Google Maps datenschutzkonform einbinden

Ein iframe von google.com/maps oder das Maps-JavaScript lädt beim Öffnen der Seite Ressourcen von Google (USA) und kann Kennungen setzen.

Beim Einbetten von Google Maps gibt es zwei technisch verschiedene Wege mit demselben Datenschutzproblem: den einfachen iframe (google.com/maps/embed) und die Maps JavaScript API mit eigenem API-Key. Beide laden beim Seitenaufruf Ressourcen von Google-Servern in den USA, übertragen dabei die IP-Adresse und können Kennungen setzen. Für die Grundfunktion der Seite ist eine interaktive Karte selten unbedingt erforderlich — damit greift § 25 Abs. 1 TDDDG.

Die saubere Standardlösung ist die Zwei-Klick-Einbettung: Bis zum Klick wird nur ein lokales Vorschaubild oder eine schematische Grafik der Adresse gezeigt, erst danach lädt die echte Karte. Für WordPress, TYPO3 und die gängigen Baukästen gibt es dafür fertige Blöcke; wichtig ist, dass das Vorschaubild lokal liegt und nicht seinerseits die Static Maps API von Google aufruft.

Wer die Interaktivität nicht braucht, fährt mit einer Alternative oft besser: Ein einfacher Link „Route planen“ (öffnet Google Maps oder Apple Maps im neuen Tab), eine statische, selbst erzeugte Kartengrafik oder eine OpenStreetMap-Einbettung über einen datensparsamen Anbieter wie die uMap- oder MapLibre-Lösung. Diese Varianten übertragen beim Seitenaufruf keine Daten an Google.

Ist das ein Risiko?

Der Kartenabruf ist für die Grundfunktion der Seite meist nicht zwingend erforderlich, daher gilt § 25 Abs. 1 TDDDG. Ohne Einwilligung oder Zwei-Klick-Lösung fehlt die Grundlage; zusätzlich ist der USA-Transfer zu begründen.

Was du tun kannst

• Zwei-Klick-Lösung: statische Vorschau, Karte lädt erst nach Klick.
• Alternativ eine datensparsame Karte (z. B. OpenStreetMap) einsetzen.
• Bei aktiver Einbindung: Einwilligung einholen, Google als Empfänger nennen.

Häufige Fragen

Reicht der „erweiterte Datenschutzmodus“ für Google Maps?

Anders als bei YouTube gibt es für Google Maps keinen offiziellen Datenschutzmodus. Die Einbettung überträgt beim Seitenaufruf immer Daten an Google — nur eine Zwei-Klick-Lösung oder eine Alternative vermeidet das.

Ist eine Zwei-Klick-Lösung wirklich nötig?

Sie ist der einfachste Weg, ohne Einwilligung auszukommen. Alternativ kann die Karte in ein Consent-Tool aufgenommen und erst nach Zustimmung geladen werden — dann braucht die Seite aber ohnehin ein Banner.

Was ist mit der Maps JavaScript API und dem API-Key?

Der API-Key ändert nichts an der Datenschutzlage: Die API lädt weiterhin von Google-Servern in den USA. Der Key dient nur der Abrechnung und Kontingentierung.

Welche Alternative ist am datensparsamsten?

Ein reiner Link auf die Kartenanwendung oder eine lokal gespeicherte statische Grafik. Beide lösen beim Seitenaufruf keine Verbindung zu Google aus.

Wie consentglass hilft

Der kostenlose Scan prüft das ausgelieferte HTML und zeigt, welche Dienste eingebunden sind, ob ein Cookie-Banner erkannt wird und ob Datenschutz- und Impressum-Link vorhanden sind — mit Einordnung je Fund. Er ersetzt keine Rechtsberatung.