Wer Google Maps auf einer Website einbettet, überträgt beim Seitenaufruf automatisch die IP-Adresse der Besucherin oder des Besuchers an Google-Server in den USA. Das allein begründet bereits ein Datenschutzrisiko nach der DSGVO, denn eine solche Datenübertragung in ein Drittland erfordert in der Regel eine vorherige Einwilligung. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um Google Maps, DSGVO und die praktische Umsetzung auf Ihrer Website.
Welche Daten überträgt Google Maps beim Einbetten an Google?
Beim Einbetten einer Google-Maps-Karte werden beim Laden der Seite automatisch Daten an Google übertragen, noch bevor eine Nutzerin oder ein Nutzer mit der Karte interagiert. Dazu gehören mindestens die IP-Adresse des Endgeräts, Informationen über den verwendeten Browser und das Betriebssystem sowie die aufgerufene URL der Website. Google kann diese Daten mit bestehenden Google-Konten verknüpfen.
Konkret lädt der Browser beim Seitenaufruf JavaScript-Dateien und Kartenkacheln von Google-Servern. Dabei entstehen Netzwerkaufrufe an Domains wie maps.googleapis.com oder maps.gstatic.com. Diese Verbindungen übertragen technisch unvermeidlich die IP-Adresse der Nutzerin oder des Nutzers. Hinzu kommen potenziell Cookies und weitere Browser-Daten, die Google zur Personalisierung und zu Analysezwecken nutzen kann.
Besonders relevant: Google gibt in seinen eigenen Datenschutzbestimmungen an, dass Daten aus eingebetteten Diensten mit anderen Google-Produkten verknüpft werden können. Das bedeutet, dass eine eingebettete Karte auf Ihrer Unternehmenswebsite unter Umständen dazu beiträgt, das Nutzerprofil einer Person weiter anzureichern, die gleichzeitig bei Google angemeldet ist.
Warum ist Google Maps ohne Consent-Lösung ein DSGVO-Problem?
Google Maps ohne vorherige Einwilligung einzubetten, verstößt in den meisten Fällen gegen die DSGVO, weil dabei personenbezogene Daten an einen Anbieter mit Sitz in den USA übertragen werden, ohne dass eine wirksame Rechtsgrundlage vorliegt. Die USA gelten datenschutzrechtlich als unsicheres Drittland, sofern kein geeigneter Schutzmechanismus greift.
Die DSGVO verlangt für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach Art. 6 DSGVO. Bei Google Maps kommen grundsätzlich zwei in Betracht: das berechtigte Interesse oder die Einwilligung. Das berechtigte Interesse ist jedoch schwer zu begründen, wenn eine Karte bereits beim Laden der Seite Daten überträgt, ohne dass Nutzerinnen und Nutzer dies erwarten oder es für die Kernfunktion der Website notwendig ist.
Erschwerend kommt hinzu, dass Google als Unternehmen von Datenschutzbehörden wiederholt als problematischer Anbieter eingestuft wurde. Verschiedene europäische Aufsichtsbehörden haben Dienste von Google als nicht ohne Einwilligung einsetzbar bewertet, weil Google Daten erfahrungsgemäß auch für eigene Zwecke nutzt. Wer Google Maps ohne DSGVO-Website-Check und ohne Einwilligungslösung betreibt, setzt sich dem Risiko von Beschwerden und behördlichen Prüfungen aus.
Was ist der Unterschied zwischen der 2-Klick-Lösung und dem Consent-Manager?
Die 2-Klick-Lösung und der Consent-Manager sind zwei unterschiedliche technische Ansätze, um Google Maps datenschutzkonform einzubinden. Bei der 2-Klick-Lösung wird die Karte zunächst nicht geladen; Nutzerinnen und Nutzer sehen stattdessen einen Platzhalter und müssen aktiv klicken, um die Karte zu aktivieren. Ein Consent-Manager hingegen fragt die Einwilligung zentral beim ersten Seitenaufruf ab und steuert das Laden aller einwilligungspflichtigen Dienste automatisch.
Die 2-Klick-Lösung im Detail
Bei dieser Methode wird das iFrame oder das JavaScript von Google Maps erst dann geladen, wenn die Nutzerin oder der Nutzer explizit auf einen Aktivierungsbutton klickt. Das verhindert die ungewollte Datenübertragung beim Seitenaufruf. Der Nachteil: Die Nutzerfreundlichkeit leidet, und die Lösung ist technisch aufwendiger umzusetzen, da jede einzelne Karteneinbindung angepasst werden muss.
Der Consent-Manager als zentraler Ansatz
Ein Consent-Management-Tool (CMT) oder Consent-Banner fragt beim ersten Besuch die Einwilligung für alle einwilligungspflichtigen Dienste ab, darunter auch Google Maps. Erteilt die Nutzerin oder der Nutzer die Einwilligung, wird die Karte geladen; lehnt sie oder er ab, bleibt sie blockiert. Diese Lösung ist skalierbarer, weil sie zentral alle Dienste steuert. Entscheidend ist jedoch, dass der Consent-Manager korrekt konfiguriert ist und Google Maps tatsächlich erst nach Einwilligung lädt. Fehlerhafte Konfigurationen, bei denen Dienste trotz fehlenden Consents geladen werden, sind in der Praxis häufig.
Wann darf Google Maps ohne vorherige Einwilligung geladen werden?
Google Maps darf ohne vorherige Einwilligung geladen werden, wenn eine andere geeignete Rechtsgrundlage nach Art. 6 DSGVO vorliegt und kein Datentransfer in ein unsicheres Drittland ohne ausreichende Garantien stattfindet. In der Praxis ist das bei der Standard-Einbindung über Google-Server kaum zu erreichen.
Theoretisch könnte das berechtigte Interesse als Rechtsgrundlage herangezogen werden, wenn der Einsatz der Karte für die Kernfunktion der Website unbedingt erforderlich ist und das Interesse der Nutzenden an ihrem Datenschutz nicht überwiegt. Diese Abwägung fällt bei Google Maps jedoch regelmäßig zugunsten der Einwilligungspflicht aus, weil Google die Daten nach eigenen Angaben auch für eigene Zwecke nutzen kann.
Eine einwilligungsfreie Alternative besteht in der Verwendung datenschutzfreundlicherer Kartendienste, die Daten ausschließlich auf europäischen Servern verarbeiten, oder im selbst gehosteten Einsatz von OpenStreetMap-basierten Lösungen. Diese übertragen keine Daten an Drittanbieter und erfordern daher keine Einwilligung für das bloße Laden der Karte.
Was muss in der Datenschutzerklärung zu Google Maps stehen?
Wer Google Maps auf seiner Website einsetzt, muss in der Datenschutzerklärung transparent über diesen Dienst informieren. Dazu gehören mindestens: der Name des Dienstes und des Anbieters (Google Ireland Limited bzw. Google LLC), der Zweck der Einbindung, die übertragenen Datenkategorien, die Rechtsgrundlage sowie ein Hinweis auf den möglichen Datentransfer in die USA.
Im Einzelnen sollte die Datenschutzerklärung folgende Punkte abdecken:
- Anbieter und Kontakt: Name und Anschrift von Google sowie ein Verweis auf die Google-Datenschutzrichtlinie
- Verarbeitungszweck: Darstellung von Karten und Standortinformationen auf der Website
- Übertragene Daten: IP-Adresse, Standortdaten bei aktiver Nutzung, Browser- und Geräteinformationen
- Rechtsgrundlage: Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO oder, falls zutreffend, berechtigtes Interesse mit entsprechender Begründung
- Drittlandtransfer: Hinweis auf die Übertragung in die USA und die geltenden Garantien, etwa eine Zertifizierung im EU-US Data Privacy Framework
- Widerrufsmöglichkeit: Hinweis, wie Nutzerinnen und Nutzer eine erteilte Einwilligung widerrufen können
Fehlt die Nennung von Google Maps in der Datenschutzerklärung, stellt das einen eigenständigen Datenschutzverstoß dar, unabhängig davon, ob die Einbindung technisch korrekt umgesetzt ist. Ein Datenschutzerklärung-Generator kann dabei helfen, die Texte auf Basis tatsächlich erkannter Dienste aktuell zu halten.
