Social-Media-Feeds DSGVO-konform einbinden: der Überblick

Ein Social-Media-Feed ist schnell eingebaut: ein Embed-Code hier, ein Widget dort. Was dabei gern übersehen wird: Viele dieser Einbettungen übertragen bei jedem Seitenaufruf Daten deiner Besucher an Meta, Google oder Pinterest. Und das passiert, bevor jemand etwas angeklickt hat.

Dieser Beitrag ist der Überblick zu allen fünf großen Plattformen. Er erklärt, wo das Problem liegt, welche Lösungen es gibt und worauf du bei Instagram, Facebook, Threads, Pinterest und YouTube jeweils achten musst. Am Ende steht eine Checkliste, mit der du deine Website selbst prüfen kannst.

Wo genau liegt das Problem?#

Sobald deine Website etwas von einem fremden Server lädt, ein Skript, ein Bild oder ein iframe, schickt der Browser deiner Besucher eine Anfrage an diesen Server. Dabei geht automatisch die IP-Adresse mit, dazu technische Angaben wie Browser und Betriebssystem. Nach der DSGVO ist die IP-Adresse ein personenbezogenes Datum. Für ihre Übertragung brauchst du eine Rechtsgrundlage.

Bei Social-Media-Embeds kommt oft mehr hinzu: Skripte, die Cookies setzen oder auslesen, und Plattformen, die angemeldete Nutzer wiedererkennen. Für das Speichern und Auslesen von Informationen im Browser, das nicht unbedingt nötig ist, verlangt in Deutschland § 25 TDDDG eine Einwilligung. In der Praxis bedeutet das: Ein offizielles Embed gehört hinter das Cookie-Banner.

Seit 2023 gibt es das EU-US Data Privacy Framework, unter dem unter anderem Meta und Google zertifiziert sind. Es regelt, unter welchen Bedingungen Daten in die USA übermittelt werden dürfen. Eine Einwilligung für Cookies oder eine Rechtsgrundlage für die Datenerhebung selbst ersetzt es nicht.

Zwei Urteile, die man kennen sollte#

Fashion ID (EuGH, 2019, C-40/17): Ein Online-Händler hatte den „Gefällt mir“-Button von Facebook eingebunden. Der Europäische Gerichtshof entschied, dass der Website-Betreiber für das Erheben und Übermitteln der Besucherdaten an Facebook mitverantwortlich ist. Wer ein Plugin einbindet, das Daten an eine Plattform schickt, kann sich also nicht allein auf die Plattform berufen.

Google Fonts (LG München I, 2022, 3 O 17493/20): Eine Website lud Schriftarten direkt von Google-Servern. Das Gericht sah darin wegen der übertragenen IP-Adresse einen Verstoß und sprach dem Kläger 100 Euro Schadensersatz zu. Danach folgte eine Welle von Abmahnschreiben, die ihrerseits juristisch umstritten war. Die Grundlogik des Urteils bleibt aber: Schon das bloße Nachladen von einem fremden Server ist eine Datenübertragung.

Beide Fälle betreffen keine Social-Media-Feeds direkt. Sie zeigen aber, wie Gerichte auf eingebundene Fremdinhalte schauen.

Drei Wege zu einem datenschutzfreundlichen Feed#

Weg 1: Einwilligung vor dem Feed#

Du lädst das offizielle Embed erst, wenn Besucher im Cookie-Banner zugestimmt haben. Viele Consent-Tools bringen dafür einen Inhaltsblocker mit, der das Embed bis zur Zustimmung durch einen Platzhalter ersetzt.

Das ist ein anerkannter Weg, hat aber Nachteile. Wer ablehnt, sieht statt deines Feeds einen leeren Kasten, ausgerechnet die datenschutzbewussten Besucher. Und der Blocker muss jedes Embed zuverlässig erkennen, auch solche, die ein Theme oder ein Seitenbaukasten selbst einfügt.

Weg 2: Zwei-Klick-Lösung#

Ein Platzhalter mit lokalem Vorschaubild steht an der Stelle des Inhalts. Erst ein bewusster Klick lädt den Inhalt von der Plattform. Für einzelne Videos ist das ein bewährtes Muster, die Anleitung mit Code steht im Beitrag YouTube DSGVO-konform einbinden.

Für einen ganzen Feed taugt das Muster kaum: Niemand klickt erst einen Hinweis weg, um ein paar Fotos zu sehen.

Weg 3: Inhalte selbst ausliefern#

Der dritte Weg setzt früher an. Die Posts werden im Hintergrund über die offiziellen Schnittstellen abgeholt und gespeichert. Deine Website zeigt dann eine Kopie, und der Browser deiner Besucher fragt beim Seitenaufruf gar nicht erst bei der Plattform an. Damit entfällt die Übertragung an Meta, Google oder Pinterest.

