— Blog
Drittanbieter-Risiken: Haftung für Google Analytics, Facebook Pixel & Co.
Website-Betreiber haften für die Datenschutzverstöße ihrer Drittanbieter. Aktuelle Urteile zeigen: Unwissenheit schützt nicht vor Abmahnung.
Die Rechtslage: Wer haftet wofür?
Nach der DSGVO ist der Website-Betreiber der Verantwortliche (Art. 4 Nr. 7 DSGVO) – und damit haftbar für alle Datenverarbeitungen, die auf seiner Website stattfinden. Das gilt auch dann, wenn die Datenverarbeitung durch einen eingebundenen Drittanbieter erfolgt.
Der Europäische Gerichtshof (EuGH) hat in mehreren Entscheidungen klargestellt: Die Verantwortung des Website-Betreibers kann nicht durch AGB oder Verträge mit Drittanbietern abgewälzt werden. Auch der Hinweis, dass ein Dienst „unter eigener Verantwortung" des Anbieters handelt, entbindet den Betreiber nicht von seiner Haftung.
Die größten Risikofaktoren 2026
Basierend auf aktuellen Urteilen und Abmahnwellen sind dies die riskantesten Drittanbieter-Integrationen:
1. Google Analytics
Seit dem Schrems-II-Urteil des EuGH ist die Datenübermittlung in die USA ohne zusätzliche Garantien unzulässig. Google Analytics überträgt standardmäßig IP-Adressen und andere Daten in die USA. Das Data Privacy Framework (DPF) bietet zwar eine neue Rechtsgrundlage, ist aber rechtlich umstritten und wird voraussichtlich erneut vor dem EuGH landen.
- Risiko: Hoch – zahlreiche Abmahnungen und Urteile
- Empfehlung: Auf datenschutzfreundliche Alternativen wie Plausible, Matomo (selbst gehostet) oder Fathom Analytics umsteigen
- AVV: Google hat einen AVV nach DSGVO, aber das Drittland-Problem bleibt
2. Facebook Pixel / Meta Pixel
Der Facebook Pixel ist besonders problematisch, da er umfangreiche Nutzerprofile erstellt und Daten in die USA überträgt. Das LG Wiesbaden und mehrere andere Gerichte haben die Nutzung des Facebook Pixels ohne Einwilligung als rechtswidrig eingestuft.
- Risiko: Hoch – aktive Abmahnwellen in Deutschland
- Empfehlung: Nur mit expliziter Einwilligung (Opt-in) und nachgewiesener Drittlandsicherheit
- Urteil: LG Wiesbaden, Urteil v. 11.03.2024 – Az. 9 O 127/23
3. Google Fonts
Das LG München hat 2022 entschieden, dass die Einbindung von Google Fonts von Googles Servern ohne Einwilligung rechtswidrig ist (Az. 3 O 17493/20). Seitdem gab es zahlreiche Abmahnungen. Die dynamische Einbindung überträgt die IP-Adresse des Besuchers an Google.
- Risiko: Mittel – viele Abmahnungen, aber einfach zu beheben
- Empfehlung: Google Fonts lokal hosten (selbst herunterladen und auf eigenem Server bereitstellen)
4. Google Maps
Die Einbindung von Google Maps birgt ähnliche Risiken wie Google Fonts. Die IP-Adresse wird an Google übertragen, und bei interaktiven Karten kommen weitere Daten hinzu.
- Risiko: Mittel – zweimal klicken (Click-to-Load) reduziert das Risiko
- Empfehlung: Click-to-Load-Lösung (Karte erst bei Klick laden) oder OpenStreetMap-Alternative
5. YouTube-Videos
Eingebettete YouTube-Videos laden standardmäßig Tracking-Cookies und übermitteln Daten an Google. Der erweiterte Datenschutzmodus (youtube-nocookie.com) reduziert, aber eliminiert nicht alle Risiken.
- Risiko: Mittel – erweiterter Datenschutzmodus hilft, aber nicht vollständig
- Empfehlung: Click-to-Load + erweiterten Datenschutzmodus verwenden
Schutzmaßnahmen für Website-Betreiber
So minimieren Sie Ihr Haftungsrisiko bei Drittanbietern:
Auftragsverarbeitungsverträge (AVV)
Mit jedem Drittanbieter, der personenbezogene Daten verarbeitet, muss ein AVV nach Art. 28 DSGVO abgeschlossen werden. Prüfen Sie, ob Ihre Dienstanbieter einen AVV anbieten – seriöse Anbieter haben dies in ihren Einstellungen oder AGB.
Einwilligungsmanagement
Für nicht-essenzielle Drittanbieter (Analytics, Tracking, Marketing) benötigen Sie eine aktive Einwilligung der Nutzer. Ein Cookie-Banner mit granularer Auswahl ist Pflicht. Unser Cookie-Banner Generator hilft Ihnen bei der Umsetzung.
Datenvermeidung und Alternativen
Der beste Schutz: Verwenden Sie datenschutzfreundliche Alternativen zu US-Diensten:
- Statt Google Analytics: Plausible, Matomo (on-premise) oder Fathom
- Statt Google Fonts: Lokales Hosting oder systemfonts
- Statt Google Maps: OpenStreetMap mit Leaflet.js
- Statt YouTube: Vimeo (DSGVO-konformer) oder Selbsthosting
- Statt Facebook Pixel: Server-Side Tracking mit Einwilligung
Datenschutzerklärung aktualisieren
Jeder eingesetzte Drittanbieter muss in der Datenschutzerklärung genannt werden – mit Angabe des Zwecks, der verarbeiteten Daten und der Rechtsgrundlage. Nutzen Sie unseren Datenschutz-Generator, um eine vollständige Liste zu erstellen.
Fazit
Die Haftung für Drittanbieter ist eines der größten Abmahnrisiken für Website-Betreiber in Deutschland. 2026 hat die Rechtsprechung die Anforderungen weiter verschärft. Wer Drittanbieter einsetzt, muss jeden Dienst prüfen, vertraglich absichern und in der Datenschutzerklärung transparent machen. Der sicherste Weg: Weniger Drittanbieter, mehr Datenschutz.
Passende Tools: