Externe Dienste auf Webseiten und der Datenschutz — eine Bestandsaufnahme

1. Was sind externe Dienste, warum stehen sie im Datenschutz-Fokus?

Externe Dienste auf Webseiten sind Bestandteile, die nicht vom Betreiber der Webseite selbst ausgeliefert werden, sondern von einem anderen Anbieter. Sobald eine Webseite mit eingebetteten Drittinhalten aufgerufen wird, baut der Browser des Besuchers Verbindungen zu Servern dieser Drittanbieter auf — typischerweise bevor der Besucher etwas geklickt hat. Übertragen werden bei jedem dieser Verbindungsaufbauten regelmäßig die IP-Adresse, der angefragte Inhalt, die Art des Browsers und das Betriebssystem; je nach Dienst kommen Cookies, eindeutige Kennungen und Verhaltensdaten hinzu.

Der datenschutzrechtliche Rahmen, in den diese Vorgänge eingebettet sind, hat zwei Schienen, die unterschiedlich funktionieren. Die DSGVO regelt die Verarbeitung personenbezogener Daten — wozu nach ständiger Rechtsprechung des Bundesgerichtshofs auch die IP-Adresse zählt, die ein Webseitenbetreiber von Besuchern verarbeitet (BGH, Urteil vom 16. Mai 2017, VI ZR 135/13). Das TDDDG, ehemals TTDSG, regelt in § 25 das Setzen von und den Zugriff auf Informationen auf dem Endgerät des Nutzers — also Cookies, lokal gespeicherte Skripte und vergleichbare Mechanismen. Beide Schienen können gemeinsam einschlägig sein, sie können auch einzeln greifen.

Diese Doppelnatur erklärt, warum die rechtliche Lage zu externen Diensten in den vergangenen Jahren mehrfach gedreht wurde, ohne dass sich am Ergebnis grundlegend etwas geändert hätte. Ein Dienst, der vor einer wirksamen Einwilligung Daten an Dritte überträgt, ist heute nach denselben Maßstäben zu beurteilen wie 2022 — nur die juristische Begründung hat sich verschoben.

2. Die rechtliche Lage seit 2020 in datierten Stationen

Station 1 — Schrems II, EuGH, 16. Juli 2020, Rs. C-311/18

Mit dem Urteil in der Rechtssache C-311/18 erklärt der Gerichtshof der Europäischen Union das EU-US-Privacy-Shield für ungültig. Für Datenübermittlungen in die Vereinigten Staaten fehlt damit der Angemessenheitsbeschluss, der die Übermittlung trägt. Standardvertragsklauseln bleiben grundsätzlich verfügbar, sind aber nur dann ein tragfähiger Rechtsgrund, wenn ergänzende Maßnahmen ein gleichwertiges Schutzniveau sicherstellen. Die Wirksamkeit dieser Maßnahmen wird in der Folge jahrelang umstritten sein.

Station 2 — österreichische Datenschutzbehörde, Teilbescheid vom 22. Dezember 2021, GZ D155.027

Die DSB stellt fest, dass die zum damaligen Zeitpunkt übliche Standard-Einbindung von Google Analytics gegen Art. 44 DSGVO verstößt. Übertragen werden bei jedem Seitenaufruf eine eindeutige Nutzer-Kennung, die IP-Adresse und Browserparameter — und zwar an Google-Server in den Vereinigten Staaten, ohne dass die ergänzenden Maßnahmen, auf die sich die Beschwerdegegnerin berief, im konkreten Fall ausreichen. Es ist die erste der 101 noyb-Musterbeschwerden, die zugestellt wird; vergleichbare Bescheide ergehen in den Folgemonaten in Frankreich (CNIL) und Italien (Garante).

Station 3 — LG München I, Urteil vom 20. Januar 2022, Az. 3 O 17493/20

Das Landgericht spricht dem Kläger Unterlassung und 100 € Schadensersatz zu, weil die beklagte Webseite Google Fonts dynamisch — also vom Google-Server — eingebunden hatte. Bei jedem Aufruf wurde die IP-Adresse des Klägers an Google übermittelt, ohne dass eine Einwilligung vorlag. Eine Stützung auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO scheitert, weil dieselben Schriften technisch identisch lokal eingebunden werden können. Das Urteil löst in Deutschland eine bekannt gewordene Abmahnwelle aus.

Station 4 — österreichische Datenschutzbehörde, Bescheid vom 16. März 2023

Mit derselben Argumentationslinie wie im Google-Analytics-Fall beanstandet die DSB die Einbettung von Meta-Tools — Meta Pixel und Facebook Login — auf einer EU-Webseite als Verstoß gegen Art. 44 DSGVO. Die Übermittlung personenbezogener Daten an Meta-Server in den Vereinigten Staaten wird ohne ausreichende Schutzmaßnahmen vorgenommen.

