2025-06-04 · Redaktion Baduno · 7 blog.readMin · Blog & Wissen
DSGVO-konformes Tracking: Was heute noch geht – und wie
Zwischen ‚wir messen gar nichts mehr' und ‚wir riskieren es einfach' liegt ein solider Mittelweg: sauberes Einwilligungs-Management plus datensparsame Werkzeuge.
Die Rechtslage in einem Absatz
Technisch notwendige Verarbeitung ist erlaubnisfrei; Statistik und Marketing brauchen informierte, freiwillige Einwilligung vor dem Setzen der Cookies. ‚Berechtigtes Interesse' trägt Reichweiten-Tracking nach heutiger Aufsichtspraxis nicht.
Einwilligung, die zählt
Echte Wahl (Ablehnen so einfach wie Annehmen), granulare Zwecke, Widerruf jederzeit, Nachweisbarkeit. Dark Patterns im Banner sind nicht nur unseriös – sie machen die Einwilligung unwirksam und die Messung damit rechtswidrig.
Werkzeugkasten
GA4 mit Consent Mode v2 für Kampagnen-Ökosysteme; datensparsame Alternativen (etwa selbst gehostete, cookielose Statistik) für Grundmetriken ohne Banner-Abhängigkeit. Beides kombiniert deckt die meisten Bedürfnisse ehrlich ab.
Dokumentieren
Verarbeitungsverzeichnis, Datenschutzerklärung und Banner müssen dasselbe erzählen. Einmal im Jahr abgleichen – Abweichungen zwischen Papier und Praxis sind der Klassiker in jeder Prüfung.
Die richtige Consent-Management-Plattform auswählen
Die Auswahl einer Consent-Management-Plattform (CMP) ist eine strategische Entscheidung. Achten Sie auf Zertifizierungen wie den TCF von IAB Europe oder die Vorlage nach DSGVO – diese erleichtern die rechtliche Anerkennung. Vermeiden Sie Anbieter, die voreingestellte Einwilligungen oder Dark Patterns verwenden. Prüfen Sie, ob die CMP eine granulare Zweckauswahl erlaubt, die Sie selbst konfigurieren können (z. B. „Statistik“ und „Marketing“ getrennt). Ein Beispiel: Ein Online-Shop benötigt für seine Facebook-Pixel-Einbindung eine separate Marketing-Kategorie, die der Kunde ablehnen kann, ohne dass die Grundfunktionen des Shops beeinträchtigt werden. Setzen Sie auf eine CMP, die ein „Ablehnen aller“-Button gleichwertig zum „Akzeptieren“ anbietet. Zudem sollte die CMP eine Schnittstelle für Consent Mode v2 oder Google Tag Manager bieten, um die Zustimmung sauber an externe Dienste weiterzugeben. Dokumentieren Sie, welche CMP Sie warum gewählt haben, in Ihrem Verarbeitungsverzeichnis.
Datenaufbewahrung und Löschfristen sauber regeln
DSGVO verlangt, dass personenbezogene Daten nur so lange gespeichert werden, wie es für den Zweck erforderlich ist. Für Tracking-Daten bedeutet das: Legen Sie für jede Verarbeitung eine Löschfrist fest und setzen Sie diese automatisiert um. Beispiel: Ein Newsletter-Tracking speichert Öffnungs- und Klickdaten – löschen Sie diese nach 12 Monaten, wenn der Zweck (Optimierung der Kampagnen) nicht mehr aktuell ist. Bei Analytics-Daten können Sie Rohdaten nach 26 Monaten anonymisieren oder löschen; GA4 bietet dafür die Einstellung zur Datenaufbewahrung. Dokumentieren Sie die Fristen in Ihrer Datenschutzerklärung und im Verarbeitungsverzeichnis. Eine regelmäßige Prüfung (jährlich) auf nicht mehr benötigte Daten verhindert Altlasten und reduziert Ihr Risiko bei einer Prüfung durch die Aufsichtsbehörde. Nutzen Sie Tools wie Datenbank-Scripts oder Analytics-Einstellungen, um die Löschung zu automatisieren.
Betroffenenrechte effizient umsetzen
Neben der Einwilligung müssen Sie auch die Auskunfts-, Lösch- und Datenübertragbarkeitsanfragen Ihrer Nutzer bedienen. Für Tracking-Daten bedeutet das: Ein Nutzer kann verlangen, alle über ihn gespeicherten Analyse- oder Marketingdaten zu erfahren und löschen zu lassen. Implementieren Sie einen Prozess: Fordern Sie den Nutzer auf, eine E-Mail mit Kennung (z. B. Client-ID aus GA4) zu senden, und stellen Sie sicher, dass Sie diese Daten in Ihren Systemen (CMP, Analysetool, CRM) auffinden und löschen. Beispiel: Ein Kunde löscht seine Einwilligung via Banner; daraufhin müssen auch die bereits erfassten Daten in Ihrem Analytics-Konto entfernt werden – entweder durch ein Lösch-Script oder durch die API des Tools. Die DSGVO gibt Ihnen einen Monat Zeit. Halten Sie dies in Ihrer Datenschutzerklärung transparent. Eine manuelle Bearbeitung ist akzeptabel, aber automatisierte Abläufe senken Fehler und Arbeitsaufwand.
