Tracking vor Cookie Consent ist kein Randproblem, sondern einer der häufigsten technischen Befunde auf Websites. In unserer Auswertung von 3,82 Millionen Websites lud gut jede sechste (17,8 %) Analyse- oder Werbe-Tracking, bevor der Besucher eingewilligt hatte. Ein Banner verhindert das nicht zuverlässig: Von den Websites mit Cookie-Banner übertrug gut jede fünfte (20,9 %) trotzdem schon vorher Daten.
| Prüfmethode | Was erkannt wird | Multi-Mandant | Aufwand |
|---|---|---|---|
| Chrome DevTools (Network-Tab) | Alle Requests, manuell | ❌ Eine Website pro Session | Sehr hoch |
| GTM Preview-Modus | Tag-Firing im Debug-Kontext | ❌ Einzeln pro Property | Hoch |
| Browsererweiterung (z. B. uBlock) | Bekannte Tracker-Muster | ❌ Kein zentrales Dashboard | Gering |
| Automatischer Scanner (z. B. Complianty) | Pre- & Post-Consent-Phase, alle Requests | ✅ Alle Mandanten zentral | Gering (nach der Einrichtung) |
Was das Gesetz verlangt: Einwilligung vor dem Tracking
Die Grundregel ist einfach: Tracking, das auf das Endgerät der Besucher zugreift, braucht in aller Regel eine vorherige Einwilligung. Art. 6 Abs. 1 lit. a DSGVO und § 25 TDDDG verlangen, dass einwilligungspflichtige Dienste erst nach einer aktiven, informierten und freiwilligen Zustimmung des Nutzers aktiviert werden dürfen. Das gilt für:
- Analyse-Tools wie Google Analytics 4 oder Matomo (mit Tracking-Cookies)
- Werbe-Pixel wie Meta Pixel, LinkedIn Insight Tag, TikTok Pixel
- Heatmap-Tools wie Hotjar oder Microsoft Clarity
- CRM-Tracker wie HubSpot oder Leadinfo
- Re-Targeting-Dienste wie Google DoubleClick oder Criteo
Entscheidend ist der Zeitpunkt. Nicht ob ein Banner vorhanden ist, sondern ob das Tracking tatsächlich erst nach Klick auf „Akzeptieren" startet. Genau hier liegt das Problem – und es ist technisch, nicht rechtlich.
DSGVO und TDDDG: Zwei Gesetze, ein Problem
Viele Agenturen kennen die DSGVO, aber nicht das TDDDG – dabei greifen beide Gesetze gleichzeitig. Der Unterschied ist wichtig:
Die DSGVO (Datenschutz-Grundverordnung) ist EU-weit direkt anwendbares Recht. Sie regelt, ob und auf welcher Rechtsgrundlage personenbezogene Daten verarbeitet werden dürfen. Für Tracking ohne Einwilligung ist Art. 6 Abs. 1 lit. a DSGVO die einschlägige Norm: Einwilligung als Rechtsgrundlage.
Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) ist deutsches Bundesgesetz. Es gilt seit Dezember 2021, damals unter dem Namen TTDSG, und trägt seit dem 14. Mai 2024 seinen heutigen Namen. § 25 TDDDG regelt den technischen Akt selbst: das Speichern von Informationen auf dem Endgerät des Nutzers oder das Auslesen bereits gespeicherter Informationen – also das Setzen und Lesen von Cookies und vergleichbarer Tracking-Techniken. Entscheidend: Das TDDDG greift auch dann, wenn die erhobenen Daten nicht personenbezogen sind. Es reicht, dass überhaupt auf das Gerät zugegriffen wird.
Im Klartext: Für Tracking braucht es regelmäßig zwei Grundlagen – für den Zugriff auf das Endgerät eine Einwilligung nach § 25 TDDDG, sofern keine der engen Ausnahmen greift, und für die anschließende Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach Art. 6 DSGVO. Ein Cookie-Banner allein, der nur eine der beiden Ebenen abdeckt, ist nicht ausreichend.
