Google Maps und Datenschutz: DSGVO-konform auf Websites einbinden

Google Maps und Datenschutz: DSGVO-konform auf Websites einbinden

Google Maps gehört zu den bekanntesten Kartendiensten weltweit. Unternehmen nutzen den Dienst, um ihren Standort auf der Website darzustellen, Besuchern die Anfahrt zu erleichtern und wichtige Informationen über ihre Niederlassungen bereitzustellen.

Besonders auf Kontaktseiten ist eine interaktive Karte längst selbstverständlich. Besucher können Standorte suchen, Routen planen oder die Umgebung eines Unternehmens erkunden.

Doch die Einbindung von Google Maps wirft datenschutzrechtliche Fragen auf. Sobald eine Karte direkt von Google geladen wird, kann der Browser des Besuchers eine Verbindung zu Google-Servern herstellen. Dabei können personenbezogene Informationen wie die IP-Adresse und weitere technische Daten verarbeitet werden.

Google Maps Datenschutz betrifft deshalb nicht nur die Darstellung einer Karte. Entscheidend sind die technische Einbindung, die Rechtsgrundlage der Datenverarbeitung und die Information der Website-Besucher.

Viele Unternehmen gehen davon aus, dass ein gewöhnlicher Google-Maps-iFrame automatisch zulässig ist. Tatsächlich muss jedoch geprüft werden, welche Daten bereits beim Aufruf der Website übertragen werden und ob eine vorherige Einwilligung erforderlich ist.

Dieser Beitrag erklärt, welche Anforderungen die DSGVO stellt, wie eine Zwei-Klick-Lösung funktioniert und welche Möglichkeiten Unternehmen für eine datenschutzfreundliche Karteneinbindung haben.

Warum ist Google Maps datenschutzrechtlich relevant?

Google Maps ermöglicht Unternehmen, interaktive Karten direkt auf ihren Websites anzuzeigen. Dafür werden häufig iFrames oder Schnittstellen der Google Maps Platform verwendet.

Bei einer direkten Einbindung werden Karteninhalte von Google geladen. Der Browser des Website-Besuchers stellt hierfür eine Verbindung zu den entsprechenden Servern her.

Dabei können unterschiedliche Informationen übertragen beziehungsweise verarbeitet werden.

Dazu gehören beispielsweise:

• IP-Adresse des Website-Besuchers
• Datum und Zeitpunkt des Zugriffs
• Browser- und Geräteinformationen
• Technische Informationen über die Anfrage
• Gegebenenfalls Referrer-Informationen
• Cookies oder weitere gespeicherte Kennungen
• Bei entsprechender Nutzung auch Such- und Standortdaten

Welche Daten tatsächlich verarbeitet werden, hängt von der jeweiligen Maps-Funktion, den Browsereinstellungen und weiteren technischen Umständen ab.

Google beschreibt in seiner Datenschutzerklärung unter anderem die Verarbeitung von IP-Adressen, Geräteinformationen und Standortdaten bei der Nutzung seiner Dienste.

Für Websitebetreiber entsteht deshalb die Frage, ob und unter welchen Bedingungen diese Übermittlung zulässig ist.

Eine datenschutzrechtliche Prüfung der Website hilft dabei, die Einbindung von Google Maps und anderen externen Diensten richtig zu bewerten.

Ist Google Maps DSGVO-konform?

Google Maps ist nicht grundsätzlich verboten. Ob der Dienst DSGVO-konform eingesetzt werden kann, hängt von der konkreten Einbindung und den damit verbundenen Datenverarbeitungen ab.

Unternehmen müssen insbesondere die Anforderungen der Datenschutz-Grundverordnung berücksichtigen.

Dazu gehören:

• Eine geeignete Rechtsgrundlage für personenbezogene Datenverarbeitungen
• Transparente Informationen über die Nutzung von Google Maps
• Die Prüfung möglicher Datenübermittlungen
• Erforderliche Einwilligungen bei entsprechenden Technologien
• Angemessene technische und organisatorische Maßnahmen
• Eine nachvollziehbare Datenschutzdokumentation

Für die übliche automatische Einbindung von Google Maps auf einer Unternehmenswebsite ist eine vorherige Einwilligung häufig der rechtlich vorsichtigere Ansatz.

