare Google-Fonts-Signatur im Quelltext. Das Risiko ist real, aber planbar: Wer die Zwei-Klick-Lösung einmal einrichtet, muss sich um diesen Punkt danach nicht mehr kümmern.
Warum sich Video auf der Website trotzdem lohnt
Der Aufwand für die rechtssichere Einbindung lohnt sich, weil Video messbar wirkt. Laut dem Wyzowl State of Video Marketing Report für 2026 setzen 91 Prozent der Unternehmen Video als Marketinginstrument ein, nach einem kurzen Rückgang 2025 wieder auf dem bisherigen Höchststand. Für 2025 berichtet derselbe Report, dass 87 Prozent der befragten Verbraucher angeben, durch ein Video schon einmal zum Kauf eines Produkts oder einer Dienstleistung überzeugt worden zu sein. Für einen Handwerksbetrieb heißt das konkret: Ein kurzer Rundgang durch die Werkstatt, ein Vorher-Nachher-Video eines Sanierungsprojekts oder ein zwei Minuten langes Statement des Inhabers erreicht Interessenten, die reinen Text nicht zu Ende lesen.
So richten Sie es in der Praxis ein
- Vorschaubild statt automatischem Player einsetzen, entweder über ein Facade-Skript des Consent-Tools oder manuell mit einem Standbild und Play-Symbol.
- Im Consent-Tool die Kategorie für Video- oder Marketing-Cookies aktivieren und dem YouTube- oder Vimeo-Dienst zuordnen.
- In der Datenschutzerklärung einen Absatz zum eingebundenen Videodienst ergänzen, inklusive Anbieter, Zweck und Widerrufsmöglichkeit.
- Nach der Umstellung testen: Seite im Inkognito-Fenster öffnen, Entwicklertools unter Netzwerk prüfen, vor einer Zustimmung darf keine Verbindung zu googlevideo.com oder ähnlichen Domains erscheinen.
- Bei kurzen Clips prüfen, ob selbst gehostetes Video die einfachere Alternative ist, dann entfällt Schritt 1 bis 3 vollständig.
Video-Embeds sind nur ein Beispiel für ein größeres Muster: Jeder Dienst, der automatisch von einem fremden Server nachlädt, kann beim Seitenaufruf Daten übertragen, das gilt für Google Fonts genauso wie für Kartenwidgets oder Chat-Tools. Der Artikel Cookie-Banner: Wann eine Website ihn wirklich braucht ordnet ein, welche Dienste generell eine Einwilligung auslösen und wie ein Consent-Tool die Kategorien technisch sauber trennt.
Der nächste Schritt für Ihren Betrieb
Ein Video auf der Website richtig einzubinden ist eine einmalige technische Einstellung, die danach nicht mehr angefasst werden muss, wenn die Zwei-Klick-Lösung einmal steht. Mr.Site betreut mehrere hundert Unternehmens-Websites und übernimmt solche Einstellungen im Rahmen der laufenden Website-Betreuung, inklusive einer kurzen Prüfung, welche weiteren eingebundenen Dienste auf der eigenen Seite ohne Zustimmung Daten nach außen senden.