Bußgelder und Behördenentscheidungen: Was Aufsichtsbehörden beanstandet haben
Pre-Consent Tracking ist kein abstrakt-rechtliches Problem. Europäische Datenschutzbehörden verfolgen Verstöße aktiv – und die Bußgelder sind substanziell:
DSB Österreich, Dezember 2021 (veröffentlicht Januar 2022): Als erste Behörde entschied die österreichische Datenschutzbehörde über eine der 101 Musterbeschwerden der NGO noyb. Ein Website-Betreiber hatte mit Google Analytics Nutzerkennungen, IP-Adresse und Browserdaten ohne angemessenes Schutzniveau in die USA übermittelt. Ein Bußgeld gab es nicht. Mehrere Behörden, darunter CNIL, Garante und die schwedische IMY, kamen später zu ähnlichen Ergebnissen.
CNIL (Frankreich), Februar 2022: Die französische Datenschutzbehörde stellte fest, dass die Übermittlung durch Google Analytics in die USA rechtswidrig war, und gab den betroffenen Betreibern einen Monat, das Tool zu entfernen oder auf eine Lösung ohne US-Transfer umzustellen. Schon Ende Dezember 2021 (veröffentlicht im Januar 2022) hatte die CNIL Bußgelder von 150 Millionen Euro gegen Google und 60 Millionen Euro gegen Facebook verhängt: Auf google.fr, youtube.com und facebook.com ließen sich Cookies mit einem Klick akzeptieren, das Ablehnen erforderte mehrere Klicks.
CNIL, Juni 2023: Das Re-Targeting-Netzwerk Criteo wurde mit einem Bußgeld von 40 Millionen Euro belegt. Der Vorwurf: Criteo konnte nicht nachweisen, dass die Nutzer eingewilligt hatten, informierte unzureichend und erfüllte Betroffenenrechte nicht vollständig.
Garante (Italien), Juni 2022: Die italienische Datenschutzbehörde gab einem Website-Betreiber 90 Tage, den US-Transfer über Google Analytics abzustellen, und wies zugleich alle italienischen Betreiber auf die Rechtswidrigkeit hin.
Die Google-Analytics-Fälle drehten sich um den Datentransfer in die USA. Seit dem EU-US Data Privacy Framework (Juli 2023, vom EU-Gericht im September 2025 bestätigt) ist diese Frage für zertifizierte Anbieter neu zu bewerten. Die Einwilligungspflicht nach § 25 TDDDG für den Zugriff auf das Endgerät bleibt davon unberührt.
Für Agenturen bedeutet das: Die Haftung liegt beim Website-Betreiber – also beim Kunden. Aber wer die technische Verantwortung für das Setup trägt, steht im Zweifel auch in der Pflicht. Kein Kunde kann sich auf „die Agentur hat das gebaut" berufen, wenn er selbst verantwortliche Stelle ist. Umgekehrt riskiert eine Agentur, die wissentlich ein rechtswidriges Tracking-Setup ausliefert, Regressansprüche.
Das häufigste Missverständnis: Cookie Banner blockiert Tracking nicht
Viele Agenturen glauben, mit der Installation eines Cookie-Consent-Tools sei alles erledigt. In der Praxis stimmt das nicht. Ein Cookie Banner, der das Tracking nicht richtig blockiert, erfüllt keine Schutzfunktion – er ist juristisch gesehen wertlos und schafft trügerische Sicherheit.
Wie kann das passieren? Die häufigsten Ursachen:
-
Google Tag Manager lädt unkontrolliert: Das GTM-Snippet liegt direkt
im
<head>– und der GTM feuert Tags, bevor das CMP überhaupt initialisiert ist. Der GTM Tag Manager Consent Mode ist zwar vorhanden, aber falsch konfiguriert: Tags haben keine Consent-Bedingung und laufen ohne Einschränkung. - CMP-Plugin unvollständig konfiguriert: Auch bei verbreiteten WordPress- und Baukasten-CMPs kommt Tracking vor der Einwilligung trotz Banner vor. Der Grund liegt meist nicht am Tool selbst, sondern an Scripts, die manuell außerhalb des CMP eingebunden sind und deshalb nicht von ihm kontrolliert werden. Welches CMP für Agenturen das richtige ist und worauf du bei der Auswahl achten musst, erklärt unser Cookie Consent Tool Vergleich für Agenturen.
- Kein CMP – nur ein statischer Hinweis: Ein Teil der Websites mit Tracking vor der Einwilligung hat gar kein funktionierendes Consent Management. Das Cookie Consent Tool blockiert das Tracking in diesen Fällen schlicht nicht – weil es kein echtes Tool ist, sondern ein optischer Hinweis ohne technische Funktion.
