Spotify einbinden & Datenschutz: die Zwei-Klick-Lösung

Sie möchten einen Spotify-Player, ein YouTube-Video oder ein Vimeo-Video auf Ihrer Website einbinden — und fragen sich, ob das mit dem Datenschutz vereinbar ist. Die kurze Antwort: Ein direkt eingebetteter Player gilt datenschutzrechtlich als heikel, eine Zwei-Klick-Lösung ist der praxisbewährte Ausweg.

Das Problem entsteht, bevor Ihr Besucher überhaupt auf „Play" drückt. Ein gewöhnliches Embed ist ein iframe, der beim Seitenaufruf sofort Inhalte vom Server des Anbieters nachlädt. In diesem Moment fließen bereits Daten des Besuchers — mindestens die IP-Adresse, oft auch Cookies und Gerätedaten — an den Drittanbieter, häufig in die USA. Und zwar ohne dass der Besucher irgendetwas angeklickt oder eingewilligt hat. Solche Direkt-Embeds gelten datenschutzrechtlich als heikel und können Abmahnungen nach sich ziehen — die gängige Empfehlung lautet deshalb, vor dem Laden eine Einwilligung einzuholen.

Die Zwei-Klick-Lösung dreht die Reihenfolge um: Erst sieht der Besucher nur einen lokalen Platzhalter mit Hinweis. Der eigentliche Inhalt lädt erst, wenn er aktiv klickt — und mit diesem Klick willigt er informiert ein. Wie das im Detail funktioniert und wie Sie es umsetzen, lesen Sie in diesem Beitrag.

Hinweis: Dieser Artikel ist keine Rechtsberatung. Er beschreibt eine technische Lösung aus der Praxis — die rechtliche Bewertung Ihres konkreten Falls gehört zu einem Anwalt oder Datenschutzbeauftragten.

Warum ein normales Embed ein Datenschutz-Problem ist

Der Ablauf bei einem direkt eingebetteten Player, Schritt für Schritt:

Ein Besucher ruft Ihre Seite auf.
Der Browser findet das iframe und fordert den Inhalt beim Drittanbieter an — automatisch, ohne Interaktion.
Der Drittanbieter erhält dabei die IP-Adresse des Besuchers, Browserdaten und kann je nach Dienst Cookies setzen oder auslesen.
All das passiert, bevor der Besucher entscheiden konnte, ob er das möchte.

Datenschutzrechtlich ist das der Knackpunkt: Diese automatische Datenübermittlung an Dritte wird kritisch gesehen, und die verbreitete Empfehlung lautet, die Einwilligung des Besuchers vor der Übertragung einzuholen — nicht danach. Ein Hinweis in der Datenschutzerklärung allein gilt dafür als schwaches Fundament, denn die liest der Besucher erst, nachdem die Daten längst geflossen sind.

Das betrifft alle gängigen Embeds gleichermaßen: Musik-Player von Spotify, Videos von YouTube oder Vimeo, Karten, Social-Media-Posts. Übrigens ist dasselbe Grundproblem auch von extern geladenen Schriftarten bekannt — dazu mehr im Beitrag Google Fonts und DSGVO.

Das Prinzip der Zwei-Klick-Lösung

Die Zwei-Klick-Lösung (auch Zwei-Klick-Embed oder Click-to-Load genannt) trennt Darstellung und Datenfluss:

Zustand 1 — Platzhalter: Beim Seitenaufruf zeigt Ihre Website nur einen lokal gehosteten Platzhalter: ein Vorschaubild oder eine gestaltete Fläche, der Name des Dienstes und ein kurzer Hinweistext. Es wird keinerlei Verbindung zum Drittanbieter aufgebaut.
Der Hinweis: Der Text sagt klar, was passiert: Mit dem Laden werden Daten (etwa die IP-Adresse) an den Anbieter übertragen — mit Link auf die eigene Datenschutzerklärung.
Zustand 2 — Inhalt: Erst wenn der Besucher klickt, ersetzt die Seite den Platzhalter durch das echte iframe. Jetzt lädt der Player oder das Video — auf Basis einer aktiven, informierten Entscheidung.

Der „zweite Klick" ist dann das eigentliche Abspielen im Player. Daher der Name.

Der Nebeneffekt ist angenehm: Ihre Seite lädt schneller, weil beim Aufruf keine schweren Drittanbieter-Skripte mitkommen. Ein Zwei-Klick-Embed ist also nicht nur eine Datenschutz-, sondern auch eine Performance-Maßnahme.

So setzen Sie die Zwei-Klick-Lösung um

Sie brauchen dafür kein fertiges Plugin und keinen externen Dienst — das Prinzip lässt sich mit wenigen Zeilen eigenem Code umsetzen. Konzeptionell sind es fünf Schritte:

1. Vorschaubild lokal ablegen

Der Platzhalter darf das Vorschaubild nicht vom Drittanbieter laden — sonst fließen schon wieder Daten. Legen Sie ein eigenes Bild lokal auf Ihrem Server ab: ein Album-Cover, ein Standbild aus dem Video oder eine gestaltete Fläche im Design Ihrer Website.

2. Platzhalter statt iframe ins HTML

Wo sonst das iframe stünde, steht zunächst nur ein neutraler Container. Die Adresse des eigentlichen Inhalts wird als Daten-Attribut hinterlegt, aber noch nicht geladen. Dazu kommen der sichtbare Hinweistext („Zum Laden klicken — dabei werden Daten an den Anbieter übertragen") und der Link auf die Datenschutzerklärung.

3. Klick ersetzt den Platzhalter

Ein kleines Skript wartet auf den Klick. Erst dann baut es das iframe mit der hinterlegten Adresse zusammen und tauscht den Platzhalter dagegen aus. Ab diesem Moment — und keinen Moment früher — kommuniziert der Browser mit dem Drittanbieter.