Zwischen ‚wir messen gar nichts mehr' und ‚wir riskieren es einfach' liegt ein solider Mittelweg: sauberes Einwilligungs-Management plus datensparsame Werkzeuge.
Server-Side Tracking als datenschutzfreundliche Alternative
Server-Side Tracking (SST) verschiebt die Datenerhebung vom Browser auf den eigenen Server. Dadurch können Sie Cookies und Tracking-Pixel kontrollieren, die IP-Adresse kürzen und Daten vor der Weitergabe an Dritte anonymisieren. SST ist kein Freibrief für tracking ohne Einwilligung: Wenn personenbezogene Daten verarbeitet werden, bleibt die Rechtsgrundlage (Einwilligung oder berechtigtes Interesse) erforderlich. Allerdings können Sie mit SST cookielose Metriken (z. B. Seitenaufrufe ohne Speicherung) erheben, die keine Einwilligung benötigen. Beispiel: Ein E-Commerce-Shop misst die Anzahl der Bestellungen pro Tag serverseitig ohne Nutzer-ID – das ist statistische Auswertung ohne Personenbezug. Kombinieren Sie SST mit einer CMP, die nur für Marketing-Tracking Einwilligung verlangt. Dokumentieren Sie im Verarbeitungsverzeichnis, welche Daten serverseitig ohne Personenbezug erhoben werden.
IP-Anonymisierung und Datenminimierung konsequent umsetzen
Die IP-Adresse ist ein personenbezogenes Datum – bereits das Setzen eines Cookies ohne Einwilligung ist unzulässig, wenn die IP mitgespeichert wird. DSGVO-konformes Tracking setzt daher auf Datenminimierung und Anonymisierung. Ein bewährtes Verfahren ist die IP-Anonymisierung bereits beim Erheben: Kürzen Sie die letzten Oktetts der IPv4-Adresse oder setzen Sie die gesamte Adresse auf Null, sobald der Standort auf Länderebene ermittelt wurde. GA4 bietet dafür die Funktion 'IP-Anonymisierung', die standardmäßig aktiviert werden sollte. Darüber hinaus sollten Sie Tracking-Daten auf das Nötigste beschränken: Erfassen Sie keine User-IDs, keine detaillierten Gerätedaten oder Browser-Fingerprints, wenn diese für Ihre Analyse nicht zwingend erforderlich sind. Ein Beispiel: Für eine einfache Besucherstatistik reichen Seitenaufruf, Herkunftsland und Browsertyp – keine Email-Adressen oder Session-IDs mit Personenbezug. Kombinieren Sie dies mit einer datensparsamen CMP, die nur für Marketing-Zwecke volle Daten erlaubt. Dokumentieren Sie in Ihrem Verarbeitungsverzeichnis, welche Datenminimierungsmaßnahmen Sie ergriffen haben. Prüfen Sie regelmäßig, ob Sie wirklich jedes Feld benötigen. Weniger Daten bedeuten weniger Risiko bei einer Prüfung durch die Aufsichtsbehörde.
Audit-Trail und Nachweispflicht für Einwilligungen digitalisieren
Die Nachweispflicht gemäß Art. 7 DSGVO verlangt, dass Sie jederzeit belegen können, dass ein Nutzer wirksam eingewilligt hat. Ein manuelles Logging reicht nicht aus – Sie benötigen einen digitalen Audit-Trail, der die vollständige Zustimmungshistorie speichert: Welcher Banner wurde wann welchem Nutzer gezeigt, welche Auswahl hat er getroffen, und wann wurde die Einwilligung widerrufen? Moderne CMPs protokollieren dies automatisch mit Zeitstempel und User-ID (z. B. aus der Client-ID oder einer pseudonymen Kennung). Achten Sie darauf, dass Ihre CMP diese Daten DSGVO-konform speichert, also getrennt von Analyse- oder Marketingdaten. Beispiel: Ein Nutzer klickt 'Ablehnen' – Ihr System muss diesen Vorgang dokumentieren und bei einer späteren Anfrage auskunftsfähig sein. Implementieren Sie einen regelmäßigen Export dieser Logs (z. B. monatlich) und bewahren Sie sie für die Dauer der gesetzlichen Verjährungsfrist (drei Jahre nach letzter Verarbeitung) auf. Vermeiden Sie, dass die Logs selbst zu einer Datenansammlung werden – löschen Sie sie nach Ablauf der Frist automatisiert. Kombinieren Sie dies mit einem Berechtigungskonzept: Nur wenige Administratoren sollten Zugriff auf die Rohdaten haben. Dieser digitale Nachweis ist Ihre beste Verteidigung gegen Beschwerden oder Prüfungen.
