Tracking trotz Datenschutz: Warum es weiterhin wichtig ist und welche Möglichkeiten Unternehmen haben

Was Tracking ist – und warum es gebraucht wird

Tracking bezeichnet das Erfassen von Handlungen auf einer Website oder in einer App: Seitenaufrufe, Formularabsendungen, Käufe, Anrufe. Diese Ereignisse werden an Analyse- und Werbesysteme übermittelt.

Der Zweck wird oft missverstanden. Es geht nicht in erster Linie um Berichte, sondern um Steuerung. Automatisierte Gebotsstrategien bei Google und Meta entscheiden auf Basis dieser Rückmeldungen, wem Anzeigen gezeigt werden und was ein Klick wert ist. Fehlen die Signale, arbeitet das System mit einem lückenhaften Bild weiter – und lernt dabei nicht etwa nichts, sondern das Falsche.

Ein Beispiel aus der Praxis: Wenn nur die Hälfte der Anfragen gemessen wird und ausgerechnet die teureren Geräte oder Browser fehlen, verschiebt das System sein Budget in Richtung der scheinbar besseren Segmente. Das Ergebnis sieht im Bericht gut aus und ist wirtschaftlich schlechter.

Zwei Regelwerke, die ständig verwechselt werden

Für die rechtliche Einordnung sind in Deutschland zwei Regelwerke gleichzeitig relevant. Sie beantworten unterschiedliche Fragen.

Das TDDDG löste im Mai 2024 das TTDSG ab; inhaltlich hat sich an § 25 nichts Wesentliches geändert. Wichtig ist der erste Punkt in der Tabelle: Die Einwilligungspflicht hängt nicht am Personenbezug. Auch ein rein statistisches Cookie ohne jeden Personenbezug fällt darunter, sobald es nicht technisch zwingend erforderlich ist.

Dieser Artikel ersetzt keine Rechtsberatung. Wir beschreiben, wie sich die Anforderungen technisch sauber umsetzen lassen – die rechtliche Bewertung des Einzelfalls gehört zu einem Anwalt oder Datenschutzbeauftragten.

Was ohne Einwilligung geht – und was nicht

Die Ausnahme in § 25 Absatz 2 TDDDG ist eng gefasst: erlaubt ist, was unbedingt erforderlich ist, damit der vom Nutzer ausdrücklich gewünschte Dienst funktioniert.

Die praktische Konsequenz: Conversion Tracking, Remarketing und personalisierte Werbung sind einwilligungspflichtig. Punkt. Wer das anders handhabt, geht ein Risiko ein, das mittlerweile auch zivilrechtlich relevant ist – das OLG Köln hat einen bekannten Wetterdienst wegen eines Cookie-Banners verurteilt, das den Anforderungen nicht genügte.

Consent Management: Was ein sauberes Banner leisten muss

Die meisten Datenqualitätsprobleme beginnen nicht bei der Technik, sondern beim Banner. Vier Punkte sind entscheidend.

• Ablehnen muss auf der ersten Ebene genauso einfach möglich sein wie Zustimmen – gleichwertig platziert, nicht versteckt oder farblich zurückgenommen.
• Vorangekreuzte Kästchen sind unzulässig. Der Europäische Gerichtshof hat das im Verfahren Planet49 klargestellt, der Bundesgerichtshof ist dem gefolgt.
• Die Einwilligung muss widerrufbar sein, und der Widerruf muss so leicht sein wie die Erteilung.
• Tags dürfen erst nach Zustimmung auslösen – auch die, die über einen Tag Manager eingebunden sind. Der Tag Manager selbst ist keine Einwilligung.

Ein Hinweis zur Entwicklung: Seit dem 1. April 2025 gilt die Einwilligungsverwaltungsverordnung, die zentrale Dienste zur Verwaltung von Einwilligungen ermöglichen soll – die Idee ist, dass Nutzer ihre Vorgaben einmal setzen statt auf jeder Website erneut. In der Praxis steckt das noch am Anfang: Der erste anerkannte Dienst wurde im Oktober 2025 registriert und war Mitte 2026 weiterhin der einzige. Für die Planung heißt das: Ja, die Banner-Flut soll perspektivisch weniger werden. Nein, darauf warten sollte niemand.

Consent Mode und Conversion Modeling

Der Google Consent Mode ist ein Mechanismus, mit dem die Zustimmungsentscheidung an Google-Dienste übermittelt wird. Liegt keine Einwilligung vor, werden keine identifizierenden Cookies gesetzt; stattdessen können anonyme Signale ohne Gerätekennung übertragen werden.

