Vimeo und Datenschutz: So lässt sich Vimeo datenschutzkonform einsetzen

Videos sind aus modernen Websites kaum noch wegzudenken. Sie erklären Produkte, zeigen Referenzen, vermitteln komplexe Inhalte oder sorgen als Hintergrundvideo für einen professionellen ersten Eindruck. Eine der beliebtesten Plattformen für das Hosting und Einbetten solcher Videos ist Vimeo.

Aus Datenschutzsicht ist die Einbindung allerdings nicht ganz unkompliziert. Sobald der Vimeo-Player auf einer Website geladen wird, entsteht eine Verbindung zu externen Servern. Dabei können Informationen des Websitebesuchers an Vimeo beziehungsweise weitere beteiligte Dienstleister übertragen werden.

Die entscheidende Frage lautet deshalb: Kann Vimeo DSGVO-konform auf einer Website eingesetzt werden?

Grundsätzlich ja. Dafür muss die Einbindung jedoch technisch und rechtlich korrekt umgesetzt werden. Das bloße Einfügen eines Vimeo-iFrames stellt in der Regel keine ausreichende Lösung dar.

Auch der Vimeo-Parameter dnt=1 ersetzt keine erforderliche Einwilligung über das Consent Management. Er reduziert lediglich bestimmte Tracking- und Analysefunktionen des Players.

Warum ist Vimeo aus Datenschutzsicht relevant?

Bei einem eingebetteten Vimeo-Video liegt die eigentliche Videodatei nicht auf dem Server der jeweiligen Website. Stattdessen wird der Player von Vimeo geladen und das Video über die Infrastruktur des Anbieters ausgespielt.

Bereits beim Laden des eingebetteten Inhalts können technisch bedingt Daten des Websitebesuchers an Vimeo beziehungsweise beteiligte Infrastruktur-Anbieter übertragen werden.

Dazu können beispielsweise gehören:

• IP-Adresse
• Browser- und Geräteinformationen
• Informationen über die aufgerufene Website
• Zeitpunkt des Zugriffs
• technische Verbindungsdaten
• gegebenenfalls bereits vorhandene Vimeo-Cookies

Zusätzlich bietet Vimeo umfangreiche Video-Analytics an. Der normale Vimeo-Player kann beispielsweise Informationen über Aufrufe und die Nutzung eines Videos erfassen.

Die Verarbeitung beginnt grundsätzlich bereits mit dem Laden des Players und nicht erst mit dem Start des Videos. Deshalb muss die Einbindung im Consent Management berücksichtigt werden.

Setzt Vimeo beim Einbetten Cookies?

Ein wichtiger Punkt bei der datenschutzkonformen Vimeo-Einbindung sind Cookies.

Vimeo dokumentiert verschiedene Cookies, die im Zusammenhang mit dem eingebetteten Player verwendet werden können. Dazu gehört beispielsweise vuid, eine von Vimeo erzeugte ID, die für Video-Analytics eingesetzt wird und laut Vimeo eine Laufzeit von zwei Jahren haben kann.

Daneben können Cookies für Player-Einstellungen sowie technisch notwendige Sicherheitsfunktionen eingesetzt werden.

Ein normal eingebettetes Vimeo-Video sollte daher nicht mit einer cookiefreien Einbindung gleichgesetzt werden.

Vimeo bietet mit Do Not Track (DNT) eine Funktion an, mit der sich bestimmte Datenerhebungen reduzieren lassen. Diese Einstellung ist jedoch nur eine ergänzende Datenschutzmaßnahme und keine Alternative zu einer erforderlichen Einwilligung.

Vimeo mit Do Not Track einbinden

Vimeo unterstützt für eingebettete Videos den Parameter:

dnt=1

Dieser wird direkt an die URL des Vimeo-Players angehängt.

