CARTO: DSGVO und Datenschutz richtig bewerten
CARTO klingt nach einer großen Analyseplattform für Firmen – auf den meisten Websites taucht der Anbieter aber ganz unauffällig in einer einzigen Rolle auf: als Lieferant für die Hintergrundkarte hinter einer eingebundenen Landkarte. Sobald diese Karte lädt, holt sich dein Browser die Kartenkacheln direkt von einem CARTO-Server in den USA. Kein großer Datenberg, aber ein paar Pflichten, um die du nicht drumherumkommst.
Überblick
Was ist CARTO?
CARTO ist ein Anbieter für Kartendarstellung und Standortanalyse. Auf vielen Websites läuft davon nur ein einziger Baustein mit: der Basemap-Dienst, der die Hintergrundkarte für eingebundene Landkarten liefert, zum Beispiel über Kartenbibliotheken wie Leaflet oder MapLibre.
| CARTO – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟢 | Der Kartendienst setzt keine Cookies, er liefert nur Bilddateien. |
| Externe Verbindungen | 🔴 | Beim Laden der Karte baut dein Browser automatisch eine Verbindung zu CARTO auf. |
| Datenschutzerklärung | 🔴 | CARTO muss namentlich in deiner Datenschutzerklärung stehen. |
| Drittlandtransfer | 🔴 | Die Verbindung geht an einen Server in den USA. |
| Auftragsverarbeitung | 🟡 | Ein Vertrag ist nur bei bestimmter Nutzung überhaupt vorgesehen. |
| Benutzereingaben | 🟢 | Besucher geben nirgends Daten ein. |
| KI-Verarbeitung | 🟢 | Der Basemap-Dienst hat keine KI-Funktion, die Besucherdaten verarbeitet. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Welche Daten schickt deine Website an CARTO?
Wenn auf deiner Website eine Landkarte eingebunden ist, die auf CARTO als Basemap-Anbieter zurückgreift, passiert das automatisch beim Laden der Seite – ganz ohne Klick des Besuchers. Der Browser fordert die einzelnen Kartenkacheln direkt bei CARTO an, und dabei geht zwangsläufig die IP-Adresse des Besuchers mit.
Diese Verbindung führt zu einem Server in den USA, weil CARTO als Unternehmen dort seinen Sitz hat. Cookies setzt der Dienst dabei keine, und Besucher geben auch nirgends aktiv Daten ein – die Karte ist ein reiner Anzeige-Baustein. Ob du für diese Verbindung einen Vertrag mit CARTO brauchst, hängt davon ab, wie du den Dienst nutzt: Bei einer kostenpflichtigen Nutzung bietet CARTO einen entsprechenden Vertrag an, bei der kostenlosen Nutzung ist so eine Vertragsbeziehung nicht vorgesehen.
Externe Verbindungen
Warum baut deine Website automatisch eine Verbindung zu CARTO auf?
CARTO liefert die Hintergrundkarte für eingebundene Landkarten nicht als Datei mit, sondern als laufend nachgeladene Kacheln – einzelne kleine Bildausschnitte, die sich beim Verschieben und Zoomen der Karte automatisch nachladen. Diese Kacheln kommen direkt von einem CARTO-Server, sobald die Karte auf deiner Seite sichtbar wird, unabhängig davon, ob der Besucher mit der Karte interagiert. Genau dieselbe Hintergrundkarte ließe sich auch selbst hosten, ganz ohne externe Verbindung – deshalb zählt das nicht als technisch notwendige Verbindung für den Betrieb deiner Website. Dein Cookie-Banner muss diese Verbindung blockieren, bis der Besucher zustimmt.
Drittlandtransfer
Gehen die Daten deiner Besucher in die USA?
CARTO überträgt die Daten deiner Besucher in die USA, weil das Unternehmen dort seinen Sitz hat und die Kartenkacheln von dort ausliefert. Laut der Datenschutzerklärung von CARTO ist das Unternehmen für den Datenaustausch zwischen der EU und den USA offiziell zertifiziert – die EU hat mit den USA eine Vereinbarung getroffen, unter welchen Bedingungen solche Datentransfers erlaubt sind, und CARTO hält sich laut eigener Aussage daran.
Auftragsverarbeitung
Brauchst du einen Vertrag mit CARTO?
Ob du mit CARTO einen Vertrag zur Auftragsverarbeitung abschließen musst, hängt davon ab, wie du den Kartendienst einsetzt. Nutzt du die Basemaps im kostenlosen Rahmen, sieht CARTO dafür laut eigener Dokumentation keine Kundenbeziehung und damit auch keinen Vertrag vor. Setzt du CARTO dagegen im Rahmen einer kostenpflichtigen Lizenz ein, stellt CARTO seinen Kunden laut eigener Datenschutzerklärung eine passende Vereinbarung zur Verarbeitung personenbezogener Daten zur Verfügung.
Datenschutzerklärung
Muss CARTO in deine Datenschutzerklärung?
CARTO muss namentlich in deiner Datenschutzerklärung stehen, weil die Kartenkacheln automatisch von einem CARTO-Server geladen werden und dabei Daten deiner Besucher in die USA gehen. Nenne dabei, dass CARTO für die Darstellung der Landkarte eingebunden ist und welche Daten dabei übertragen werden.
Wir nutzen CARTO für Kartendienste.
CARTO stellt beim Laden der Website eine Verbindung zu Servern von CARTO Inc. her, die nicht technisch notwendig ist und für die deine Einwilligung erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Bei der Nutzung von CARTO kann eine Übermittlung personenbezogener Daten in die USA stattfinden. Grundlage der Übermittlung ist das EU-US Data Privacy Framework.
Im Rahmen der Nutzung von CARTO werden Daten an CARTO Inc. übermittelt. Soweit CARTO Inc. diese Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Alternative
Gibt es datenschutzfreundlichere Alternativen zu CARTO?
Hier siehst du, wo CARTO im DSGVO-Vergleich zu anderen Kartendienste steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder CARTO in Sachen Datenschutz bereits gut aufgestellt ist.
Fehler
Welche Fehler kommen bei CARTO in unseren DSGVO-Checks am häufigsten vor?
CARTO taucht bei 1 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen CARTO gefunden wurde.
DSGVO-Check
Warum lohnt sich ein Datenschutz-Check für CARTO auf deiner Seite?
Ein DSGVO-Check zeigt dir direkt, ob CARTO auf deiner Website überhaupt aktiv ist und wie die Karte eingebunden ist – ohne dass du selbst im Quellcode nach Kartenbibliotheken oder eingebundenen Skripten suchen musst.
Jeder DSGVO-Scan liefert außerdem echte Signale, die wir bekannten Tools wie CARTO zuordnen oder als neuen Fall aufnehmen und weiter recherchieren. Je mehr Websites gescannt werden, desto mehr Tools erkennen wir zuverlässig – davon profitiert am Ende jeder, der seine Seite prüfen lässt.
