Google Fonts, YouTube & Maps einbinden: Was ist erlaubt?

Ja, du kannst Google Fonts, YouTube-Videos und Google Maps auf deiner Firmenwebsite nutzen. Einfach den Einbettungscode einfügen oder die Voreinstellung deines Themes übernehmen solltest du aber nicht. Entscheidend ist der Moment des Seitenaufrufs: Gehen schon Daten an Google, bevor deine Besucherin irgendetwas angeklickt hat? Oder wird auf ihrem Gerät etwas gespeichert oder ausgelesen?

Die gute Nachricht: Für alle drei Dienste gibt es einfache Varianten, bei denen sich diese Frage gar nicht erst stellt. Dazu gehören eine lokal ausgelieferte Schrift, ein Video oder eine Karte, die erst nach einem Klick lädt, oder schlicht ein Link. Wann du grundsätzlich eine Einwilligung und damit ein Banner brauchst, erklärt der Artikel „Cookie-Banner: Braucht deine Firmenwebsite wirklich eins?“. Hier geht es um die konkrete Umsetzung. Eine Rechtsberatung ersetzt dieser Text nicht, er gibt dir aber eine solide technische Grundlage für deine Entscheidung.

Zwei Regeln, die oft verwechselt werden: TDDDG und DSGVO

Viele Warnungen werfen Cookies und IP-Adressen durcheinander. Dahinter stehen zwei verschiedene Regeln, die nebeneinander gelten.

§ 25 TDDDG schützt das Endgerät. Wer Informationen auf dem Gerät der Besucherin speichert oder darauf zugreift, braucht ihre Einwilligung. Das gilt unabhängig davon, ob dabei personenbezogene Daten im Spiel sind. Die Ausnahmen sind eng: Ohne Einwilligung geht es im Wesentlichen nur, wenn der Zugriff für einen digitalen Dienst unbedingt erforderlich ist, den die Nutzerin ausdrücklich gewünscht hat.

Die DSGVO schützt personenbezogene Daten. Lädt deine Seite etwas von einem fremden Server nach, baut der Browser eine Verbindung dorthin auf und überträgt dabei die IP-Adresse. Das ist eine Verarbeitung personenbezogener Daten, für die es eine Rechtsgrundlage braucht. Sitzt der Empfänger außerhalb der EU, kommen die Regeln für Drittlandübermittlungen nach Art. 44 ff. DSGVO hinzu.

Die Datenschutzaufsicht in Niedersachsen nennt eingebundene Schriften, Videoplattformen und Karten in ihrem TDDDG-FAQ ausdrücklich als Anwendungsfeld und betont den Grundsatz der Einwilligung. Auch die Orientierungshilfe der Datenschutzkonferenz für digitale Dienste (Version 1.2, November 2024) betrachtet beide Regelwerke getrennt.

Und das EU-US Data Privacy Framework (DPF)? Das Gericht der EU hat den Angemessenheitsbeschluss am 3. September 2025 bestätigt (T-553/23). Ein Rechtsmittel beim Europäischen Gerichtshof ist nach derzeitigem Stand offenbar anhängig. Das DPF beantwortet aber nur eine Frage: ob Daten an zertifizierte Empfänger in den USA übermittelt werden dürfen. Es ersetzt weder die Rechtsgrundlage für die Übermittlung selbst noch eine Einwilligung, die nach § 25 TDDDG nötig ist.

Eine Abgrenzung ist zudem offen. Ob schon das bloße Nachladen einer Ressource ein Zugriff auf das Endgerät ist, bewerten die Aufsichtsbehörden nicht in allen Details gleich. Der Landesdatenschutzbeauftragte Baden-Württemberg (LfDI BW) hat die passive Übermittlung von Browserdaten 2022 nicht als Zugriff eingeordnet. Die 2024 final angenommenen Leitlinien 2/2023 des Europäischen Datenschutzausschusses gehen etwa bei Tracking-Pixeln und bestimmten Formen von IP-Tracking weiter. Für die Praxis folgt daraus eine robuste Faustregel: Von Dritten wird nichts geladen, bevor die Besucherin es will.

So findest du heraus, was deine Seite schon von selbst lädt

Themes, Page-Builder und Baukästen laden Schriften oder andere Dienste häufig schon voreingestellt von externen Servern, auch wenn das nie jemand bewusst entschieden hat. Ob das bei dir so ist, siehst du in wenigen Minuten im Browser:

1. Öffne deine Website in einem privaten Fenster.
2. Öffne die Entwicklertools (meist mit F12) und wechsle zum Tab „Netzwerk“.
3. Setze den Haken bei „Cache deaktivieren“ und lade die Seite neu. Das Cookie-Banner klickst du dabei nicht an.
4. Gib die Begriffe aus der Tabelle nacheinander ins Filterfeld ein.

