Store Locator und DSGVO

Wer einen Store Locator auf seiner Website einbindet, lädt Inhalte von einem anderen Server: die Karte selbst, Kartenkacheln, manchmal Schriften und Scripts. Für Ihre Besucher sieht das aus wie ein Teil Ihrer Seite. Technisch baut ihr Browser aber eine Verbindung zu einem fremden Server auf – und dabei werden personenbezogene Daten übertragen.

Warum eine Karte personenbezogene Daten überträgt

Damit ein Server Inhalte ausliefern kann, muss er wissen, wohin. Deshalb erhält er bei jeder Anfrage die IP-Adresse des Besuchers, dazu meist Browser-Typ, Betriebssystem, Sprache und die Adresse der Seite, auf der die Karte eingebunden ist.

IP-Adressen gelten nach der Rechtsprechung des Europäischen Gerichtshofs in vielen Fällen als personenbezogene Daten. Die Übertragung an einen Dritten ist damit eine Verarbeitung im Sinne der DSGVO und braucht eine Rechtsgrundlage.

Wie ernst deutsche Gerichte das nehmen, zeigt ein bekanntes Urteil zu einem verwandten Thema: Das Landgericht München I hat am 20.01.2022 (Az. 3 O 17493/20) entschieden, dass die Weitergabe der IP-Adresse an Google durch dynamisch eingebundene Google Fonts ohne Einwilligung unzulässig war, und dem Kläger Schadensersatz zugesprochen. Es ging dort um Schriften, nicht um Karten. Das Grundproblem – die IP-Adresse geht beim Laden an einen Dritten – ist aber dasselbe.

Welche Regeln gelten

Zwei Regelwerke spielen zusammen:

DSGVO, Art. 6: Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Für eingebundene Karten kommen vor allem die Einwilligung (Art. 6 Abs. 1 lit. a) und das berechtigte Interesse (Art. 6 Abs. 1 lit. f) in Betracht. Ob ein berechtigtes Interesse für das automatische Laden einer Karte ausreicht, wird unterschiedlich beurteilt. Die deutschen Datenschutzaufsichtsbehörden sehen das Einbinden von Drittinhalten ohne Einwilligung eher kritisch, besonders wenn Daten in Drittländer gehen oder der Anbieter sie für eigene Zwecke nutzt.

TDDDG, § 25: Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz – bis Mai 2024 hieß es TTDSG – regelt den Zugriff auf das Endgerät, also zum Beispiel das Setzen von Cookies oder das Auslesen von Informationen im Browser. Dafür ist grundsätzlich eine Einwilligung nötig, es sei denn, der Zugriff ist unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen. Setzt ein Kartendienst Cookies oder nutzt den lokalen Speicher, ist § 25 TDDDG also zusätzlich zu prüfen.

In der Praxis entscheiden sich viele Unternehmen deshalb für den sicheren Weg: Die Karte lädt erst, wenn der Besucher zustimmt.

Google Maps oder OpenStreetMap?

Für die Datenschutzbewertung ist entscheidend, wer die Daten bekommt und was er damit macht.

• Google Maps: Daten können an Google und damit auch in die USA gehen. Für US-Unternehmen, die unter dem EU-U.S. Data Privacy Framework zertifiziert sind, gibt es seit Juli 2023 einen Angemessenheitsbeschluss der EU-Kommission. Die Frage der Rechtsgrundlage für das Laden auf Ihrer Website ersetzt das aber nicht.
• OpenStreetMap: Die Karten-Daten sind offen. Die Kartenkacheln kommen von einem Kachel-Server – das kann der Server der OpenStreetMap Foundation sein oder ein anderer Anbieter. Auch dabei wird die IP-Adresse übertragen. Fragen Sie Ihren Store-Locator-Anbieter, welcher Kachel-Server verwendet wird.

My Store Locator nutzt heute OpenStreetMap über Leaflet. Die Unterstützung für Google Maps ist in Vorbereitung.

