DSGVO-konformes Tracking, ohne die Datenqualität zu opfern

DSGVO-konformes Tracking ist eine Tracking-Architektur, die zwei Regelungsebenen gleichzeitig erfüllt: TDDDG § 25 (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) für den Zugriff auf das Endgerät und DSGVO Art. 6 für die Verarbeitung der dabei anfallenden personenbezogenen Daten. Verstöße gegen § 25 TDDDG kosten bis zu 300.000 Euro Bußgeld, DSGVO-Verstöße bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Vorab die wichtige Einordnung: Schröder Data Solutions ist kein Anwaltsbüro und bietet keine Rechtsberatung. Die folgenden Inhalte sind fachlich-technische Orientierung, die verbindliche Bewertung eines konkreten Falls gehört in die Hände eines Datenschutzbeauftragten oder Anwalts.

Beide Ebenen werden häufig verwechselt, dabei regeln sie unterschiedliche Dinge. TDDDG § 25 bestimmt, ob eine Website überhaupt etwas auf dem Endgerät der Besucherin speichern oder auslesen darf, etwa Cookies, Tracking-IDs oder Einträge im Local Storage. Der Europäische Gerichtshof hat die Pflicht zur aktiven Einwilligung 2019 im Verfahren Planet49 (C-673/17) höchstrichterlich bestätigt, der Bundesgerichtshof hat das Urteil am 28. Mai 2020 für Deutschland übernommen (I ZR 7/16, "Cookie-Einwilligung II"). Ein voreingestelltes Häkchen oder "Weitersurfen gilt als Zustimmung" reicht seitdem nicht mehr aus. Die DSGVO regelt parallel dazu, was mit den personenbezogenen Daten passiert, die beim Tracking entstehen. Für Analytics, Marketing-Pixel und Conversion-Tracking ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO die maßgebliche Rechtsgrundlage, berechtigtes Interesse trägt in der Praxis nicht.

Zwei Gesetzesebenen gelten beim Tracking gleichzeitig: TDDDG § 25 und DSGVO Art. 6.

Eine enge Ausnahme von § 25 TDDDG gilt für technisch zwingend notwendige Zugriffe: die Login-Session, der Warenkorb, grundlegende Sicherheitsfunktionen. Alles andere braucht die Einwilligung, bevor es lädt. Schröder Data Solutions strukturiert Tracking-Setups entlang genau dieser Trennlinie: einwilligungspflichtige Komponenten sauber hinter dem Consent-Banner, einwilligungsfreie Komponenten so gebaut, dass sie ihren Nutzen auch ohne Banner entfalten. Ein Tracking-Audit deckt in der Bestandsaufnahme auf, wo ein bestehendes Setup diese Trennung noch nicht sauber umsetzt.

Ein rechtssicheres Cookie-Banner erscheint vor dem ersten Tracking-Aufruf, holt eine aktive und informierte Einwilligung ein und bietet auf der ersten Ebene gleichwertige Buttons für Akzeptieren und Ablehnen. Genau an diesem letzten Punkt scheitern die meisten Setups, die Schröder Data Solutions im Audit prüft.

Deutsche Gerichte haben diese Anforderung seit 2025 mehrfach konkretisiert. Das Verwaltungsgericht Hannover hat mit Urteil vom 19. März 2025 (Az. 10 A 5385/22) bestätigt, dass ein visuell hervorgehobener Akzeptieren-Button neben einer erschwerten oder versteckten Ablehnen-Option unzulässiges Nudging darstellt. Im selben Urteil hat das Gericht klargestellt, dass bereits der Einsatz des Google Tag Managers ohne vorherige Einwilligung gegen § 25 Abs. 1 TDDDG verstößt, weil er selbst Informationen auf dem Endgerät speichert oder darauf zugreift, unabhängig davon, welche Tags darüber später feuern. Vorangekreuzte Kästchen, Cookie-Walls ohne echte Alternative und "Weitersurfen als Zustimmung" bleiben unzulässig. Verstöße gegen § 25 TDDDG können mit Bußgeldern bis 300.000 Euro geahndet werden. Zusätzlich verlangt die Nachweispflicht ein Consent-Logging: Wer wann welchem Status zugestimmt hat, muss für die Beweislast mindestens drei Jahre dokumentiert vorliegen.

Ein fairer, transparenter Banner-Aufbau ist zunächst schlicht Pflicht: Seit die Rechtsprechung Dark Patterns ausdrücklich verbietet, ist ein hervorgehobener Akzeptieren-Button neben einem unauffälligen Ablehnen-Link kein Stilmittel mehr, sondern ein Rechtsrisiko. Ob ein faires Banner darüber hinaus auch messbar mehr Zustimmung gewinnt als ein aggressives, lässt sich pauschal nicht behaupten. In eigenen Audits hat Schröder Data Solutions dafür bislang keine verlässliche, seiten- oder branchenübergreifende Korrelation gefunden, die Zustimmungsrate hängt sichtbar stärker von Branche, Zielgruppe und konkretem Banner-Text ab als vom reinen Rechtssicherheits-Level. Bei einer Digitalagentur hat Schröder Data Solutions ein DSGVO-konformes etracker-Setup als wiederholbaren Standard für deren Kundenprojekte etabliert, ein rechtssicheres Fundament, das die Agentur bei jedem neuen Kunden ohne Neubau einsetzt.