Was unsere Scans zeigen: drei anonymisierte Fälle
Wie Tracking vor der Einwilligung in der Praxis aussieht, zeigen drei anonymisierte Fälle aus Scans mit unserem DSGVO-Scanner:
Fall 1 – Unternehmens-Website, kein CMP: Beim ersten Seitenaufruf gingen sofort Requests an Google Tag Manager, Meta Pixel, LinkedIn Insight Tag, Microsoft Clarity, YouTube und Google DoubleClick. Insgesamt acht Drittdienste – ohne jede Steuerungsmöglichkeit für den Nutzer, weil kein Consent Management vorhanden war.
Fall 2 – Agentur-Website mit generischem Cookie-Banner: Ein Cookie-Hinweis war vorhanden, aber ohne technische Steuerungsfunktion. Trotzdem oder gerade deshalb feuerten vor Consent: Google Tag Manager, Google Ads, Mouseflow, Microsoft Clarity und Leadinfo. Der GTM hatte keine einzige Consent-Bedingung konfiguriert.
Fall 3 – WordPress-Site mit Consent-Plugin: Hier war ein vollwertiges CMP installiert. Trotzdem luden vor dem Consent-Klick: Google Analytics 4, Google Fonts, ProvenExpert und Trustindex. Die Ursache: Diese Drittanbieter-Dienste waren direkt im Theme eingebunden und wurden vom Plugin nicht erfasst – sie liefen am CMP vorbei.
Google Analytics feuert vor Einwilligung – und du merkst es nicht
Google Analytics 4 ist in unserer Studie der Dienst, der am häufigsten vor der Einwilligung lädt. Wie kommt es dazu?
Das klassische Setup: GA4 wird über den Google Tag Manager eingebunden.
Der GTM-Code wird so früh wie möglich im <head> platziert.
Wenn die Seite lädt, feuert der GTM sofort –
und mit ihm alle konfigurierten Tags, darunter der GA4-Tag. Das CMP lädt
erst danach, weil es oft über den GTM selbst oder als Plugin nachgeladen wird.
Ergebnis: Google Analytics lädt vor Cookie Banner, obwohl auf der Seite ein vollständiges Consent-Banner sichtbar ist. Nutzer können gar nicht schnell genug reagieren – die Datenübertragung ist längst passiert.
Die Lösung: Google Consent Mode v2 korrekt implementieren und den GTM so
konfigurieren, dass alle Tags standardmäßig auf denied stehen,
bis das Consent-Signal kommt. Ohne explizite Consent-Konfiguration im Tag
Manager hilft auch Consent Mode v2 nicht. Wichtig: Selbst bei korrekter
Konfiguration mit default: 'denied' sendet GA4 im Advanced-Modus
noch sogenannte cookieless Pings (mehr dazu im Abschnitt zum Conversion-Tracking). Consent Mode v2
allein ist daher kein vollständiger Schutz – er reduziert das Datenvolumen,
ersetzt aber nicht die ausdrückliche Einwilligung.
Meta Pixel feuert vor Zustimmung – die GTM-Falle
Das Meta Pixel feuert vor Zustimmung häufig aus demselben Grund wie GA4 – über den GTM ohne Consent-Bedingung. In unserer Studie gehört es zu den vier Analyse- und Werbediensten, die am häufigsten vor der Einwilligung laden.
Das Problem verschärft sich durch den Pixel-Aufbau: Beim ersten Seitenaufruf
sendet der Pixel automatisch ein PageView-Event. Das übermittelt
unter anderem IP-Adresse, Browserdaten, die aufgerufene Adresse und eine
Cookie-Kennung an Meta – ohne Einwilligung.
Besonders tückisch: Im GTM-Interface sieht das Setup korrekt aus. Erst wenn man den Consent Mode v2 prüft und nachschaut, ob der Tag tatsächlich eine Consent-Bedingung hat, wird das Problem sichtbar. Ohne Netzwerk-Interceptor lässt sich das im normalen Browser-Betrieb kaum erkennen.
Was die neuesten deutschen Urteile zu Meta Pixel und DSGVO für Agenturen konkret bedeuten – Haftung, Schadensersatz nach Art. 82 DSGVO und server-seitige Alternativen – erklärt unser Artikel Meta Pixel & DSGVO 2026: Was die neuen Urteile für Agenturen bedeuten.