4. Einwilligung optional merken

Komfort-Detail: Sie können die Entscheidung des Besuchers lokal im Browser speichern, damit Embeds desselben Anbieters beim nächsten Besuch direkt laden. Wichtig dabei: Das Merken ist optional, sollte pro Anbieter gelten und widerrufbar sein — im Zweifel ist die sparsamste Variante (jedes Mal neu klicken) die unkritischste.

5. Datenschutzerklärung ergänzen

Der eingebundene Dienst gehört in Ihre Datenschutzerklärung: welcher Anbieter, welche Daten, auf welcher Rechtsgrundlage (hier: die Einwilligung durch den Klick). Der Hinweistext im Platzhalter verlinkt genau dorthin.

Wichtig: Auch mit Zwei-Klick-Lösung bleibt die Datenschutzerklärung Pflicht — die Lösung ersetzt die Information nicht, sie sorgt nur dafür, dass die Einwilligung vor dem Datenfluss steht.

Praxisbeispiel: Spotify und Vimeo auf charas-lounge.com

Wie das im Einsatz aussieht, zeigt die Website des Münchner Musikprojekts Charas Lounge, die wir datenschutztechnisch modernisiert haben. Auf der Musik-Seite liegt der Spotify-Künstler-Player hinter einem Platzhalter: sichtbar sind zunächst nur der Titel, ein Hinweis, dass beim Laden Daten (etwa die IP-Adresse) an den Anbieter übertragen werden, und der Link zur Datenschutzerklärung. Erst der Klick lädt den Player. Die Vimeo-Videos auf der Sound-Design-Seite funktionieren nach demselben Muster.

Für den Besucher ist das ein einziger zusätzlicher Klick — für den Betreiber der Unterschied zwischen einem Embed, das ungefragt Daten überträgt, und einem, das auf einer informierten Entscheidung beruht. Weitere Projekte, in denen wir solche Lösungen umgesetzt haben, finden Sie im Showroom.

Alternativen und Grenzfälle

Die Zwei-Klick-Lösung ist nicht der einzige Weg, aber oft der eleganteste. Zur Einordnung:

Consent-Banner mit Embed-Blockierung: Eine zentrale Einwilligungsverwaltung kann Embeds ebenfalls erst nach Zustimmung laden. Sinnvoll bei vielen Drittdiensten; für eine Handvoll Player ist die Zwei-Klick-Lösung schlanker und transparenter, weil die Entscheidung direkt am Inhalt getroffen wird.
Nur verlinken statt einbetten: Ein einfacher Link zum Video oder Album überträgt beim Seitenaufruf gar nichts und ist datenschutzrechtlich die unkritischste Variante — kostet aber Nutzererlebnis, weil Besucher Ihre Seite verlassen.
Selbst hosten: Eigene Videodateien auf dem eigenen Server umgehen Drittanbieter komplett. Das funktioniert für kurze eigene Clips, ersetzt aber weder die Reichweite noch die Player-Funktionen der Plattformen — und bei fremden Inhalten fehlt dafür schlicht das Recht.

Häufige Fragen

Reicht es nicht, die Embeds einfach in der Datenschutzerklärung zu erwähnen?

Darauf sollten Sie sich nicht verlassen. Die Datenschutzerklärung informiert — nach verbreiteter Einschätzung ersetzt sie aber keine Einwilligung. Bei einem direkt eingebetteten Player fließen die Daten bereits beim Seitenaufruf, also bevor der Besucher die Erklärung überhaupt lesen konnte. Die Einwilligung sollte vor der Datenübertragung stehen, und genau das leistet der Klick auf den Platzhalter.

Gilt das auch für den „No-Cookie"- oder erweiterten Datenschutzmodus mancher Video-Anbieter?

Solche Modi reduzieren vor allem das Setzen von Cookies vor dem Abspielen — die Verbindung zum Drittserver samt IP-Übertragung findet beim Laden des iframes trotzdem statt. Sie sind also ein sinnvoller Zusatz (etwa als Adresse im Zwei-Klick-iframe), gelten nach verbreiteter Einschätzung aber nicht als Ersatz für die vorherige Einwilligung.

Verlieren wir durch den Platzhalter nicht Besucher, die das Video sonst angesehen hätten?

In der Praxis ist die Hürde klein: Wer den Inhalt sehen oder hören will, klickt einmal. Mit einem ansprechenden lokalen Vorschaubild sieht der Platzhalter kaum anders aus als der echte Player. Dem gegenüber steht ein messbarer Gewinn: Die Seite lädt ohne Drittanbieter-Skripte spürbar schneller — wovon alle Besucher profitieren, auch die, die das Video nie abspielen.

Brauchen wir zusätzlich noch ein Cookie-Banner?

Wegen der Zwei-Klick-Embeds in der Regel nicht — deren Einwilligung wird ja direkt am Inhalt eingeholt. Ob Ihre Website darüber hinaus ein Einwilligungsbanner braucht, hängt von den übrigen eingesetzten Diensten ab, etwa Tracking oder Marketing-Tools. Eine Website ohne solche Dienste und mit Zwei-Klick-Embeds kommt oft komplett ohne Banner aus.

Funktioniert die Zwei-Klick-Lösung mit jedem Embed?

Mit allen iframe-basierten Embeds: Musik-Player, Videos, Karten, Terminbuchungen. Das Prinzip ist immer gleich — lokaler Platzhalter, Hinweis, Klick lädt den Inhalt. Nur bei Diensten, die zwingend eigene Skripte auf der ganzen Seite benötigen, stößt das Muster an Grenzen; dort ist eine zentrale Einwilligungsverwaltung die passendere Lösung.