OAuth2 Social Login und die UK-DSGVO: Was Sie 2026 wissen müssen
17. August 2026
Erfahren Sie, wie Sie OAuth2-Social-Login in Großbritannien implementieren, ohne die DSGVO zu verletzen. Wichtige Anforderungen, Rechtsgrundlagen und praktische Tipps für 2026.
OAuth2 Social Login und DSGVO: Das Zusammenspiel verstehen
OAuth2-Social-Login ermöglicht es Nutzern, sich über Google, Facebook, Apple oder andere Anbieter anzumelden, ohne ein separates Konto erstellen zu müssen. Das ist zwar bequem, löst jedoch die DSGVO des Vereinigten Königreichs aus, da personenbezogene Daten vom Anbieter an Ihre Website übertragen werden. Das Information Commissioner's Office (ICO) erwartet, dass Sie dies genau wie jede andere Verarbeitung personenbezogener Daten behandeln. Das bedeutet, dass Sie eine Rechtsgrundlage bestimmen, klare Datenschutzinformationen bereitstellen und sicherstellen müssen, dass Sie nur die Daten anfordern, die Sie tatsächlich benötigen. Die Tatsache, dass der Nutzer bereits ein Konto anderswo hat, ändert nichts an Ihren Pflichten. Im Jahr 2026, angesichts anhaltender regulatorischer Kontrolle, ist es unerlässlich, dies richtig zu machen. Bei Nichteinhaltung drohen nach dem DSGVO-Regime des Vereinigten Königreichs Geldbußen von bis zu 17,5 Millionen Pfund oder 4 % des weltweiten Jahresumsatzes.
Rechtsgrundlage für die Verarbeitung von Social-Login-Daten im Vereinigten Königreich
Wenn Sie OAuth2-Social-Login anbieten, benötigen Sie eine gültige Rechtsgrundlage gemäß Artikel 6 der UK-GDPR. Am häufigsten sind dies „Einwilligung" oder „berechtigtes Interesse". Die Einwilligung ist oft der sicherste Weg, aber sie muss freiwillig, spezifisch, informiert und eindeutig sein. Sie können sich nicht auf die Einwilligung
Einwilligung und Transparenz unter der UK GDPR
Transparenz ist der Kern der Einhaltung der UK-GDPR. Beim Social Login über OAuth2 müssen Nutzer genau wissen, welche Daten Sie erhalten und wie Sie diese verwenden, bevor sie auf den Social-Button klicken. Ihre Datenschutzerklärung sollte die spezifischen Datenfelder auflisten, die Sie über OAuth2-Scopes anfordern, wie z. B. Name, E-Mail-Adresse oder Profilbild. Vermeiden Sie es, Zugriff auf Kontakte, Freundeslisten oder andere Daten anzufordern, die Sie für den Dienst nicht tatsächlich benötigen. Wenn Sie personenbezogene Daten für Marketing, Analysen oder Profiling verwenden, holen Sie eine separate Opt-in-Einwilligung ein. Die Leitlinien der ICO zum Social Login betonen, dass der Nutzer seine Einwilligung ebenso leicht widerrufen können sollte, wie er sie erteilt hat. Erwägen Sie, Ihre Consent-Management-Plattform in Ihren OAuth2-Ablauf zu integrieren, um Einwilligungsnachweise zuverlässig zu erfassen und zu speichern.
Datenminimierung und Zweckbindung mit OAuth2
Die UK-DSGVO verlangt, dass Sie nur personenbezogene Daten erheben, die angemessen, relevant und auf das Notwendige beschränkt sind. Bei OAuth2 ist es verlockend, weitreichende Berechtigungen anzufragen, um zusätzliche Daten „nur für den Fall" zu erhalten. Widerstehen Sie dieser Versuchung. Der Grundsatz der Datenminimierung gilt direkt für Ihre Scope-Anfragen. Wenn Sie beispielsweise nur die E-Mail-Adresse des Nutzers benötigen, um ein Konto zu erstellen, fragen Sie nicht nach dessen Geburtsdatum oder Standort. Außerdem dürfen Sie Daten, die Sie über Social Login erhalten, nicht für Zwecke verwenden, die nichts mit Ihrem ursprünglichen Zweck zu tun haben, es sei denn, Sie haben eine neue Rechtsgrundlage. In der Praxis bedeutet dies, dass Sie jedes Datenfeld, das Sie von OAuth2-Anbietern erhalten, erfassen, Ihren Zweck dokumentieren und regelmäßig überprüfen sollten, ob Sie es noch benötigen. Das Löschen von Daten, die Sie nicht mehr benötigen, ist ebenso wichtig.
Praktische Compliance-Checkliste für britische Unternehmen
Um auch 2026 konform zu bleiben, beginnen Sie mit einem Daten-Audit: Listen Sie jeden OAuth2-Anbieter auf, den Sie nutzen, sowie die Scopes, die Sie anfragen. Aktualisieren Sie Ihre Datenschutzerklärung, um Social Login klar zu erläutern – einschließlich der Rolle des Anbieters, der übertragenen Daten und Ihrer Rechtsgrundlage. Implementieren Sie ein Consent-Tool, das die Einwilligung getrennt von der Kontoerstellung erfasst und protokolliert. Stellen Sie sicher, dass Ihre Datenschutzrichtlinie die Rechte der Nutzer erwähnt, einschließlich Löschung und Datenübertragbarkeit, und dass Sie auf Auskunftsersuchen von Betroffenen schnell reagieren können. Prüfen Sie bei der Zusammenarbeit mit OAuth2-Anbietern deren DSGVO-Konformität und erwägen Sie den Abschluss eines Auftragsverarbeitungsvertrags, wenn diese als Auftragsverarbeiter fungieren. Testen Sie abschließend Ihre Abläufe: Nutzer müssen ihre Einwilligung problemlos zurückziehen und ihre Social-Login-Verknüpfung löschen können. Dokumentieren Sie all diese Schritte, um dem ICO zu zeigen, dass Sie Rechenschaftspflicht ernst nehmen.
FAQ
Ja. Selbst wenn Ihre Website über OAuth2 nur einen Namen und eine E-Mail-Adresse empfängt und keine anderen Daten speichert, fällt diese Verarbeitung dennoch unter die britische DSGVO (UK GDPR). In dem Moment, in dem personenbezogene Daten an Ihren Server übertragen werden, werden Sie zum Verantwortlichen und müssen eine Rechtsgrundlage haben, Transparenz gewährleisten und die Rechte der betroffenen Personen respektieren.