Eine entsprechende Einbindung kann beispielsweise folgendermaßen aussehen:

<iframe
 src="https://player.vimeo.com/video/VIDEO-ID?dnt=1"
 frameborder="0"
 allow="autoplay; fullscreen; picture-in-picture"
 allowfullscreen>
</iframe>


Nach Angaben von Vimeo verhindert der DNT-Modus, dass der Player Sitzungsdaten und Analytics erfasst.

Das reduziert die Datenerhebung gegenüber einer normalen Einbindung. Es bedeutet jedoch nicht, dass keine personenbezogenen Daten mehr verarbeitet werden oder dass der Player ohne Einwilligung geladen werden darf.

Wichtig: dnt=1 ersetzt weder ein Consent-Management-System noch eine rechtlich erforderliche Einwilligung.

Wird der Vimeo-Player erst nach Zustimmung des Nutzers geladen, sollte dnt=1 zusätzlich verwendet werden. Der Parameter dient dann der Datenminimierung innerhalb der bereits freigegebenen Einbindung.

Bedeutet dnt=1, dass Vimeo keine Cookies mehr setzt?

Nicht vollständig.

Nach Angaben von Vimeo verhindert der DNT-Parameter das Setzen neuer, nicht notwendiger Vimeo-Cookies während der jeweiligen Player-Sitzung. Bestimmte technisch notwendige Cookies können trotzdem gesetzt werden.

Vimeo nennt insbesondere:

• player_clearance
• cf_clearance
• _cf_bm
• _cfuvid

Diese Cookies werden unter anderem für Bot-Schutz und die sichere Bereitstellung des Players eingesetzt.

Darüber hinaus gibt es eine weitere wichtige Einschränkung:

Bereits vorhandene Vimeo-Cookies können weiterhin vom Browser an Vimeo übertragen werden.

Hat ein Nutzer Vimeo zuvor direkt besucht oder auf einer anderen Website ein Vimeo-Video ohne DNT angesehen, können sich entsprechende Cookies bereits im Browser befinden. Beim Abruf des eingebetteten Players kann der Browser diese Cookies erneut an Vimeo senden.

Darauf hat die Website, auf der das Video eingebettet ist, keinen vollständigen Einfluss.

dnt=1 darf deshalb weder als vollständige Anonymisierung noch als vollständig cookiefreie Einbindung verstanden werden.

Ist Vimeo mit dnt=1 automatisch DSGVO-konform?

Nein.

Der DNT-Modus reduziert bestimmte Datenerhebungen und kann deshalb als zusätzliche Maßnahme zur Datenminimierung sinnvoll sein. Er löst aber nicht automatisch die datenschutzrechtlichen Anforderungen an die Einbindung.

Beim Laden des Players wird weiterhin eine Verbindung zu Vimeo aufgebaut. Dabei können unter anderem die IP-Adresse und technische Verbindungsdaten übertragen werden. Außerdem können notwendige oder bereits vorhandene Cookies eine Rolle spielen.

Sofern für diese Verarbeitung eine Einwilligung erforderlich ist, muss sie eingeholt werden, bevor der Vimeo-Player geladen wird.

Der DNT-Parameter allein ist kein valider Ansatz, um eine notwendige Einwilligung im Cookie-Banner zu umgehen.

Unternehmen müssen daher insbesondere prüfen:

• auf welcher Rechtsgrundlage Vimeo eingesetzt wird
• ob vor dem Laden des Players eine Einwilligung erforderlich ist
• ob der Player bis zur Zustimmung technisch blockiert wird
• ob die Einbindung im Cookie-Banner korrekt abgebildet ist
• ob Vimeo in der Datenschutzerklärung beschrieben wird

Im Zweifel sollte die konkrete Umsetzung datenschutzrechtlich geprüft werden.

Vimeo erst nach Einwilligung laden

Die grundsätzlich datenschutzfreundlichere Variante besteht darin, Vimeo über eine Consent- beziehungsweise Zwei-Klick-Lösung einzubinden.