Google Consent Mode ist eine Schnittstelle, über die eine Website den Consent-Status einer Besucherin an Google-Tags wie Google Analytics oder Google Ads übermittelt, ohne dass diese Tags vor der Einwilligung personenbezogene Daten setzen. Seit März 2024 verlangt Google für Werbemessungen im EWR (Europäischer Wirtschaftsraum) mindestens Consent Mode v2, sonst drohen eingeschränkte Kampagnen-Features und lückenhafte Conversion-Daten.

Wichtig für die rechtliche Einordnung: Google Consent Mode ersetzt kein Cookie-Banner und ist selbst keine Rechtsgrundlage. Er übersetzt, was das Banner bereits eingeholt hat, in vier Signale. Consent Mode v1 kennt ad_storage und analytics_storage, Consent Mode v2 ergänzt ad_user_data und ad_personalization. Fehlt die Einwilligung, arbeitet Consent Mode v2 zusätzlich mit modellierten Conversions: Google schätzt fehlende Ereignisse anhand aggregierter Muster ähnlicher, einwilligender Besucher, statt individuelle Daten zu verwenden.

Für ein DSGVO-konformes Setup bedeutet das zwei Arbeitsschritte, die zusammengehören: Die Consent-Management-Plattform muss die vier Signale korrekt an den Tag Manager übergeben, und das Tag-Setup muss vor dem Consent tatsächlich blockieren, statt die Google-Tags nur nachträglich zu drosseln. Schröder Data Solutions prüft in Tracking-Audits regelmäßig, ob Consent Mode technisch korrekt implementiert ist oder nur pro forma eingebunden wurde, ohne das zugrunde liegende Tag-Gating.

DSGVO-konformes Tracking ist kein einzelnes Werkzeug, sondern eine Architektur aus drei Bausteinen, die zusammenwirken. Der erste Baustein ist ein sauberes Consent-Setup als rechtliche Klammer. Der zweite Baustein ist die einwilligungsfreie, anonymisierte Basismessung: Weil sie keine personenbezogenen Daten verarbeitet, kann sie bei korrekter Konfiguration ohne Einwilligung laufen und verhindert, dass das Reporting auf die 30 bis 50 Prozent zusammenschrumpft, die nach Consent übrig bleiben. Details dazu liefert die Seite zu Cookieless Tracking.

Der dritte Baustein ist server-seitiges Tracking. Er macht die Einwilligung nicht überflüssig, sondern liefert Datenkontrolle: Weil die Daten zuerst über einen eigenen Server laufen, bevor sie an Google oder Meta gehen, lässt sich genau bestimmen, was den Server verlässt. IP-Adressen anonymisieren, personenbezogene Felder herausfiltern, unkontrollierten Drittland-Transfer vermeiden, all das ist Datenminimierung im Sinne der DSGVO, ein zentraler Punkt seit dem Schrems-II-Urteil des EuGH (C-311/18). Details dazu liefert die Seite zu Server-Side-Tracking. Bei Bauwerk sorgt genau dieses server-seitige Setup dafür, dass kontrolliert wird, welche Daten das Unternehmen verlässt, kombiniert mit messbar besserer Datenqualität.

Consent, Cookieless und Server-Side tragen DSGVO-konformes Tracking nur im Zusammenspiel.

Die Reihenfolge, in der die drei Bausteine entstehen, ist dabei kein Zufall. Ein Consent-Setup lässt sich isoliert bauen und liefert sofort Rechtssicherheit für die einwilligungspflichtigen Tools. Die Cookieless Basismessung kommt in der Regel als zweiter Schritt hinzu, weil sie eine eigene technische Entscheidung ist, welche Kennzahlen ohne Consent überhaupt aussagekräftig bleiben. Server-Side-Tracking ist meist der aufwendigste Baustein, weil er eine eigene Tracking-Domain und eine serverseitige Infrastruktur braucht, zahlt sich aber gerade bei datenschutzsensiblen Branchen und bei Unternehmen mit viel Werbebudget aus, weil die Datenkontrolle direkt in geringere Streuverluste bei Conversion-Daten übersetzt. Schröder Data Solutions plant die drei Bausteine deshalb nicht als Paket, sondern priorisiert nach dem größten Hebel für die jeweilige Situation des Kunden.

Kein einzelner Baustein löst DSGVO-Tracking allein. Erst das Zusammenspiel aus sauberem Consent, einwilligungsfreier Basis und server-seitiger Datenkontrolle trägt ein Setup, das rechtlich standhält und genug verwertbare Daten liefert, um damit zu arbeiten. Welche Mischung passt, hängt von der Tool-Landschaft, den Zielen und der Bewertung der Rechtsseite des Kunden ab.

