Karten & Datenschutz: Der DSGVO-Leitfaden für Websites
Kurz gesagt: Sobald eine Website eine Online-Karte lädt, gehen Daten der Besucher an den Kartenanbieter, mindestens die IP-Adresse. Datenschutzkonform ist das, wenn eine Rechtsgrundlage nach der DSGVO besteht, die Daten in der EU bleiben oder sicher übermittelt werden und die Besucher darüber informiert sind. Speichert die Karte zusätzlich etwas im Browser, etwa Cookies, verlangt § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, bis Mai 2024: TTDSG) eine Einwilligung. Am einfachsten gelingt das mit einem Kartendienst, der in der EU hostet und keine Cookies setzt.
Welche Gesetze gelten für Karten auf Websites?
Bei der Integration von Kartendiensten auf Websites ist es wichtig, nicht nur die optische Darstellung und Funktionen zu berücksichtigen, sondern auch die datenschutzrechtlichen Aspekte. Viele bekannte, kommerzielle Kartendienste stammen aus Ländern außerhalb der Europäischen Union und bieten zwar oft kostenlose Einbettungsmöglichkeiten an, stellen aber damit für Nutzer und Betreiber datenschutzrechtliche Herausforderungen dar. Für Karten auf Websites greifen drei Regelwerke ineinander: die Datenschutz-Grundverordnung (DSGVO), § 25 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und die Regeln zum Drittlandtransfer.
Insbesondere die Übertragung personenbezogener Daten wie IP-Adressen an Server in Drittländern ist ein zentrales Thema. Laut DSGVO ist die Verarbeitung und Übermittlung solcher Daten nur mit wirksamer Einwilligung oder einer passenden Rechtsgrundlage zulässig. Für Website-Betreiber bedeutet das, dass sie genau prüfen müssen, ob und wie die eingesetzten Kartendienste diese Anforderungen erfüllen.
Eine bewährte Methode, um Datenschutzrisiken zu minimieren, ist die Nutzung sogenannter Zwei-Klick-Lösungen: Nutzer müssen aktiv einwilligen, bevor Kartendienste geladen und personenbezogene Daten übertragen werden. Zusätzlich sind transparente Datenschutzhinweise erforderlich, die den Umgang mit Nutzerdaten verständlich darlegen. Darüber hinaus ist zu beachten, dass einige Anbieter zwar Zertifizierungen für den Datentransfer in Drittländer (Data Privacy Framework, kurz DPF) vorweisen, Website-Betreiber jedoch verpflichtet sind, diese regelmäßig zu prüfen und sicherzustellen, dass sie aktuell sind.
Um auf Nummer sicher zu gehen, empfiehlt sich die Wahl von Kartendiensten, deren Serverstandorte innerhalb der EU liegen und die die strengen Anforderungen der DSGVO von vornherein erfüllen. Solche Lösungen gewährleisten, dass personenbezogene Daten innerhalb des europäischen Rechtsrahmens verarbeitet werden, stärken die digitale Souveränität und erhöhen das Vertrauen der Nutzer. Für Unternehmen, denen Datenschutz und digitale Unabhängigkeit besonders wichtig sind, bieten entsprechende europäische Kartendienste eine komfortable und rechtssichere Alternative mit umfassenden Funktionen, von Standortkarten über Store Locator bis hin zu individuellen APIs.
§ 25 TDDDG: Cookies und Gerätezugriffe
Das TDDDG regelt in § 25 den Zugriff auf Endgeräte. Speichert eine Karte Informationen im Browser oder liest sie aus, etwa per Cookie, Local Storage oder über die Standortabfrage des Browsers, ist eine Einwilligung nötig. Ausnahme: Der Zugriff ist unbedingt erforderlich, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst funktioniert (§ 25 Abs. 2 Nr. 2 TDDDG). Die Regel gilt unabhängig von der DSGVO, also auch dann, wenn keine personenbezogenen Daten betroffen sind. Das Planet49-Urteil des EuGH (C-673/17, 2019) hat geklärt, wie eine wirksame Einwilligung aussehen muss.
Welche datenschutzkonformen Alternativen gibt es?
Es gibt verschiedene Alternativen zu amerikanischen Anbietern. Allerdings müssen diese geprüft werden, denn einige Unternehmen haben ihren Sitz ebenfalls im Nicht-EU-Ausland, so dass keine Garantie besteht, dass die persönlichen Daten der Nutzerinnen und Nutzer innerhalb der EU verbleiben. Wer als Website-Betreiber auf Nummer sicher gehen möchte, greift auf bewährte Lösungen zurück oder verwendet einen Kartendienst aus der EU. In diesem Fall entfällt die Prüfung auf Zertifizierung im Data Privacy Framework (DPF).
So bietet zum Beispiel die Kartenplattform SmartMaps der YellowMap AG eine rechtskonforme Verarbeitung personenbezogener Daten, so dass die strengen Anforderungen der DSGVO erfüllt werden. Damit garantieren Sie Ihren Kunden die Hoheit über ihre persönlichen Daten. Vertrauen auch Sie auf die datenschutzkonforme Kartenlösung – für Ihre digitale Souveränität und eine faire, digitale Welt. SmartMaps lässt sich dabei als Kartendienst für verschiedene Branchen und Anwendungen auf der Website oder App rechtssicher verwenden. Darüber hinaus bietet SmartMaps eine große Bandbreite an Funktionen und Usecases wie zum Beispiel eine Standortkarte oder Store Locator für die eigene Webseite.
Was ist bei amerikanischen Kartenanbietern zu beachten?
Die rechtssichere Einbindung von amerikanischen Maps Anbietern als Embed-Lösung in eine Website birgt mit Blick auf den Datenschutz verschiedene Risiken. Keinesfalls dürfen solche Anbieter ohne die Zustimmung der Nutzer schon beim Laden der Seite aufgerufen werden. Hier ist immer eine Einwilligung vor dem Laden nötig, etwa per Zwei-Klick-Lösung oder Consent-Banner. Erforderlich sind auch entsprechende Datenschutzhinweise. Die Übertragung von Nutzerdaten in die USA stellt ebenfalls ein Risiko dar. Hier stehen Website-Betreiber in der Verantwortung, regelmäßig die Zertifizierung des eingebundenen Anbieters im Data Privacy Framework (DPF) zu prüfen. Sicherer ist dagegen die Verwendung einer Alternative aus der EU wie SmartMaps.
Mehr Informationen finden Sie unter FAQs Datenschutz SmartMaps sowie unter Datenschutz - SmartMaps Maps API.
Wichtiger Hinweis: Dieser Artikel bietet allgemeine Informationen und stellt keine rechtliche Beratung dar. Für rechtliche Fragen wenden Sie sich bitte an eine qualifizierte Rechtsberatung.