Dienst	Suchbegriff im Filter	Bedeutung, wenn er ohne Klick auftaucht
Google Fonts	fonts.googleapis.com, fonts.gstatic.com	Die Schrift kommt beim Aufruf von Google
YouTube	youtube.com, youtube-nocookie.com, i.ytimg.com	Video oder Vorschaubild kommen beim Aufruf von YouTube
Google Maps	google.com/maps, maps.googleapis.com	Die Karte lädt beim Aufruf von Google

Erscheint eine dieser Adressen, bevor die Besucherin etwas getan hat, lädt deine Seite den Dienst beim Aufruf. Taucht sie erst nach dem Klick auf „Video laden“ oder „Karte anzeigen“ auf, funktioniert deine Klick-Lösung. Schau dir nicht nur die Startseite an, sondern auch die Kontakt- und Anfahrtsseite sowie jede andere Seite mit Video oder Karte.

Ein hypothetisches Beispiel: Ein Theme holt seine Überschriftenschrift von fonts.gstatic.com, obwohl nie jemand „Google Fonts“ ausgewählt hat. Solche voreingestellten Quellen fallen meist erst im Netzwerk-Tab auf.

Google Fonts: lokal einbinden statt von Google laden

Das ist der häufigste Fall und zugleich der am einfachsten lösbare. Lädt deine Seite eine Schrift von Google-Servern, setzt die Fonts-API laut Googles FAQ keine Cookies. Jede Anfrage überträgt aber die IP-Adresse, die angefragte URL und HTTP-Header wie User-Agent und Referer an Google. Nach eigener Angabe nutzt Google diese Daten nicht für Profile oder gezielte Werbung. Bei Google Fonts geht es deshalb vor allem um die DSGVO und weniger um Cookies.

Das Landgericht München I hat am 20. Januar 2022 entschieden (Az. 3 O 17493/20), dass die automatische Weitergabe der IP-Adresse an Google ohne Einwilligung das Persönlichkeitsrecht des Klägers verletzt. Ein berechtigtes Interesse lehnte es ab, weil sich Google Fonts auch ohne Verbindung zu Google-Servern nutzen lassen. Das Gericht verurteilte die Betreiberin zur Unterlassung und sprach 100 Euro Schadensersatz zu. Es handelt sich um die Einzelentscheidung eines Landgerichts. Begründet wurde sie unter anderem mit dem damals fehlenden Schutzniveau in den USA, sie stammt also aus der Zeit vor dem DPF.

Die Lösung steckt schon in der Begründung: Liefere die Schriftdateien von deinem eigenen Server aus. Die Schrift sieht genauso aus und deine Besucherinnen merken keinen Unterschied. Die Übermittlung an Google, um die es in dem Urteil ging, fällt dann weg. Eine Einwilligungslösung für Schriften ergibt hier keinen Sinn. Lokal ist die einfachste und beste Antwort.

Nach der Umstellung prüfst du noch einmal: Im Netzwerk-Tab dürfen keine Anfragen an fonts.googleapis.com oder fonts.gstatic.com mehr auftauchen. Bleiben doch welche übrig, können sie aus einem Plugin oder Page-Builder stammen, der eigene Schriften mitbringt.

YouTube: Warum der erweiterte Datenschutzmodus keine Garantie ist

Bei einem direkt eingebetteten Video beginnt die Datenübermittlung an die Plattform laut LfDI BW häufig schon beim Seitenaufruf. Viele setzen deshalb auf den erweiterten Datenschutzmodus. Er lädt das Video über youtube-nocookie.com und Google sagt zu, die Wiedergabe nicht zur Personalisierung auf YouTube zu nutzen; eingeblendete Werbung ist dann nicht personalisiert. Wechselt die Besucherin zu YouTube, gelten dort wieder die normalen Richtlinien. Dass beim Laden keine Daten übertragen werden und nichts auf dem Gerät landet, verspricht Google damit nicht. Der Modus ist ein Fortschritt gegenüber der normalen Einbettung, aber keine Garantie.

Für ein Erklärvideo hast du drei sinnvolle Varianten:

• Link mit eigenem Vorschaubild: Das passt, wenn das Video eine Ergänzung ist und nicht im Mittelpunkt steht. Ein selbst erstelltes Standbild verlinkt auf YouTube, eingebettet wird nichts.
• Vorschaubild mit „Video laden“: Das passt, wenn das Video direkt auf deiner Seite laufen soll. Das Bild liegt auf deinem Server und ein kurzer Hinweis erklärt, dass beim Klick Daten an YouTube gehen. Erst danach lädt der Player. Der LfDI BW beschreibt dieses Zwei-Klick-Prinzip ausdrücklich als Alternative.
• Video selbst hosten: Der LfDI BW nennt das als Alternative, sofern Speicher und Bandbreite reichen. Es passt bei kurzen Videos, wenn du von der Plattform unabhängig sein willst. Dafür nimmst du große Dateien, mehr Last auf deinem Hosting und womöglich längere Ladezeiten in Kauf.