Wichtig ist dabei die Frage, wo die Kopie liegt. Liegt sie auf deinem eigenen Server, kommuniziert der Browser nur mit deiner Website. Liegt sie bei einem Dienstleister, lädt der Browser von dessen Servern. Dann ist dieser Dienstleister Empfänger der IP-Adresse, und du brauchst mit ihm einen Vertrag zur Auftragsverarbeitung (AVV).

So arbeitet Feedivo#

Feedivo geht den dritten Weg. Deine Posts werden über die offiziellen Schnittstellen abgerufen, Bilder und Vorschaubilder werden gespeichert, und der Feed setzt keine Cookies. Je nach Einbindung sieht der Datenfluss beim Seitenaufruf so aus:

• WordPress-Plugin: Das Plugin übernimmt Posts, Bilder und Videos in deine WordPress-Installation. Beim Seitenaufruf liefert dein eigener Server alles aus. Mit Feedivo spricht nur deine Website, im Hintergrund und von Server zu Server.
• Web-Widget: Der Browser lädt Skript, Feed und Bilder von Feedivo. Feedivo wird in Deutschland gehostet und nutzt für die Auslieferung Cloudflare. Zur Absicherung werden Abrufe des Widgets mit IP-Adresse protokolliert und nach 30 Tagen gelöscht. Geschäftskunden finden den AVV in ihrem Konto.
• YouTube: Videodateien bleiben bei YouTube. Der Player lädt in beiden Fällen erst nach einem Klick, über youtube-nocookie.com.

Welche Datenschutz-Funktionen Feedivo sonst mitbringt, steht auf der Funktionen-Seite. Wie Feedivo selbst mit Daten umgeht, beschreibt die Datenschutzerklärung. Wie das Plugin in WordPress eingebunden wird, erklärt der Beitrag Social-Media-Feed in WordPress einbinden.

Plattform für Plattform#

Jede Plattform hat ihren eigenen offiziellen Einbettungsweg. Hier die Unterschiede im Überblick, jeweils mit den passenden Seiten zum Weiterlesen.

Instagram#

Instagram bietet einen Einbettungscode für einzelne Posts an. Er lädt ein Skript von Instagram, das den Post in einem Rahmen der Plattform anzeigt. Dabei gehen die Daten deiner Besucher an Meta, schon beim Seitenaufruf. Einen Feed, der sich selbst aktualisiert, liefert der Code nicht.

Für einen automatischen Feed braucht dein Konto außerdem einen professionellen Kontotyp. Wie du dein Konto umstellst, steht in Instagram-Konto umwandeln: Business oder Creator einstellen. Alle Einbindungswege im Vergleich findest du in Instagram auf der Website einbinden: 5 Methoden im Vergleich, die Lösung mit Feedivo unter Instagram-Feed einbinden.

Facebook#

Facebook bietet für Seiten das „Page Plugin“ an. Es lädt das JavaScript-SDK von Facebook und zeigt die Seite in einem iframe. Wer bei Facebook angemeldet ist, wird dabei wiedererkannt. Genau diese Art von Einbindung lag dem Fashion-ID-Urteil zugrunde.

Ein Facebook-Feed über Feedivo zeigt die Posts deiner Facebook-Seite ohne Facebook-Skript. Persönliche Profile und Gruppen gibt Meta über die Schnittstelle nicht heraus. Mehr dazu unter Facebook-Feed auf der Website, in der Anleitung Facebook-Feed erstellen und auf der Website einbinden und im Beitrag Facebook-Posts auf der eigenen Website zeigen.

Threads#

Auch Threads bietet einen Einbettungscode für einzelne Posts an, ebenfalls mit einem Skript der Plattform. Für die Datenübertragung gilt dasselbe wie bei Instagram, Threads gehört ebenfalls zu Meta.

Für einen Feed brauchst du ein öffentliches Threads-Profil. Verbunden wird über die Threads-Anmeldung. Details stehen unter Threads-Feed auf der Website, die Schritte in der Anleitung Threads-Feed auf der Website einbinden.

Pinterest#

Pinterest stellt Widgets für einzelne Pins, Pinnwände und Profile bereit. Sie laden ein Skript von Pinterest, das die Inhalte beim Seitenaufruf nachlädt. Auch hier geht die Anfrage direkt an die Plattform.

Ein Pinterest-Feed über Feedivo zeigt deine Pins ohne Pinterest-Skript, auf Wunsch nur aus ausgewählten Pinnwänden. Mehr dazu unter Pinterest-Feed auf der Website und in der Anleitung Pinterest-Feed auf der Website einbinden. Warum sich Pinterest für Unternehmen lohnt, erklärt der Beitrag Pinterest für Unternehmen: der Evergreen-Kanal.

YouTube#

Der normale Einbettungscode lädt den YouTube-Player sofort beim Seitenaufruf. Auch der erweiterte Datenschutzmodus mit youtube-nocookie.com ändert daran nichts: Der Player kommt trotzdem von Google-Servern. Erst eine Zwei-Klick-Lösung verhindert die Übertragung vor dem Klick.

