Google Maps auf der Praxis-Website einbinden (§ 25 TDDDG)
Recht & Pflicht
Wie bei Google Fonts braucht eine eingebettete Anfahrtskarte eine Zwei-Klick-Lösung
Google Maps lässt sich technisch nicht lokal hosten, die Lösung liegt im Zeitpunkt der Einwilligung.
- Google Maps lässt sich technisch nicht lokal hosten, eine direkte Einbettung lädt beim Seitenaufruf automatisch Google-Server, noch bevor eine Einwilligung erteilt wurde
- Das verstößt gegen § 25 Abs. 1 TDDDG, der für den Zugriff auf Endgeräte-Informationen eine vorherige Einwilligung verlangt
- Zusätzlich wird die IP-Adresse in die USA übermittelt, ein Drittlandtransfer nach Art. 44 ff. DSGVO
- Die Lösung ist eine Zwei-Klick-Lösung: Platzhalterbild statt Live-Karte, die Karte lädt erst nach aktivem Klick oder über den Cookie-Consent-Layer
Fast jede Praxis-Website zeigt eine Anfahrtskarte, meist als direkt eingebettetes Google-Maps-iframe. Anders als bei Schriftarten lässt sich Kartenmaterial dieser Art nicht lokal hosten. Wer die Karte trotzdem ungefragt beim Seitenaufruf lädt, verstößt gegen dieselben Grundprinzipien, die bereits beim Google-Fonts-Urteil zu Schadensersatz geführt haben, nur eben für eine Landkarte statt eine Schriftart.
Warum eine Anfahrtskarte zwei Rechtsprobleme auf einmal auslöst
Ein direkt eingebettetes Google-Maps-iframe lädt beim Aufruf der Seite automatisch Inhalte von Google-Servern nach, ohne dass eine Nutzerin oder ein Nutzer dem zugestimmt hat. Damit greift § 25 Abs. 1 TDDDG: Der Zugriff auf Informationen im Endgerät, etwa über Cookies oder ähnliche Technologien, ist nur mit vorheriger Einwilligung zulässig, technisch notwendige Ausnahmen greifen bei einer Landkarte nicht.
Zugleich wird beim Laden der Karte die IP-Adresse an Google-Server in den USA übermittelt, ein Drittlandtransfer im Sinne von Art. 44 ff. DSGVO. Anders als bei Google Fonts, die sich vollständig lokal hosten lassen, ist eine rein lokale Alternative zu Google Maps technisch kaum praktikabel, weshalb hier nicht das Hosting, sondern der Zeitpunkt der Einwilligung der entscheidende Hebel ist.
Die Zwei-Klick-Lösung als Standard-Absicherung
Praktisch etabliert hat sich die Zwei-Klick-Lösung: Anstelle der Live-Karte wird zunächst ein statisches Platzhalterbild mit Hinweistext angezeigt. Erst ein aktiver Klick auf dieses Bild oder eine Bestätigung im Cookie-Consent-Layer lädt die tatsächliche Google-Maps-Karte nach. So wird kein Kontakt zu Google-Servern hergestellt, bevor eine wirksame Einwilligung vorliegt.
Die zugrunde liegenden Grundsätze sind dieselben, die bereits beim Google-Fonts-Urteil des LG München I zu einem Schadensersatzanspruch von 100 € wegen unerlaubter IP-Adressen-Übermittlung geführt haben. Ein spezielles deutsches Gerichtsurteil allein zu Google Maps liegt bislang nicht vor, die Rechtslage folgt aber denselben Normen und derselben Argumentation.
Prüfkriterien
Vier Stolperfallen bei der Anfahrtskarte
Diese vier Punkte tauchen bei eingebetteten Karten auf Praxis-Websites am häufigsten als Befund auf.
Vier Stolperfallen, zum Durchklicken
Der häufigste Befund: die Karte lädt schneller als der Consent-Banner.
Hilft Statt der Live-Karte erscheint zunächst ein Platzhalterbild, die Karte lädt erst nach Klick oder Consent.
Stolperfalle Ein direkt eingebettetes iframe lädt Google-Maps-Inhalte sofort beim Seitenaufruf, unabhängig vom Cookie-Banner.
