Wie externe Inhalte erst nach Zustimmung laden

So funktioniert es

Bindet deine Seite etwas von einem fremden Server ein, holt der Browser es direkt dort ab. Dabei erfährt der Anbieter die IP-Adresse des Besuchers, die Seite, von der die Anfrage kommt, und Angaben zum Browser. Das passiert beim Laden, bevor jemand im Banner etwas gewählt hat.

Typische Fälle sind Google Fonts, eingebettete YouTube-Videos, Google Maps, Captchas wie reCAPTCHA, Skripte und Bibliotheken von einem CDN (Content Delivery Network) und der Google Tag Manager. Die IP-Adresse ist ein personenbezogenes Datum. Für die Übermittlung brauchst du nach der DSGVO eine Rechtsgrundlage: eine Einwilligung oder ein berechtigtes Interesse, das schwerer wiegt als das des Besuchers. Lässt sich ein Inhalt auch ohne fremden Server ausliefern, trägt das berechtigte Interesse selten.

bytereport zählt hier alles, was vor der Einwilligung von einer anderen Website lädt und weder Tracking (eigener Prüfpunkt) noch Consent-Tool noch für den Betrieb nötig ist, etwa für eine Zahlung.

Worauf es ankommt

• Selbst ausliefern, was geht. Schriften, JavaScript-Bibliotheken und Icons legst du auf deinen eigenen Server. Für Besucher ändert sich nichts, und es geht keine Anfrage nach außen.
• Zwei-Klick-Lösung für Videos und Karten. Statt des Players zeigt die Seite ein Vorschaubild mit einem Hinweis; erst ein Klick lädt den Inhalt vom Anbieter. Auch der „erweiterte Datenschutzmodus“ von YouTube (youtube-nocookie.com) lädt beim Aufruf schon von Google-Servern.
• Anbieter außerhalb der EU wiegen schwerer. Lädt vor der Einwilligung etwas von einem Anbieter mit Sitz außerhalb von EU und EWR, wertet bytereport das als Fehler, sonst als Warnung. Mehr dazu unter Drittländer.
• Captchas und Logins. Ein Captcha oder ein Login über ein soziales Netzwerk muss nicht schon beim Seitenaufruf laden. Lade es erst, wenn jemand das Formular oder den Button benutzt, oder nimm einen Anbieter, der in der EU sitzt.
• In der Datenschutzerklärung nennen. Was nach Zustimmung lädt, gehört mit Zweck und Empfänger in die Datenschutzerklärung.

So richtest du es ein

Viele Themes und Page-Builder haben eine Einstellung, Schriften lokal zu laden; sonst lädst du die Schriftdateien herunter und bindest sie per CSS vom eigenen Server ein. Bibliotheken von einem CDN ersetzt du durch eigene Kopien. Für Videos und Karten bieten die meisten Consent-Tools Platzhalter für die Zwei-Klick-Lösung, die du pro Dienst einschaltest. Das übernimmt, wer die Website betreut, im CMS, im Theme oder im Consent-Tool.

Prüfe danach im Netzwerk-Tab der Entwicklertools in einem privaten Fenster, dass vor dem Klick im Banner nur noch Anfragen an deine eigene Domain und an das Consent-Tool gehen.

Das ist keine Rechtsberatung; den Einzelfall beurteilen dein Datenschutzbeauftragter oder eine Anwältin.