Wie prüfe ich, ob Tracking vor Consent feuert?
Es gibt drei Methoden, um Tracking ohne Einwilligung erkennen zu können:
1. Manuell mit Browser-DevTools:
Öffne die Website im Inkognito-Modus, öffne sofort die DevTools (F12) und wechsle
zum Network-Tab. Lade die Seite neu. Noch bevor du auf den Cookie-Banner geklickt
hast, siehst du alle ausgehenden Requests. Filtere nach bekannten Tracking-Domains:
google-analytics.com, connect.facebook.net,
snap.licdn.com, analytics.tiktok.com,
clarity.ms. Jeder Treffer vor dem Consent-Klick ist ein Befund, den du
dir genauer ansehen solltest.
2. Mit Browser-Extensions: Tools wie „Privacy Badger" oder „uBlock Origin" zeigen Tracking-Requests an, helfen aber nicht bei der zeitlichen Einordnung relativ zum Consent-Zeitpunkt. Sie sind für einen schnellen Überblick geeignet, nicht für eine belastbare DSGVO-Prüfung.
3. Automatisiert mit einem Pre-Consent Tracking Prüf-Tool: Ein automatisierter Scanner wie Complianty öffnet die Seite in einem kontrollierten Browser-Kontext, protokolliert alle Requests vor dem Consent-Klick (Phase 1), führt dann den Consent-Klick durch und protokolliert alle neuen Requests danach (Phase 2). Das Ergebnis: Eine genaue Liste, welche Tools vor und welche erst nach Einwilligung feuern – datiert und exportierbar.
Website auf DSGVO-Verstöße prüfen – systematisch für alle Kunden
Für Agenturen, die mehrere Kunden-Websites betreuen, reicht manuelle Prüfung nicht. Die Situation ändert sich laufend: Plugin-Updates schmuggeln neue Scripts ein, Kunden integrieren eigenständig neue Tools, CMPs bekommen Breaking Changes. Um Website Tracking prüfen auf DSGVO-Compliance systematisch zu betreiben, braucht es:
- Automatische Wiederholungsscans: Mindestens wöchentlich, idealerweise nach jedem Deployment. Nur so fällt auf, wenn ein Plugin-Update plötzlich Google Analytics vor dem Cookie Banner lädt.
- Vergleich über Zeit: Nicht nur der aktuelle Status zählt, sondern ob neue Tools hinzugekommen sind. Ein New Tool Detected-Alert schlägt an, bevor das Problem eskaliert.
- Dokumentation des Scan-Zeitpunkts: Behörden können rückwirkend fragen, ob eine Website zu einem bestimmten Zeitpunkt konform war. Ein datierter Scan-Bericht ist ein belastbarer Nachweis.
Alle weiteren DSGVO-Pflichten, die beim Website-Launch erfüllt sein müssen – von AVV über Datenschutzerklärung bis zum Verarbeitungsverzeichnis – fasst unsere vollständige DSGVO-Checkliste für Webagenturen zusammen. Welche DSGVO-Software sich für Agenturen mit mehreren Kunden am besten eignet, zeigt unser DSGVO-Software-Vergleich für Agenturen – und wer bereits ein dokumentationsbasiertes Tool wie heyData nutzt, findet die direkte Gegenüberstellung auf unserer Seite heyData-Alternative mit Pre-Consent-Scanner.
Conversion-Tracking DSGVO-konform: Consent Mode, serverseitig, cookielos
Hinter vielen Pre-Consent-Befunden steht eine kaufmännische Frage: Ohne Conversion-Daten lassen sich Kampagnen nicht steuern. Die drei gängigen Ansätze lösen unterschiedliche Probleme. Keiner macht die Einwilligung überflüssig, sobald Daten zu Werbezwecken an Google, Meta oder andere Plattformen gehen.
Google Consent Mode v2: Basic und Advanced
Consent Mode übermittelt Google-Tags den Einwilligungsstatus. Für Werbung und Analyse
sind vier Consent-Typen maßgeblich: ad_storage, analytics_storage
und die mit Version 2 ergänzten ad_user_data und ad_personalization.
Seit März 2024 setzt Google seine EU-Richtlinie zur Nutzereinwilligung strenger durch:
Wer Google-Tags im EWR für Messung, personalisierte Werbung oder Remarketing nutzt, muss
Google die Einwilligungssignale übermitteln, im Web in der Regel über Consent Mode.
