Server-Side Tracking und DSGVO

Kein Weg um die Einwilligung

Server-Side Tracking ist kein Weg um die Einwilligung herum. Für Werbe- und Analysezwecke bleibt sie nötig, auch wenn die Daten über deinen Server laufen. Dass der Browser des Besuchers nicht mehr direkt mit vielen Anbietern spricht, ändert nichts daran, dass personenbezogene Daten verarbeitet und weitergegeben werden. Wer Server-Side Tracking als Trick versteht, um ohne Zustimmung zu messen, versteht es falsch. Dieser Artikel ist keine Rechtsberatung, sondern ein technischer und praktischer Überblick.

Der Vorteil für den Datenschutz liegt woanders: Du kannst Daten vor der Weitergabe minimieren, etwa die IP-Adresse kürzen oder Parameter entfernen. Statt dass der Browser direkt mit vielen Diensten spricht, läuft die Kommunikation über deinen Server, und du entscheidest, was weitergeleitet wird. Du gewinnst also Kontrolle, aber keine Freistellung von der Einwilligung.

Datenminimierung auf dem Server

Auf dem Server kannst du Regeln festlegen, die Felder kürzen oder entfernen, bevor Ereignisse an Plattformen wie GA4 oder Meta gehen. Das ist nützlich, wenn bestimmte Daten für deine Auswertung nicht nötig sind. Ein Beispiel: Ein Kontaktformular sendet versehentlich die E-Mail-Adresse als Teil der Seitenadresse an alle angeschlossenen Dienste. Auf dem Server lässt sich dieser Parameter gezielt entfernen, bevor etwas weitergeht. Im Browser-Setup müsstest du jeden Dienst einzeln anpassen.

Datenminimierung ist keine Einmalaufgabe: Kommen neue Ereignisse oder Parameter dazu, müssen sie ebenfalls geprüft werden. Teste außerdem, dass die Regeln wie gewünscht arbeiten, mit und ohne Einwilligung, und dass sie keine Daten entfernen, die du für die Auswertung brauchst.

• IP-Adressen kürzen, bevor Daten weitergegeben werden.
• Nicht benötigte Parameter entfernen.
• Prüfen, ob sensible Daten in Ereignissen stecken.
• Regeln nach Änderungen am Tracking erneut prüfen.

Passend dazu: Tracking in der Datenschutzerklärung: was gehört hinein

Hosting, Vertrag, Datenschutzerklärung

Wähle Hosting in der EU. Mit dem Anbieter des Servers brauchst du einen Auftragsverarbeitungsvertrag, denn er verarbeitet im Auftrag Daten deiner Besucher. Außerdem musst du deine Datenschutzerklärung anpassen und darin beschreiben, dass Daten über einen eigenen Server laufen und was dort verarbeitet wird. Die Erklärung gehört zu den Aufgaben, die gern vergessen werden, weil das Setup technisch läuft und niemand mehr in die Texte schaut. Gehe sie bei jeder Änderung am Tracking erneut durch. Auch die Rechtsgrundlage ändert sich durch den Server nicht: Für Tracking zu Werbe- und Analysezwecken bleibt die Einwilligung der Weg, und der Widerruf muss genauso einfach möglich bleiben wie die Zustimmung.

Einbindung in bestehende Setups

Wer bereits Tag Manager und GA4 nutzt, kann Server-Side Tracking ergänzen: Der Server nimmt die Ereignisse entgegen und leitet sie an die Plattformen weiter. Auch Google Ads und Meta lassen sich so anbinden. Der Consent Mode und die Einwilligung bleiben dabei relevant; die Server-Logik muss den Einwilligungsstatus berücksichtigen. Das heißt konkret: Der Status, den das Banner im Browser erfasst, muss mit den Ereignissen zum Server gelangen, und der Server darf nur das weiterreichen, wofür eine Zustimmung vorliegt.

Testen: mit und ohne Einwilligung

Ein Server-Setup prüfst du in zwei Schichten. Im Browser siehst du in den Entwicklertools, wohin Anfragen gehen: Sie sollten an deinen eigenen Server laufen und nicht mehr direkt an viele Drittanbieter. Auf dem Server selbst prüfst du, welche Ereignisse ankommen und was an die Plattformen weitergeleitet wird. Spiele den Ablauf dreimal durch: ohne Wahl im Banner, nach „Ablehnen“ und nach „Alle akzeptieren“. Ohne Zustimmung darf nichts an Werbe- oder Analyseplattformen gehen, und nach Zustimmung muss jedes Ereignis genau einmal ankommen.

Vergleiche außerdem eine echte Aktion Schritt für Schritt: Eine Formularsendung im Browser muss als ein Ereignis auf dem Server erscheinen und als ein Ereignis bei der Plattform. Taucht sie doppelt auf, läuft neben dem Server-Weg noch ein direkter Browser-Weg. Das ist der häufigste Fehler beim Umstieg, weil der alte Web-Tag nicht abgeschaltet wurde.

Typische Fehler beim Umstieg

Neben dem doppelten Senden gibt es drei Stolpersteine. Erstens wird die Datenschutzerklärung nicht angepasst, obwohl nun ein eigener Server beteiligt ist. Zweitens fehlt der Auftragsverarbeitungsvertrag mit dem Anbieter, weil der Server als reine Technik betrachtet wird. Drittens kommt der Einwilligungsstatus nicht beim Server an, sodass dieser alles weiterreicht, was ihn erreicht. Alle drei Fehler sind vermeidbar, wenn du sie vor dem Livegang als Checkliste durchgehst.

Wann sich der Aufwand lohnt

Server-Side Tracking ist mehr Aufwand als ein reiner Web-Container: Du betreibst einen zusätzlichen Server, musst ihn pflegen und hast eine weitere Fehlerquelle. Es lohnt sich, wenn du Daten gezielt minimieren willst, mehr Kontrolle über die Weitergabe suchst oder viele Plattformen anbindest. Für einen kleinen Auftritt mit wenigen Ereignissen reicht oft der Web-Container. Prüfe ehrlich, welches Problem du lösen willst, bevor du den Mehraufwand eingehst.

Das Angebot

Trackum bietet Server-Side Tracking bald an. Du kannst dein Interesse vormerken lassen. Der geplante Preis liegt bei 600 € einmalig. Der Server läuft auf deinen Namen bei einem Anbieter und kostet laut Trackum-Website ab etwa 20 € im Monat.