Google Tag Manager in der Datenschutzerklärung nennen

Gehört der Tag Manager in die Datenschutzerklärung?

Ja. Der Google Tag Manager lädt die eingebundenen Dienste, und beim Laden des Skripts wird die IP-Adresse technisch an Google übertragen. Beides gehört in die Datenschutzerklärung. Genauso wichtig ist, jeden eingebundenen Dienst einzeln zu nennen, etwa GA4, Google Ads oder das Meta Pixel. Wer nur schreibt „Wir nutzen den Google Tag Manager“, hat die Hälfte erledigt, denn die eigentliche Verarbeitung findet in den Diensten statt, die der Tag Manager lädt.

Der große Überblick: Google Tag Manager – Anleitung, Einrichtung und DSGVO

Dieser Artikel ist keine Rechtsberatung. Er zeigt dir, was technisch passiert und was ein Text dazu enthalten sollte. Wie du ihn formulierst und ob er für deinen Fall ausreicht, klärst du mit einer fachkundigen Person. Mustertexte von Generatoren helfen als Ausgangspunkt, ersetzen aber nicht den Abgleich mit deiner Technik.

Wie der Tag Manager arbeitet

Der Tag Manager selbst ist ein Container, der auf deiner Seite eingebunden wird. In diesem Container liegen Tags, also kleine Anweisungen, die andere Dienste laden: Analyse, Werbung, Pixel. Der Container entscheidet anhand von Triggern, wann welcher Tag läuft. Das erklärt, warum eine Datenschutzerklärung zwei Ebenen braucht. Auf der ersten Ebene steht der Tag Manager als Verwaltungswerkzeug, auf der zweiten jeder Dienst, der darüber läuft.

Beispiel: Eine Zahnarztpraxis nutzt den Tag Manager für GA4 und für Google Ads. Ihre Erklärung braucht einen Abschnitt zum Tag Manager und je einen zu Google Analytics und Google Ads. Kommt später ein Meta Pixel dazu, muss sie um einen weiteren Abschnitt wachsen. Der Fehler, den viele Betreiber machen: Sie ergänzen einen Tag im Container, aber nicht den Text.

Passend dazu: Server-Side Tracking und DSGVO

Was für jeden Eintrag gehört

Für jeden Dienst brauchst du dieselben Angaben. Du kannst sie dir als Raster merken und für jeden Tag im Container abarbeiten.

• Zweck: wofür du den Dienst einsetzt, zum Beispiel Reichweitenmessung oder Werbung.
• Rechtsgrundlage: Einwilligung oder berechtigtes Interesse.
• Empfänger: bei Google-Diensten Google.
• Drittlandübermittlung: ob Daten in ein Drittland übertragen werden.
• Widerruf: wie Besucher eine Einwilligung zurücknehmen können, etwa über die Einstellungen des Cookie-Banners.

Die Rechtsgrundlage ist der Punkt, an dem viele ins Stocken geraten. Ob schon das Laden des Tag Managers eine Einwilligung erfordert, wird unterschiedlich bewertet. Manche stützen sich auf berechtigtes Interesse, andere verlangen Zustimmung. Entscheide dich begründet und halte die Entscheidung fest. Wichtig ist, dass Text und technische Umsetzung zusammenpassen: Steht im Text, dass Analyse nur mit Einwilligung läuft, darf sie ohne Einwilligung nicht laufen.

Cookies und IP-Adresse trennen

Nach Angaben von Google setzt der Tag Manager selbst keine Cookies, er steuert nur das Laden. Cookies setzen die eingebundenen Dienste. Beschreibe das getrennt: Der Abschnitt zum Tag Manager erklärt, dass er Dienste lädt und dabei technisch die IP-Adresse an Google übertragen wird. Die Abschnitte zu den Diensten nennen deren Cookies und Kennungen, soweit sie bekannt sind.

Nenne die IP-Übertragung beim Laden des Skripts, nicht nur die Cookies. Das wird oft vergessen, weil sich der Blick auf Cookies richtet. Die Übertragung der IP-Adresse passiert aber beim Abruf des Skripts von Google-Servern, also vor jeder Entscheidung im Banner, wenn du den Container direkt lädst. Nutzt du den Consent Mode v2, erwähne ihn kurz und beschreibe, dass die Einstellung im Banner beeinflusst, was gesendet wird.

Text und Technik abgleichen

Eine Datenschutzerklärung ist nur so gut wie die Technik dahinter. Steht dort, dass ohne Einwilligung keine Analyse- und Werbedaten gesendet werden, musst du das testen: einmal mit und einmal ohne Einwilligung, im Vorschaumodus des Tag Managers und in den Netzwerk-Anfragen des Browsers. Öffne dafür ein privates Fenster, wähle „Ablehnen“ und schaue im Reiter „Netzwerk“, ob Anfragen an Google-Analytics- oder Werbeadressen gehen. Dann wiederholst du den Test mit „Alle akzeptieren“.

Prüfe das auch nach Änderungen am Container. Jeder neue Tag ist eine neue Verarbeitung, die in den Text gehört. Lege dir eine einfache Liste an, in der du für jeden Tag im Container die passende Textstelle einträgst. Bei jeder Änderung des Containers gehst du die Liste durch. So bleibt die Erklärung aktuell, ohne dass du jedes Mal bei null anfängst.

Schreibe verständlich und konkret. Statt „Wir nutzen Dienste zu Analysezwecken“ benenne den Dienst, den Zweck und was dabei passiert. Besucher sollen nach dem Lesen wissen, was auf deiner Seite geschieht, nicht nur, dass etwas geschieht.

Häufige Lücken

Typische Lücken sind Tags, die im Container hinzugekommen sind, aber nicht im Text stehen, ein veralteter Text zu einem Dienst, den du längst nicht mehr nutzt, und fehlende Hinweise zum Widerruf. Auch Dienste, die nicht über den Tag Manager laufen, sondern direkt im Seitenquelltext eingebunden sind, werden gern übersehen. Suche im Quelltext der Seite nach Skripten, die nicht aus dem Container kommen.

Wenn du es abgleichen lassen willst

Der Abgleich von Technik und Text ist Detailarbeit. Für die rechtliche Formulierung brauchst du eine fachkundige Person. Für die Technik hilft Trackum, das Tracking mit Consent Mode v2 einrichtet und mit und ohne Einwilligung testet.