YouTube und Datenschutz – Was in die Datenschutzerklärung gehört
Kompakte Anleitung zu eingebetteten YouTube-Videos: verarbeitete Daten, Zwecke, Rechtsgrundlagen (DSGVO), Drittanbieter-Inhalte und was Webseitenbetreiber in ihre Datenschutzerklärung aufnehmen müssen.
YouTube und Datenschutz – Was Webseitenbetreiber wissen müssen
Bindet ein Webseitenbetreiber YouTube-Videos über iFrame oder Player ein, verarbeitet er Klickpfade, Webserver-Protokolldaten und Nutzerprofile zum Zweck der Bereitstellung von Videoinhalten auf Basis von Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG). YouTube ist ein Video-Streaming-Dienst von Google, der kostenlosen Zugang zu Videoinhalten ermöglicht und von Webseitenbetreibern häufig zur Einbindung von Produkt-, Schulungs- oder Werbevideos genutzt wird.
A. Zweck und Funktionsweise von YouTube
YouTube ist eine Video-Plattform von Google Ireland Limited. Webseitenbetreiber können Videos über die YouTube-Plattform hochladen oder extern auf ihre Websites einbinden. Besuchern wird so ermöglicht, Videos direkt auf der Website zu schauen, ohne YouTube selbst zu besuchen.
Integrationsfunktion: YouTube-Videos werden typischerweise über ein HTML-<iframe>-Element eingebunden, das auf einen YouTube-Server (youtube.com oder optional youtube-nocookie.com) verweist. Der Player lädt sich beim Seitenaufruf oder beim Öffnen/Abspielen des Videos und stellt den Video-Content dar. Parallel dazu setzt YouTube Cookies und überträgt Nutzerdaten an Google-Server.
Optional können Webseitenbetreiber die youtube-nocookie.com-Domain verwenden, die nach Angaben des Anbieters weniger Cookies setzt, aber nicht völlig cookiefrei ist und dennoch Daten überträgt.
Diese Seite behandelt ausschließlich die Einbindung von YouTube-Videos in Websites (Drittanbieter-Inhalte). Die Nutzung der YouTube-Plattform als eigenständiger Verantwortlicher (Hochladen von Videos, YouTube Studio) ist nicht Gegenstand dieser Darstellung.
B. Pflichtangaben in der Datenschutzerklärung zu YouTube
Die DSGVO verlangt für den Einsatz von YouTube folgende Pflichtangaben: Zwecke der Datenverarbeitung (Art. 13 Abs. 1 lit. c DSGVO), Rechtsgrundlagen (Art. 13 Abs. 1 lit. c DSGVO), Empfänger oder Kategorien von Empfängern (Art. 13 Abs. 1 lit. e DSGVO), Drittlandtransfers (Art. 13 Abs. 1 lit. f DSGVO) sowie Speicherdauer oder deren Kriterien (Art. 13 Abs. 2 lit. a DSGVO).
Es ist nicht erforderlich, YouTube in der Datenschutzerklärung als eigenen Textbaustein zu behandeln. Die weit verbreitete Praxis, für jedes eingesetzte Tool einen gesonderten Abschnitt vorzusehen, erzeugt lange, unübersichtliche und schwer pflegbare Texte – und widerspricht dem Transparenzgebot des Art. 12 Abs. 1 DSGVO. Sachgerechter ist ein themenorientierter Ansatz, der externe Drittanbieter-Inhalte (Videos, Karten, Social Media) übergreifend erklärt und Google Ireland Limited im Empfänger-Anhang nennt.
Datenschutzerklärung in Minuten — pflegeleicht, ohne Abo.
Statt eines unleserlichen Textbausteins pro Tool: ein themenorientierter, hybrider Ansatz mit übersichtlicher Empfängerliste — wartbar, transparent, DSGVO-konform.
- Kein Abo, keine versteckten Kosten
- Pflegeleicht durch Themenstruktur statt Tool-Bausteinen
- Von Dr. Thomas Helbing, Fachanwalt für IT-Recht, kuratiert
Der Generator ist ein Angebot der matterius GmbH. matterius ist keine Anwaltskanzlei und erbringt keine Rechtsberatung.