Eine pauschale Kategorie genügt der Informationspflicht meist nicht.
Hilft Der Cookie-Banner listet Google Maps als eigenen, einzeln abwählbaren Dienst mit Zweck und Drittland-Hinweis.
Stolperfalle Google Maps wird nur pauschal unter „Marketing-Cookies” geführt, ohne eigenen Zweck- und Drittland-Hinweis.
Was eingebunden wird, muss auch dokumentiert sein.
Hilft Die Datenschutzerklärung nennt Google Maps namentlich, mit Zweck, Rechtsgrundlage und Hinweis auf den USA-Transfer.
Stolperfalle Die Datenschutzerklärung erwähnt eingebettete Karten gar nicht, obwohl die Website eine Anfahrtskarte zeigt.
Routenplaner und ähnliche Zusatz-Widgets unterliegen denselben Regeln wie die Karte selbst.
Hilft Statt der Karte wird ein statisches Bild mit Adresse und Link zu Google Maps in einem neuen Tab verwendet.
Stolperfalle Zusätzlich zur Karte wird ein Routenplaner-Widget eingebunden, das denselben Trackingweg über einen anderen Baustein wiederholt.
Wie ist Ihre Karten-Einbindung einzuordnen?
Entscheidend ist der Zeitpunkt, zu dem die Karte tatsächlich Kontakt zu Google aufnimmt.
Wählen Sie die Situation, die auf Sie zutrifft
Zeitleiste
Wie sich die Einordnung von Drittdiensten entwickelt hat
Von der Grundsatzentscheidung zu Google Fonts bis zur heutigen Praxis bei eingebetteten Karten.
- 20. Januar 2022
LG München I, Google-Fonts-Urteil
Das LG München I entscheidet im Google-Fonts-Fall (3 O 17493/20), dass die ungefragte Übermittlung der IP-Adresse an Google einen Schadensersatzanspruch von 100 € begründet. Die Grundsätze dieser Entscheidung übertragen sich auf jeden ungefragten Kontakt zu Google-Servern, auch bei Karten.
- seit 2024
TDDDG in Kraft
Das TDDDG löst die vorherige Regelung ab und bündelt die Einwilligungspflicht für den Zugriff auf Endgeräte-Informationen in § 25, technisch neutral formuliert und damit auch auf eingebettete Kartendienste anwendbar.
- laufend
Einhellige Anwendung der Google-Fonts-Grundsätze
Ein spezielles höchstrichterliches Urteil allein zu Google Maps liegt bislang nicht vor, die Aufsichtsbehörden und die Fachliteratur wenden die Google-Fonts-Grundsätze aber einhellig auch auf Kartendienste an.
Was jetzt zu tun ist
Sinnvoll ist ein Abgleich in drei Schritten: Erstens prüfen, ob die Anfahrtskarte als direktes iframe oder bereits als Zwei-Klick-Lösung eingebunden ist, am einfachsten über die Entwicklertools des Browsers im Inkognito-Modus ohne Cookie-Zustimmung. Zweitens, falls direkt eingebunden, auf eine Zwei-Klick-Lösung mit Platzhalterbild umstellen oder die Karte durch ein statisches Bild mit externem Link ersetzen. Drittens die Datenschutzerklärung um einen eigenen Eintrag zu Google Maps mit Zweck, Rechtsgrundlage und Drittland-Hinweis ergänzen, sofern noch nicht vorhanden.
Dieselbe Prüfung lohnt sich für jeden weiteren eingebetteten Drittdienst, etwa Routenplaner-Widgets oder Video-Einbettungen, die denselben Trackingweg über einen anderen Baustein wiederholen können.
Mehr zu Drittdiensten & DSGVO: InSights, InFocus und InGuide
Alles, was wir zu eingebetteten Diensten und Datenschutz bereits aufbereitet haben, an einem Ort.
medivendis Intelligence Unit
Wissen Sie, wo Ihre Praxis-Website steht?
Der medivendis Audit prüft auch eingebettete Drittdienste wie Google Maps auf Ihrer Praxis-Website, zusammen mit den anderen 19 Modulen.
Nächster Schritt
Compliance-Risiko einschätzen
Der AppCore-Erstaudit zeigt dir in 10 Minuten, wo deine Website steht.