Mehrsprachige Consent-Banner und Lokalisierung
Wenn Sie eine mehrsprachige Website betreiben, muss Ihr Consent-Banner in allen Sprachen verfügbar sein, die Ihre Website anbietet. Dies ist nicht nur eine Frage der Benutzerfreundlichkeit, sondern eine rechtliche Anforderung nach dem Transparenzprinzip (Art. 5 DSGVO). Der Bannertext, die Beschreibung der Zwecke und die Cookie-Liste müssen korrekt übersetzt und kulturell angepasst werden. Eine rein automatisierte Maschinenübersetzung kann zu Ungenauigkeiten führen, etwa mehrdeutige Rechtsbegriffe oder fehlende Nuancen. Deshalb ist die Kombination aus KI-Übersetzung und muttersprachlicher Prüfung ideal: Die KI liefert Geschwindigkeit, der Muttersprachler stellt die rechtliche Präzision sicher. Beispielsweise kann der deutsche Begriff „Einwilligung“ im Französischen („consentement“) oder Polnischen („zgoda“) anders klingen. Auch Layout und Button-Beschriftungen müssen an die Länge der Sprache angepasst sein – ein „Akzeptieren“-Button auf Deutsch wird auf Französisch zu „Accepter“, aber das Design muss dennoch passen. Viele CMPs erlauben das Hochladen von Sprachdateien; stellen Sie sicher, dass Ihre Übersetzungen über alle Zwecke hinweg konsistent sind. Dokumentieren Sie, welche Sprachversionen Sie bereitstellen und wer sie geprüft hat. Dies erfüllt nicht nur die Transparenzanforderung der DSGVO, sondern schafft auch Vertrauen bei internationalen Nutzern.
Hreflang-Tags und Tracking-Daten: Vermeidung von Duplikaten und Fehlattribution
Für mehrsprachige Websites signalisieren hreflang-Tags den Suchmaschinen, welche Sprach- und Regionalversion einer Seite gemeint ist. Doch wie wirkt sich das auf Ihr Tracking aus? Wenn ein Nutzer zwischen Sprachversionen wechselt, könnte Ihr Trackingsystem ihn als mehrere Sitzungen zählen, falls die Cookies nicht korrekt über Subdomains hinweg geteilt werden oder der Tracking-Code sprachunabhängig ist. Beispiel: Ein Nutzer landet auf der deutschen Seite (example.de/de/) und wechselt dann zur englischen Version (example.de/en/). Ohne korrekte Konfiguration behandelt GA4 dies möglicherweise als zwei verschiedene Nutzer. Um dies zu vermeiden, stellen Sie sicher, dass Ihr Tracking über alle Sprachversionen hinweg konsistent ist: Verwenden Sie eine einzige Property für alle Sprachen und richten Sie bei Bedarf Cross-Domain-Tracking ein. Implementieren Sie außerdem einen Sprachparameter in Ihrem dataLayer, um den Datenverkehr nach Sprache zu segmentieren, ohne die Nutzeridentität zu verlieren. Hreflang selbst hat keine direkten Auswirkungen auf das Tracking, aber falsche hreflang-Tags können zu falscher Attribution von Traffic-Quellen führen. Überprüfen Sie daher Ihre hreflang-Implementierung jährlich und gleichen Sie sie mit Ihrem Tracking-Setup ab. Dokumentieren Sie die Beziehung zwischen hreflang, Sprachordnern und Tracking-Parametern in Ihrer SEO-Dokumentation. Dies ist ein typischer Bereich, in dem KI schnell hreflang-Sitemaps generieren kann, aber die menschliche Prüfung entscheidend ist, um Fehler durch automatisierte Zuordnung zu vermeiden.
blog.faqT
Brauche ich für alle Cookies eine Einwilligung?
Nein. Technisch notwendige Cookies (z. B. Session-Cookies für den Warenkorb) sind ohne Einwilligung zulässig, da sie für die Funktion der Website erforderlich sind. Alle anderen Cookies, insbesondere für Statistik und Marketing, benötigen eine informierte und aktive Einwilligung vor dem Setzen.
Kann ich Google Analytics ohne Einwilligung nutzen?
Nein, nicht rechtskonform. Google Analytics verarbeitet personenbezogene Daten (IP-Adresse, User-ID). Nach aktueller Rechtsauffassung benötigen Sie dafür eine Einwilligung. Alternativ können Sie eine datensparsame, selbst gehostete Statistik ohne Personenbezug nutzen, die ohne Einwilligung auskommt.