Beim ersten Aufruf der Website wird der Vimeo-iFrame noch nicht geladen.

Stattdessen sieht der Besucher beispielsweise ein lokal gespeichertes Vorschaubild mit einem Hinweis wie:

„Mit dem Laden des Videos stimmen Sie der Übertragung von Daten an Vimeo zu.“

Erst nachdem der Nutzer seine Einwilligung gegeben hat, wird der eigentliche Vimeo-Player geladen.

Technisch kann das beispielsweise über ein Consent-Management-Tool umgesetzt werden.

Der entscheidende Vorteil: Vor der Einwilligung wird keine Verbindung zum Vimeo-Player aufgebaut.

Auch innerhalb dieser Lösung sollte der anschließend geladene Player mit dnt=1 eingebunden werden. Consent und DNT erfüllen dabei unterschiedliche Aufgaben:

• Das Consent Management steuert, ob und wann der Vimeo-Player geladen werden darf.
• dnt=1 reduziert bestimmte Analytics- und Trackingfunktionen nach dem Laden des Players.

DNT ergänzt die Consent-Lösung, ersetzt sie aber nicht.

Zwei Vimeo-Einbindungen im Vergleich

Variante 1: Vimeo direkt mit dnt=1 laden

Der Vimeo-Player wird unmittelbar beim Aufrufen der Website geladen. Der Do-Not-Track-Modus ist zwar aktiviert, eine vorherige Einwilligung wird jedoch nicht eingeholt.

Vorteile:

• einfache technische Umsetzung
• reduzierte Vimeo-Analytics
• weniger Tracking durch den Player
• Video ist unmittelbar sichtbar
• gute User Experience

Nachteile:

• Verbindung zu Vimeo erfolgt bereits beim Seitenaufruf
• IP-Adresse und technische Daten können weiterhin übertragen werden
• technisch notwendige Cookies können weiterhin gesetzt werden
• vorhandene Vimeo-Cookies können übertragen werden
• dnt=1 ersetzt keine erforderliche Einwilligung
• datenschutzrechtliches Risiko bei einer Einbindung ohne Consent

Diese Variante sollte deshalb nicht allein mit dem Argument eingesetzt werden, DNT würde eine Einwilligung überflüssig machen.

Variante 2: Vimeo erst nach Consent laden und dnt=1 verwenden

Der Vimeo-Player wird vor der Zustimmung vollständig blockiert. Nach der Einwilligung wird er mit aktiviertem DNT-Modus geladen.

Vorteile:

• vor Zustimmung keine Verbindung zum Vimeo-Player
• klare Einwilligung des Nutzers
• reduzierte Analytics durch zusätzliches DNT
• über Consent-Management-Plattformen steuerbar
• datenschutzrechtlich robustere Lösung

Nachteile:

• zusätzlicher Klick für den Nutzer
• Video wird nicht unmittelbar angezeigt
• etwas höherer technischer Aufwand
• bei Hintergrundvideos teilweise problematisch für die User Experience

Gerade bei normalen Content-Videos ist diese Kombination häufig die sinnvollere Variante.

Vimeo als Background-Video und Datenschutz

Eine besondere Herausforderung sind Vimeo-Videos, die als Hintergrund einer Website verwendet werden.

Ein typischer Embed könnte beispielsweise so aussehen:

<iframe
 src="https://player.vimeo.com/video/VIDEO-ID?background=1&autoplay=1&muted=1&loop=1&dnt=1"
 frameborder="0"
 allow="autoplay; fullscreen; picture-in-picture">
</iframe>


Der Parameter background=1 sorgt für die Darstellung als Hintergrundvideo, während autoplay, muted und loop das gewünschte Wiedergabeverhalten steuern.

Auch hier kann dnt=1 ergänzt werden. Das ändert jedoch nichts daran, dass der Vimeo-Player normalerweise bereits beim Seitenaufruf geladen wird.

Auch bei einem Background-Video ersetzt dnt=1 keine erforderliche Einwilligung.