Entscheidend ist die Betriebsart:
- Basic: Die Google-Tags laden erst, wenn die Einwilligung vorliegt. Vorher senden sie keine Mess- oder Werbedaten an Google, nicht einmal den Einwilligungsstatus. Ein vorab geladener Tag-Manager-Container ist davon unabhängig ein eigener Aufruf an Google.
- Advanced: Die Tags laden sofort, standardmäßig mit dem Status
denied. Sie setzen keine Werbe- und Analyse-Cookies, senden aber cookielose Pings: Zeitstempel, User-Agent, Referrer, Einwilligungsstatus und die Seiten-URL einschließlich eventueller Klick-IDs, dazu wie bei jedem Aufruf die IP-Adresse. Laut Google wird sie nur für die Länderzuordnung genutzt und nicht gespeichert. Google nutzt die Pings, um Conversions und in GA4 auch das Nutzerverhalten zu modellieren.
Ob diese Pings ohne Einwilligung zulässig sind, ist nicht abschließend geklärt; eine Behörden- oder Gerichtsentscheidung speziell dazu ist bislang nicht bekannt. Nach den Leitlinien 2/2023 des Europäischen Datenschutzausschusses (EDSA) zu Art. 5 Abs. 3 der ePrivacy-Richtlinie, in Deutschland umgesetzt durch § 25 TDDDG, kann aber schon ein Skript, das den Browser Informationen vom Endgerät versenden lässt, ein Zugriff auf das Endgerät sein, auch ohne Cookie. Damit ist § 25 grundsätzlich anwendbar. Advanced ist deshalb eine bewusste Abwägung mit dem Datenschutzbeauftragten des Kunden, Basic die vorsichtigere Variante.
Das gcs-Signal (und das ausführlichere gcd) im Aufruf ist dabei
eine Selbstauskunft des Tags, kein Beweis.
Complianty führt einen Ping mit dem Status „verweigert" als Consent-Signal statt als
Verstoß, aber nur, solange die Messung nicht widerspricht: Setzt die Seite vor der
Einwilligung ein Cookie wie _ga, zählt das gemessene Verhalten. Fehlt das
Signal ganz, lautet der Befund „Datenübertragung vor Einwilligung". Jeder einzelne Aufruf
ist in der Request-Timeline nachvollziehbar.
Serverseitiges Tagging und Conversions API
Beim serverseitigen Google Tag Manager schickt der Browser die Daten zuerst an einen eigenen Endpunkt, meist eine Subdomain der Website. Ein Server-Container prüft sie und leitet sie weiter. Metas Conversions API ist dagegen eine Server-zu-Server-Schnittstelle: Ereignisse gehen vom Server, Shop-System oder CRM direkt an Meta, oder über das Conversions API Gateway beziehungsweise einen Server-Container. Das bringt Kontrolle: Die Agentur bestimmt, welche Felder hinausgehen, und kann etwa IP-Adressen entfernen oder kürzen. Die Rechtsfrage bleibt. Die Daten landen weiterhin bei Google oder Meta, zum selben Zweck. Serverseitiges Tagging verlagert die Übermittlung an Dritte, ersetzt aber keine erforderliche Einwilligung. Sendet der Browser weiter per Skript Daten oder werden Cookies gesetzt, gilt § 25 TDDDG. Ereignisse ohne Einwilligung sollten deshalb nicht an Werbeanbieter weitergegeben werden. Der Landesdatenschutzbeauftragte Baden-Württemberg hält eine Ausnahme allenfalls bei vollständig anonymisierten Daten ohne Cookies für denkbar. Auch SHA-256-gehashte E-Mail-Adressen, wie sie Googles erweiterte Conversions und Metas erweiterter Abgleich nutzen, bleiben personenbezogene Daten: Der Werbeanbieter gleicht sie mit bei ihm hinterlegten Adressen ab. Hashing ist hier keine Anonymisierung.
Ein Scanner im Browser sieht dabei nur den Aufruf an den eigenen Endpunkt. Wie sich solche Setups trotzdem erkennen lassen und warum das ein Verdacht bleibt, zeigt der Artikel Self-hosted und proxied Tracking erkennen.
