Spotify und Datenschutz: Der Player lädt sofort – und schickt Daten, bevor jemand auf Play drückt
Wer einen Spotify-Player auf seiner Website einbindet, bekommt mehr als Musik: Beim Laden der Seite baut der Player sofort eine Verbindung zu Spotify-Servern auf, Tracking-Cookies werden gesetzt und Daten fließen in die USA – alles ohne dass der Besucher irgendetwas anklickt. Das gilt unabhängig davon, ob du den WordPress-Block verwendest oder den Player per iframe-Code eingebettet hast.
Überblick
Was ist Spotify?
Spotify ist ein Musik-Streaming-Dienst, über den Nutzer Songs, Podcasts, Playlisten und Alben abspielen können. Auf einer WordPress-Website lässt sich Spotify auf zwei Wegen einbinden: entweder über den eingebauten WordPress-Block, der aus einem eingefügten Spotify-Link automatisch einen Player erzeugt, oder über einen iframe-Code, den Spotify direkt zum Einbetten bereitstellt. In beiden Fällen erscheint auf der Seite ein abspielbarer Player – und in beiden Fällen gelten dieselben Datenschutzpflichten.
| Spotify – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🔴 | Spotify setzt Tracking-Cookies, die Nutzerverhalten erfassen und mit Spotify-Konten verknüpfbar sind. |
| Externe Verbindungen | 🔴 | Der Player baut beim Seitenaufruf eine direkte Verbindung zu open.spotify.com auf – ohne Zustimmung. |
| Datenschutzerklärung | 🔴 | Spotify muss als Drittdienst namentlich in der Datenschutzerklärung genannt werden. |
| Drittlandtransfer | 🔴 | Spotify überträgt Daten laut eigener Datenschutzrichtlinie in die USA und andere Drittländer. |
| Auftragsverarbeitung | 🟢 | Spotify bietet keinen AVV für reine Embed-Nutzer an – kein Vertrag erforderlich. |
| Benutzereingaben | 🟢 | Der Player ist ein reiner Mediaplayer ohne Eingabefelder oder Formulare. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was passiert datenschutzrechtlich, wenn jemand eine Seite mit Spotify-Player aufruft?
Sobald jemand eine Seite aufruft, auf der du einen Spotify-Player eingebunden hast, lädt der Browser des Besuchers den Player direkt von Spotify-Servern – automatisch, ohne Klick, ohne Zustimmung. Das passiert sowohl beim WordPress-Block als auch beim manuell eingebetteten iframe-Code, weil in beiden Fällen derselbe Spotify-Server angesprochen wird.
Dabei überträgt der Browser die IP-Adresse des Besuchers an Spotify. Außerdem setzt Spotify zwei Cookies, die Informationen über das Verhalten auf deiner Seite und besuchte Websites erfassen.
Ist der Besucher gleichzeitig bei Spotify eingeloggt, können diese Daten mit seinem Spotify-Konto verknüpft werden. Spotify AB hat seinen Sitz in Schweden, überträgt Daten aber laut eigener Datenschutzrichtlinie auch in die USA und andere Länder außerhalb der EU. Du als Website-Betreiber bist dafür verantwortlich, Besucher darüber zu informieren – und die Verbindung zu blockieren, bis sie zugestimmt haben.
Cookies
Welche Cookies setzt Spotify?
Spotify setzt beim Laden des Players zwei Cookies: sp_t und sp_landing. Beide haben eine Laufzeit von einem Tag und werden von der Domain spotify.com gesetzt. Sie registrieren, wie der Besucher mit dem Player interagiert, und erfassen besuchte Seiten. Diese Daten können mit bestehenden Spotify-Konten verknüpft werden. Beide Cookies sind zustimmungspflichtig – sie sind kein technisch notwendiger Bestandteil deiner Website. Dein Cookie-Banner muss diese Cookies blockieren, bis der Besucher zustimmt. Das gilt unabhängig davon, ob du den Player per WordPress-Block oder per iframe eingebunden hast.
Externe Verbindungen
Baut der Spotify-Player eine Verbindung nach außen auf?
Sobald eine Seite mit eingebettetem Spotify-Player geladen wird, baut der Browser des Besuchers eine direkte Verbindung zu open.spotify.com auf. Dabei werden IP-Adresse und Browser-Informationen an Spotify übertragen.
