DSGVO-Verst\u00f6\u00dfe durch eingebettete Social-Media-Plugins lassen sich erkennen, wenn ein Plugin beim Seitenaufruf Daten an externe Server \u00fcbertr\u00e4gt, bevor der Nutzer eine Einwilligung erteilt hat. Das betrifft vor allem klassische Share-Buttons und eingebettete Feeds von Plattformen wie Facebook, Instagram, YouTube oder LinkedIn. Die folgenden Abschnitte erkl\u00e4ren, worauf Sie konkret achten m\u00fcssen und wie Sie verd\u00e4chtige Verbindungen aufdecken k\u00f6nnen.<\/p>\n
Social-Media-Plugins \u00fcbertragen ohne Zustimmung in der Regel die IP-Adresse des Besuchers, Browser-Informationen, Ger\u00e4tedaten sowie Cookies an die Server der jeweiligen Plattform. Diese \u00dcbertragung erfolgt automatisch beim Laden der Seite, noch bevor ein Nutzer auf den Button klickt oder dem Tracking aktiv zustimmt.<\/p>\n
Konkret bedeutet das: Schon wenn eine Seite mit einem eingebetteten Facebook-Like-Button oder einem YouTube-Video geladen wird, nimmt der Browser des Besuchers Kontakt mit den Servern dieser Anbieter auf. Dabei wird mindestens die IP-Adresse \u00fcbermittelt, was nach der DSGVO bereits als Verarbeitung personenbezogener Daten gilt. Plattformen wie Meta oder Google k\u00f6nnen auf diese Weise Nutzerprofile aufbauen, auch wenn die betroffene Person gar nicht auf der jeweiligen Plattform angemeldet ist.<\/p>\n
Besonders kritisch ist die Datenweitergabe in Drittstaaten. Viele Social-Media-Anbieter sitzen in den USA oder anderen L\u00e4ndern au\u00dferhalb des Europ\u00e4ischen Wirtschaftsraums. Eine solche Daten\u00fcbermittlung ist nach Art. 44 ff. DSGVO nur unter bestimmten Voraussetzungen zul\u00e4ssig und erfordert in vielen F\u00e4llen eine ausdr\u00fcckliche Einwilligung des Nutzers.<\/p>\n
Ein Social-Media-Plugin ist dann datenschutzrechtlich unbedenklicher eingebunden, wenn es erst nach einer aktiven Nutzereinwilligung Verbindungen zu externen Servern aufbaut. Das l\u00e4sst sich daran erkennen, dass Inhalte zun\u00e4chst nur als Platzhalter oder Vorschaubild erscheinen und erst nach einem Klick oder einer Zustimmung vollst\u00e4ndig laden.<\/p>\n
Technisch umsetzbar ist das durch die sogenannte Zwei-Klick-L\u00f6sung oder durch eine Einbindung \u00fcber das Consent-Management. Bei der Zwei-Klick-L\u00f6sung wird das Plugin zun\u00e4chst deaktiviert dargestellt. Erst wenn der Nutzer aktiv auf einen Aktivierungsbutton klickt, wird die Verbindung zur Plattform hergestellt. Alternativ kann ein Consent-Banner so konfiguriert werden, dass das Plugin erst nach Erteilung der entsprechenden Einwilligung geladen wird.<\/p>\n
Folgende Merkmale sprechen f\u00fcr eine datenschutzkonforme Einbindung:<\/p>\n
Ein einfacher DSGVO-Check der Website<\/a> kann dabei helfen, zu erkennen, welche externen Dienste ohne Einwilligung geladen werden.<\/p>\n Typische DSGVO-Verst\u00f6\u00dfe entstehen, wenn Social-Media-Plugins ohne vorherige Einwilligung geladen werden, wenn die Datenschutzerkl\u00e4rung die betreffenden Dienste nicht nennt oder wenn kein funktionsf\u00e4higes Consent-Management vorhanden ist. Diese drei Fehler treten in der Praxis besonders h\u00e4ufig auf.<\/p>\n Der h\u00e4ufigste Versto\u00df: Ein Facebook-Pixel, ein eingebettetes YouTube-Video oder ein Instagram-Feed wird direkt beim Seitenaufruf aktiviert, ohne dass der Nutzer zugestimmt hat. Das Plugin \u00fcbertr\u00e4gt dabei Daten an externe Server, was nach Art. 6 DSGVO einer Rechtsgrundlage bedarf. Werbebezogene Dienste erfordern grunds\u00e4tzlich eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.<\/p>\n Selbst wenn ein Plugin korrekt in das Consent-Management eingebunden ist, bleibt ein Versto\u00df bestehen, wenn die Datenschutzerkl\u00e4rung den Dienst nicht erw\u00e4hnt. Nutzer m\u00fcssen nach Art. 13 DSGVO vorab \u00fcber jeden Verarbeitungszweck, den Anbieter und eine m\u00f6gliche Drittstaaten\u00fcbermittlung informiert werden. Fehlen diese Angaben, ist die Einwilligung nicht wirksam.<\/p>\n Ein weiterer verbreiteter Fehler ist ein Consent-Banner, das zwar optisch vorhanden ist, aber technisch keine Wirkung entfaltet. Das Plugin l\u00e4dt in solchen F\u00e4llen unabh\u00e4ngig davon, ob der Nutzer ablehnt oder zustimmt. Solche L\u00f6sungen erf\u00fcllen die Anforderungen der DSGVO nicht, auch wenn sie nach au\u00dfen hin den Anschein von Compliance erwecken.