YouTube NoCookie: Warum „cookiefrei“ nicht „datenschutzfreundlich“ bedeutet

YouTube-Videos gehören für viele Unternehmen inzwischen zum festen Bestandteil ihrer Website. Sie werden beispielsweise für Produktvorstellungen, Imagefilme, Tutorials, Interviews oder Erklärvideos eingesetzt.

Videos können komplexe Inhalte verständlich vermitteln und dabei helfen, Produkte, Dienstleistungen oder Unternehmen anschaulicher darzustellen. Gleichzeitig ist die Einbindung externer Videoplattformen jedoch auch aus datenschutzrechtlicher Sicht relevant.

Um mögliche Datenschutzrisiken zu reduzieren, greifen viele Websitebetreiber bei der Einbindung ihrer Videos auf die sogenannte YouTube-NoCookie-Domain zurück.

Der Name klingt zunächst vielversprechend.

Die Annahme dahinter ist häufig: Wenn „NoCookie“ draufsteht, werden auch keine Cookies gesetzt und die Einbindung ist automatisch datenschutzkonform.

Doch genau hier liegt ein weit verbreitetes Missverständnis, das wir bei unseren Website-Checks regelmäßig feststellen.

Die NoCookie-Variante kann die Datenverarbeitung zwar reduzieren. Sie verhindert jedoch nicht grundsätzlich, dass personenbezogene Daten verarbeitet oder an Google übertragen werden.

Als externe Datenschutzbeauftragte und Datenschutzauditoren ordnen wir YouTube NoCookie in diesem Beitrag im Bezug auf die DSGVO ein.

Was ist YouTube NoCookie überhaupt?

Bei der Einbindung über die Domain youtube-nocookie.com handelt es sich um eine von Google bereitgestellte Alternative zur klassischen YouTube-Einbettung.

Das Ziel dieser Variante besteht darin, die Datenverarbeitung vor dem aktiven Abspielen eines Videos zu reduzieren.

Bei einer normalen YouTube-Einbindung kann bereits durch das Laden des eingebetteten Videoplayers eine Verbindung zu den Servern von Google beziehungsweise YouTube hergestellt werden. Abhängig von der technischen Umsetzung können dabei Informationen über den Besucher der Website verarbeitet werden.

Die NoCookie-Variante soll diesen Vorgang einschränken.

Das bedeutet konkret:

Solange das eingebettete Video nicht aktiv abgespielt wird, soll YouTube keine oder zumindest deutlich weniger Tracking-Informationen über den jeweiligen Websitebesucher sammeln.

Erst wenn der Nutzer mit dem Videoplayer interagiert und das Video tatsächlich startet, beginnt die weitergehende Datenverarbeitung.

Grundsätzlich ist dieser Ansatz sinnvoll. Die NoCookie-Variante ist damit datenschutzfreundlicher als die klassische Einbindung eines YouTube-Videos.

Durch die Namensgebung entsteht allerdings schnell der Eindruck, dass überhaupt keine Cookies gesetzt und keine personenbezogenen Daten verarbeitet werden.

Genau das ist jedoch nicht der Fall.

YouTube NoCookie ist daher keine vollständige Datenschutzlösung, sondern lediglich ein Baustein innerhalb einer datenschutzfreundlicheren technischen Umsetzung.

Welche Cookies durch NoCookie zunächst unterbunden werden

Im Vergleich zur klassischen YouTube-Einbindung verhindert beziehungsweise reduziert die NoCookie-Domain zunächst einige bekannte Tracking- und Marketing-Cookies.

Dazu gehören insbesondere:

IDE

Beim IDE-Cookie handelt es sich um einen Cookie aus dem DoubleClick-Werbenetzwerk von Google. Er wird unter anderem für personalisierte Werbung, die Wiedererkennung von Nutzern und die Messung von Werbeanzeigen eingesetzt.

GPS

Dieser Cookie kann im Zusammenhang mit standortbezogenen Daten beziehungsweise der geografischen Zuordnung eines Nutzers verwendet werden.

VISITOR_INFO1_LIVE

Dieser Cookie wird unter anderem für Nutzertracking, Video-Empfehlungen und die Ausspielung beziehungsweise Darstellung von YouTube-Inhalten eingesetzt.

Diese Cookies sind insbesondere für Werbe-, Analyse- und Profilbildungszwecke relevant.