Station 5 — EU-US Data Privacy Framework, Angemessenheitsbeschluss der EU-Kommission, 10. Juli 2023

Mit dem Durchführungsbeschluss (EU) 2023/1795 bejaht die Kommission ein angemessenes Datenschutzniveau für US-Unternehmen, die unter dem Data Privacy Framework zertifiziert sind. Übermittlungen an diese Unternehmen sind seither nach Art. 45 DSGVO ohne zusätzliche Garantien zulässig. Google und Meta sind zertifiziert. Damit verschiebt sich der rechtliche Schwerpunkt: Die Drittland-Frage ist für die genannten Anbieter entschärft, sie ist nicht mehr der primäre Rechtsanker für die zuvor ergangenen Bescheide.

Station 6 — VG Hannover, Urteil vom 19. März 2025, Az. 10 A 5385/22

Das Verwaltungsgericht Hannover bestätigt eine Anordnung der niedersächsischen Datenschutzaufsichtsbehörde, wonach der Einsatz des Google Tag Manager nur nach vorheriger Einwilligung gemäß § 25 Abs. 1 TDDDG zulässig ist — auch dann, wenn der Tag Manager selbst keine Cookies setzt. Maßgeblich ist, dass beim Laden des Tag Manager personenbezogene Daten an Google übermittelt und ein JavaScript auf dem Endgerät gespeichert wird. Eine Ausnahme als „technisch unbedingt erforderlich" greift nicht.

Station 7 — EuG, Urteil vom 3. September 2025, Rs. T-553/23 (Latombe/Kommission)

Das Gericht der Europäischen Union weist die Klage des französischen Abgeordneten Philippe Latombe gegen den DPF-Angemessenheitsbeschluss ab. Der DPF gilt damit vorerst weiter; ein Rechtsmittel zum EuGH ist möglich, würde aber die Wirksamkeit des Beschlusses bis zu einer etwaigen Aufhebung nicht berühren.

Station 8 — BfDI-Webseitencheck, Kurzmeldung vom 30. Juni 2025

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hat in einer teilautomatisierten Sweep-Aktion knapp 200 Webseiten des Bundes geprüft und dabei über 500.000 Einzelseiten analysiert. Schwerpunkt war die Einbettung von Drittinhalten. Identifiziert wurden 40 Verstöße durch datenschutzwidrige YouTube-Einbindungen — Konstellationen, in denen beim Seitenaufruf eine Datenübertragung an Google erfolgte, ohne dass eine wirksame Einwilligung vorlag. Auf Basis der Befunde hat die BfDI 40 Beratungsschreiben an die betroffenen Stellen versendet und angekündigt, automatisierte Prüfungen dieser Art fortzuführen.

3. Was das heute praktisch bedeutet

Aus den acht Stationen ergeben sich vier Beobachtungen für die heutige Lage.

Erstens: Mit dem Data Privacy Framework ist die Drittland-Frage für zertifizierte US-Unternehmen entschärft, aber nicht erledigt. Übermittlungen an Google, Meta und andere DPF-zertifizierte Anbieter sind nach Art. 45 DSGVO zulässig, soweit der Beschluss gilt. Alle anderen Anforderungen der DSGVO bleiben unberührt: Informationspflichten, Zweckbindung, Datenminimierung — und vor allem die Einwilligungsanforderung nach § 25 TDDDG, die nicht von der Drittland-Frage abhängt.

Zweitens: Die Cookie-Einwilligung ist heute der Hauptanker. Tracker, Tag Manager, eingebettete YouTube-Videos im Standard-Modus, interaktive Karten — alle bedingen vor dem Laden eine wirksame Einwilligung des Nutzers. Die Anforderungen an diese Einwilligung sind in den vergangenen Jahren mehrfach präzisiert worden: aktiv, informiert, freiwillig, mit gleichwertiger Ablehnungsoption auf der ersten Banner-Ebene. Implizite Einwilligung durch Weiterscrollen oder vorausgewählte Schalter genügt diesen Anforderungen nicht.

Drittens: Wer einen Dienst lokal einbindet oder durch eine in Europa gehostete Alternative ersetzt, vermeidet einen großen Teil der genannten Fragen vom Tag eins an. Eine lokal ausgelieferte Schrift überträgt keine Daten an Dritte — die Drittland-Frage entfällt, die Einwilligungs-Frage tritt nicht auf. Eine in Europa gehostete Auswertungs-Software, die ohne eindeutige Nutzer-Kennung arbeitet, kann ohne Einwilligungsbanner betrieben werden. Diese Lösungen sind robust gegen künftige Schwankungen der Rechtslage; eine etwaige Schrems-III-Entscheidung würde an einer lokal eingebundenen Schrift nichts ändern.

Viertens: Die Aufsichtsbehörden prüfen aktiv. Der BfDI-Webseitencheck vom Juni 2025 zeigt, dass automatisierte Prüfungen durch die Aufsichtsbehörden kein theoretisches Szenario mehr sind, sondern Routine werden. Die Wahrscheinlichkeit, dass eine Webseite mit unsauberer Drittanbieter-Einbindung von einer Behörde adressiert wird, steigt damit messbar.

