OAuth2 Social Login in UK und DSGVO: So gelingt DSGVO-konformes Social Login
17. August 2026
OAuth2 Social Login für UK & DSGVO: Datenschutzkonform umsetzen. Tipps zu Einwilligung, Datenübermittlung und Anbieterwahl.
Was ist OAuth2 Social Login und warum ist es für deutsche Websites relevant?
OAuth2 Social Login ermöglicht Nutzern, sich über bestehende Konten bei Google, Facebook oder LinkedIn anzumelden, ohne ein separates Passwort anlegen zu müssen. Für deutsche Unternehmen ist das komfortabel, aber mit besonderen datenschutzrechtlichen Herausforderungen verbunden. Seit der DSGVO gelten strenge Regeln für die Verarbeitung personenbezogener Daten. Insbesondere die Einbindung externer Identitätsanbieter führt zu Übermittlungen in Drittländer. Da deutsche Aufsichtsbehörden sehr genau hinsehen, müssen Betreiber die Rechtsgrundlagen sauber dokumentieren. Zudem ist die Einwilligung der Nutzer transparent einzuholen. Wer OAuth2 Social Login in Deutschland anbietet, sollte sich frühzeitig mit den Anforderungen der DSGVO auseinandersetzen, um Abmahnungen und Bußgelder zu vermeiden.
UK-Spezialfall: Datenübermittlung nach dem Brexit
Nach dem Brexit ist das Vereinigte Königreich kein EU-Mitglied mehr, besitzt aber seit Juni 2021 einen Angemessenheitsbeschluss der EU-Kommission. Dieser erleichtert Datenübermittlungen in das UK, da das Datenschutzniveau als gleichwertig angesehen wird. Allerdings ist dieser Beschluss befristet und wird regelmäßig überprüft. Unternehmen sollten die Entwicklungen beobachten, denn eine mögliche Änderung hätte direkte Auswirkungen auf Social-Login-Dienste, die Daten in britische Rechenzentren übertragen. Der Angemessenheitsbeschluss gilt übrigens nicht für die weitere Übermittlung in andere Drittländer. Daher ist es wichtig, die gesamte Verarbeitungskette zu prüfen. Für deutsche Webseiten gilt: Die Übertragung personenbezogener Daten an einen britischen OAuth2-Provider ist derzeit zulässig, aber nur mit geeigneten Garantien und einer dokumentierten Risikobewertung.
DSGVO-Anforderungen an Social Login in Deutschland
Die DSGVO verlangt für Social Login eine rechtskonforme Grundlage. In der Regel dient Art. 6 Abs. 1 lit. a DSGVO als Basis, also die Einwilligung des Nutzers. Diese muss freiwillig, spezifisch, informiert und unmissverständlich sein. Zusätzlich gilt das Prinzip der Datenminimierung: Es dürfen nur solche Daten erhoben werden, die für den Anmeldevorgang zwingend erforderlich sind. Auch müssen Betroffene über die Verarbeitung informiert werden, etwa durch eine Datenschutzerklärung, die den Einsatz von Social Login eindeutig benennt. Für deutsche Unternehmen kommt das TDDDG (früher TMG) hinzu, das unter bestimmten Umständen eine eigene Einwilligung für den Zugriff auf Endgeräte verlangt. Daher ist es entscheidend, den OAuth2-Flow so zu gestalten, dass der Nutzer vorab klare Informationen erhält und der Anbieter nur minimale Daten überträgt.
Praktische Umsetzung: So richten Sie OAuth2 Social Login DSGVO-konform ein
Bei der technischen Umsetzung sollten Sie auf den Server-Side-Flow setzen, damit Access-Tokens und Nutzerdaten niemals direkt im Browser des Clients verarbeitet werden. Achten Sie darauf, dass Ihr OAuth2-Provider eine strikte TLS-Verschlüsselung verwendet und die Server in der EU oder einem Land mit angemessenem Datenschutzniveau stehen. Prüfen Sie die Datenschutzeinstellungen des Providers: Fordern Sie nur die minimalen Scopes an (z.B. E-Mail-Adresse, Name) und fragen Sie nicht nach unnötigen Berechtigungen. Nutzen Sie zudem einen etablierten Provider, der Standardvertragsklauseln mit Subunternehmern abgeschlossen hat. Für den deutschen Markt bieten sich auch lokale Identitätsanbieter an, die eine DSGVO-konforme Verarbeitung von vornherein garantieren. Führen Sie ein Verarbeitungsverzeichnis nach Art. 30 DSGVO, in dem die Datenübermittlung an den Provider dokumentiert wird.
Checkliste für den Einsatz von Social Login im deutschen Mittelstand
Bevor Sie Social Login einführen, stehen Sie vor einigen Hausaufgaben. Erstellen Sie eine Liste aller Daten, die der Provider erhält, und prüfen Sie, ob diese für den Zweck erforderlich sind. Holen Sie die ausdrückliche Einwilligung der Nutzer ein, bevor Sie sie zu Ihrem Identitätsanbieter weiterleiten. Setzen Sie doppelte Opt-in-Verfahren ein, wenn Sie zusätzlich personenbezogene Daten für Marketing nutzen möchten. Aktualisieren Sie Ihre Datenschutzerklärung mit einem Abschnitt zu Social Login, inklusive der Erklärung, wohin Daten übertragen werden. Benennen Sie einen betrieblichen Datenschutzbeauftragten, wenn die gesetzlichen Voraussetzungen vorliegen. Schaffen Sie außerdem eine einfache Möglichkeit für Nutzer, ihre Einwilligung zu widerrufen und Konten zu löschen. Mit dieser Checkliste stellen Sie sicher, dass Ihr Angebot den deutschen und europäischen Datenschutzanforderungen entspricht.
FAQ
Ja, aktuell (2026) gibt es einen Angemessenheitsbeschluss der EU-Kommission für das UK. Die Übermittlung personenbezogener Daten an britische OAuth2-Provider ist damit grundsätzlich zulässig. Allerdings ist der Beschluss befristet und könnte künftig angepasst werden. Unternehmen sollten regelmäßig prüfen, ob die Bedingungen noch gelten, und vorausschauend Standardvertragsklauseln zusätzlich vorbereiten.