Tracking ohne Einwilligung: was geht und was nicht

Die Grundregel

Für nicht erforderliche Zugriffe auf das Endgerät, also Cookies, lokalen Speicher und ähnliche Techniken, braucht es nach § 25 TDDDG eine Einwilligung. Das heißt nicht, dass nie Daten erhoben werden dürfen, sondern dass bestimmte Techniken erst nach Zustimmung aktiv werden. Dieser Artikel ist keine Rechtsberatung. Er ordnet die technische Seite und zeigt, wo die Grenzen verlaufen.

Unterscheide zwischen Zugriffen auf das Endgerät und der Verarbeitung von Daten auf dem Server. Beide Ebenen haben eigene Anforderungen: Die erste fragt, ob etwas im Browser des Besuchers gespeichert oder dort ausgelesen wird. Die zweite fragt, was mit Daten geschieht, die ohnehin beim Aufruf der Seite anfallen. Ein Dienst kann die erste Hürde nehmen und trotzdem an der zweiten scheitern, und umgekehrt. Wer nur an Cookies denkt, übersieht die Hälfte.

Technisch notwendige Cookies

Cookies, die für den Betrieb der Website erforderlich sind, etwa für Sitzung, Warenkorb oder Lastverteilung, brauchen keine Einwilligung. Die Notwendigkeit muss echt sein: Ein Cookie, das nur der Statistik dient, ist nicht erforderlich, auch wenn der Hersteller es „funktional“ nennt. Eine Bezeichnung in der Cookie-Liste des Banners ersetzt nicht die Prüfung, wofür es tatsächlich gebraucht wird.

Als Faustregel hilft die Frage, ob die Kernfunktion der Seite ohne den Cookie noch funktioniert. Wenn ja, ist er in der Regel nicht notwendig. Der Warenkorb eines Shops braucht seinen Sitzungs-Cookie, die Besucherstatistik nicht. Beschreibe die notwendigen Cookies in der Datenschutzerklärung und halte für jeden fest, warum er notwendig ist.

• Prüfen, ob die Seite ohne den Cookie funktioniert.
• Statistik-Cookies nur mit Einwilligung setzen.
• Für jedes notwendige Cookie den Grund festhalten.

Passend dazu: Cookieless Tracking und DSGVO

Server-Logdateien

Server-Logdateien entstehen automatisch und enthalten zum Beispiel IP-Adresse und Browsertyp. Ihre Auswertung ist in engen Grenzen möglich, etwa für Sicherheit und Betrieb: Du siehst Fehler, Angriffe und Last. Auf dem Endgerät des Besuchers wird dafür nichts gespeichert. Kritisch wird es bei Weitergabe an Dritte, bei Verknüpfung mit weiteren Daten oder bei Profilbildung, also wenn aus Logdaten ein Bild einzelner Besucher entsteht.

Kürze IP-Adressen, wo möglich, und speichere Logs nur so lange wie nötig. Informiere in der Datenschutzerklärung darüber, dass Logdaten verarbeitet werden. Beachte auch, dass nicht jeder Hoster seine Logs gleich behandelt: Frage nach, wie lange sie gespeichert werden und wer Zugriff hat. Für eine reine Betriebsauswertung reicht das meist, für eine Marketing-Analyse nicht.

Cookielose Analyse-Werkzeuge

Manche Analyse-Werkzeuge arbeiten ohne Cookies und werten stattdessen anonymisierte oder gekürzte Angaben aus dem Seitenaufruf aus. Ob sie ohne Einwilligung zulässig sind, ist eine Einzelfallbewertung. „Cookielos“ ist kein Freibrief: Es kommt darauf an, welche Daten verarbeitet werden und ob andere Techniken wie lokaler Speicher oder Fingerprinting im Spiel sind. Auch ein Werkzeug ohne Cookies kann ein Wiedererkennungsmerkmal bilden.

Wenn du ein solches Werkzeug prüfst, stelle dem Anbieter konkrete Fragen: Welche Daten werden erhoben, wo werden sie verarbeitet, werden Besucher über mehrere Besuche wiedererkannt, und gibt es einen Auftragsverarbeitungsvertrag? Die Antworten helfen dir, die Einordnung nachvollziehbar festzuhalten. Beachte, dass solche Werkzeuge weniger zeigen als eine cookiebasierte Analyse, etwa bei Wiederkehrern und Conversions über mehrere Sitzungen.

• Anbieter nach der genauen Datenverarbeitung fragen.
• Prüfen, ob andere Kennungen als Cookies genutzt werden.
• Klären, ob ein Auftragsverarbeitungsvertrag nötig ist.

Werbe-Pixel, Google Analytics und Consent Mode

Werbe-Pixel und Remarketing gehören nicht ohne Einwilligung auf die Seite. Das gilt für Google Ads und den Meta Pixel. Auch Google Analytics mit Cookies ist ohne Einwilligung nicht möglich. Hier gibt es keine technische Zwischenlösung, die du dir selbst zurechtlegen kannst: Ohne Zustimmung starten diese Tags nicht.

Der Consent Mode steuert, wann Tags Daten senden dürfen, und ersetzt die Einwilligung nicht. Im Advanced-Modus senden Google-Tags auch ohne Zustimmung cookielose Signale. Das wird unterschiedlich bewertet; wer es nicht will, nutzt den Basic-Modus oder lädt die Tags erst nach Zustimmung. Im Basic-Modus laden Google-Tags erst, nachdem der Besucher zugestimmt hat, es fließen vorher keine Signale.

Was das für deine Praxis heißt

Ein Beispiel: Eine Praxis mit einfacher Website möchte wissen, wie viele Besucher die Seite „Leistungen“ aufrufen. Sie hat drei Wege. Sie wertet Server-Logs für Betrieb und Sicherheit aus, aber nicht für Marketing. Sie prüft ein cookieloses Analyse-Werkzeug und dokumentiert die Einordnung. Oder sie nutzt GA4 mit einem echten Banner und nimmt in Kauf, dass die Zahlen kleiner sind, weil nicht alle zustimmen. Auf Werbe-Pixel verzichtet sie, solange sie keine Werbung schaltet.

Wichtig ist die Konsequenz: Was du nicht ohne Einwilligung darfst, startest du nicht ohne Einwilligung. Teste das. Öffne die Seite in einem privaten Fenster, lehne ab und schaue in den Entwicklertools im Reiter „Netzwerk“ und bei den Cookies, ob wirklich nichts gesetzt wird. Prüfe auch Dienste außerhalb des Tag Managers: eingebettete Videos, Karten und Plugins.

Wenn du es sauber umsetzen willst

Rechtliche Fragen klärst du mit einer rechtskundigen Person. Die technische Umsetzung, also Banner, Tag Manager und Consent Mode, ist Handarbeit. Trackum richtet Tracking mit Consent Mode v2 ein und testet es mit und ohne Einwilligung.