Bei der Einbindung über die NoCookie-Domain werden diese Cookies zunächst nicht oder zumindest nicht in gleicher Weise gesetzt wie bei einer klassischen YouTube-Einbettung.

Das ist der datenschutzfreundliche Teil der Lösung.

Websitebetreiber reduzieren damit die Wahrscheinlichkeit, dass bereits beim bloßen Aufrufen einer Seite umfangreiche Marketing- oder Trackingdaten verarbeitet werden.

Allerdings bedeutet diese Reduzierung nicht, dass die gesamte Einbindung ohne weitere Maßnahmen datenschutzrechtlich unproblematisch ist.

Welche Cookies trotzdem gesetzt werden können

Entscheidend ist, dass es spätestens beim aktiven Abspielen des Videos dennoch zu einer Cookie- und Datenverarbeitung kommen kann.

Typische Cookies sind unter anderem:

YSC

Beim YSC-Cookie handelt es sich um einen Session-Cookie. Er wird unter anderem verwendet, um die Aufrufe und Interaktionen mit eingebetteten YouTube-Videos zu verarbeiten und die Videowiedergabe technisch zu steuern.

CONSENT

Dieser Cookie kann den Einwilligungsstatus des Nutzers gegenüber Google speichern.

Neben diesen konkret benannten Cookies ist jedoch ein weiterer Punkt besonders wichtig:

Auch unabhängig davon, welche Cookies im Browser gesetzt werden, können beim Abspielen eines Videos personenbezogene Daten an Google übertragen werden.

Dazu können beispielsweise die IP-Adresse, Informationen zum verwendeten Gerät, Browserinformationen, technische Zugriffsdaten oder Informationen über die aufgerufene Website gehören.

Unter Umständen kann Google die übertragenen Daten außerdem bestehenden Nutzerkonten zuordnen, insbesondere wenn der jeweilige Besucher gleichzeitig bei einem Google- oder YouTube-Konto angemeldet ist.

Genau diese Übertragung personenbezogener Daten ist aus Sicht der Datenschutz-Grundverordnung der entscheidende Punkt.

Warum das datenschutzrechtlich wichtig ist

Die DSGVO knüpft nicht ausschließlich an das Setzen von Cookies an.

Entscheidend ist grundsätzlich, ob personenbezogene Daten verarbeitet werden.

Personenbezogene Daten sind alle Informationen, die sich direkt oder indirekt einer bestimmten Person zuordnen lassen. Dazu kann auch die IP-Adresse eines Websitebesuchers gehören.

Daher gilt:

Keine Marketing-Cookies bedeuten nicht automatisch, dass keine personenbezogenen Daten verarbeitet werden.

Ebenso bedeutet „datenschutzfreundlicher“ nicht automatisch, dass eine Einbindung ohne weitere technische oder rechtliche Maßnahmen DSGVO-konform ist.

Wer YouTube-Videos auf seiner Website einbindet – auch über die NoCookie-Domain –, muss sich daher weiterhin mit mehreren datenschutzrechtlichen und technischen Themen beschäftigen.

Dazu gehören insbesondere:

• eine mögliche Einwilligung über ein Consent-Management-Tool,
• die Blockierung des Videos bis zur Zustimmung des Nutzers,
• eine korrekte Information in der Datenschutzerklärung,
• eine transparente Darstellung der eingebundenen Dienste,
• sowie eine technisch saubere Implementierung.

In vielen Fällen wird dafür eine sogenannte Zwei-Klick-Lösung eingesetzt.

Dabei wird das eigentliche YouTube-Video nicht sofort geladen. Stattdessen sieht der Nutzer zunächst einen Platzhalter mit einem Hinweis zur Datenverarbeitung. Erst nach einer aktiven Zustimmung wird die Verbindung zu YouTube hergestellt und das Video geladen.

Typische Fehler aus der Praxis

In unserer täglichen Arbeit sehen wir bei der Einbindung von YouTube-Videos immer wieder ähnliche Fehler.

Videos werden beispielsweise direkt beim Seitenaufruf geladen, obwohl der Nutzer zuvor keine entsprechende Einwilligung abgegeben hat.

Teilweise berücksichtigt das eingesetzte Consent-Banner die YouTube-NoCookie-Domain nicht korrekt. Obwohl der Nutzer die entsprechende Kategorie ablehnt, wird der Videoplayer trotzdem geladen.

Auch Datenschutzerklärungen enthalten häufig ungenaue oder falsche Aussagen. Teilweise wird dort davon ausgegangen, dass bei der Verwendung von YouTube NoCookie grundsätzlich keine Datenverarbeitung stattfindet.

