Datenschutz und Consent: Was Server-Side Tracking darf

Wann braucht Tracking eine Einwilligung?

In Deutschland regelt § 25 TDDDG, wann Informationen auf dem Endgerät eines Nutzers gespeichert oder ausgelesen werden dürfen. Ohne Einwilligung ist das nur erlaubt, wenn es für den vom Nutzer gewünschten Dienst unbedingt erforderlich ist. Analyse- und Marketing-Cookies, Besucher-IDs und Pixel fallen nicht darunter. Für die anschließende Verarbeitung der Daten gilt zusätzlich die DSGVO.

Entscheidend ist: Die Regel knüpft an den Zugriff auf das Endgerät und an die Daten an, nicht an den Ort der Verarbeitung. Ob eine Besucher-ID von einem Google-Skript oder von Ihrem eigenen Server gesetzt wird, ändert nichts daran, dass dafür eine Einwilligung nötig ist. Ein Leitfaden, der etwas anderes verspricht, verspricht zu viel. Dieser Leitfaden ersetzt keine Rechtsberatung; für die Bewertung Ihres konkreten Aufbaus ist ein Datenschutzexperte der richtige Ansprechpartner.

Was ändert der Digital Omnibus?

Stand November 2026: noch nichts. Die EU-Kommission hat im November 2025 vorgeschlagen, die Cookie-Regeln in die DSGVO zu verschieben, eine Ablehnung per Klick vorzuschreiben und Ausnahmen etwa für einfache Reichweitenmessung zu schaffen. Der Rat hat sich im Oktober 2026 auf eine Verhandlungsposition geeinigt, in der die Cookie-Regeln in der ePrivacy-Richtlinie bleiben. Das Europäische Parlament hat seine Position noch nicht festgelegt. Für Shopbetreiber gilt bis auf Weiteres das bestehende Recht. Marketing-Tracking bleibt nach allen diskutierten Fassungen einwilligungspflichtig.

Was ist der Google Consent Mode?

Der Consent Mode übermittelt den Einwilligungsstatus des Besuchers an Google-Tags. Seit März 2024 verlangt Google für Nutzer im Europäischen Wirtschaftsraum die Version 2 mit den zusätzlichen Signalen für Nutzerdaten und Personalisierung. Ohne diese Signale schränkt Google Funktionen wie Remarketing und die Conversion-Messung für diese Nutzer ein. Ein Cookie-Banner, das den Consent Mode V2 nicht korrekt ausspielt, ist deshalb nicht nur ein rechtliches, sondern ein wirtschaftliches Problem.

Es gibt zwei Varianten:

• Basic: Google-Tags laden erst nach der Einwilligung. Ohne Zustimmung wird nichts gesendet.

• Advanced: Tags laden sofort, senden ohne Einwilligung aber nur cookielose Signale, aus denen Google fehlende Conversions modelliert. Ob diese Signale ohne Einwilligung zulässig sind, wird unter Datenschutzaufsichtsbehörden unterschiedlich bewertet. Die Wahl der Variante sollte deshalb bewusst und dokumentiert fallen.

Was gewinnt der Datenschutz durch Server-Side Tracking?

Hier liegt der echte Vorteil, und er ist erheblich. Beim Tracking im Browser übermittelt jedes Skript, was sein Anbieter vorsieht, inklusive IP-Adresse und Browserdaten. Auf dem eigenen Server können Sie:

• IP-Adressen kürzen oder entfernen, bevor Daten an Dritte gehen,

• personenbezogene Felder herausfiltern oder nur gehasht übertragen,

• pro Plattform festlegen, welche Parameter sie bekommt,

• den Consent-Status serverseitig auswerten und Tags ohne Einwilligung gar nicht erst auslösen.

Damit wird Datenschutz von einer Hoffnung zu einer überprüfbaren Konfiguration. Server-Side Tracking ist also kein Weg um die Einwilligung herum, sondern der Weg, aus jeder erteilten Einwilligung das Maximum zu holen und dabei nachweisbar sauber zu bleiben.

Wo stehen die Server?

Für die Bewertung nach DSGVO zählt, wo die Daten verarbeitet werden und wer Zugriff hat. Ein Hosting in der EU, ein Auftragsverarbeitungsvertrag und eine dokumentierte Datenweitergabe sind Mindeststandard. TAGGRS betreibt seine Server in der EU, was die Dokumentation vereinfacht. Die Übermittlung an US-Plattformen wie Google oder Meta muss unabhängig davon in der Datenschutzerklärung beschrieben sein.

Was gilt in der Schweiz?

Schweizer Shops unterliegen dem revidierten Datenschutzgesetz (revDSG). Für Cookies gilt dort grundsätzlich eine Informationspflicht mit Widerspruchsmöglichkeit statt einer generellen Opt-in-Pflicht. Wer auch Kunden in der EU bedient, muss für diese die EU-Regeln einhalten. In der Praxis setzen deshalb viele Schweizer Shops ein Consent-Banner nach EU-Standard ein.