Google Maps DSGVO-konform einbinden: vier Wege im Vergleich

Die Karte auf der Kontaktseite ist eine der harmlosesten Ideen überhaupt. Die Leute sollen sehen, wo du bist. Technisch ist sie leider alles andere als harmlos: Eine normal eingebundene Google-Maps-Karte verbindet sich mit Google, bevor der Besucher irgendetwas anklickt. Mit IP-Adresse, Browserdaten, der konkret aufgerufenen Seite und Kennungen aus Cookies. Und zwar in die USA.

Das Ärgerliche daran ist, dass es dafür vier brauchbare Lösungen gibt und die meisten Websites keine davon benutzen, sondern das Snippet aus der Google-Hilfe.

Der Beitrag erklärt die Anforderungen verständlich, ersetzt aber keine Rechtsberatung. Zu einer einwilligungsgesteuerten Google-Karte gibt es bislang kein Urteil, das die Frage entschieden hätte. Was hier steht, folgt der Linie der Aufsichtsbehörden und der gängigen Praxis.

Was beim Laden wirklich passiert

Sobald der Browser das <iframe> mit einer Maps-URL sieht, baut er die Verbindung auf. Noch bevor die Karte im Sichtbereich ist, noch bevor jemand scrollt. Google bekommt dabei die IP-Adresse, Datum und Uhrzeit, die Referrer-URL (also die konkrete Unterseite), Angaben zu Browser, Betriebssystem, Sprache und Bildschirmauflösung sowie Kennungen aus Cookies und dem lokalen Speicher. Bei Maps sind das typischerweise NID, AEC, SOCS und __Secure-ENID. Ist der Besucher nebenbei in seinem Google-Konto angemeldet, lässt sich das alles diesem Konto zuordnen.

Die Referrer-URL wird dabei regelmäßig übersehen. Bei einer Praxis, einer Kanzlei oder einer Beratungsstelle ist nicht die IP das Heikle, sondern der Pfad. /leistungen/hiv-test/ verrät mehr über den Besucher als jede IP-Adresse.

Warum das drei Anforderungen sind und nicht eine

Die meisten Anleitungen behandeln das als eine Frage. Es sind drei, und sie stapeln sich:

Der Zugriff auf das Endgerät fällt unter § 25 Abs. 1 TDDDG. Das TDDDG heißt seit Mai 2024 so, vorher TTDSG. Die Vorschrift ist technikneutral formuliert und spricht von „Informationen", nicht von Cookies.

Die Verarbeitung selbst braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Dazu gleich mehr, denn an dieser Stelle liegen die meisten Datenschutzerklärungen falsch.

Die Übermittlung in die USA an die Google LLC braucht ein eigenes Transferinstrument nach Kapitel V.

Die Einwilligung ist das Einzige, was alle drei gleichzeitig abdeckt. Das ist der ganze Grund, warum die Zwei-Klick-Lösung überhaupt existiert.

Berechtigtes Interesse trägt hier nicht

Sehr viele generierte Datenschutzerklärungen nennen für Google Maps Art. 6 Abs. 1 lit. f, berechtigtes Interesse an einer nutzerfreundlichen Standortdarstellung. Klingt vernünftig, hält aber nicht.

Wenn § 25 TDDDG für den Zugriff aufs Endgerät eine Einwilligung verlangt, kannst du die unmittelbar daran anschließende Verarbeitung nicht auf eine andere Grundlage stützen. Sonst wäre die Einwilligungspflicht wertlos, weil man sie durch einen Wechsel der Rechtsgrundlage umgehen könnte. Der Europäische Datenschutzausschuss hat das in Stellungnahme 5/2019 so festgehalten.

Dazu kommt die Erforderlichkeitsprüfung, und die ist schnell erledigt: Für den Betrieb einer Kontaktseite ist eine interaktive Karte nicht erforderlich. Die Anschrift als Text tut dasselbe ohne jede Übermittlung.