Ein weiterer häufiger Fehler besteht darin, sich ausschließlich auf den Domainnamen zu verlassen.

Die Bezeichnung „NoCookie“ wird dann als Beleg dafür verstanden, dass keine weiteren Datenschutzmaßnahmen erforderlich sind.

Das Ergebnis ist ein falsches Sicherheitsgefühl.

Im Zweifel kann eine fehlerhafte Einbindung dazu führen, dass personenbezogene Daten ohne ausreichende Rechtsgrundlage oder ohne wirksame Einwilligung an Google übertragen werden.

Fazit: YouTube NoCookie ist besser, aber nicht ausreichend

YouTube NoCookie ist ein sinnvoller Baustein für eine datenschutzfreundlichere Website.

Die Variante kann bestimmte Tracking- und Marketing-Cookies reduzieren und verhindern, dass bereits vor dem Abspielen eines Videos die gleiche Menge an Informationen verarbeitet wird wie bei einer klassischen YouTube-Einbettung.

Trotzdem ist YouTube NoCookie keine vollständige Lösung.

Spätestens beim aktiven Abspielen des Videos kann es weiterhin zu einer Cookie-Verarbeitung und zur Übertragung personenbezogener Daten an Google kommen.

Die NoCookie-Domain ist deshalb keine Abkürzung, mit der Websitebetreiber Einwilligungen, eine saubere technische Umsetzung oder eine rechtliche Bewertung umgehen können.

Wer YouTube-Videos datenschutzrechtlich sauber einsetzen möchte, benötigt eine Kombination aus funktionierender Technik, transparenter Information, einer korrekten Datenschutzerklärung und einem passenden Consent-Management.

FAQ zu YouTube NoCookie und Datenschutz

Ist YouTube NoCookie automatisch DSGVO-konform?

Nein. Die NoCookie-Variante reduziert zwar bestimmte Tracking- und Marketingaktivitäten, verhindert aber nicht jede Verarbeitung personenbezogener Daten. Spätestens beim Abspielen des Videos können Daten an Google beziehungsweise YouTube übertragen werden.

Setzt YouTube NoCookie wirklich keine Cookies?

Nein. Der Name ist missverständlich. Bestimmte Werbe- und Tracking-Cookies werden bei der NoCookie-Variante zunächst nicht gesetzt. Beim Starten des Videos können jedoch weiterhin Cookies wie YSC oder CONSENT gespeichert werden.

Welche Daten können beim Abspielen eines YouTube-Videos übertragen werden?

Beim Abspielen können unter anderem die IP-Adresse, Browserinformationen, Geräteinformationen, technische Zugriffsdaten und Informationen über die besuchte Website an Google übertragen werden. Ist der Nutzer bei Google oder YouTube angemeldet, kann unter Umständen eine Zuordnung zum jeweiligen Nutzerkonto erfolgen.

Benötige ich für YouTube NoCookie eine Einwilligung?

Auch bei der Nutzung der NoCookie-Domain kann eine vorherige Einwilligung erforderlich sein. Entscheidend ist nicht nur, ob Cookies gesetzt werden, sondern ob personenbezogene Daten verarbeitet und an einen externen Anbieter übertragen werden.

Muss das Video vor der Einwilligung blockiert werden?

In der Regel sollte das eigentliche YouTube-Video erst geladen werden, nachdem der Nutzer zugestimmt hat. Dafür kann beispielsweise eine Zwei-Klick-Lösung verwendet werden. Zunächst wird nur ein Platzhalter angezeigt. Erst nach der Zustimmung wird die Verbindung zu YouTube hergestellt.

Muss YouTube NoCookie in der Datenschutzerklärung erwähnt werden?

Ja. Websitebesucher sollten transparent darüber informiert werden, dass YouTube-Videos eingebunden sind, welche Daten dabei verarbeitet werden können und unter welchen Voraussetzungen eine Verbindung zu Google beziehungsweise YouTube hergestellt wird.

Reicht die NoCookie-Domain allein für eine datenschutzfreundliche Einbindung aus?

Nein. YouTube NoCookie ist lediglich ein Bestandteil einer datenschutzfreundlicheren Umsetzung. Zusätzlich sind ein korrekt eingerichtetes Consent-Management, eine technische Blockierung vor der Einwilligung und transparente Informationen in der Datenschutzerklärung erforderlich.