Eine pauschale Aussage, dass jede denkbare Google-Maps-Nutzung immer eine Einwilligung benötigt, wäre jedoch zu weitgehend. Ein einfacher externer Link unterscheidet sich beispielsweise wesentlich von einer automatisch geladenen interaktiven Karte.

Entscheidend ist daher immer die tatsächliche technische Umsetzung.

Braucht Google Maps eine Cookie-Einwilligung?

Bei der datenschutzrechtlichen Bewertung von Google Maps müssen zwei Regelungsbereiche unterschieden werden. Zum einen gilt die DSGVO für die Verarbeitung personenbezogener Daten. Zum anderen regelt § 25 TDDDG das Speichern von Informationen auf Endgeräten und den Zugriff auf bereits gespeicherte Informationen. Grundsätzlich ist hierfür eine Einwilligung erforderlich, sofern keine gesetzliche Ausnahme vorliegt.

Diese Anforderungen betreffen nicht ausschließlich klassische Cookies. Auch andere Technologien, mit denen Informationen auf einem Endgerät gespeichert oder daraus ausgelesen werden, können darunterfallen. Eine Ausnahme kann beispielsweise bestehen, wenn ein technischer Vorgang unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen.

Reicht ein berechtigtes Interesse aus?

Unternehmen können ein berechtigtes Interesse daran haben, ihren Standort anschaulich darzustellen. Ein solches Interesse bedeutet jedoch nicht automatisch, dass Google Maps ohne weitere Prüfung direkt geladen werden darf. Soweit § 25 TDDDG eine Einwilligung verlangt, lässt sich diese nicht durch ein berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO ersetzen. Zusätzlich muss für die Verarbeitung personenbezogener Daten eine geeignete Rechtsgrundlage nach der DSGVO bestehen.

Deshalb ist es wichtig, die tatsächliche Datenübertragung technisch zu prüfen und nicht allein auf allgemeine Annahmen über Cookies zurückzugreifen.

Google Maps direkt per iFrame einbinden

Die einfachste technische Möglichkeit ist die Einbettung einer Google-Maps-Karte über einen iFrame. Dabei wird innerhalb der Unternehmenswebsite ein Bereich angezeigt, dessen Inhalte von Google bereitgestellt werden. Für Besucher ist diese Lösung komfortabel: Die Karte erscheint unmittelbar und kann ohne zusätzliche Schritte verwendet werden. Datenschutzrechtlich kann genau das jedoch zum Problem werden. Wenn der iFrame bereits beim Seitenaufruf lädt, kann eine Verbindung zu Google entstehen, bevor der Besucher bewusst mit der Karte interagiert.

Ein gewöhnliches loading="lazy" löst dieses Problem nicht zuverlässig. Dadurch kann das Laden zwar bis zur Annäherung an den sichtbaren Seitenbereich verzögert werden. Es wird aber nicht grundsätzlich von einer Einwilligungsentscheidung abhängig gemacht.

Unternehmen sollten deshalb prüfen, ob die Karte erst nach einer geeigneten Freigabe geladen werden kann.

Google Maps mit einer Zwei-Klick-Lösung einbinden

Eine verbreitete Möglichkeit ist die sogenannte Zwei-Klick-Lösung. Dabei wird Google Maps zunächst nicht direkt geladen. Stattdessen sieht der Besucher einen Platzhalter mit einem Hinweis auf den externen Kartendienst.

Erst nach einer bewussten Aktion wird die eigentliche Karte aktiviert.

Wie funktioniert die Zwei-Klick-Lösung?

Schritt 1: Platzhalter anzeigen

Die Website zeigt zunächst einen lokal bereitgestellten Platzhalter. Dieser kann eine allgemeine Kartenillustration, die Unternehmensadresse oder einen neutralen Hintergrund enthalten.

