Datenschutzkonforme Einbettung externer Inhalte

Viele große Online-Plattformen ermöglichen es, Inhalte über sogenannte Embed Codes in die eigene Website zu integrieren, allen voran Videoplattformen wie Youtube und Vimeo.

Unbedachte Nutzung von Embed-Codes ist ein Datenschutzverstoß

Die einfache Einbettung über Copy-Paste des Embed Codes in den Content der eigenen Seite ist attraktiv und kostengünstig, stellt aber einen Datenschutzverstoß dar: Denn sobald ein Besucher die Seite mit dem eingebetteten Content aufruft, wird sein Browser durch den Embed Code aufgefordert, Daten (zum Beispiel das Video) von einem externen Server nachzuladen. Beim Nachladen dieser Daten werden unweigerlich personenbezogene Daten des Besuchers an den Anbieter des Embeds übertragen, ohne dass der Besucher dem widersprechen kann. Hierzu zählt beispielsweise die IP-Adresse, aber auch weitere Daten des Besuchers wie z. B. Cookies des Anbieters oder Informationen über seinen Browser, seine Bildschirmauflösung und Ähnliches. Noch kritischer ist es, wenn der Anbieter außerhalb der Europäischen Union beheimatet ist: In diesem Fall müssen besondere Anforderungen erfüllt werden, damit eine Übertragung der Daten überhaupt ohne Einwilligung zulässig ist.

webfactory-Lösung ermöglicht die datensparsame Einbettung

Um unseren Kunden die komfortable Einbettung solcher externen Inhalte zu ermöglichen, ohne damit die Vorgaben der europäischen Datenschutz-Grundverordnung (DSGVO) zu verletzen, haben wir eine Symfony-Erweiterung und ein passendes Zusatzmodul für unser Content-Management-System wfDynamic entwickelt: Das WebfactoryEmbedBundle, das einfach in Projekte integriert werden kann. Embed Codes können hiermit als eigene Datensätze im Content-Management-System angelegt werden und über Shortcodes in der Form [embed 5] in Contentseiten eingebunden werden. Das System zeigt nun beim Seitenaufruf zunächst einen für den Embed Code hinterlegten Platzhalter an, z. B. mit einer textlichen Beschreibung und einem Vorschaubild sowie einem Link auf die geltenden Datenschutzbestimmungen. Erst wenn der Besucher den eingebetteten Inhalt tatsächlich laden möchte, wird die Anfrage an den externen Server gestellt.

Optionaler Consent-Dialog

Auf Wunsch kann der Besucher zudem beim Betreten der Website schon über einen Consent-Dialog angeben, dass er bestimmte Inhalte (z. B. Videos) automatisch laden möchte.