DSGVO-konformes Tracking: der praxisnahe Überblick

Einordnung

Dieser Artikel ist ein Überblick und keine Rechtsberatung. Für schwierige Fälle ziehst du eine Fachperson hinzu. Er trennt zwei Fragen, die im Alltag oft vermischt werden: Was verlangt das Recht, und wie setzt du es technisch um? Die erste Frage beantwortet dir bei Unsicherheit eine Fachperson, die zweite lässt sich Schritt für Schritt prüfen.

Für das Speichern und Auslesen von Informationen auf dem Endgerät, die nicht unbedingt erforderlich sind, brauchst du in Deutschland nach § 25 TDDDG (früher TTDSG) eine Einwilligung. Das betrifft Cookies und Ähnliches. Für die Verarbeitung personenbezogener Daten gilt außerdem die DSGVO. Beide Regelwerke greifen nebeneinander: Das eine fragt nach dem Zugriff auf das Gerät, das andere nach dem Umgang mit den Daten.

Die Einwilligung muss freiwillig und informiert sein. „Ablehnen“ muss so einfach sein wie „Zustimmen“. Ein Hinweis nur mit „OK“ ist keine echte Wahl. Informiert heißt: Der Besucher erfährt vor der Entscheidung, welche Dienste wofür eingesetzt werden. Freiwillig heißt: Er kann ablehnen und die Seite trotzdem nutzen.

• Nicht erforderliche Cookies und Ähnliches: Einwilligung nach § 25 TDDDG.
• Personenbezogene Daten: DSGVO.
• Ablehnen so einfach wie Zustimmen.
• Kein reiner „OK“-Hinweis.

Was erforderlich ist und was nicht

Nicht jedes Cookie braucht eine Einwilligung, nur das nicht unbedingt erforderliche. Technisch notwendig ist, was der Besucher selbst angefordert hat und ohne das die Seite nicht funktioniert, etwa ein Warenkorb im Shop oder die Speicherung der Banner-Entscheidung. Reichweitenmessung, Werbe-Pixel und Remarketing gehören nicht dazu, sie laufen erst nach Zustimmung.

Ein Beispiel: Eine Praxis mit Online-Terminbuchung nutzt eine Buchungsfunktion, die ohne Speicherung nicht auskommt, und GA4 für die Reichweite. Die Buchungsfunktion ist die Sache der Seitentechnik, GA4 braucht die Einwilligung. Die Grenze im Einzelfall zu ziehen kann schwierig sein. Im Zweifel behandelst du einen Dienst als einwilligungspflichtig.

Passend dazu: Tracking ohne Einwilligung: was geht und was nicht

Technische Umsetzung

Technisch ist die Grundregel: Standard ist „abgelehnt“. Tags laufen erst nach Zustimmung, am besten gesteuert über den Tag Manager, der ihre Auslösung an den Zustand des Banners koppelt. In der Praxis heißt das: Jeder Tag für Analyse oder Werbung bekommt im Tag Manager eine Einwilligungsprüfung, die zum passenden Banner-Bereich gehört, etwa Statistik oder Marketing.

Dazu kommt Consent Mode v2 für Google-Dienste. Er gibt Google die Einwilligungswahl weiter und lässt Tags je nach Wahl anders arbeiten. Er ersetzt aber keine Einwilligung und das Banner nicht. Für Dienste anderer Anbieter, etwa das Meta Pixel, steuerst du die Einwilligung über die Prüfung im Tag Manager.

Achte beim Zusammenspiel auf die Reihenfolge. Der Standard „abgelehnt“ muss gelten, bevor der erste Tag startet. Reagiert der Container erst nach dem Banner, kann entweder zu früh gesendet werden oder, in die andere Richtung, der erste Seitenaufruf fehlen, weil der Tag nicht nachgeholt wird.