Steht bei dir unter „Google Maps" ein lit. f, ist das ein Fehler, den man von außen sieht, ohne die Seite technisch zu prüfen. Für eine Abmahnung reicht ein Blick in die Datenschutzerklärung.

Vier Wege, das zu lösen

Weg 1: Adresse als Text plus Link

Keine Karte. Die Anschrift steht als Text auf der Seite, darunter ein Link „In Google Maps öffnen". Ein Link überträgt nichts, solange niemand draufklickt. Keine Einwilligung, kein Banner-Eintrag, kein Absatz in der Datenschutzerklärung, kein Drittlandthema.

Der Nachteil ist offensichtlich: Es sieht nach nichts aus. Für ein Restaurant, das in einer Seitenstraße liegt, ist das zu wenig. Für einen Handwerksbetrieb, der zu den Kunden fährt, reicht es völlig.

Weg 2: Statisches Kartenbild

Die Karte wird einmal beim Erstellen der Seite gerendert und dann wie jedes andere Bild ausgeliefert. Der Besucher sieht eine Karte mit einem Marker, klickt darauf und landet bei Google Maps oder in seiner Karten-App. Zur Laufzeit geht keine Anfrage an einen Drittanbieter, weil das Bild von deinem eigenen Server kommt.

Für den mit Abstand häufigsten Fall, nämlich „zeig, wo wir sind", ist das die beste Lösung. Sie ist rechtlich unauffällig, lädt schnell und funktioniert auch, wenn jemand alle Cookies blockiert. Was fehlt, ist Zoomen und Verschieben in der Seite. Wer eine Route will, tippt ohnehin auf den Link und wechselt in die App, in der er auch navigieren kann.

Beim Rendern brauchst du einen Kachel-Anbieter, dessen Lizenz das erlaubt. MapTiler, Mapbox und Geoapify bieten Static-Map-APIs, bei denen der Aufruf einmal beim Build passiert und nicht beim Besucher.

Weg 3: Interaktive Karte aus der EU

Wenn Zoomen und Verschieben wirklich gebraucht werden, kommen die Kacheln nicht von Google, sondern von einem europäischen Anbieter. Technisch meist Leaflet oder MapLibre plus Kacheln von MapTiler, Stadia Maps oder einem eigenen Kachelserver mit OpenStreetMap-Daten.

Damit fällt die Drittlandfrage weg, und je nach Anbieter und Konfiguration auch die Einwilligungspflicht, wenn keine Kennungen auf dem Endgerät gespeichert oder ausgelesen werden. Das ist die Lösung mit dem meisten Umsetzungsaufwand, aber es ist der einzige Weg, der volle Interaktivität ohne Consent-Banner liefert.

Ein Hinweis dazu, weil es oft schiefgeht: Die öffentlichen Kachelserver der OpenStreetMap Foundation sind nicht für kommerzielle Einbindung gedacht. Deren Nutzungsbedingungen sind eindeutig. Nimm einen kommerziellen Anbieter oder hoste selbst.

Weg 4: Google Maps mit Einwilligung

Die klassische Zwei-Klick-Lösung. Beim Seitenaufruf geht keine Anfrage an Google, an der Stelle der Karte steht ein lokaler Platzhalter mit einem Hinweis, welche Daten an wen gehen, und die echte Karte lädt erst nach einer aktiven Handlung.

Das ist der Weg, den die meisten wählen, weil Google Maps vertraut ist und die Routenplanung besser als bei allen Alternativen. Es ist auch der Weg mit den meisten Fallstricken, deshalb steht unten ein eigener Abschnitt dazu.

Der häufigste Einwand dagegen lautet: „Dann muss mein Besucher auf jeder Seite neu klicken." Muss er nicht. Ein Consent-Manager speichert die Entscheidung, und beim nächsten Seitenaufruf liest die Karte diesen gespeicherten Zustand aus und lädt von selbst. Geklickt wird einmal, nicht einmal pro Seite.

