Digitale Aufsicht im Praxistest:
Erste automatisierte Webseitenprüfung der BfDI deckt zahlreiche unzulässige YouTube-Einbettungen auf
Datum 30.06.2025
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat erstmals eine automatisierte Webseitenprüfung durchgeführt und dabei Verstöße bei der Einbindung von YouTube-Videos auf Webseiten des Bundes identifiziert.
Die BfDI wird die betroffenen Behörden dabei unterstützen, datenschutzfreundliche Alternativen umzusetzen. Die BfDI versteht sich als konstruktiv beratende Datenschutzaufsicht. In den meisten Fällen dürfte den Verantwortlichen trotz vorheriger Aufklärung über die Thematik durch die BfDI nicht klar sein, dass es sich um einen Datenschutzverstoß handelt. Daher sensibilisiert die BfDI nun noch einmal dafür.
YouTube-Einbindung ohne Einwilligung
YouTube-Videos können datenschutzkonform durch Behörden auf ihren Webseiten genutzt werden. Problematisch wird es, wenn Videos direkt eingebettet werden: Beim Aufruf der Webseite verbindet sich der Browser der Nutzerin oder des Nutzers automatisch mit YouTube-Servern und übermittelt dabei unter anderem IP-Adressen. Diese Datenübertragung erfolgt ohne vorherige Einwilligung der Nutzerinnen und Nutzer und verstößt damit gegen das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Diese Einschätzung hat die BfDI den öffentlichen Stellen des Bundes in der Vergangenheit wiederholt mitgeteilt, beispielsweise im Jahr 2023 mit einem Rundschreiben.
Systematische Prüfung mit messbaren Ergebnissen
Mit verschiedenen Prüfwerkzeugen hat die BfDI im ersten Quartal 2025 knapp 200 Webseiten des Bundes systematisch untersucht. Die Zahlen sprechen für sich:
- Über 500.000 Einzelseiten wurden automatisiert analysiert
- 40 Verstöße durch datenschutzwidrige YouTube-Einbindungen wurden identifiziert
und damit verbunden sind - 40 Beratungsschreiben an die identifizierten Stellen versendet worden.
Trotz der wiederholt klar kommunizierten Position der BfDI zu dieser Problematik zeigt sich: Das Problembewusstsein ist noch nicht überall angekommen. Die automatisierte Analyse ermöglichte es der BfDI erstmals, ein objektives und umfassenderes Lagebild zu gewinnen – jenseits von Selbstauskünften oder Stichproben.
Die Zukunft der Aufsicht ist digital
Mit dieser Prüfmethodik geht die BfDI einen wichtigen Schritt in der Datenschutzaufsicht. Insbesondere die Skalierbarkeit, die Objektivität sowie die präventive Wirkung des Vorgehens sind Gründe, diesen Ansatz weiter auszubauen.
Ende 2025 wird die BfDI evaluieren, wie beziehungsweise ob die betroffenen Stellen auf die Beratungsschreiben reagiert haben. Parallel sollen weitere Prüfungen mit anderem Fokus und eine Ausweitung auf zusätzliche Webseiten folgen.
Datenschutzkonforme Video-Einbindung
Durch die Beratungsschreiben will die BfDI die öffentlichen Stellen des Bundes dabei unterstützen, die Video-Einbindung datenschutzkonform umzusetzen. Hierbei gibt es vor allem zwei Alternativen:
- Selbsthosting als Goldstandard: Videos werden auf eigenen Servern gehostet und auf der Webseite eingebunden. Dies gewährleistet vollständige Kontrolle über Datenverarbeitung und Nutzerinteraktionen.
- Zwei-Klick-Lösungen: Nutzende müssen aktiv auf ein Vorschaubild klicken, bevor die Verbindung zu YouTube aufgebaut wird. Wichtig: Bei dieser Variante sollte immer eine gleichwertige Alternative ohne Drittanbieter angeboten werden.
Datenschutz-Compliance ist kein einmaliger Akt, sondern ein kontinuierlicher Prozess. Mit digitalen Aufsichtsmethoden unterstützt die BfDI öffentliche Stellen des Bundes dabei, diesen Weg erfolgreich zu gehen.