Was ist eine Drittanbieter-Einbindung?
Eine Drittanbieter-Einbindung ist ein Bestandteil Ihrer Website wie eine Schrift, ein Video oder eine Karte, den der Browser beim Aufruf direkt von einem fremden Server lädt und der diesem Anbieter dabei Daten des Besuchers übermittelt.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite4 Abschnitte
Einfach erklärt
Viele Websites laden Teile von fremden Servern: Schriften von Google Fonts, Videos von YouTube, Karten von Google Maps, Statistik- oder Werbeskripte, Schaltflächen sozialer Netzwerke. Für Besucher sieht das aus wie ein Teil Ihrer Seite. Technisch holt ihr Browser diese Teile aber direkt beim fremden Anbieter ab. Dabei erfährt der Anbieter die IP-Adresse des Besuchers, Angaben zu seinem Browser und von welcher Website die Anfrage kommt. Das ist, als ginge beim Betreten Ihres Ladens automatisch ein Zettel mit diesen Angaben an andere Firmen.
Warum das rechtlich zählt
Eine IP-Adresse kann ein personenbezogenes Datum sein, das hat der Europäische Gerichtshof 2016 entschieden (Rechtssache C-582/14). Das Landgericht München I hat 2022 einem Besucher 100 Euro Schadensersatz zugesprochen, weil eine Website Google Fonts ohne Einwilligung vom Google-Server geladen und so seine IP-Adresse weitergegeben hatte (Az. 3 O 17493/20). Werden dabei Informationen im Browser gespeichert oder ausgelesen, gilt außerdem § 25 TDDDG. Wie das für Ihre Website zu bewerten ist, klärt Ihr Datenschutzbeauftragter oder ein Anwalt. Mehr dazu unter personenbezogene Daten.
Was Sie tun können
- Schriften lassen sich auf dem eigenen Server ablegen. Dann fließt beim Aufruf nichts an Google.
- Videos und Karten lassen sich so einbinden, dass sie erst nach einem Klick laden. Bis dahin zeigt die Seite ein Vorschaubild mit Hinweis.
- Dienste für Statistik und Werbung lassen sich über ein Einwilligungswerkzeug erst nach Zustimmung laden.
Bitten Sie die Firma, die Ihre Website betreut, um eine Liste aller fremden Dienste auf Ihren Seiten, nicht nur auf der Startseite.
Was eine Einwilligung nicht löst
Auch mit Einwilligung bleibt ein fremdes Skript ein Risiko: Wird es beim Anbieter manipuliert, läuft der Schadcode auf Ihrer Website. Und ein Dienst mit Sitz außerhalb der EU kann zusätzlich einen Drittlandtransfer bedeuten.
Was beim Aufruf fließt
Jede Ressource von einem fremden Host löst eine direkte Verbindung des Browsers zu diesem Host aus: <script>, <link rel="stylesheet">, <img>, <iframe>, Schriften über @font-face. Auch <link rel="preconnect"> baut die Verbindung vorab auf, ohne dass etwas geladen wird. Übertragen werden mindestens IP-Adresse und User-Agent, dazu der Referer gemäß Referrer-Policy. Ohne eigene Policy senden aktuelle Browser nach strict-origin-when-cross-origin nur die Herkunft. Cookies des Drittanbieters gehen mit, soweit der Browser sie zulässt.
Ein fremdes Skript, das per <script src> eingebunden ist, läuft mit allen Rechten der eigenen Seite. Es kann Formulareingaben lesen und den Inhalt verändern.
Typische Fälle
| Einbindung | Datensparsame Alternative |
|---|---|
Google Fonts über fonts.googleapis.com | Schriftdateien selbst ausliefern |
YouTube-<iframe> | Vorschaubild, Laden erst nach Klick. Auch youtube-nocookie.com baut eine Verbindung zu Google auf. |
| Google Maps | statisches Bild mit Link, Karte erst nach Klick |
| Bibliotheken von öffentlichen CDNs | Dateien selbst ausliefern |
| Statistik, Pixel, Tag Manager | Laden erst nach Einwilligung oder selbst betriebene Statistik |
Einwilligungswerkzeuge blockieren Skripte etwa, indem sie sie mit type="text/plain" ausliefern und erst nach Zustimmung aktivieren. Rechtsgrundlagen sind Art. 6 DSGVO für die Übermittlung und § 25 TDDDG für Zugriffe auf das Endgerät. Die Bewertung im Einzelfall ist Sache des Datenschutzbeauftragten.
Typische Fehler
- Banner da, Skripte laden trotzdem. Die Einbindungen stehen direkt im HTML und laden vor jeder Entscheidung.
- Schriften selbst gehostet, aber doppelt geladen. Ein Theme oder Plugin lädt dieselbe Schrift zusätzlich von Google.
preconnectauf entfernte Dienste, die im Template stehen geblieben sind.- Nur die Startseite geprüft. Karten und Videos können auf Unterseiten wie „Kontakt“ oder „Anfahrt“ stehen.
Prüfen
curl -s https://ihre-firma.de/ | grep -o -E '<(script|link|img|iframe)[^>]+(src|href)="https?://[^/"]+' | sort -u
Vollständig zeigt es nur der Browser: Entwicklerwerkzeuge (F12), Reiter Netzwerk, Seite ohne Einwilligung neu laden und nach fremden Domains filtern.