Wichtig ist dabei die Richtung: Die Karte fragt den Consent-Manager, nicht umgekehrt. Sie startet blockiert und lädt erst, wenn eine gespeicherte Einwilligung bestätigt vorliegt. Umgekehrt gebaut, also erst laden und bei fehlender Einwilligung wieder abschalten, ist es genau der Fehler, um den es hier geht.

Ein kleiner Preis bleibt: Weil die Einwilligung erst gelesen werden kann, wenn das Consent-Skript geladen ist, sieht auch der wiederkehrende Besucher für einen kurzen Moment den Platzhalter. Das ist der bewusste Tausch. Eine Umsetzung, die diesen Moment vermeidet, indem sie die Karte schon im HTML mit Adresse ausliefert und später wieder entfernt, hat bereits Daten übertragen.

Der Vergleich

	Einwilligung nötig	US-Übermittlung	Interaktiv	Aufwand
Adresse plus Link	nein	nein	nein	minimal
Statisches Kartenbild	nein	nein	nein	gering
EU-Karte (Leaflet/MapLibre)	meist nein	nein	ja	mittel bis hoch
Google mit Einwilligung	ja	ja	ja	mittel

Meine ehrliche Einschätzung: Weg 2 löst das Problem für die meisten Websites vollständig und niemand vermisst etwas. Weg 4 ist trotzdem der verbreitetste, weil Google Maps eben Google Maps ist. Das ist eine legitime Entscheidung, sie sollte nur bewusst fallen und nicht dadurch, dass man das Standard-Snippet kopiert hat.

Wenn es Google sein soll: die Details entscheiden

Das Prinzip der Zwei-Klick-Lösung ist schnell erzählt. Keine Anfrage beim Seitenaufruf, lokaler Platzhalter mit Hinweis, Laden erst nach aktiver Handlung, Ablehnen genauso einfach wie Zustimmen. Die Umsetzung geht trotzdem regelmäßig schief, und meist an denselben Stellen.

Ein leeres src ist kein fehlendes src.

<!-- Falsch: löst je nach Browser einen Request auf die aktuelle Seite aus -->
<iframe src=""></iframe>

<!-- Richtig -->
<iframe></iframe>

Beim Widerruf reicht es außerdem nicht, ein Overlay darüberzulegen oder display: none zu setzen. Das Google-Dokument läuft dann weiter, mit Timern, Nachladungen und postMessage. Der Frame muss aktiv auf about:blank navigiert werden. Auf einem Screenshot sieht beides identisch aus, im Netzwerk-Tab nicht.

Dann der Referrer: Ohne Gegenmaßnahme schickt der Browser die vollständige URL der aufrufenden Seite mit. Bei der üblichen Einbettung ohne API-Schlüssel wird er gar nicht gebraucht.

<iframe referrerpolicy="no-referrer" ...></iframe>

Ein preconnect macht alles zunichte. Das ist der unauffälligste Fehler überhaupt. Eine Zeile im <head>, oft von einem Performance-Plugin eingefügt, und die Verbindung steht schon beim Seitenaufbau:

<link rel="preconnect" href="https://maps.googleapis.com">

Für dns-prefetch, preload und prefetch gilt dasselbe. Wer die Zwei-Klick-Lösung eingebaut hat und im Netzwerk-Tab trotzdem Google sieht, sollte hier zuerst schauen.

Auf das Consent-Tool allein solltest du dich ohnehin nicht verlassen. Solche Tools blockieren iframes meist über einen MutationObserver. Der greift bei nachträglich eingefügten Elementen zuverlässig, aber ein iframe, das schon beim Parsen im HTML steht, wird nicht immer erfasst. Besonders dann nicht, wenn das Consent-Skript erst nach dem Seitenaufbau lädt. Verlässlich ist nur, was im ausgelieferten HTML steht.

Und noch etwas, das gern vergessen wird: Blockiert ein Adblocker das Consent-Skript oder ist der Anbieter kurz nicht erreichbar, passiert beim Klick auf „Karte laden" schlicht nichts. Der Besucher kann die Karte weder sehen noch einwilligen. Ein toter Button ist schlimmer als gar keiner, deshalb gehört für diesen Fall ein einfacher Link zu Google Maps rein.