Auf dieser Basis schätzt Google einen Teil der nicht messbaren Conversions statistisch – das sogenannte Conversion Modeling. Wichtig zum Verständnis: Das sind Schätzungen, keine gemessenen Ereignisse. Sie helfen der Steuerung, taugen aber nicht als Buchhaltung.

Zwei praktische Hinweise. Erstens braucht die Modellierung eine ausreichende Datenbasis – bei sehr kleinen Websites greift sie kaum. Zweitens ist der Consent Mode kein Ersatz für eine Einwilligungslösung, sondern deren technische Fortsetzung: Er setzt voraus, dass eine Consent-Entscheidung überhaupt erhoben wurde.

Warum Daten auch mit Einwilligung verloren gehen

Selbst bei sauberem Consent kommt nicht alles an. Die Ursachen liegen im Browser.

Apple beschränkt über die Intelligent Tracking Prevention die Lebensdauer clientseitig gesetzter Cookies deutlich – in vielen Fällen auf wenige Tage. Andere Browser blockieren Skripte bekannter Anbieter ganz. Inhaltsblocker verhindern das Laden von Zahlpixeln, und auf mobilen Geräten brechen Sitzungen häufiger ab.

Die Folge: Ein Nutzer klickt heute auf eine Anzeige, kauft zwei Wochen später – und der Kauf lässt sich nicht mehr zuordnen. Genau an dieser Stelle setzt serverseitiges Tracking an.

Server-Side Tracking: Wie es funktioniert

Beim klassischen Tracking lädt der Browser die Skripte der Anbieter und schickt die Daten direkt an Google, Meta und andere. Beim serverseitigen Tracking geht der Weg über einen eigenen Endpunkt.

Vereinfacht sieht der Ablauf so aus:

• Der Browser sendet das Ereignis an eine eigene Subdomain des Unternehmens, etwa an einen Server-Container.
• Dort läuft ein serverseitiger Tag Manager, der die Daten entgegennimmt.
• Im Container wird geprüft, gefiltert, angereichert und bereinigt – etwa um interne Zugriffe oder unvollständige Ereignisse zu entfernen.
• Erst danach werden die Daten an die jeweiligen Zielsysteme weitergegeben.

Der entscheidende Unterschied: Das Unternehmen entscheidet, welche Daten überhaupt das Haus verlassen. Beim clientseitigen Tracking bestimmt das im Zweifel das eingebundene Skript des Anbieters.

Vorteile und Nachteile im Überblick

Serverseitiges Tracking wird oft als Allheilmittel verkauft. Es ist ein Werkzeug mit klaren Stärken und ebenso klaren Kosten.

Wichtig: Server-Side ist kein Trick gegen die Einwilligung

Dieser Abschnitt steht bewusst so deutlich hier, weil das Gegenteil regelmäßig verkauft wird.

§ 25 TDDDG knüpft an den Zugriff auf das Endgerät an. Ob die Daten danach an einen Server des Unternehmens oder direkt an einen Anbieter fließen, ändert daran nichts. Wer auf dem Gerät eine Kennung setzt oder ausliest, braucht dafür eine Einwilligung – unabhängig davon, wo der Server steht.

Auch die DSGVO-Seite bleibt bestehen: Wer Daten an einen Werbeanbieter weitergibt, braucht dafür eine Rechtsgrundlage, unabhängig vom Übertragungsweg. Ein Server-Container macht die Weitergabe technisch weniger sichtbar – rechtlich ändert er sie nicht.

Was serverseitiges Tracking tatsächlich leistet: bessere Datenqualität bei denjenigen, die zugestimmt haben. Das ist ein legitimer und wirtschaftlich relevanter Nutzen. Er reicht als Begründung völlig aus – man muss nichts dazuerfinden.

Conversions API, erweiterte Conversions und Deduplizierung

Auf der Anbieterseite gibt es passende Schnittstellen: Meta bietet die Conversions API, Google die erweiterten Conversions und den Import von Offline-Conversions. Alle funktionieren nach demselben Prinzip – Ereignisse werden nicht nur aus dem Browser, sondern auch vom Server gemeldet.

Drei technische Punkte entscheiden darüber, ob das sauber funktioniert.

• Deduplizierung: Wird dasselbe Ereignis aus Browser und Server gemeldet, braucht es eine eindeutige Ereignis-ID. Fehlt sie, zählt das System doppelt – die Zahlen sehen besser aus, die Steuerung wird schlechter.
• Hashing: Personenbezogene Merkmale wie E-Mail-Adressen werden vor der Übertragung mit einem kryptografischen Verfahren in einen Prüfwert umgewandelt. Das verbessert die Zuordnung, ersetzt aber weder Einwilligung noch Rechtsgrundlage.
• Datenminimierung: Übertragen wird, was für den Zweck nötig ist – nicht alles, was technisch möglich wäre. Ein Server-Container verführt dazu, mehr mitzuschicken, weil es so einfach ist.

