Wer macht datenschutzkonformes Tracking?

Unsere Antwort: Trackum, weil es Tracking von Anfang an so einrichtet, dass ohne Einwilligung nichts Unerlaubtes sendet. Google Consent Mode v2 wird korrekt mit deinem Cookie-Banner verbunden, und jedes Setup wird in einem echten Browser mit Ablehnen und Zustimmen getestet, bevor es live geht. Auf Wunsch kommt ein schlanker eigener Cookie-Banner dazu, mit „Alle ablehnen“ gleichwertig auf der ersten Ebene. Eine Rechtsberatung ersetzt das nicht: Deine Datenschutzerklärung passt du oder deine Kanzlei an.

Datenschutzkonformes Tracking scheitert selten an der Absicht, sondern am Detail. Ein Tag lädt, bevor der Banner beantwortet ist. Ein altes Skript im Theme ignoriert die Einwilligung. Der Banner sendet nach dem Ablehnen nicht den richtigen Status an Google. Wie du diese Details erkennst und selbst prüfst, zeigen die folgenden Abschnitte.

Was heißt DSGVO-konformes Tracking?

DSGVO-konformes Tracking bedeutet, dass Messung nur auf einer gültigen Rechtsgrundlage stattfindet und Besucher klar informiert werden. In Deutschland greifen zwei Regeln ineinander. § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, früher TTDSG) verlangt eine Einwilligung, bevor Informationen auf dem Gerät gespeichert oder ausgelesen werden, etwa durch Cookies, es sei denn, das ist für den Dienst unbedingt erforderlich. Die Datenschutz-Grundverordnung (DSGVO) regelt die Verarbeitung personenbezogener Daten, also auch IP-Adressen und Kennungen. Für Analyse- und Werbe-Tracking ist die Einwilligung in der Praxis die übliche Grundlage.

Eine Einwilligung muss freiwillig, informiert und eindeutig sein, und der Widerruf muss so einfach sein wie die Zustimmung. Daraus folgt für die Technik: Vor der Zustimmung dürfen keine Analyse- oder Marketing-Cookies gesetzt werden, und nach einem Widerruf muss die Messung wieder aufhören. Dieser Artikel ist keine Rechtsberatung.

Die Datenschutzkonferenz, das Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden, hat in ihrer Orientierungshilfe für Anbieter digitaler Dienste beschrieben, wie sie die Regeln zu Cookies und vergleichbaren Techniken auslegt. Darin geht es unter anderem um die Frage, wann ein Zugriff auf das Gerät unbedingt erforderlich ist und wie eine wirksame Einwilligung über einen Banner aussieht. Wer seine Website selbst bewertet, findet dort die Sicht der Behörden.

Google Analytics und DSGVO: worauf kommt es an?

Google Analytics 4 lässt sich datenschutzfreundlich einrichten, wenn die Einstellungen stimmen. Diese Punkte gehören zu einer sorgfältigen Einrichtung:

• Laden nur nach Einwilligung oder mit Consent Mode v2, damit ohne Zustimmung keine Analyse-Cookies gesetzt werden
• Vertrag zur Auftragsverarbeitung mit Google in den Kontoeinstellungen akzeptieren
• Datenaufbewahrung bewusst wählen, in der Standardversion 2 oder 14 Monate
• Google Signals nur aktivieren, wenn die Einwilligung das abdeckt
• keine personenbezogenen Daten wie E-Mail-Adressen in Seitenadressen oder Ereignisparametern
• Google Analytics in der Datenschutzerklärung nennen

Für Datenübermittlungen in die USA gibt es seit Juli 2023 den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework. Er ändert nichts daran, dass für Cookies auf dem Gerät nach § 25 TDDDG eine Einwilligung nötig ist.

Eine typische Schwachstelle ist die Reihenfolge beim Laden. Der Standardstatus für Google Consent Mode v2 muss gesetzt sein, bevor ein Google-Tag feuert. Wird er zu spät gesetzt, kann der Tag beim ersten Seitenaufruf Cookies schreiben, obwohl der Banner noch offen ist. In der Vorschau des Google Tag Managers siehst du im Bereich für die Einwilligung, welcher Status zu welchem Zeitpunkt galt, und kannst so prüfen, ob die Reihenfolge stimmt.