Die Adresse als Text gehört immer dazu

Egal welchen Weg du nimmst: Die vollständige Anschrift sollte als Text auf der Seite stehen. Dafür gibt es drei voneinander unabhängige Gründe.

Datensparsamkeit nach Art. 5 Abs. 1 lit. c: Der Zweck lässt sich ohne jede Übermittlung erreichen. Wenn der einzige Weg zur Adresse über die Einwilligung in eine US-Übermittlung führt, gerät die Freiwilligkeit der Einwilligung ins Wanken.

Barrierefreiheit: Eine Slippy Map ist mit Screenreader praktisch nicht bedienbar. Die Textadresse ist die sinnvolle Alternative, alt="Karte" ist es nicht.

Und drittens brauchst du sie ohnehin, weil die ladungsfähige Anschrift nach § 5 DDG ins Impressum gehört.

Der Einwilligungsdialog ist übrigens auch Bedienoberfläche. Wenn ein blinder Nutzer den „Ablehnen"-Button nicht bedienen kann, ist die Einwilligung weder freiwillig noch unmissverständlich im Sinne von Art. 4 Nr. 11 DSGVO. Die Kleinstunternehmen-Ausnahme aus dem Barrierefreiheitsstärkungsgesetz hilft hier nicht, die DSGVO kennt sie schlicht nicht.

Was in die Datenschutzerklärung gehört

Ein sauberer technischer Gate nützt wenig, wenn die Datenschutzerklärung schweigt oder etwas anderes behauptet. Nenne beide Google-Gesellschaften, also Google Ireland Limited in Dublin und die Google LLC in den USA als Empfänger der Übermittlung. Nur die irische Gesellschaft zu nennen und gleichzeitig eine US-Übermittlung einzuräumen, passt nicht zusammen.

Als Rechtsgrundlage gehört Art. 6 Abs. 1 lit. a in Verbindung mit § 25 Abs. 1 TDDDG hinein, ohne Doppelnennung mit lit. f. Beschreibe, welche Daten verarbeitet werden, und benenne beim Drittlandtransfer konkret, worauf er sich stützt. „Angemessenheitsbeschluss bzw. Standardvertragsklauseln" ist keine Angabe, sondern eine Auswahlliste. Art. 13 Abs. 1 lit. f verlangt das tatsächlich einschlägige Instrument, und das ist bei Google Maps der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 zum EU-U.S. Data Privacy Framework. Zum Widerruf gehört der konkrete Weg, also der Link zu den Cookie-Einstellungen im Footer.

Ein Fehler, der sich durch viele Mustertexte zieht: die Behauptung, man habe mit Google Standardvertragsklauseln vereinbart. Bei der üblichen Einbettung ohne API-Schlüssel besteht mit Google überhaupt kein Vertragsverhältnis. Kein AVV, keine Standardvertragsklauseln, nichts. Wer sie trotzdem nennt, macht eine falsche Angabe nach Art. 13 und verspricht eine Kopie, die es nicht gibt.

Genau deshalb ist die Einwilligung hier tragend und nicht bloß zusätzliche Absicherung: Fällt der Angemessenheitsbeschluss, gibt es kein zweites Standbein. Theoretisch ist diese Sorge nicht. Die Klage Latombe gegen den Beschluss wurde vom Gericht der EU am 3. September 2025 abgewiesen, das Rechtsmittel liegt beim EuGH (C-703/25 P). Dasselbe Gericht hat Safe Harbor und Privacy Shield gekippt.

Wie groß ist das Risiko wirklich?

Hier wird viel durcheinandergeworfen, deshalb der Reihe nach.

Das LG München I entschied am 20. Januar 2022 (Az. 3 O 17493/20), dass die dynamische Einbindung von Google Fonts ohne Einwilligung rechtswidrig ist, und sprach 100 Euro Schadensersatz zu. Danach kam die Abmahnwelle: zehntausende automatisiert erzeugte Schreiben, typischerweise 170 Euro Vergleichssumme, bewusst unterhalb der Kosten einer Rechtsberatung angesetzt.