Wie lassen sich Google-Maps-Risiken auf Websites systematisch erkennen?
Google-Maps-Risiken auf einer Website lassen sich systematisch erkennen, indem die Netzwerkaufrufe beim Seitenaufruf analysiert werden. Dabei wird geprüft, ob Verbindungen zu Google-Domains wie maps.googleapis.com bereits vor einer Einwilligung aufgebaut werden. Automatisierte Scan-Tools können diesen Prozess für einzelne Seiten und ganze Websites skalierbar durchführen.
Manuell lässt sich das über die Entwicklertools des Browsers prüfen: Im Netzwerk-Tab sehen Sie alle Requests, die beim Laden einer Seite entstehen, und können erkennen, ob Google-Domains angesprochen werden. Dieser Ansatz ist bei einzelnen Seiten praktikabel, bei Websites mit vielen Unterseiten jedoch sehr aufwendig.
Für eine systematische Prüfung empfiehlt sich ein strukturierter Ansatz, der folgende Punkte umfasst:
- Prüfung aller Unterseiten, nicht nur der Startseite, da eingebettete Karten häufig auf Kontakt- oder Standortseiten zu finden sind
- Analyse des Consent-Banners: Wird Google Maps tatsächlich erst nach Einwilligung geladen oder bereits vorher?
- Abgleich mit der Datenschutzerklärung: Ist Google Maps dort als externer Dienst aufgeführt?
- Überprüfung, ob Google im EU-US Data Privacy Framework zertifiziert ist und ob diese Garantie dokumentiert wird
So unterstützt decareto bei der Erkennung von Google-Maps-Risiken
Wir bei decareto haben eine SaaS-Plattform entwickelt, die genau diese Analyse automatisiert durchführt. Beim Scannen einer Website erkennen wir anhand der Netzwerkaufrufe, ob Google Maps eingebunden ist und ob der Dienst vor oder nach einer Einwilligung geladen wird. Unsere Datenbank umfasst über 4.000 externe Dienste, darunter alle relevanten Google-Dienste, und ordnet ihnen automatisch eine datenschutzrechtliche Bewertung zu.
Konkret bietet decareto für die Prüfung von Google-Maps-Risiken folgende Funktionen:
- Automatischer Scan aller Unterseiten: Wir prüfen nicht nur die Startseite, sondern crawlen die gesamte Website, sodass eingebettete Karten auf Kontakt- oder Standortseiten zuverlässig erkannt werden
- Einwilligungsprüfung: Wir erkennen, ob Google Maps trotz fehlenden Consents geladen wird, und weisen im Report auf dieses Risiko hin
- Datenschutzerklärungsabgleich: Fehlende Nennungen externer Dienste wie Google Maps in der Datenschutzerklärung werden als Warnung im Report angezeigt
- Kontinuierliche Überwachung: Hunderte Websites lassen sich dauerhaft beobachten; bei Änderungen werden automatische Benachrichtigungen ausgelöst
- Risiko-Score: Jede Website erhält einen Score, der sich unter anderem verschlechtert, wenn einwilligungspflichtige Dienste ohne Consent geladen werden
decareto unterstützt Datenschutzbeauftragte, Agenturen und Compliance-Teams dabei, Google-Maps-Risiken und andere Datenschutzschwachstellen effizient zu identifizieren. Die Software ersetzt keine rechtliche Beratung, liefert aber eine fundierte technische Grundlage für Ihre Compliance-Arbeit. Testen Sie jetzt Ihre Website und erkennen Sie, welche Dienste ohne Einwilligung laden: Jetzt kostenlos starten.
Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.
Ähnliche Artikel
- Welche Datenschutzlücken entstehen durch unsichere Cookie-Einbindungen?
- Wie erkennt man WCAG-Verstöße bei responsiven Websites?
- Wie prüfe ich, ob meine Auftragsverarbeiter (AVV-Partner) DSGVO-konform arbeiten?
- Was sind typische Barrierefreiheitsprobleme bei Suchfunktionen?
- Was prüft ein Web Accessibility Check bei der Fokusführung?