Cookielose Analytik: Plausible, Matomo ohne Cookies
Wer eine Website ohne Cookies betreiben will, landet meist bei Werkzeugen wie Plausible oder Matomo mit abgeschalteten Cookies. Ob eine Einwilligung nötig ist, entscheiden zwei getrennte Fragen:
- § 25 TDDDG erfasst jedes Speichern und Auslesen von Informationen auf dem Endgerät, nicht nur Cookies. Liest ein Skript etwa die Bildschirmgröße aus und sendet sie an einen Server, oder schreibt es in den
localStorage, ist die Vorschrift berührt. Ohne Einwilligung ist das bei Websites nur zulässig, wenn der Zugriff unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Diese Ausnahme legen die Aufsichtsbehörden eng aus; eine pauschale Freistellung für Reichweitenmessung gibt es in Deutschland nicht. Wertet ein Werkzeug nur aus, was beim Seitenaufruf ohnehin am eigenen Server ankommt, etwa Server-Logfiles, sahen deutsche Aufsichtsbehörden darin bisher regelmäßig keinen Zugriff im Sinne des § 25. Der EDSA sieht das enger, sobald IP-Adresse oder Header-Daten gezielt zur Wiedererkennung genutzt werden. - Die DSGVO gilt trotzdem, sobald IP-Adressen oder daraus gebildete Kennungen verarbeitet werden. Für selbst gehostete Messung ohne Weitergabe an Dritte kommt berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO in Betracht; die Datenschutzkonferenz sieht diese Grundlage beim Tracking allerdings nur in wenigen Konstellationen erfüllt. Nötig sind eine dokumentierte Abwägung und die Nennung in der Datenschutzerklärung. Die Abwägung ersetzt keine nach § 25 TDDDG erforderliche Einwilligung.
Cookielos heißt also nicht automatisch einwilligungsfrei. Für Kampagnen hat cookielose Analytik außerdem eine Grenze: Sie misst Ziele auf der eigenen Website, etwa abgeschickte Formulare, liefert aber keine Conversions an Google Ads oder Meta zurück.
Entscheidungshilfe
| Ansatz | Vor der Einwilligung | Einwilligung nötig? | Geeignet für |
|---|---|---|---|
| Tags erst nach Einwilligung (CMP-Blockade, Consent Mode Basic) | keine Mess- oder Werbedaten an Google oder Meta | ja, wird vor dem Laden eingeholt | Standard für Werbe-Conversions |
| Consent Mode Advanced | cookielose Pings mit IP-Adresse und Status | rechtlich offen, bewusst abwägen | Conversion-Modellierung in Google Ads |
| Serverseitiges Tagging, Conversions API | Daten laufen über einen eigenen Server, Weiterleitung nur mit Einwilligung | ja, für Werbezwecke | Datenkontrolle nach der Einwilligung |
| Cookielose, selbst gehostete Analytik | Aufruf an eigenen Server | § 25 berührt, sobald das Skript speichert oder Geräteinformationen sendet; Ausnahme nur bei unbedingter Erforderlichkeit; DSGVO-Abwägung bleibt | Reichweite und Ziele auf der eigenen Website |
| Server-Logfile-Auswertung (reine Statistik, keine Wiedererkennung) | nichts zusätzlich | § 25 TDDDG in der Regel nicht berührt; Art. 6 DSGVO bleibt | grobe Zugriffszahlen |
Die Übersicht ersetzt keine Rechtsberatung; entscheiden muss der Verantwortliche, am besten mit seinem Datenschutzbeauftragten. Was auf einer Website tatsächlich läuft, zeigt aber nicht die Konfiguration im Tag Manager, sondern die Messung. Der kostenlose Scan oben auf dieser Seite prüft die Startseite vor und nach dem Consent-Klick.
FAQ: Häufige Fragen zu Tracking und Cookie Consent
Ist Google Analytics ohne Cookie-Banner immer ein DSGVO-Verstoß?
Ja – sofern GA4 Cookies setzt oder Nutzerdaten an Google-Server überträgt, ist ohne vorherige Einwilligung sowohl § 25 TDDDG (Zugriff auf das Endgerät) als auch Art. 6 Abs. 1 DSGVO (Verarbeitung personenbezogener Daten) verletzt. Eine Ausnahme gilt nur für rein technisch notwendige Dienste, die keinerlei Tracking-Funktion haben – das trifft auf GA4 nicht zu.
Ist der Google Tag Manager DSGVO-konform?