Und dann kippte die Welle. Das LG Baden-Baden untersagte den Abmahnern das weitere Vorgehen per einstweiliger Verfügung. Das AG Ludwigsburg wies die Klage am 28. Februar 2023 als rechtsmissbräuchlich ab (Az. 8 C 1361/22). Die Staatsanwaltschaft Berlin ließ im Dezember 2022 durchsuchen und stellte rund 346.000 Euro eingesammelter Vergleichsgelder sicher, ermittelt wurde wegen versuchten Abmahnbetrugs.

Der Teil, der fast immer fehlt: Das AG Ludwigsburg hat die materielle Rechtslage ausdrücklich bestätigt. Gescheitert ist die Klage am Verhalten des Klägers, nicht an der Sache. Kein Gericht hat gesagt, die Einbindung sei zulässig. Sie haben gesagt, dieser Kläger dürfe daraus kein Geschäft machen. Wer daraus ableitet, das Thema habe sich erledigt, verlässt sich darauf, dass der nächste Anspruchsteller wieder bösgläubig handelt.

Wo liegt das Risiko dann heute? Bußgelder sind unwahrscheinlicher, als viele denken. Bei den koordinierten Google-Analytics-Entscheidungen von 2022, dem nächstliegenden Vergleichsfall, ergingen Anordnungen mit Fristen, aber keine Bußgelder gegen Websitebetreiber. Schadensersatz bewegt sich im zweistelligen bis niedrigen dreistelligen Bereich, und der EuGH verlangt einen konkret nachgewiesenen Schaden.

Der realistische Pfad in Deutschland ist ein anderer. Seit der EuGH-Entscheidung Lindenapotheke (C-21/23, Oktober 2024) können Verstöße gegen die Informationspflichten aus Art. 12 und 13 von Mitbewerbern und Verbänden als Wettbewerbsverstoß verfolgt werden. Ohne betroffene Person, ohne nachgewiesenen Schaden. Das ist exakt die Konstellation einer fehlenden oder falschen Datenschutzerklärung, und für Vereine und kleine Betriebe deutlich näher als ein Bußgeldverfahren.

Die Kurz-Checkliste

Wie BlenSite das macht

Bei Websites aus BlenSite ist die Karte von Haus aus einwilligungsgesteuert. Das <iframe> geht ohne src-Attribut raus, die Garantie liegt also im HTML und nicht im Timing eines Skripts. Erst nach der Einwilligung setzt die Seite die Adresse, beim Widerruf wird der Frame aktiv auf about:blank navigiert. Wer schon einmal eingewilligt hat, bekommt die Karte beim nächsten Seitenaufruf automatisch, ohne noch einmal zu klicken. Der Referrer wird unterdrückt, der Frame läuft in einer Sandbox, und die vollständige Anschrift steht als Text daneben, auch für alle, die die Karte nie laden. Fällt das Consent-Tool aus, ersetzt die Seite den Button durch einen einfachen Link, damit niemand vor einem toten Knopf steht.

Schriften werden ohnehin selbst gehostet, sodass Google Maps auf einer generierten Seite der einzige mögliche Google-Kontaktpunkt bleibt. Den passenden Abschnitt in der Datenschutzerklärung erzeugt BlenSite gleich mit, mit der richtigen Rechtsgrundlage, beiden Google-Gesellschaften und dem tatsächlich einschlägigen Transferinstrument. In allen unterstützten Sprachen, jeweils mit der nationalen Vorschrift des Ziellandes statt eines pauschalen Verweises aufs TDDDG.

Wenn du den größeren Zusammenhang suchst: Die DSGVO-Checkliste 2026 geht alle Pflichtpunkte einer Website durch. Beispiele für einzelne Branchen findest du unter Branchen. Die erste Website erstellst du kostenlos.