So testest du es

Teste vor dem Livegang mit und ohne Einwilligung. Die Netzwerkansicht im Browser zeigt, ob bei Ablehnung tatsächlich keine Anfragen an Dritte gehen. Öffne die Seite in einem privaten Fenster, lehne ab und schau dir die Anfragen an: Gehen dort Aufrufe an Google, Meta oder andere Werbedienste, ist etwas falsch konfiguriert. Wiederhole den Test mit Zustimmung und prüfe, dass die Daten danach ankommen.

• Neuer Besucher, ohne Wahl: keine Analyse- und Werbeanfragen.
• Ablehnen: keine Analyse- und Werbeanfragen, die Seite funktioniert normal.
• Zustimmen: die Tags laufen, der erste Seitenaufruf kommt genau einmal an.
• Wiederkehrender Besucher: die gespeicherte Wahl gilt, und eine Änderung ist jederzeit möglich.

Typische Fehler im Alltag

Der häufigste Fehler ist ein Banner, der nur auf dem Papier steuert: Die Auswahl wird gespeichert, die Tags laufen aber trotzdem. Das erkennst du nur im Test, nicht an der Oberfläche des Banners. Ein zweiter Klassiker sind doppelt eingebundene Dienste. Ein Pixel läuft über den Tag Manager und zusätzlich über ein Plugin, und nur eine der beiden Einbindungen ist an die Einwilligung gekoppelt.

Ebenfalls verbreitet: Das Banner wird beim Seitenwechsel neu geladen oder die gespeicherte Wahl nicht erkannt, sodass wiederkehrende Besucher erneut gefragt werden oder, schlimmer, ohne Wahl getrackt werden. Und nach Relaunches oder Theme-Wechseln tauchen alte Tracking-Codes wieder auf. Prüfe deshalb nach jeder größeren Änderung den Quelltext und den Container auf Altlasten.

Datenschutzerklärung und Verträge

Die Datenschutzerklärung nennt alle eingebundenen Dienste. Ändern sich die Dienste oder ihre Konfiguration, passt du den Text an. Das passiert schneller, als man denkt: Ein neues Plugin, ein hinzugefügtes Pixel oder ein Wechsel des Analysewerkzeugs reichen. Die Liste der Dienste ergibt sich aus dem Tag Manager und aus dem Quelltext der Seite. Gleich sie nach jeder Änderung ab.

Mit Dienstleistern, die in deinem Auftrag personenbezogene Daten verarbeiten, schließt du eine Auftragsverarbeitung ab. Das betrifft Werkzeuge, die Daten für dich auswerten oder speichern. Wo genau die Grenze verläuft und welche Anbieter dazugehören, klärst du im Zweifel mit einer Rechtsberatung.

• Alle Tracking-Dienste in der Datenschutzerklärung nennen.
• Auftragsverarbeitung mit Dienstleistern abschließen.
• Text bei jeder Änderung der Dienste prüfen.

Praktische Schritte

Beginne mit einer Bestandsaufnahme aller Skripte und Dienste auf deiner Website. Entferne, was du nicht brauchst. Je weniger Dienste laufen, desto kleiner ist das Fehlerrisiko. Oft finden sich Altlasten: ein früher ausprobiertes Pixel, ein nicht mehr genutztes Analysewerkzeug, ein fest eingebauter Code im Theme neben dem Tag Manager.

Danach folgt die Reihenfolge: Banner prüfen, Standard „abgelehnt“ einrichten, Tags an die Einwilligung koppeln, mit und ohne Zustimmung testen, Datenschutzerklärung abgleichen. Wiederhole diesen Durchlauf nach jeder größeren Änderung an der Seite.

Holst du dir Hilfe, ist ein Zugriff über die Nutzerverwaltung besser als ein Passwortaustausch. Trackum richtet Tracking ein, auch mit Consent Mode v2, mit festen Preisen vorab. Getestet wird mit und ohne Einwilligung, live geht es innerhalb eines Werktags.