Dabei sollte keine Verbindung zu Google Maps erforderlich sein.

Schritt 2: Informationen bereitstellen

Der Besucher erhält einen verständlichen Hinweis, dass beim Laden der Karte Daten an Google übermittelt werden können.

Gegebenenfalls muss die Einwilligung entsprechend den anwendbaren gesetzlichen Anforderungen eingeholt werden.

Schritt 3: Karte aktivieren

Erst nach der entsprechenden Freigabe wird der Google-Maps-iFrame oder das benötigte Maps-Skript geladen.

Warum ist die technische Umsetzung entscheidend?

Ein sichtbarer Aktivierungsbutton reicht nicht aus, wenn die eigentliche Karte bereits im Hintergrund geladen wird. Auch ein versteckter iFrame kann Verbindungen zu externen Diensten herstellen. Deshalb sollte überprüft werden, dass Google-Maps-Ressourcen vor der erforderlichen Freigabe tatsächlich blockiert bleiben.

Wichtig ist außerdem: Eine Zwei-Klick-Lösung ist eine technische Vorgehensweise und nicht automatisch eine rechtlich wirksame Einwilligung. Die konkrete Ausgestaltung muss den jeweiligen Anforderungen entsprechen.

Google Maps über ein Consent-Management-System steuern

Viele Unternehmen verwenden bereits ein Consent-Management-System zur Verwaltung von Cookies und externen Diensten. Google Maps kann in eine solche Lösung eingebunden werden, wenn die technische Integration dies unterstützt. Dabei wird die Karte erst geladen, wenn die erforderliche Freigabe für den betreffenden Dienst vorliegt. Besucher sollten nachvollziehen können, welche Datenverarbeitung mit der Aktivierung verbunden ist.

Auch ein späterer Widerruf muss berücksichtigt werden, soweit eine Einwilligung als Rechtsgrundlage genutzt wird. Dabei ist zwischen dem Stoppen weiterer Datenverarbeitungen und bereits erfolgten Übermittlungen zu unterscheiden.

Eine fachgerechte Datenschutzberatung für Unternehmen kann helfen, Consent-Management, Datenschutzerklärung und technische Einbindung aufeinander abzustimmen.

Was muss in der Datenschutzerklärung zu Google Maps stehen?

Wenn Google Maps auf einer Unternehmenswebsite eingesetzt wird, müssen die erforderlichen Datenschutzinformationen bereitgestellt werden.

Die Angaben sollten zur tatsächlichen technischen Implementierung passen.

Wichtige Informationen sind insbesondere:

• Welcher Google-Kartendienst eingesetzt wird
• Zu welchem Zweck die Karte eingebunden ist
• Welche Kategorien personenbezogener Daten verarbeitet werden
• Welche Rechtsgrundlage für die Verarbeitung besteht
• Welche Empfänger beteiligt sind
• Ob internationale Datenübermittlungen stattfinden
• Welche Informationen zur Speicherdauer verfügbar sind
• Welche Rechte und Einstellungsmöglichkeiten Besucher haben

Sofern eine Einwilligung eingeholt wird, sollten Nutzer außerdem über ihre Widerrufsmöglichkeiten informiert werden.

Eine pauschale Standardformulierung ist nicht immer ausreichend. Nutzt eine Website beispielsweise zusätzliche Kartenfunktionen oder Google Maps APIs, können weitere Datenverarbeitungen hinzukommen.

Die Datenschutzerklärung sollte deshalb regelmäßig mit der technischen Umsetzung abgeglichen werden.

Ist für Google Maps ein Auftragsverarbeitungsvertrag notwendig?

Häufig wird angenommen, dass für jeden eingebundenen externen Dienst automatisch ein Auftragsverarbeitungsvertrag erforderlich ist.Das ist nicht richtig. Bei Google Maps muss geprüft werden, welche datenschutzrechtliche Rollenverteilung für den konkret eingesetzten Dienst gilt.

