Google Maps: Die Karte lädt Daten in die USA, bevor jemand geklickt hat
Google Maps gehört zu den Diensten, die kaum eine Website technisch braucht, aber trotzdem fast jeder einbindet, weil es bequem ist. Sobald die Karte lädt, baut sie automatisch eine Verbindung zu Google-Servern in den USA auf – oft schon, bevor der Besucher überhaupt reagieren kann. Das bringt gleich mehrere Punkte mit sich, die du vor dem Einbinden klären solltest.
Überblick
Was ist Google Maps?
Google Maps ist der Kartendienst von Google, mit dem du Straßenkarten, Satellitenbilder oder eine Anfahrtsbeschreibung auf deiner Website anzeigst. Die meisten Websites binden dafür einfach eine fertige Karte per iframe oder Skript ein, statt selbst Kartendaten zu verwalten.
| Google Maps – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟡 | Kommt auf die Einbindungsart an – ein Cookie wird nicht immer gesetzt. |
| Externe Verbindungen | 🔴 | Verbindung zu Google entsteht automatisch beim Laden der Seite. |
| Datenschutzerklärung | 🔴 | Google Maps muss namentlich genannt werden. |
| Drittlandtransfer | 🔴 | Daten gehen an Google in die USA. |
| Auftragsverarbeitung | 🟢 | Kein Vertrag zur Auftragsverarbeitung nötig. |
| Benutzereingaben | 🟡 | Nur bei bestimmter Kartenansicht vorhanden. |
| KI-Verarbeitung | 🟢 | Keine KI-Funktion mit Besucherbezug. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was passiert mit den Daten deiner Besucher?
Bei Google Maps hängt fast alles davon ab, wie die Karte auf deiner Seite eingebunden ist.
In der klassischen Variante – der Karte als iframe, wie sie die meisten Website-Baukästen und Plugins standardmäßig anbieten – lädt der Browser deines Besuchers direkt beim Seitenaufruf Inhalte von Google-Servern nach, ganz ohne dass jemand klicken muss. Dabei fließen automatisch Daten wie die IP-Adresse an Google, und je nach genutzter Google-Maps-Variante setzt die Karte zusätzlich ein Cookie. Diese Verbindung entsteht unabhängig davon, ob dein Besucher die Karte überhaupt anschaut – sie lädt einfach mit der Seite.
Nutzt jemand die Wegbeschreibungs-Funktion der Karte, gibt er zusätzlich eine Start- oder Zieladresse ein, die ebenfalls direkt an Google geht. Und weil Google seinen Sitz in den USA hat, landen alle diese Daten außerhalb der EU. Für dich als Betreiber bedeutet das: Google Maps ist eines der Tools, bei denen praktisch jeder Datenschutz-Baustein gleichzeitig eine Rolle spielt – Cookie, externe Verbindung und Drittlandtransfer hängen hier eng zusammen.
Cookies
Setzt Google Maps Cookies?
Ob Google Maps ein Cookie setzt, hängt davon ab, welche Variante der Karte eingebunden ist. Bindest du die klassische, kostenlose Kartenansicht per iframe ein (die sogenannte Maps Embed API – das ist die Standardvariante, die die meisten Website-Baukästen und Plugins verwenden), setzt Google laut mehreren Datenschutz-Fachportalen mindestens das Cookie NID.
Dieses Cookie speichert Einstellungen und Nutzerinformationen und verbindet sich mit dem Google-Netzwerk – es zählt damit zu den zustimmungspflichtigen Cookies, selbst wenn dein Besucher nicht bei Google eingeloggt ist. Dein Cookie-Banner muss diesen Cookie blockieren, bis der Besucher zustimmt.
Nutzt du dagegen die kostenpflichtige, per JavaScript eingebundene Kartenvariante, setzt Google laut Angaben in aktuellen Fachdiskussionen (u. a. IT-Recht Kanzlei) keine Cookies mehr. Welche Variante bei dir konkret verbaut ist, siehst du meistens daran, ob die Karte als eingebettetes Rechteck (iframe) oder als frei bewegliche, interaktive Karte ohne sichtbaren Rahmen erscheint.
Externe Verbindungen
Warum baut Google Maps schon beim Laden eine Verbindung zu Google auf?
Google Maps lädt seine Kartenkacheln, Symbole und Steuerelemente direkt von Google-Servern nach, sobald die Seite mit der Karte aufgerufen wird – unabhängig davon, ob dein Besucher mit der Karte interagiert. Nach Einschätzung von e-recht24.de braucht diese Einbindung eine ausdrückliche Einwilligung, weil andere Rechtsgrundlagen dafür nicht ausreichen.