Diese Verbindung entsteht nicht erst, wenn jemand auf Play drückt – sie passiert automatisch beim Öffnen der Seite, egal ob der Player per WordPress-Block oder per iframe-Code eingebunden ist. Dein Cookie-Banner muss diese Verbindung blockieren, bis der Besucher zustimmt. Die meisten Cookie-Banner-Plugins haben dafür eine Funktion, mit der du externe Player bis zur Zustimmung durch einen Platzhalter ersetzt.
Benutzereingaben
Werden über den Spotify-Player persönliche Daten eingegeben?
Der Spotify-Player ist ein reiner Mediaplayer mit Abspielen, Pause und Track-Wechsel. Es gibt keine Eingabefelder, kein Kontaktformular und keine Möglichkeit, persönliche Daten über den eingebetteten Player einzugeben. Dieser Punkt ist für Spotify nicht relevant.
Drittlandtransfer
Werden Besucherdaten durch Spotify in die USA übertragen?
Spotify AB hat zwar seinen operativen Sitz in Stockholm, Schweden, überträgt Daten aber laut eigener Datenschutzrichtlinie international – unter anderem an Konzerngesellschaften und Dienstleister in den USA. Spotify betreibt eine US-Tochtergesellschaft mit Sitz in New York.
Dass Daten beim Laden des Players in die USA fließen, lässt sich nicht durch eine Einstellung verhindern – es sei denn, du blockierst den Player vollständig über deinen Cookie-Banner, bis der Besucher zustimmt. Spotify gibt in seiner Datenschutzrichtlinie an, für solche Übertragungen Vertragsklauseln zu verwenden, die mit der EU abgestimmt sind.
Auftragsverarbeitung
Brauche ich einen Vertrag mit Spotify?
Spotify bietet für Website-Betreiber, die lediglich einen eingebetteten Player nutzen, keinen Auftragsverarbeitungsvertrag an. Solche Verträge stellt Spotify ausschließlich für Unternehmen bereit, die eigene Inhalte über Spotify vertreiben oder Werbung schalten. Wenn du nur einen Musik-Player auf deiner Website einbettest, ist kein Vertrag mit Spotify erforderlich.
Datenschutzerklärung
Muss Spotify in der Datenschutzerklärung stehen?
Spotify setzt Tracking-Cookies und verarbeitet IP-Adressen von Website-Besuchern – damit muss Spotify als eingebundener Drittdienst namentlich in deiner Datenschutzerklärung erwähnt werden. Folgende Angaben gehören in den Eintrag:
- Zweck: Einbindung von Audio-Inhalten und Erfassung von Nutzerinteraktionen
- Rechtsgrundlage: Einwilligung
- Empfänger: Spotify AB, Regeringsgatan 19, 111 53 Stockholm, Schweden
- Drittlandtransfer: Übermittlung in die USA und andere Länder außerhalb der EU möglich
- Speicherdauer: Die Cookies sp_t und sp_landing haben eine Laufzeit von einem Tag; weitere Daten nach Spotify-Datenschutzrichtlinie
Wir nutzen Spotify.
Spotify setzt beim Laden der Website Cookies bzw. ähnliche Kennungen ein und baut eine Verbindung zu Servern von Spotify AB auf. Beides ist nicht technisch notwendig und erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
Fehler
Welche Fehler kommen bei Spotify in unseren DSGVO-Checks am häufigsten vor?
Spotify taucht bei 1 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Spotify gefunden wurde.
DSGVO-Check
So prüfst du, ob dein Spotify-Player datenschutzkonform eingebunden ist
Öffne deine Website in einem Browser und prüfe die gesetzten Cookies, bevor du dem Cookie-Banner zugestimmt hast. Suche nach den Cookies sp_t und sp_landing. Sind diese bereits vorhanden, bevor du zugestimmt hast, blockiert dein Cookie-Banner den Spotify-Player nicht korrekt.
Zusätzlich kannst du in den Entwickler-Tools deines Browsers unter „Netzwerk“ prüfen, ob deine Website beim Seitenaufruf eine Verbindung zu open.spotify.com aufbaut – auch das sollte vor der Zustimmung nicht passieren. Das gilt sowohl für den WordPress-Block als auch für manuell eingebettete iframes.
Der vollständige Datenschutz-Check für deine gesamte Website – inklusive Spotify und allen anderen eingebundenen Diensten – erledigt es automatisch für dich.
