DSGVO-Wissen · google maps dsgvo

Google Maps DSGVO-konform — Two-Click oder Alternative

Ein Google-Maps-iframe ohne vorherige Einwilligung ist seit dem BGH-Urteil I ZR 222/19 ein klarer Verstoss — und einer der haeufigsten Abmahn-Gruende bei lokalen Dienstleistern, die ihren Standort auf der Kontaktseite zeigen wollen.

Was sagt das BGH-Urteil?

Der Bundesgerichtshof entschied 2021, dass das Einbinden von Drittanbieter-Inhalten (im konkreten Fall: ein Werbe-Pixel) ohne vorherige Einwilligung gegen das Wettbewerbsrecht verstoesst, wenn dabei personenbezogene Daten uebertragen werden.

Bei Google Maps werden beim iframe-Load uebertragen: IP-Adresse, User-Agent, Referer, Browser-Sprache, Cookies (NID, etc.). Diese Daten gehen direkt an Google — ohne dass der Nutzer die Karte ueberhaupt nutzt.

BGH, Urteil v. 28.05.2020, Az. I ZR 7/16 (Cookie-Einwilligung II) · analog auf Drittanbieter-iframes anzuwenden.

Drei Wege zur rechtssicheren Einbettung

1. Two-Click-Loesung (Konsens-Standard)

Statt der Karte zeigen Sie nur einen Platzhalter mit Vorschau-Bild und Hinweis: "Beim Klick wird Google Maps geladen. Mit Klick stimmen Sie der Datenuebertragung an Google zu." Erst nach Klick laedt der iframe.

<div id="maps-placeholder" onclick="loadMaps()">
  <img src="/static/maps-preview.png" alt="Karte zur Adresse">
  <button>Karte laden (sendet Daten an Google)</button>
</div>

<script>
function loadMaps() {
  document.getElementById('maps-placeholder').innerHTML =
    '<iframe src="https://www.google.com/maps/embed?pb=..." ' +
    'loading="lazy" width="100%" height="400"></iframe>';
}
</script>

2. Statische Karte (keine Einwilligung noetig)

Sie verlinken zu Google Maps, zeigen aber selbst nur einen Screenshot oder eine OpenStreetMap-Karte (siehe unten). Vorteil: kein Datentransfer ohne Klick.

3. OpenStreetMap (komplett ohne Google)

Komplett DSGVO-konform, ohne US-Server, ohne Einwilligungs-Bedarf:

<iframe src="https://www.openstreetmap.org/export/embed.html?bbox=11.5,48.1,11.6,48.2&layer=mapnik"
        loading="lazy" width="100%" height="400"></iframe>

Mit Leaflet.js wird daraus eine interaktive Karte — ebenfalls komplett ohne Google. Die Tiles koennen von eigenen Servern oder von DSGVO-konformen Anbietern (OSM Foundation, Stadia Maps, Maptiler EU) geladen werden.

Was unser Check erkennt

Wir suchen im HTML nach iframes mit google.com/maps oder maps.google als src. Wenn gefunden, melden wir den Verstoss als SICHER. Two-Click-Loesungen erkennen wir nur teilweise — im Zweifel sicherheitshalber den Verstoss melden, dann manuell verifizieren.