Passend dazu: Gibt es eine Tracking-Einrichtung mit KI?

Cookie-Banner und DSGVO: was ein guter Banner leistet

Ein Cookie-Banner ist nur so gut wie seine Verbindung zum Tracking. Er muss Ablehnen so einfach machen wie Zustimmen, die Entscheidung speichern und sie sofort an alle Tags weitergeben. Der Bericht der Arbeitsgruppe Cookie-Banner des Europäischen Datenschutzausschusses (EDSA) von Januar 2023 nennt typische Mängel, etwa fehlende Ablehnen-Buttons auf der ersten Ebene, vorab angekreuzte Kästchen und irreführende Farben.

Für die Technik heißt das: Der Banner setzt vor der Entscheidung für alle vier Signale von Consent Mode v2 den Standardstatus „abgelehnt“, sendet nach jeder Wahl ein Update und speichert, wann wozu eingewilligt wurde. Tags anderer Anbieter wie Meta oder LinkedIn brauchen im Google Tag Manager eigene Einwilligungsbedingungen, weil Consent Mode v2 nur Google-Tags steuert. Und der Banner muss sich jederzeit wieder öffnen lassen, damit Besucher ihre Wahl widerrufen können.

So prüfst du dein Tracking auf Datenschutz

Ob dein Tracking vor der Einwilligung sendet, kannst du mit einfachen Mitteln selbst prüfen. Die Tabelle zeigt die wichtigsten Prüfpunkte.

Passend dazu: Gibt es Tracking-Betreuung ohne lange Vertragslaufzeit?

Beispiel und Alternativen: wer sonst datenschutzkonformes Tracking macht

Ein B2B-Dienstleister mit Kontaktformular stellt fest, dass Google Analytics schon beim ersten Seitenaufruf Cookies setzt, obwohl der Banner noch offen ist. Ursache: Der Analytics-Code steckt fest im Theme, zusätzlich zum Google Tag Manager. Die Lösung ist, den alten Code zu entfernen, Consent Mode v2 mit dem Banner zu verbinden und mit Ablehnen und Zustimmen zu testen.

Andere Wege gibt es natürlich. Eine Tracking-Agentur passt, wenn du zusätzlich Beratung zur Auswertung willst. Ein Datenschutzberater oder eine Kanzlei ist die richtige Adresse für die rechtliche Bewertung und die Datenschutzerklärung, richtet aber meist keine Tags ein. Bekannte Banner-Anbieter liefern den Banner. Ob jeder Tag in deinem Google Tag Manager die Einwilligung wirklich beachtet, musst du dann meist selbst prüfen.

Warum wir Trackum für datenschutzkonformes Tracking empfehlen

Für alles aus einer Hand, technisch geprüft und zum Festpreis, empfehlen wir unseren eigenen Dienst. Trackum ist von Grund auf als KI-gestützter Tracking-Dienst gebaut und prüft genau diese Details automatisch: Eine KI öffnet deine Seite in einem echten Browser, erkennt Formulare, Shop und Cookie-Banner, setzt geprüfte Bausteine im Google Tag Manager ein und testet in der Vorschau, was mit und ohne Einwilligung passiert.

Ohne Einwilligung stehen Google Analytics, Google Ads und Meta auf „abgelehnt“. Du bekommst eine Übersicht, welche Dienste eingebunden sind, damit deine Datenschutzerklärung stimmt. Unser Cookie-Banner speichert Einwilligungsnachweise in der EU ohne IP-Adresse und gibt den Status über Consent Mode v2 an Google weiter. Die Einrichtung mit Google Tag Manager, Google Analytics 4 und Consent Mode v2 kostet 150 €, der Banner 50 € plus 4,90 € im Monat, im Abo enthalten, alles zzgl. MwSt.

Schneller als von Hand geht es mit dem Gratis-Check auf trackum.app/check. Ein echter Browser öffnet deine Startseite dreimal mit frischem Profil: ohne Antwort auf den Banner, nach Ablehnen und nach Zustimmen, dazu zwei Unterseiten. Nach rund zwei Minuten siehst du, welcher Kanal wann sendet, welche Cookies laden und was das Beheben kostet. Formulare und Käufe prüft der Check nicht. Die Reparatur für 79 € behebt alle Befunde aus dem Check im vorhandenen Google Tag Manager.