Wird das Video automatisch vor der Zustimmung geladen, kann bereits eine Verbindung zu Vimeo entstehen. Bei einem Hero-Video würde eine klassische Zwei-Klick-Lösung allerdings einen erheblichen Teil des visuellen Effekts verändern.

Eine mögliche Lösung besteht darin, zunächst ein lokal gehostetes Vorschaubild oder eine statische Alternative anzuzeigen. Sobald die erforderliche Einwilligung vorliegt, wird dieses Bild durch den Vimeo-iFrame ersetzt.

Eine andere Möglichkeit ist, wichtige Hintergrundvideos als selbst gehostete MP4- oder WebM-Dateien bereitzustellen. Dadurch wird die direkte Verbindung zu Vimeo vermieden.

Welche Lösung geeignet ist, hängt von der konkreten technischen Umsetzung und der datenschutzrechtlichen Bewertung ab.

Vimeo und internationale Datenübermittlung

Neben Cookies und Tracking spielt bei externen Plattformen auch die mögliche Übermittlung personenbezogener Daten in Drittländer eine Rolle.

Vimeo stellt für die Nutzung seines eingebetteten Players Informationen zu entsprechenden Datenschutzmechanismen bereit. Vimeo erklärt außerdem, dass es sich beim Einsatz des eingebetteten Players selbst als datenschutzrechtlich Verantwortlichen einordnet.

Für Self-Service-Nutzer bietet Vimeo deshalb nach eigenen Angaben keinen klassischen Auftragsverarbeitungsvertrag an.

Für den eingebetteten Player bietet Vimeo stattdessen die Möglichkeit, sogenannte Controller-to-Controller Standard Contractual Clauses, also Standardvertragsklauseln, abzuschließen.

Unternehmen sollten diesen Punkt insbesondere berücksichtigen, wenn Vimeo regelmäßig oder umfangreich auf der eigenen Website eingesetzt wird.

Eine mögliche Absicherung von Drittlandtransfers ersetzt jedoch ebenfalls keine Einwilligung, sofern diese für das Laden des Players erforderlich ist.

Vimeo in der Datenschutzerklärung erwähnen

Unabhängig von der technischen Einbindung sollte Vimeo in der Datenschutzerklärung berücksichtigt werden.

Dabei sollte unter anderem transparent erklärt werden:

• dass Vimeo-Videos auf der Website eingebunden werden
• zu welchem Zweck Vimeo eingesetzt wird
• welche Daten dabei grundsätzlich verarbeitet werden können
• auf welcher Rechtsgrundlage die Verarbeitung erfolgt
• ob Vimeo erst nach Einwilligung geladen wird
• ob der Do-Not-Track-Modus verwendet wird
• welche Funktion dnt=1 tatsächlich erfüllt
• ob Daten in Drittländer übertragen werden können
• wie Nutzer weitere Informationen zur Verarbeitung durch Vimeo erhalten

Die Datenschutzerklärung muss immer zur tatsächlichen technischen Umsetzung der Website passen.

Es bringt wenig, dort eine Zwei-Klick-Lösung zu beschreiben, wenn der Vimeo-iFrame in Wirklichkeit bereits beim Aufrufen der Seite geladen wird.

Ebenso sollte dnt=1 in der Datenschutzerklärung nicht als Alternative zur Einwilligung oder als vollständig anonyme Einbindung dargestellt werden.

Auch das Cookie-Banner muss zur technischen Umsetzung passen

Dasselbe gilt für das Consent Management.

Wird Vimeo auf Grundlage einer Einwilligung eingesetzt, reicht es nicht aus, Vimeo lediglich im Cookie-Banner aufzulisten.

Der Player muss technisch tatsächlich blockiert werden, bis der Nutzer der entsprechenden Kategorie zugestimmt hat.