Die Google Maps Platform Terms verweisen für ihre entsprechenden Dienste auf Vereinbarungen zwischen eigenständig Verantwortlichen. Google und der jeweilige Kunde sind dabei für die erfassten Verarbeitungen nicht automatisch in einem gewöhnlichen Auftragsverhältnis verbunden.

Das bedeutet, dass ein klassischer Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO nicht pauschal die passende vertragliche Grundlage für Google Maps ist. Unternehmen sollten deshalb prüfen, welche Google-Maps-Leistung genutzt wird und welche Vertragsbedingungen dafür tatsächlich gelten.

Google Maps und Datenübermittlung in die USA

Ein weiterer wichtiger Punkt ist die mögliche internationale Verarbeitung personenbezogener Daten. Google ist ein international tätiger Anbieter. Je nach Dienst und konkreter Verarbeitung können Datenübermittlungen außerhalb des Europäischen Wirtschaftsraums relevant sein. Für bestimmte Übermittlungen in die USA kann der Angemessenheitsbeschluss zum EU-US Data Privacy Framework eine Grundlage darstellen. Voraussetzung ist, dass der jeweilige Empfänger für den relevanten Bereich entsprechend zertifiziert ist und die konkrete Übermittlung erfasst wird.

Andere Übermittlungsinstrumente können je nach Konstellation ebenfalls relevant sein. Allerdings bedeutet eine zulässige internationale Datenübermittlung nicht automatisch, dass die ursprüngliche Datenerhebung beim Laden einer Google-Maps-Karte rechtmäßig erfolgt.

Rechtsgrundlage, Transparenz und gegebenenfalls Einwilligung müssen unabhängig davon geprüft werden.

Google Maps ohne Cookies einbinden – geht das?

Unternehmen suchen häufig nach Möglichkeiten, Google Maps ohne Cookies oder Trackingtechnologien zu verwenden. Eine technisch reduzierte Einbindung kann die Datenverarbeitung begrenzen. Daraus folgt jedoch nicht automatisch, dass keinerlei personenbezogene Daten mehr an Google übertragen werden.

Bereits die Verbindung zu einem externen Server kann technische Informationen wie die IP-Adresse übermitteln. Auch wenn keine Cookies gesetzt werden, muss die Verarbeitung solcher Informationen nach der DSGVO bewertet werden. Deshalb sollte nicht allein die Frage im Mittelpunkt stehen, ob Google Maps Cookies verwendet.

Wichtiger ist, welche Daten insgesamt übertragen werden und auf welcher rechtlichen Grundlage dies geschieht.

Welche datenschutzfreundlichen Alternativen gibt es?

Nicht jede Unternehmenswebsite benötigt eine interaktive Google-Maps-Karte. Häufig reichen bereits einfache Lösungen aus, um Besuchern den Standort mitzuteilen.

1. Adresse mit externem Google-Maps-Link

Eine besonders einfache Variante ist die Darstellung der Unternehmensadresse mit einem Link zu Google Maps. Die Karte wird dann nicht innerhalb der Website geladen. Erst wenn Besucher den Link anklicken, wechseln sie zum externen Kartendienst.

Diese Lösung vermeidet eine direkte Google-Maps-Einbindung auf der Unternehmenswebsite.

2. Lokal gespeicherte Standortgrafik

Eine selbst erstellte Anfahrtsgrafik kann ebenfalls eine sinnvolle Lösung sein. Wenn die Datei auf dem eigenen Webserver liegt und keine weiteren externen Ressourcen nachlädt, lässt sich die Übermittlung an zusätzliche Kartendienste vermeiden.

Bei der Nutzung von Kartenmaterial Dritter müssen allerdings die jeweiligen Lizenzbedingungen beachtet werden. Google-Maps-Karten dürfen nicht beliebig kopiert und als eigene Bilder verwendet werden.