C. Anbieter von YouTube: Google Ireland Limited
Anbieter: Google Ireland Limited (Verantwortlicher für EU-Nutzer)
Vollständige Anschrift: Gordon House, Barrow Street, Dublin 4, Irland
Sitzland: Europäischer Wirtschaftsraum (EWR), Irland
Nach Angaben des Anbieters agiert Google Ireland Limited als Verantwortlicher gemäß Art. 4 Abs. 7 DSGVO für die Datenverarbeitung durch YouTube. Die tatsächliche Datenverarbeitung, Video-Speicherung und der Serverbetrieb erfolgen durch Google LLC (Mountain View, Kalifornien, USA) und deren Subprozessoren.
Data Privacy Framework (DPF): Google LLC ist nach Angaben des Anbieters unter dem EU-US Data Privacy Framework zertifiziert. Überprüfung unter: https://www.dataprivacyframework.gov/participant/5780
Datenschutzerklärung des Anbieters: https://policies.google.com/privacy
Auftragsverarbeitungsvertrag (AVV/DPA): Für die Einbindung von YouTube-Videos ist vom Betreiber zu verifizieren, ob ein DPA erforderlich und verfügbar ist.
D. Datenverarbeitung durch YouTube – Ablauf
Erhebung
Beim Laden einer Seite mit eingebettetem YouTube-Video wird eine Verbindung zu YouTube-Servern aufgebaut. Das System erfasst: IP-Adresse, Browser-Information (User-Agent), Betriebssystem, Gerätetyp, Timestamp, Referrer-Seite. Zusätzlich setzt YouTube Cookies (z. B. YSC, CONSENT, APISID). Wenn ein Video abgespielt wird, werden zusätzlich Video-ID, Abspiel-Interaktionen und Wiedergabe-Länge erfasst.
Speicherung
Die erfassten Daten werden an Google-Server (Google LLC in den USA) übermittelt und dort gespeichert. Die Speicherdauer ist nach Angaben des Anbieters je nach Datentyp unterschiedlich. Nutzer können über ihr Google-Konto bestimmte Aktivitätsverlauf-Daten löschen.
Nutzung
Der Webseitenbetreiber nutzt YouTube zur Bereitstellung von Videoinhalten. Google LLC nutzt die erfassten Daten nach Angaben des Anbieters zur Verbesserung des YouTube-Dienstes, zur Personalisierung von Video-Empfehlungen und zur Werbe-Personalisierung. Die Daten können über Google-Accounts mit anderen Google-Diensten verknüpft werden.
Weitergabe
YouTube arbeitet mit Subprozessoren und Google-Partnern für Video-Hosting und Content Delivery. Wenn Nutzer in ihr Google-Konto eingeloggt sind, werden ihre Video-Aktivitäten mit ihrem Profil verknüpft.
Löschung
Der Webseitenbetreiber hat keine Kontrolle über die Löschung von Daten, die YouTube erfasst. Nutzer können über ihre YouTube- oder Google-Konten Aktivitätsverlauf-Informationen löschen und Daten-Einstellungen anpassen.
E. Erhobene Daten beim Einsatz von YouTube
YouTube erfasst beim Laden des Players und bei der Video-Wiedergabe die IP-Adresse des Nutzers, Browser- und Geräte-Informationen, Cookies für Nutzer-Tracking, sowie spezifische Video-Interaktionsdaten. Wenn Nutzer in ihr Google-Konto eingeloggt sind, werden diese Aktivitäten mit dem Konto verknüpft.
Diese Daten lassen sich in folgende standardisierte Datenarten-Klassen einordnen:
- Webserver-Protokolldaten: IP-Adresse, Datum/Uhrzeit/Zeitzone, User-Agent (Browser, Betriebssystem, Gerätetyp), Referrer-Seite
- Klickpfade: Seite, auf der das Video eingebunden ist, Video-ID, Abspielen/Pause-Interaktionen, Abspielposition
- Endgeräte-Daten: Gerätetyp, Betriebssystem, Bildschirmauflösung, Ausrichtung
- Browserinformationen: Browsername, Browserversion, Sprache
- Grobe Standortdaten: Aus der IP-Adresse ermittelter grober Standort
- Nutzerprofile: Google-Konto-Daten (wenn eingeloggt), Video-Wiedergabeverlauf, Interessens-Kategorien für Werbung
- Interaktionsdaten: Abspielen, Pause, Lautstärke-Anpassung, Vollbild-Modus
F. Nutzungszwecke beim Einsatz von YouTube
Der Webseitenbetreiber nutzt YouTube primär zur Bereitstellung von Video-Content für seine Besucher (Produktdemonstrationen, Schulungsvideos, Werbung). Google LLC nutzt die gesammelten Daten nach Angaben des Anbieters zur Verbesserung der YouTube-Plattform, zur Personalisierung und zur Werbe-Personalisierung.