Für ein einzelnes Erklärvideo auf einer Firmenseite ist das Vorschaubild mit Klick meist der beste Kompromiss. Hinter dem Klick kannst du zusätzlich den erweiterten Datenschutzmodus nutzen. Wird das Video eher selten angesehen, genügt auch der Link. Bettest du dagegen direkt ein, läuft es auf eine Einwilligung hinaus. Wie das mit Banner umgesetzt wird, steht im Cookie-Banner-Artikel.

Vor dem Klick darf im Netzwerk-Tab keine der YouTube-Adressen aus der Tabelle oben auftauchen, auch nicht i.ytimg.com, wo YouTube seine Vorschaubilder ablegt.

Google Maps: Anfahrt zeigen, ohne die Karte sofort zu laden

Eine eingebettete Google-Karte ist ein iframe, das direkt von Google-Servern kommt, zum Beispiel über die Maps Embed API mit API-Key, die laut Google kostenlos ist. Beim Seitenaufruf baut der Browser also eine Verbindung zu Google auf.

Oft brauchst du gar keine eingebettete Karte. Wer eine Anfahrt sucht, will in vielen Fällen ohnehin mit dem Routenplaner auf dem Handy navigieren. Ein hypothetischer Anfahrtsblock für eine kleine Firma könnte so aussehen:

• die Adresse als Text
• ein kurzer Hinweis zum Parken oder zum Eingang
• ein eigenes Foto vom Eingang oder eine selbst erstellte Grafik
• ein Link „Route in Google Maps öffnen“
• optional ein Button „Karte laden“, nach dem erst das iframe geladen wird

Zum Platzhalter für die Klick-Lösung liest du häufig, Screenshots von Google Maps seien pauschal verboten. Googles Geo-Richtlinien sehen das differenzierter: Statische Bilder sind unter Bedingungen möglich, etwa wenn die Attribution sichtbar, nah am Inhalt und unverändert bleibt. Eine rechtliche Prüfung ist das allerdings nicht. Mit einer eigenen Grafik oder einem Foto bist du auf der einfacheren Seite, weil Googles Vorgaben dafür keine Rolle spielen.

Und OpenStreetMap? Der LfDI BW nennt die Karte als Alternative, allerdings eingebunden über einen Proxy. Nur weil eine Karte nicht von Google kommt, ist sie nicht automatisch unkritisch. Ohne Proxy verbindet sich der Browser auch hier mit fremden Servern.

Vor dem Klick darf im Netzwerk-Tab keine der Maps-Adressen aus der Tabelle oben erscheinen.

Deine nächsten Schritte und was du deinen Dienstleister fragst

Dienst	Standardempfehlung
Google Fonts	Schrift lokal ausliefern
YouTube	Vorschaubild mit Klick oder Link
Google Maps	Adresse, eigenes Bild, Link zum Routenplaner

So gehst du vor:

1. Prüfe die wichtigsten Seiten im Netzwerk-Tab, ohne das Banner anzuklicken.
2. Stell die Schriften auf lokale Auslieferung um.
3. Entscheide dich für Videos und Karten jeweils zwischen Link und Laden nach Klick.
4. Bestätige mit einer zweiten Prüfung, dass vor dem Klick nichts mehr nachgeladen wird.
5. Passe die Datenschutzerklärung an die Dienste an, die du tatsächlich nutzt. Bist du unsicher, lass sie fachkundig prüfen.

Betreut ein Dienstleister deine Website, helfen dir diese Fragen:

• Welche externen Dienste lädt die Seite beim Aufruf, bevor jemand etwas anklickt?
• Liegen alle Schriften auf unserem eigenen Server?
• Laden Video und Karte erst nach einem Klick, und kommt das Vorschaubild von unserem Server?
• Lässt sich das Nachladen externer Schriften oder Dienste im Theme oder Baukasten abschalten?

Ist die Antwort auf die letzte Frage „nein“, ist das eine wichtige Information. Dann lohnt sich ein Blick darauf, was WordPress, Wix und Framer für deine Firmenwebsite unterscheidet und ob sich eine Optimierung oder ein Relaunch mehr lohnt.

Noch ein Hinweis zur Aktualität: Der Status des DPF kann sich durch das laufende Rechtsmittel ändern. Auf die hier empfohlenen Varianten wirkt sich das kaum aus. Was erst nach einem Klick lädt oder gar nicht an Google geht, funktioniert unabhängig vom Ausgang.