3. OpenStreetMap

OpenStreetMap stellt frei nutzbare Geodaten bereit, mit denen eigene Kartendarstellungen entwickelt werden können. Die Nutzung von OpenStreetMap bedeutet jedoch nicht automatisch, dass eine eingebundene Karte datenschutzkonform ist.

Entscheidend ist unter anderem, von welchem Server Kartenkacheln geladen werden und welche Informationen dabei verarbeitet werden. Auch die Lizenz- und Namensnennungspflichten müssen beachtet werden.

Google Maps richtig in die Website integrieren

Unternehmen sollten vor der Einbindung klären, welchen Mehrwert eine interaktive Karte tatsächlich bietet. Ein Unternehmen mit einem einzigen Standort benötigt möglicherweise nur eine Adresse und einen Routenlink. Bei zahlreichen Niederlassungen, Filialen oder komplexen Standortfunktionen kann eine interaktive Kartenlösung dagegen sinnvoll sein.

Wichtig ist, die datenschutzrechtliche Prüfung bereits bei der Website-Konzeption zu berücksichtigen. Dazu gehört auch, dass verwendete Karten, externe Skripte und eingebundene Dienste dokumentiert werden.

Checkliste: Google Maps datenschutzkonform einbinden

Mit einer strukturierten Prüfung können Unternehmen typische Risiken reduzieren.

1. Technische Einbindung identifizieren - Prüfen Sie, ob Google Maps als iFrame, über die Maps JavaScript API oder auf andere Weise integriert ist.
2. Datenübertragungen untersuchen - Kontrollieren Sie, welche Verbindungen beim Laden der Website entstehen und welche Informationen übertragen werden.
3. Rechtsgrundlage bestimmen - .Bewerten Sie die Verarbeitung nach der DSGVO und prüfen Sie, ob § 25 TDDDG eine Einwilligung erfordert.
4. Externe Karte zunächst blockieren - Wenn eine vorherige Einwilligung notwendig ist, darf die entsprechende Google-Maps-Einbindung erst nach deren Erteilung geladen werden.
5. Zwei-Klick-Lösung oder Consent-System einsetzen - Stellen Sie sicher, dass Besucher angemessen informiert werden und die technische Freigabe korrekt funktioniert.
6. Datenschutzerklärung aktualisieren - Beschreiben Sie die tatsächlich eingesetzten Kartendienste, Datenverarbeitungen und gegebenenfalls internationalen Übermittlungen.
7. Regelmäßig kontrollieren - Neue Website-Funktionen oder geänderte Google-Dienste können eine erneute Prüfung erforderlich machen.

Typische Datenschutzfehler bei Google Maps

Viele Datenschutzprobleme entstehen durch eine unzureichende technische Einbindung.

Häufige Fehler sind:

• Google Maps lädt bereits beim ersten Seitenaufruf.
• Ein Platzhalter verdeckt lediglich einen bereits geladenen iFrame.
• Consent-Einstellungen werden technisch nicht berücksichtigt.
• Die Datenschutzerklärung erwähnt Google Maps nicht.
• Eine externe Datenübermittlung wird nicht geprüft.
• Änderungen an der Website bleiben unkontrolliert.
• Google-Maps-Bilder werden ohne Beachtung der Nutzungsbedingungen übernommen.

Besonders kritisch ist die Annahme, dass eine technisch funktionierende Karte automatisch datenschutzrechtlich unproblematisch ist.

Regelmäßige Datenschutzaudits helfen dabei, solche Schwachstellen aufzudecken.

Wie CAS Datenschutz bei Google Maps unterstützt

CAS Datenschutz unterstützt Unternehmen dabei, die Einbindung von Google Maps und anderen externen Diensten datenschutzrechtlich zu prüfen.

Im Mittelpunkt stehen die Bewertung von Datenübertragungen, die Rechtsgrundlagen, Consent-Management und die Abstimmung zwischen technischer Implementierung und Datenschutzerklärung.

Auch die Prüfung datenschutzfreundlicher Alternativen kann Bestandteil der Beratung sein.