Das Risiko unsauberen Trackings ist 2026 real geworden. Zwei Entwicklungen haben es greifbar gemacht. Die erste ist die verschärfte Rechtsprechung: Deutsche Gerichte haben seit 2025 mehrfach bestätigt, dass der Ablehnen-Button auf der ersten Banner-Ebene gleich sichtbar sein muss, zuletzt das Verwaltungsgericht Hannover mit Urteil vom 19. März 2025 (Az. 10 A 5385/22). Ein fehlerhaftes Banner ist von außen erkennbar und damit ein bevorzugtes Ziel für Abmahnungen durch Mitbewerber oder Verbände.

Die zweite Entwicklung ist der zunehmende Einsatz automatisierter Prüf-Crawler durch die Aufsichtsbehörden, die Websites systematisch auf Tracking-Verstöße abklopfen, etwa darauf, ob Tracking bereits vor der Einwilligung feuert. Was früher Stichprobe war, wird damit zur flächigen Prüfung. In eigenen Tracking-Audits findet Schröder Data Solutions bei ca. 78 Prozent der geprüften Setups mindestens ein Tool, das vor der Einwilligung lädt.

Die möglichen Folgen sind nicht trivial und laufen über zwei getrennte Bußgeldrahmen, die bei einem einzigen Verstoß parallel greifen können: Bußgelder nach TDDDG bis 300.000 Euro für den unerlaubten Zugriff aufs Endgerät, zusätzlich Bußgelder nach DSGVO bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes für die unrechtmäßige Verarbeitung der dabei erhobenen Daten.

Zwei getrennte Bußgeldrahmen, TDDDG und DSGVO, die bei einem Verstoß parallel greifen können.

Mittelständische Unternehmen treffen selten die Höchststrafen, aber auch ein fünfstelliges Bußgeld oder eine Abmahnwelle mit Anwaltskosten ist ein vermeidbarer Schaden. Hinzu kommt ein Aufwand, der in keiner Bußgeldstatistik auftaucht: die interne Zeit für Stellungnahmen gegenüber der Aufsichtsbehörde, für die Abstimmung mit dem Datenschutzbeauftragten und für die nachträgliche Korrektur des Setups unter Zeitdruck. Wer diese Korrektur vorab macht, statt sie sich von einer Behörde oder einem Abmahnverein aufzwingen zu lassen, spart genau diesen Aufwand. Ein Tracking-Audit zeigt, wo ein Setup angreifbar ist und welche Korrektur den größten Risiko-Hebel hat, deutlich günstiger als die erste Abmahnung.

Die Einwilligungsverwaltungsverordnung (EinwV) ist am 1. April 2025 in Kraft getreten, gestützt auf § 26 TDDDG. Ihre Idee: Anerkannte Dienste zur Einwilligungsverwaltung, sogenannte PIMS (Personal Information Management Services), sollen Cookie-Präferenzen zentral verwalten, damit nicht jede Website einzeln nachfragen muss. Voraussetzung für den Einsatz ist eine behördliche Anerkennung des jeweiligen Dienstes durch die BfDI (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit).

Mitte 2026 steht die Verbreitung solcher Dienste noch ganz am Anfang. Die Nutzung ist für Website-Betreiber freiwillig, eine Pflicht zur Einbindung besteht nicht. Wer heute sein Tracking auf eine Lösung baut, die sich noch nicht durchgesetzt hat, riskiert genau die Compliance-Lücke, die er vermeiden will. Bis anerkannte PIMS-Dienste eine relevante Reichweite erreichen, bleibt ein sauberes, eigenständiges Cookie-Banner die verlässliche Methode.

Sinnvoll ist trotzdem, die Architektur modular zu bauen: ein Consent-Setup, das sich um eine Anbindung an ein anerkanntes PIMS erweitern lässt, sobald sich der Markt konsolidiert, ohne das bestehende Fundament neu zu bauen.

Nicht jedes Unternehmen braucht diese Leistung von Schröder Data Solutions. Ein interner Datenschutzbeauftragter, der Cookie-Banner und Consent-Setup bereits laufend betreut und regelmäßig auditiert, deckt die technische Seite oft selbst ab. Eine Website ohne jegliches Tracking, reine Informationsseiten ohne Analytics oder Marketing-Pixel, braucht kein Consent-Management, sondern höchstens eine schlanke Datenschutzerklärung. Wer ausschließlich eine verbindliche Rechtsberatung zu einem konkreten Einzelfall sucht, ist bei einem Anwalt oder einer Kanzlei mit Schwerpunkt Datenschutzrecht besser aufgehoben, Schröder Data Solutions liefert die technische Umsetzung dazu, nicht die rechtliche Bewertung. Und wer nur eine kleine Website mit geringem Tracking-Bedarf betreibt, kommt mit einem soliden Cookie-Banner-Plugin oft ohne server-seitige Architektur aus, deren Komplexität sich erst ab einem gewissen Datenvolumen lohnt.