4. Was updatefrei dazu macht

Vorab eines: updatefrei ist kein Anbieter von Datenschutzberatung und keine Rechtsberatung. Was updatefrei macht, ist Werkzeug-Arbeit an der Webseite selbst. Die buchbaren Zusatzbausteine adressieren genau die in den vorangehenden Abschnitten beschriebenen Konstellationen.

Der Baustein W-DS-01 — Tracking entfernen entfernt Analytics, Tag Manager und Pixel-Skripte ersatzlos. Der Bericht „was war, was ist nicht mehr" dokumentiert den Eingriff. Damit entfallen sowohl die Drittland-Frage als auch die Cookie-Einwilligungs-Frage für diese Dienste.

Der Baustein W-DS-03 — 2-Klick-Wrapper Videos baut eingebettete YouTube-Videos so um, dass beim Seitenaufruf keine Verbindung zu Google entsteht; das Video lädt erst nach aktivem Klick. In der Werkzeug-Variante wird zusätzlich der nocookie-Modus aktiviert.

Der Baustein W-DS-04 — 2-Klick-Wrapper Karten verfährt analog für Google Maps und vergleichbare Karten-Einbettungen. An der Stelle der ursprünglichen Karte steht ein statisches Vorschaubild; die Karte lädt erst nach Klick.

Der Baustein W-DS-06 — Google Fonts lokalisieren zieht die Schriften auf den eigenen Webspace um. Die Seite sieht danach unverändert aus, lädt aber keine Daten mehr beim Anbieter nach.

Der Baustein W-DS-02 — Plausible einrichten ist die Alternative für Betreiber, die Auswertung wünschen, ohne Einwilligung einholen zu müssen. Plausible ist in Europa gehostet und arbeitet ohne eindeutige Nutzer-Kennung.

Was updatefrei nicht macht: Datenschutzerklärungen schreiben, Cookie-Banner konfigurieren, juristische Risiken einschätzen. Wer eine Konsens-Lösung statt einer Werkzeug-Lösung sucht, wird im Webseitencheck-Bericht auf spezialisierte Anbieter verwiesen. Eine knappe Übersicht der prominentesten externen Dienste — was sie tun, wie sie typischerweise eingebunden sind und welcher Baustein sie ablöst — findet sich auf der Erklärseite zu externen Diensten.

5. Stand-Vermerk und Hinweis

Stand-Vermerk: Dieser Beitrag gibt die Lage zum 30. April 2026 wieder. Die Rechtsprechung zu externen Diensten entwickelt sich kontinuierlich; einzelne Stationen werden nachgezogen, sobald sich die Sachlage merklich ändert.

Hinweis: Dieser Beitrag ist keine Rechtsberatung und ersetzt keine. Er fasst öffentlich zugängliche Entscheidungen und Dokumente zusammen, um Webseitenbetreibern eine eigenverantwortliche Einschätzung der Lage zu ermöglichen. Für eine individuelle juristische Bewertung ist eine spezialisierte Kanzlei oder die zuständige Datenschutzaufsichtsbehörde der richtige Ansprechpartner.

Quellen

1. BGH, Urteil vom 16.05.2017 — VI ZR 135/13 (IP-Adresse als personenbezogenes Datum für den Webseitenbetreiber).
2. EuGH, Urteil vom 16.07.2020 — Rs. C-311/18 (Schrems II). Verfügbar über curia.europa.eu.
3. DSB Österreich, Teilbescheid vom 22.12.2021 — GZ D155.027 (Google Analytics, Musterbeschwerde noyb). Veröffentlicht über noyb.eu.
4. LG München I, Urteil vom 20.01.2022 — 3 O 17493/20 (Google Fonts). Volltext über rewis.io.
5. DSB Österreich, Bescheid vom 16.03.2023 (Meta Pixel, Facebook Login). Pressemeldung mit Verweis auf den Originalbescheid (PDF) bei noyb.eu.
6. EU-Kommission, Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023 — Angemessenheit Data Privacy Framework. eur-lex.europa.eu.
7. VG Hannover, Urteil vom 19.03.2025 — 10 A 5385/22 (Google Tag Manager, § 25 TDDDG). Volltext nicht öffentlich verfügbar; eine ausführliche Zusammenfassung mit Zitaten findet sich bei der Datenschutzkanzlei.
8. EuG, Urteil vom 03.09.2025 — Rs. T-553/23 (Latombe/Kommission, Bestätigung DPF). Verfügbar über curia.europa.eu.
9. BfDI, Kurzmeldung vom 30.06.2025 — Teilautomatisierte Webseitenprüfung. bfdi.bund.de.

Soweit Primärquellen frei zugänglich sind, ist die jeweilige Plattform direkt verlinkt. Für deutsche Gerichtsentscheidungen ist dejure.org eine verlässliche sekundärnahe Anlaufstelle (Volltext oder Verweissammlung über das Aktenzeichen).

Stand: 30. April 2026.