Die Zwei-Klick-Lösung

Die Zwei-Klick-Lösung ist der verbreitetste Weg, Karten datenschutzfreundlich einzubinden:

1. Statt der Karte sieht der Besucher zunächst einen Platzhalter mit einem kurzen Hinweis: welcher Dienst geladen wird und dass dabei Daten wie die IP-Adresse übertragen werden.
2. Erst wenn er auf „Karte laden“ klickt, wird die Verbindung zum Kartendienst aufgebaut.

Bis zum Klick fließen keine Daten an den Kartendienst. Der Klick ist eine bewusste, informierte Handlung des Besuchers.

In My Store Locator schalten Sie das im Einbettungsbereich mit der Option „Karte erst nach Klick laden (DSGVO)“ ein. Der Einwilligungsmodus funktioniert sowohl mit dem iframe-Code als auch mit dem JavaScript-Widget.

Wenn Sie ein Consent-Management-Tool einsetzen, können Sie den Store Locator alternativ dort als Dienst hinterlegen. Wichtig ist dann, dass die Karte tatsächlich erst nach der Zustimmung geladen wird – prüfen Sie das in den Entwicklertools Ihres Browsers (Reiter „Netzwerk“).

Was in Ihre Datenschutzerklärung gehört

Ihre Datenschutzerklärung sollte den Store Locator beschreiben. Typische Punkte:

• Name und Anschrift des Anbieters des Store Locators
• welche Daten beim Laden übertragen werden (IP-Adresse, Browser-Informationen, aufgerufene Seite)
• Zweck: Darstellung Ihrer Standorte auf einer Karte
• Rechtsgrundlage (zum Beispiel Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO bei der Zwei-Klick-Lösung)
• der Kachel- bzw. Kartendienst, der zusätzlich Daten erhält
• ob Daten in ein Drittland gehen und auf welcher Grundlage
• falls Sie das Kontaktformular der Karte nutzen: welche Angaben dort erhoben werden und was damit passiert

Formulierungen aus Generatoren sind ein guter Anfang, passen aber selten genau. Gleichen Sie den Text mit Ihrer tatsächlichen Einbindung ab.

AV-Vertrag

Wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Bei einem Store Locator betrifft das zum Beispiel Anfragen, die Besucher über das Kontaktformular auf der Karte senden, und die Benutzerkonten Ihres Teams.

Bei My Store Locator laden Sie den AV-Vertrag in der App unter „Plan & Abrechnung“ herunter. Mehr dazu auf der Seite AV-Vertrag.

Hosting-Standort

Wo die Daten liegen, beeinflusst, welche zusätzlichen Regeln gelten. Bei Anbietern mit Sitz oder Servern außerhalb der EU brauchen Sie für Übermittlungen in Drittländer eine Grundlage nach Kapitel V der DSGVO, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Ein Hosting in Deutschland vereinfacht das deutlich. My Store Locator wird in Deutschland gehostet.

Statistik ohne Cookies

Viele Unternehmen möchten wissen, wie oft ihr Store Locator genutzt wird. Klassische Analyse-Tools setzen dafür Cookies und brauchen in der Regel eine Einwilligung.

Es geht auch anders: My Store Locator zählt Kartenaufrufe, Suchen, Klicks auf Telefonnummern, Routen und Websites als zusammengefasste Tageswerte. Dabei werden keine Cookies gesetzt und keine IP-Adressen in der Statistik gespeichert. Einzelne Besucher lassen sich daraus nicht nachverfolgen.

Checkliste

• Klären, welche Server beim Laden des Store Locators kontaktiert werden (Netzwerk-Tab im Browser prüfen)
• Rechtsgrundlage festlegen und dokumentieren
• Zwei-Klick-Lösung oder Consent-Tool einrichten
• Prüfen, dass vor dem Klick bzw. der Zustimmung wirklich keine Verbindung zum Kartendienst entsteht
• Datenschutzerklärung um den Store Locator und den Kartendienst ergänzen
• AV-Vertrag mit dem Anbieter abschließen und ablegen
• Hosting-Standort und mögliche Drittlandübermittlungen klären
• Kontaktformular auf der Karte: Pflichtfelder auf das Nötige beschränken, Hinweis auf Datenschutzerklärung
• Verzeichnis von Verarbeitungstätigkeiten aktualisieren
• Umsetzung von Ihrer Datenschutzberatung prüfen lassen

FAQ