Bei der Implementierung sollte deshalb geprüft werden, ob bereits vor dem Klick auf „Akzeptieren“ Requests an Domains des Vimeo-Players gesendet werden.

Das lässt sich beispielsweise über die Entwicklertools des Browsers im Bereich „Network“ kontrollieren.

Der Test sollte in einem privaten Browserfenster beziehungsweise mit geleerten Cookies durchgeführt werden. Anschließend lässt sich vergleichen, welche Verbindungen vor und nach der Zustimmung aufgebaut werden.

Auch wenn der Player dnt=1 verwendet, muss geprüft werden, ob er vor der Einwilligung vollständig blockiert bleibt.

Datenschutzfreundliche Einstellungen direkt bei Vimeo

Neben Consent Management und DNT lohnt sich ein Blick auf die Privatsphäre-Einstellungen des Videos.

Vimeo ermöglicht beispielsweise die Einstellung „Embed only“. Das Video kann dann auf Websites eingebettet werden, besitzt aber keine öffentlich erreichbare Videoseite auf Vimeo.

Darüber hinaus lässt sich über die Domain-Privacy festlegen, auf welchen Domains ein Video eingebettet werden darf. Vimeo ermöglicht nach eigener Dokumentation die Verwaltung von bis zu 50 erlaubten Domains.

Diese Einstellungen können bei Unternehmensvideos sinnvoll sein. Sie ersetzen jedoch weder die datenschutzrechtliche Prüfung der Player-Einbindung noch eine gegebenenfalls erforderliche Einwilligung.

Vimeo datenschutzkonform einsetzen: praktische Checkliste

Wer Vimeo möglichst datenschutzfreundlich einsetzen möchte, sollte folgende Punkte prüfen:

1. Notwendigkeit prüfen: Muss das Video über Vimeo eingebunden werden oder kommt Self-Hosting infrage?
2. Einwilligung klären: Prüfen, ob der Vimeo-Player erst nach Einwilligung geladen werden darf.
3. Player blockieren: Ist eine Einwilligung erforderlich, darf der iFrame vor der Zustimmung nicht geladen werden.
4. Consent Management konfigurieren: Vimeo der passenden Consent-Kategorie zuordnen und die Freigabe technisch steuern.
5. DNT zusätzlich aktivieren: Den nach der Zustimmung geladenen Vimeo-Player möglichst mit dnt=1 einbinden.
6. DNT korrekt einordnen: Den Parameter nur als Maßnahme zur Datenminimierung und nicht als Ersatz für Consent verstehen.
7. Datenschutzerklärung aktualisieren: Vimeo und die tatsächliche technische Verarbeitung transparent beschreiben.
8. Netzwerk-Requests testen: Kontrollieren, welche Verbindungen vor und nach der Zustimmung aufgebaut werden.
9. Vimeo-Datenschutzeinstellungen nutzen: Beispielsweise „Embed only“ oder Domain-Privacy verwenden.
10. Drittlandtransfers prüfen: Die von Vimeo angebotenen Datenschutzmechanismen berücksichtigen.
11. Umsetzung regelmäßig kontrollieren: Änderungen am Vimeo-Player oder Consent-Tool können die technische Situation verändern.

Ist Self-Hosting datenschutzfreundlicher als Vimeo?

Wer möglichst wenig Abhängigkeit von Drittanbietern möchte, kann Videos direkt über die eigene Infrastruktur oder einen entsprechend konfigurierten Hosting-Anbieter ausliefern.

Dadurch wird die direkte Verbindung des Websitebesuchers zu Vimeo vermieden.

Gerade für kurze Background-Videos kann das sinnvoll sein. Komprimierte WebM- und MP4-Dateien lassen sich direkt in die Website integrieren.

Allerdings bringt Self-Hosting ebenfalls Nachteile mit sich. Große Videodateien verursachen viel Traffic und können die Ladezeit verschlechtern. Vimeo übernimmt dagegen unter anderem Streaming, Komprimierung und die Bereitstellung unterschiedlicher Videoqualitäten.