Der Grund: Es gibt eine funktionsgleiche Alternative, die ohne Datenübertragung an Google auskommt – zum Beispiel selbstgehostete Kartendienste auf Basis von OpenStreetMap, die dieselbe Kernfunktion (eine Karte anzeigen) automatisch erfüllen, ohne dass Daten an einen Dritten gehen.
Weil es diese Alternative gibt, zählt die Google-Maps-Verbindung nicht zu den technisch notwendigen Verbindungen. Dein Cookie-Banner muss diese Verbindung blockieren, bis der Besucher zustimmt – die Karte darf also erst nach der Einwilligung laden, zum Beispiel über eine Zwei-Klick-Lösung mit Vorschaubild.
Benutzereingaben
Kannst du über Google Maps Daten eingeben?
Eine Eingabemöglichkeit gibt es bei Google Maps nur in einer bestimmten Kartenansicht: der Wegbeschreibung. Zeigt deine eingebundene Karte eine Routenplanung an, kann dein Besucher dort eine Start- oder Zieladresse eintippen, die direkt an Google übermittelt wird. In den häufiger genutzten Ansichten – etwa wenn die Karte nur einen festen Standort zeigt – gibt es dagegen kein Eingabefeld, mit dem Besucher Daten eingeben könnten; sie können die Karte nur bewegen und zoomen.
Zeigst du die Wegbeschreibungs-Ansicht auf deiner Seite, gilt: Diese Angabe geht erst raus, wenn dein Besucher sie eintippt und abschickt – ein Cookie-Banner hilft hier nicht, weil die Eingabe unabhängig von Cookies direkt an Google übertragen wird. Ein Hinweis auf deine Datenschutzerklärung sollte trotzdem in der Nähe der Karte stehen.
Drittlandtransfer
Wohin gehen die Daten, wenn Google Maps sie erfasst?
Google Maps überträgt Daten deiner Besucher an Google LLC in den USA. Google hat mit der EU vereinbart, dass Datentransfers in die USA unter bestimmten Bedingungen erlaubt sind, und sich nach eigenen Angaben entsprechend zertifizieren lassen. Das ändert aber nichts daran, dass es sich rechtlich um eine Übermittlung außerhalb der EU handelt, die in deiner Datenschutzerklärung stehen muss.
Datenschutzerklärung
Muss Google Maps in die Datenschutzerklärung?
Google Maps muss namentlich in deiner Datenschutzerklärung stehen, weil beim Laden der Karte automatisch eine Verbindung zu Google entsteht und Daten in die USA übertragen werden. e-recht24.de stellt dafür eine eigene Musterformulierung für Google Maps bereit, die genau diese beiden Punkte abdeckt.
Wir nutzen Google Maps für Kartendienste.
Google Maps setzt beim Laden der Website Cookies bzw. ähnliche Kennungen ein und baut eine Verbindung zu Servern von Google LLC auf. Beides ist nicht technisch notwendig und erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
Wenn du über ein Formular von Google Maps deine Daten eingibst, werden diese ausschließlich auf unserem eigenen Server verarbeitet und nicht an Dritte weitergegeben.
Bei der Nutzung von Google Maps kann eine Übermittlung personenbezogener Daten in die USA stattfinden. Grundlage der Übermittlung ist das EU-US Data Privacy Framework.
Alternative
Gibt es datenschutzfreundlichere Alternativen zu Google Maps?
Hier siehst du, wo Google Maps im DSGVO-Vergleich zu anderen Kartendienste steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder Google Maps in Sachen Datenschutz bereits gut aufgestellt ist.
Fehler
Welche Fehler kommen bei Google Maps in unseren DSGVO-Checks am häufigsten vor?
Google Maps taucht bei 9 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Google Maps gefunden wurde.
DSGVO-Check
Warum lohnt sich ein Scan mit datenrein.de?
Ob deine Karte per iframe oder per JavaScript eingebunden ist, welche Variante genau bei dir läuft und ob dein Cookie-Banner die Verbindung tatsächlich blockiert, kannst du selbst kaum ohne Weiteres nachvollziehen – dafür müsstest du die Netzwerk-Verbindungen deiner eigenen Seite mitlesen. Ein Scan mit datenrein.de zeigt dir das direkt: welche Verbindungen deine Seite beim Laden tatsächlich aufbaut und ob dein Cookie-Banner sie im Griff hat.
Jeder Scan liefert außerdem echte Signale, die wir bekannten Tools zuordnen oder als neuen Fall in unsere Recherche aufnehmen – dadurch werden mit der Zeit immer mehr Tools zuverlässig erkannt, wovon am Ende jeder profitiert, der seine Seite prüft.