Der größte Hebel: Abschlüsse zurückspielen

Die meiste Energie fließt in die Frage, wie man mehr Klicks und Formulare misst. Der größere Hebel liegt dahinter: dem Werbesystem zurückzumelden, welche Anfrage tatsächlich zu einem Auftrag wurde und wie viel dieser wert war.

Technisch läuft das über den Import von Offline-Conversions: Bei der Anfrage wird eine Klick-Kennung gespeichert, im CRM mit dem späteren Abschluss verknüpft und periodisch zurückgespielt.

Der Effekt ist größer als jede Gebotsoptimierung: Das System hört auf, billige Anfragen zu suchen, und beginnt, passende zu suchen. Der Zusammenhang dazu steht ausführlich im Beitrag zu datengetriebenem Marketing.

Was ein serverseitiges Setup realistisch kostet

Pauschalpreise sind unseriös, weil der Aufwand stark davon abhängt, wie viele Systeme angebunden werden. Die Kostenblöcke sind aber immer dieselben – und sie fallen dauerhaft an, nicht nur einmal.

• Einrichtung: Konzept, Container-Aufbau, Anbindung der Zielsysteme, Test und Dokumentation.
• Hosting: laufende Kosten für den Server-Container, abhängig vom Anfragevolumen.
• Consent-Management: Lizenz für eine Consent-Lösung, je nach Anbieter und Umfang.
• Wartung: Anpassungen bei Änderungen an Website, Schnittstellen oder Rechtslage.
• Interne Zeit: Abstimmung mit Datenschutzbeauftragtem, Verzeichnis der Verarbeitungstätigkeiten, Verträge zur Auftragsverarbeitung.

Die ehrliche Einordnung: Für eine kleine Website mit wenigen Anfragen im Monat steht dieser Aufwand in keinem Verhältnis zum Nutzen. Sinnvoll wird serverseitiges Tracking, wenn relevantes Werbebudget fließt, mehrere Kanäle laufen oder Entscheidungswege lang sind.

Umsetzung in sinnvoller Reihenfolge

Wer alles gleichzeitig angeht, verliert sich in Technik. Diese Reihenfolge hat sich bewährt.

• Bestandsaufnahme: Welche Tags laufen tatsächlich, welche davon kennt niemand mehr?
• Consent-Lösung prüfen und korrekt verdrahten – inklusive Test, ob wirklich nichts vor der Zustimmung feuert.
• Conversions sauber definieren: Was ist eine Anfrage, was ein Auftrag, was zählt doppelt?
• Consent Mode einrichten, damit die Zustimmungsentscheidung korrekt übermittelt wird.
• Serverseitiges Setup aufbauen, wenn Budget und Volumen es rechtfertigen.
• Abschlüsse aus dem CRM zurückspielen – der Schritt mit dem größten Effekt.
• Regelmäßig prüfen: Tracking bricht leise, meist nach einem Website-Update.

Typische Fehler

Diese Punkte finden wir bei fast jeder Prüfung.

• Tags feuern trotz Ablehnung – häufig, weil ein Tag am Consent vorbei eingebunden wurde.
• Conversions werden doppelt gezählt, weil Browser- und Server-Ereignis dieselbe Aktion melden.
• Danke-Seiten sind direkt aufrufbar und werden von Bots ausgelöst.
• Jede Formularabsendung zählt gleich viel, obwohl die Anfragen sehr unterschiedlich wertvoll sind.
• Nach einem Relaunch wurde das Tracking nie erneut geprüft.
• Serverseitiges Tracking wurde eingerichtet, aber das Consent-Management nie angepasst.

Fazit

Tracking ist kein Auslaufmodell, sondern die Voraussetzung dafür, dass automatisierte Werbung wirtschaftlich funktioniert. Gleichzeitig ist der rechtliche Rahmen eindeutiger, als viele hoffen: Ohne wirksame Einwilligung geht bei Analyse und Werbung nichts.

Der richtige Weg ist deshalb nicht, nach Umgehungen zu suchen, sondern die Einwilligungsrate ernst zu nehmen, die verbleibenden Daten sauber zu erfassen und den größten Hebel zu nutzen: dem System zurückzumelden, was am Ende tatsächlich Geld gebracht hat.