<\/p>\n Versteckte Verbindungen zu Social-Media-Plattformen lassen sich mit den Browser-Entwicklertools aufdecken. Im Netzwerk-Tab des Browsers sehen Sie in Echtzeit, welche externen Server beim Laden einer Seite kontaktiert werden, noch bevor Sie irgendeine Interaktion vorgenommen haben.<\/p>\n Gehen Sie dabei so vor:<\/p>\n Erg\u00e4nzend k\u00f6nnen Sie Browser-Erweiterungen wie uBlock Origin oder Privacy Badger einsetzen, um Tracking-Anfragen sichtbar zu machen. F\u00fcr eine systematische Pr\u00fcfung \u00fcber mehrere Seiten und Unterseiten hinweg sind manuelle Methoden jedoch aufwendig und fehleranf\u00e4llig. Gerade bei gr\u00f6\u00dferen Websites oder bei regelm\u00e4\u00dfiger \u00dcberwachung sto\u00dfen manuelle Pr\u00fcfungen schnell an ihre Grenzen.<\/p>\n Bei DSGVO-Verst\u00f6\u00dfen durch unkorrekt eingebundene Social-Media-Plugins drohen Bu\u00dfgeldverfahren durch Datenschutzbeh\u00f6rden, Abmahnungen durch Mitbewerber oder Verbraucherschutzorganisationen sowie Unterlassungsklagen. Die genauen Konsequenzen h\u00e4ngen vom Einzelfall ab und sollten mit einem Datenschutzbeauftragten oder einer Rechtsberatung eingesch\u00e4tzt werden.<\/p>\n Datenschutzbeh\u00f6rden in Deutschland und \u00d6sterreich haben in den vergangenen Jahren wiederholt Verst\u00f6\u00dfe im Zusammenhang mit externen Diensten und unzureichendem Consent-Management geahndet. Besonders im Fokus standen dabei Dienste, bei denen Daten ohne ausreichende Rechtsgrundlage in die USA \u00fcbermittelt wurden. Das Urteil des EuGH im Fall Schrems II und nachfolgende Entscheidungen haben die Anforderungen an solche \u00dcbermittlungen deutlich versch\u00e4rft.<\/p>\n Neben beh\u00f6rdlichen Verfahren ist das Abmahnrisiko in Deutschland erheblich. Wettbewerber oder qualifizierte Einrichtungen k\u00f6nnen bei festgestellten Verst\u00f6\u00dfen abmahnen und Unterlassung verlangen. Das betrifft nicht nur gro\u00dfe Unternehmen, sondern auch kleine und mittelst\u00e4ndische Websites. Hinzu kommt ein Reputationsrisiko, wenn Datenschutzm\u00e4ngel \u00f6ffentlich werden.<\/p>\n Wichtig: Dieser Artikel stellt keine Rechtsberatung dar. F\u00fcr eine rechtliche Einsch\u00e4tzung Ihrer konkreten Situation wenden Sie sich bitte an einen qualifizierten Datenschutzbeauftragten oder eine Anwaltskanzlei.<\/p>\n Automatisiertes Website-Scanning erkennt, welche externen Dienste und Cookies beim Seitenaufruf geladen werden, ob dies vor oder nach einer Nutzereinwilligung geschieht und ob die Datenschutzerkl\u00e4rung die gefundenen Dienste korrekt ausweist. Das reduziert den manuellen Pr\u00fcfaufwand erheblich und erm\u00f6glicht eine strukturierte, nachvollziehbare Dokumentation.<\/p>\n Manuelle Pr\u00fcfungen sind zeitaufwendig, schwer skalierbar und decken oft nicht alle Unterseiten einer Website ab. Ein automatisierter Scanner hingegen kann eine Website einschlie\u00dflich ihrer Unterseiten systematisch durchsuchen, das Verhalten vor und nach dem Akzeptieren des Consent-Banners vergleichen und konkrete Warnungen ausgeben, wenn Dienste ohne Einwilligung geladen werden. Das ist besonders wertvoll f\u00fcr Datenschutzbeauftragte, die mehrere Websites gleichzeitig betreuen.<\/p>\n Automatisierte Tools sind dabei als Unterst\u00fctzung zu verstehen, nicht als Ersatz f\u00fcr fachkundige Einsch\u00e4tzung. Sie liefern strukturierte Hinweise auf m\u00f6gliche Schwachstellen, die dann von einem Datenschutzbeauftragten oder einer Kanzlei bewertet werden sollten. In der Praxis zeigt sich, dass viele Verst\u00f6\u00dfe durch Social-Media-Plugins erst durch systematisches Scanning sichtbar werden, weil sie auf wenig besuchten Unterseiten oder in bestimmten Browser-Zust\u00e4nden auftreten.<\/p>\n Wir bei decareto haben eine SaaS-Plattform entwickelt, die Websites automatisiert auf genau diese Art von Datenschutzschwachstellen scannt. F\u00fcr Datenschutzbeauftragte, Agenturen und Compliance-Teams bieten wir folgende Funktionen:<\/p>\nWas sind typische DSGVO-Verst\u00f6\u00dfe bei Social-Media-Einbindungen?<\/h2>\n
Plugin l\u00e4dt ohne Einwilligung<\/h3>\n
Fehlende oder unvollst\u00e4ndige Datenschutzerkl\u00e4rung<\/h3>\n
Consent-Banner ohne tats\u00e4chliche Wirkung<\/h3>\n
Wie lassen sich versteckte Plugin-Verbindungen technisch aufdecken?<\/h2>\n
\n
Welche rechtlichen Konsequenzen drohen bei Verst\u00f6\u00dfen durch Social-Media-Plugins?<\/h2>\n
Wie kann automatisiertes Website-Scanning bei der Erkennung helfen?<\/h2>\n
Wie decareto bei der Erkennung von Social-Media-Plugin-Verst\u00f6\u00dfen unterst\u00fctzt<\/h2>\n
\n