Die Zwecke lassen sich wie folgt einordnen:
- Funktionsbereitstellung: Bereitstellung von Video-Inhalten, Video-Player-Funktionalität, Video-Streaming
- Sicherheit und Missbrauchsschutz: Erkennung von Bot-Traffic, Jugendschutz
- Allgemeine Produktverbesserung: Optimierung von Video-Empfehlungen, Verbesserung der Streaming-Qualität
- Allgemeines Marketing: Messung von Video-Engagement, Reichweitenanalyse
- Nutzerprofil-Erstellung: Erstellung von Interessens-Profilen auf Basis von Video-Wiedergabeverlauf (durch Google als eigenständigen Verantwortlichen)
- Nutzerindividuelles Marketing: Personalisierte Video-Empfehlungen, personalisierte Werbung (durch Google)
G. Rechtsgrundlagen für YouTube
YouTube ist ein Drittanbieter-Inhalte-Dienst, bei dem externe Video-Server (Google) in die Website eingebunden werden. Kommt typischerweise in Betracht:
Primäre Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG)
Da YouTube beim Laden des Players Cookies setzt und Daten an Google-Server überträgt, kommt als Rechtsgrundlage regelmäßig eine Einwilligung des Nutzers vor dem Laden in Betracht. Die Einwilligung wird typischerweise über ein Cookie-Consent-System eingeholt; eine praktische Umsetzung ist das Zwei-Klick-System (Video-Teaser → Nutzer klickt → Video lädt).
Wichtig: Die Nutzung von youtube-nocookie.com allein stellt nach Angaben verschiedener Datenschutzbehörden keine Lösung dar, die auf eine Einwilligung verzichten lässt, da auch diese Domain Cookies setzt und Daten überträgt.
Die konkrete Rechtsgrundlage ist im Einzelfall durch den Webseitenbetreiber zu prüfen.
H. Besonderheiten und Hinweise zu YouTube
- youtube-nocookie.com: Diese Domain setzt weniger Cookies als youtube.com, ist aber nicht von der Einwilligungspflicht befreit. Auch bei Nutzung von youtube-nocookie.com werden Daten an Google-Server übertragen.
- Zwei-Klick-Lösung: Eine datenschutzfreundliche Implementierung: Zunächst wird ein Video-Teaser (Thumbnail mit Play-Button) angezeigt. Der Nutzer muss aktiv klicken, um das iFrame zu laden. Dies ermöglicht die Einholung einer Einwilligung vor der Datenübertragung.
- Data Privacy Framework (DPF): Google LLC ist nach Angaben des Anbieters DPF-zertifiziert. Überprüfung unter: https://www.dataprivacyframework.gov/participant/5780
- Alternative Video-Plattformen: Für Webseitenbetreiber, die Drittanbieter-Tracking vermeiden möchten, bieten sich selbst gehostete Videos mit HTML5-Video-Element oder datenschutzfreundlichere Plattformen an.
- Auftragsverarbeitung: Vom Betreiber zu verifizieren, ob ein DPA mit Google für die YouTube-Einbindung abzuschließen ist.
I. FAQ zu YouTube
J. Fazit und Empfehlung zu YouTube
YouTube ist die weltweit größte Video-Plattform und wird von vielen Webseitenbetreibern für die Einbindung von Videoinhalten genutzt. Da beim Laden des Players Cookies gesetzt und Daten an Google-Server übertragen werden, kommt als Rechtsgrundlage typischerweise eine Einwilligung in Betracht. Die Daten werden nach Angaben des Anbieters unter DPF-Zertifizierung in die USA übermittelt.