Für einen ganzen Kanal zeigt ein Feed lokal gespeicherte Vorschaubilder und lädt den Player erst nach dem Klick. Die Anleitung für einzelne Videos steht in YouTube DSGVO-konform einbinden, die Lösung für deinen Kanal unter YouTube-Feed auf der Website.

Plattformen im Vergleich#

Und die Ladezeit?#

Datenschutz und Ladezeit hängen eng zusammen. Jedes offizielle Embed lädt eigene Skripte, Schriften und Bilder nach, und mehrere Embeds auf einer Seite addieren sich. Ein Feed aus einer gespeicherten Kopie kommt dagegen als fertiges HTML mit optimierten Bildern. Warum das für Besucher und Suchmaschinen zählt, erklärt der Beitrag Schnelle Website trotz Social-Media-Feed.

Checkliste: Ist dein Feed datenschutzfreundlich?#

1. Netzwerk-Tab prüfen: Öffne deine Seite, dann die Entwicklerwerkzeuge des Browsers (meist F12) und den Reiter „Netzwerk“. Lade die Seite neu und filtere nach Plattform-Namen wie instagram, facebook, fbcdn, threads, pinimg, pinterest, youtube oder ytimg.
2. Cookies prüfen: Sieh im Reiter „Anwendung“ (bzw. „Speicher“) nach, ob Cookies oder andere Einträge fremder Domains auftauchen.
3. Einwilligung abbilden: Lädt der Feed etwas von der Plattform, muss er hinter dem Cookie-Banner stehen, und das Banner muss den Dienst nennen.
4. Dienstleister erfassen: Lädt der Browser von einem Feed-Dienst, gehört dieser in die Datenschutzerklärung, und du brauchst einen AVV.
5. Datenschutzerklärung anpassen: Beschreibe jede Einbindung, die Daten überträgt, mit Anbieter und Zweck.
6. Videos absichern: YouTube-Player erst nach einem Klick laden.
7. Regelmäßig wiederholen: Themes, Plugins und Seitenbaukästen ändern sich. Ein Blick in den Netzwerk-Tab nach jedem größeren Update lohnt sich.

Häufige Fragen#

Brauche ich für einen Social-Media-Feed ein Cookie-Banner?#

Bei offiziellen Embeds in der Regel ja, weil sie Daten an die Plattform übertragen und oft Cookies nutzen. Für einen Feed, der keine Cookies setzt und nichts von der Plattform lädt, entfällt dieser Grund. Ob dein Banner wegen anderer Dienste nötig ist, bleibt davon unberührt.

Ist die IP-Adresse wirklich ein personenbezogenes Datum?#

Nach der Rechtsprechung des Europäischen Gerichtshofs kann sie es sein, und in der Praxis wird sie so behandelt. Deshalb zählt schon das bloße Nachladen von einem fremden Server.

Reicht das EU-US Data Privacy Framework nicht aus?#

Es regelt die Übermittlung in die USA. Es ersetzt aber weder eine Rechtsgrundlage für die Datenerhebung auf deiner Website noch die Einwilligung für Cookies nach dem TDDDG.

Bin ich für ein eingebettetes Plugin verantwortlich?#

Nach dem Fashion-ID-Urteil des EuGH bist du für das Erheben und Übermitteln der Daten mitverantwortlich, wenn deine Website ein Plugin einbindet, das Daten an die Plattform schickt.

Brauche ich mit einem Feed-Dienst einen AVV?#

Wenn der Browser deiner Besucher Inhalte von den Servern des Dienstes lädt, in der Regel ja, denn der Dienst verarbeitet dabei die IP-Adresse in deinem Auftrag. Bei Feedivo finden Geschäftskunden den AVV in ihrem Konto. Mit dem WordPress-Plugin liefert deine eigene Website alles aus.

Kann ich auch Posts fremder Konten zeigen?#

Mit Feedivo nicht: Du verbindest deine eigenen Konten und zeigst deren Posts, auf Wunsch gefiltert nach Hashtags. Fremde Bilder auf der eigenen Website zu zeigen, wäre ohnehin zuerst eine Frage des Urheberrechts.

Fazit#

Social-Media-Feeds und Datenschutz schließen sich nicht aus. Entscheidend ist die Technik: Lädt der Browser deiner Besucher beim Seitenaufruf bei der Plattform, brauchst du eine Einwilligung. Kommen die Inhalte von deinem eigenen Server oder einem Dienstleister mit AVV, entfällt die Übertragung an Meta, Google und Pinterest.

Feedivo übernimmt die Technik für alle fünf Plattformen, vom Abruf bis zur Auslieferung. Du kannst es kostenlos ausprobieren und mit einem Feed für Instagram, Facebook, Threads, Pinterest oder YouTube starten.