Es handelt sich daher nicht ausschließlich um eine Datenschutzentscheidung, sondern auch um eine technische Abwägung.

Fazit: DNT ergänzt den Consent, ersetzt ihn aber nicht

Vimeo kann grundsätzlich datenschutzfreundlich in eine Website eingebunden werden. Der Parameter dnt=1 ist dabei eine sinnvolle zusätzliche Maßnahme, weil er bestimmte Sitzungsdaten und Analytics des Vimeo-Players reduziert.

Er verhindert jedoch nicht jede Datenübertragung und sorgt nicht automatisch für eine DSGVO-konforme Einbindung.

Sofern eine Einwilligung erforderlich ist, muss der Vimeo-Player bis zur Zustimmung über das Consent Management blockiert werden. dnt=1 kann anschließend zusätzlich zur Datenminimierung verwendet werden.

Für normale Content-Videos ist eine Kombination aus Consent-Lösung und aktiviertem DNT daher häufig der robusteste Ansatz. Bei Background-Videos können ein lokales Vorschaubild oder Self-Hosting geeignete Alternativen darstellen.

Die konkrete rechtliche Bewertung sollte immer zur tatsächlichen technischen Umsetzung und zum jeweiligen Einsatzbereich passen.

Häufig gestellte Fragen zu Vimeo und Datenschutz

Ist Vimeo DSGVO-konform?

Vimeo kann grundsätzlich DSGVO-konform eingesetzt werden. Entscheidend ist jedoch die technische Einbindung. Wenn eine Einwilligung erforderlich ist, darf der Vimeo-Player erst nach der Zustimmung des Nutzers geladen werden.

Reicht dnt=1 für eine DSGVO-konforme Vimeo-Einbindung aus?

Nein. dnt=1 reduziert bestimmte Analytics- und Trackingfunktionen des Vimeo-Players. Der Parameter ersetzt aber weder das Consent Management noch eine erforderliche Einwilligung.

Wie lässt sich prüfen, ob Vimeo vor der Einwilligung geladen wird?

Über die Entwicklertools des Browsers kann im Bereich „Network“ geprüft werden, ob bereits vor der Zustimmung Verbindungen zu Vimeo-Domains aufgebaut werden. Der Test sollte am besten in einem privaten Browserfenster durchgeführt werden.

Muss Vimeo im Cookie-Banner aufgeführt werden?

Wird Vimeo auf Grundlage einer Einwilligung geladen, muss die Einbindung im Consent Management berücksichtigt werden. Der Player muss dabei technisch blockiert bleiben, bis der Nutzer zugestimmt hat.

Wann darf der Vimeo-Player geladen werden?

Sofern eine Einwilligung erforderlich ist, darf der Player erst nach der Zustimmung des Nutzers geladen werden. Vorher sollte lediglich ein lokal gespeichertes Vorschaubild oder ein entsprechender Platzhalter angezeigt werden.

Muss Vimeo in der Datenschutzerklärung erwähnt werden?

Ja. Die Datenschutzerklärung sollte unter anderem den Zweck der Einbindung, die möglichen Datenverarbeitungen, die Rechtsgrundlage, den Einsatz von DNT und mögliche Drittlandtransfers beschreiben.

Sind Vimeo-Background-Videos ohne Einwilligung erlaubt?

Auch bei Background-Videos ersetzt dnt=1 keine erforderliche Einwilligung. Als Alternative können zunächst ein lokal gespeichertes Vorschaubild oder selbst gehostete MP4- beziehungsweise WebM-Dateien verwendet werden.

Ist Self-Hosting datenschutzfreundlicher als Vimeo?

Self-Hosting vermeidet die direkte Verbindung des Besuchers zu Vimeo. Dadurch kann die Einbindung datenschutzfreundlicher sein. Gleichzeitig können größere Videodateien die Ladezeit und den Traffic der Website erhöhen.