Es ist wenig sinnvoll, für YouTube einen eigenen Textbaustein in die Datenschutzerklärung aufzunehmen. Das erzeugt lange, unübersichtliche und schwer pflegbare Texte und widerspricht dem Transparenzgebot des Art. 12 Abs. 1 DSGVO. Sachgerechter ist ein themenorientierter Ansatz, der Drittanbieter-Inhalte übergreifend beschreibt und Google Ireland Limited im Empfänger-Anhang aufführt. Genau das ist die Methodik des matterius-Generators.
Dieser Beitrag dient der allgemeinen Information zu YouTube und ersetzt keine rechtliche Beratung im Einzelfall. Stand: 2026-04-22. Die Darstellung beruht auf öffentlich zugänglichen Informationen von Google, Angaben des Anbieters und aktuellen DSGVO- und TDDDG-Auslegungen. Einzelne Fakten sollten vom Betreiber vor Einsatz aktuell verifiziert werden.
Datenschutzerklärung in Minuten — pflegeleicht, ohne Abo.
Statt eines unleserlichen Textbausteins pro Tool: ein themenorientierter, hybrider Ansatz mit übersichtlicher Empfängerliste — wartbar, transparent, DSGVO-konform.
- Kein Abo, keine versteckten Kosten
- Pflegeleicht durch Themenstruktur statt Tool-Bausteinen
- Von Dr. Thomas Helbing, Fachanwalt für IT-Recht, kuratiert
Der Generator ist ein Angebot der matterius GmbH. matterius ist keine Anwaltskanzlei und erbringt keine Rechtsberatung.
Autorenschaft
Dieser Wissensbeitrag wird von der matterius GmbH bereitgestellt. matterius ist keine Kanzlei und erbringt keine Rechtsberatung.
matterius wird inhaltlich begleitet von Dr. Thomas Helbing, Fachanwalt für IT-Recht in München.
Dr. Helbing wird seit 2020 durchgehend bis heute (2026) vom Handelsblatt als einer der „Deutschlands besten Anwälte" im Bereich IT-Recht und Datenschutzrecht ausgezeichnet.
Laut Kanzleimonitor.de (Ausgaben 2024–2026) zählt er zu den führenden Anwälten für Datenschutz und IT-Recht und ist unter den Top-100 Anwälten in Deutschland gelistet. Kanzleimonitor gilt als besonders aussagekräftige Marktstudie, da sie ausschließlich auf persönlichen Empfehlungen von Unternehmensjuristen basiert.
Dr. Helbing verfügt über langjährige Beratungserfahrung im Datenschutz- und IT-Recht und berät Mandanten unterschiedlichster Größen, vom Startup über wachstumsstarke SaaS-Unternehmen und Unicorns bis hin zu internationalen Konzernen.
Sein beruflicher Hintergrund umfasst das gesamte Spektrum der Praxis im IT- und Technologierecht. Er begann seine Laufbahn in einer internationalen Großkanzlei, sammelte anschließend Inhouse-Erfahrung in einem DAX-Unternehmen und ist selbst Unternehmer und Gründer mehrerer digitaler Projekte. Darüber hinaus verfügt er über praktische Programmiererfahrung, wodurch er technische Systeme, Softwarearchitekturen und digitale Geschäftsmodelle nicht nur juristisch, sondern auch aus technischer Perspektive versteht.
Zu seinen Mandanten zählen seit vielen Jahren unter anderem Technologieunternehmen und SaaS-Anbieter, führende deutsche Forschungseinrichtungen sowie eine systemrelevante deutsche Großbank. Seine Beratungsschwerpunkte liegen insbesondere in den Bereichen DSGVO-Compliance, Datenökonomie, SaaS, KI-Regulierung und IT-Vertragsrecht.
Mehr über Dr. Helbing: www.thomashelbing.com
Xandr und Datenschutz – Was in die Datenschutzerklärung gehört
Kompakte Anleitung zu Xandr (Microsoft): verarbeitete Daten, Zwecke, Rechtsgrundlagen (DSGVO) und was Webseitenbetreiber in ihre Datenschutzerklärung aufnehmen müssen.
Zendesk Support und Datenschutz – Was in die Datenschutzerklärung gehört
Kompakte Anleitung zu Zendesk: Customer Support, Chat, verarbeitete Daten, Zwecke, Rechtsgrundlagen (DSGVO) und was Webseitenbetreiber in ihre Datenschutzerklärung aufnehmen müssen.