Ziel ist eine Unternehmenswebsite, die Besuchern hilfreiche Standortinformationen bereitstellt und dabei die geltenden Datenschutzanforderungen berücksichtigt.

Sie möchten Google Maps auf Ihrer Website datenschutzrechtlich prüfen lassen? Vereinbaren Sie einen kostenlosen Ersttermin mit CAS Datenschutz und klären Sie, welche Maßnahmen für Ihre Website sinnvoll sind.

Fazit: Google Maps mit dem richtigen Datenschutzkonzept einsetzen

Google Maps bietet Unternehmen eine komfortable Möglichkeit, ihren Standort darzustellen und Besuchern die Anfahrt zu erleichtern.

Die direkte Einbindung kann jedoch personenbezogene Datenverarbeitungen auslösen, die datenschutzrechtlich bewertet werden müssen.

Besonders wichtig sind die technische Steuerung des Ladevorgangs, eine geeignete Rechtsgrundlage und transparente Informationen für Website-Besucher.

Google Maps und Datenschutz lassen sich sinnvoll miteinander verbinden, wenn Unternehmen die tatsächlich eingesetzten Funktionen prüfen und erforderliche Schutzmaßnahmen umsetzen.

Wer auf eine interaktive Karte verzichten kann, findet mit einer Standortgrafik oder einem externen Routenlink zudem einfachere Alternativen.

FAQ

Häufig gestellte Fragen zu Google Maps Datenschutz

Ist Google Maps DSGVO-konform?

Google Maps kann unter geeigneten Voraussetzungen auf einer Website eingesetzt werden. Entscheidend sind die konkrete technische Einbindung, eine geeignete Rechtsgrundlage, transparente Datenschutzinformationen und gegebenenfalls erforderliche Einwilligungen.

Braucht Google Maps eine Cookie-Einwilligung?

Eine Einwilligung kann erforderlich sein, wenn Google Maps Informationen auf dem Endgerät speichert oder ausliest und keine gesetzliche Ausnahme greift. Zusätzlich muss die Verarbeitung personenbezogener Daten nach der DSGVO rechtmäßig sein. Entscheidend ist die konkrete technische Umsetzung.

Was ist die Zwei-Klick-Lösung bei Google Maps?

Bei einer Zwei-Klick-Lösung wird Google Maps zunächst durch einen lokalen Platzhalter ersetzt. Erst nach einer bewussten Freigabe wird die Karte geladen. Ob diese Freigabe rechtlich als Einwilligung ausreicht, hängt von ihrer konkreten Gestaltung ab.

Darf Google Maps ohne Einwilligung eingebunden werden?

Das hängt von der konkreten Einbindung und der Datenverarbeitung ab. Eine automatisch ladende Karte ist datenschutzrechtlich anders zu bewerten als ein externer Link. Soweit eine Einwilligung nach TDDDG oder DSGVO erforderlich ist, muss diese vor der betreffenden Verarbeitung eingeholt werden.

Muss Google Maps in der Datenschutzerklärung stehen?

Wenn Google Maps auf der Website personenbezogene Daten verarbeitet und entsprechende Informationspflichten bestehen, müssen die Besucher darüber informiert werden. Die Datenschutzerklärung sollte die tatsächliche Nutzung, Zwecke, Rechtsgrundlagen und relevante Empfänger beschreiben.

Gibt es datenschutzfreundliche Alternativen zu Google Maps?

Ja. Unternehmen können beispielsweise eine lokal gespeicherte Standortgrafik oder einen einfachen Link zu einem externen Kartendienst verwenden. Auch OpenStreetMap-basierte Lösungen sind möglich, müssen jedoch hinsichtlich Hosting, Datenübertragung und Lizenzbedingungen geprüft werden.

Wie unterstützt CAS Datenschutz bei Google Maps?

CAS Datenschutz unterstützt Unternehmen bei der Prüfung der Google-Maps-Einbindung, der Bewertung von Datenübertragungen, Consent-Management und Datenschutzhinweisen sowie bei der Auswahl geeigneter datenschutzfreundlicher Lösungen.