Der Tag Manager ist ein Auslieferungswerkzeug, rechtlich aber nicht neutral. Das VG Hannover hat entschieden, dass schon sein Einsatz eine Einwilligung nach § 25 TDDDG voraussetzt, weil er beim Laden der Seite Informationen an Google übermittelt (Urteil vom 19.03.2025, 10 A 5385/22). Wird der Container vor der Einwilligung von googletagmanager.com geladen, erreicht die IP-Adresse des Besuchers Google bereits mit diesem Skriptabruf. Praktisch schwerer wiegt meist, was der Container auslöst: Feuert er Analyse- oder Werbe-Tags vor der Einwilligung, liegt dort der eigentliche Befund. Der Scanner zeigt pro Dienst, ob er vor oder nach dem Consent-Klick geladen hat. Den Abruf des Tag Managers selbst zählt er nicht als eigenen Verstoß; er bleibt in der Request-Timeline sichtbar.
Reicht Google Consent Mode v2 aus, um DSGVO-konform zu sein?
Nein. Consent Mode v2 ist ein Signalisierungsprotokoll, das Google mitteilt, ob eine Einwilligung vorliegt. Er ersetzt weder die Einwilligung selbst noch verhindert er zuverlässig alle Datenübertragungen: Im Advanced-Modus sendet GA4 auch ohne Einwilligung sogenannte cookieless Pings, mit denen Google Verhalten und Conversions modelliert. Consent Mode v2 ist ein sinnvoller Baustein – aber kein Ersatz für ein korrekt konfiguriertes CMP mit echter Consent-Bedingung im Tag Manager.
Ist Conversion-Tracking ohne Einwilligung erlaubt?
In der Regel nicht, sobald Werbeplattformen beteiligt sind. Conversion-Tags von Google Ads, Meta oder LinkedIn greifen auf das Endgerät zu (§ 25 TDDDG) und übermitteln Daten an den Werbeanbieter, der sie auch für eigene Zwecke nutzt. Dafür ist nach Auffassung der Aufsichtsbehörden regelmäßig eine Einwilligung nötig (Art. 6 Abs. 1 lit. a DSGVO). Serverseitiges Tagging ändert daran nichts, es verlagert nur den Weg der Daten. Ohne Einwilligung auskommen kann allenfalls eine Messung von Zielen auf der eigenen Website, die weder etwas auf dem Gerät speichert noch Informationen von dort versendet und keine Daten an Dritte weitergibt. Das ist im Einzelfall zu prüfen.
Was ist Pre-Consent Tracking genau?
Pre-Consent Tracking bezeichnet jede Datenübertragung an Drittanbieter, die stattfindet, bevor der Nutzer aktiv in das Tracking eingewilligt hat – also vor dem Klick auf „Akzeptieren" im Cookie-Banner. Entscheidend ist der technische Zeitpunkt der ersten Netzwerkanfrage, nicht ob ein Banner angezeigt wird.
Welche Tools feuern am häufigsten vor dem Cookie-Consent?
In unserer Studie laden von den Analyse- und Werbediensten am häufigsten Google Analytics 4, Matomo, Google DoubleClick und das Meta Pixel vor der Einwilligung. Typische Ursachen sind ein Tag-Manager-Setup ohne Consent-Bedingungen oder Skripte, die am Consent-Tool vorbei eingebunden sind.
Muss ein Cookie-Banner einen „Alles ablehnen"-Button haben?
In aller Regel ja. Nach der Orientierungshilfe der Datenschutzkonferenz für digitale Dienste muss das Ablehnen ohne Mehraufwand möglich sein. Steht auf der ersten Ebene ein „Alle akzeptieren"-Button, gehört eine gleichwertige Ablehnen-Möglichkeit ebenfalls dorthin. So sieht es laut Cookie-Banner-Taskforce des EDSA (Januar 2023) auch die große Mehrheit der europäischen Aufsichtsbehörden, ebenso das OLG Köln (6 U 80/23) und das VG Hannover (10 A 5385/22). Die CNIL verhängte Ende 2021 Bußgelder von insgesamt 210 Millionen Euro gegen Google und Facebook, weil das Ablehnen dort mehrere Klicks erforderte, das Akzeptieren nur einen.
Haftet die Agentur, wenn das Tracking des Kunden rechtswidrig ist?
Verantwortliche Stelle im Sinne der DSGVO ist grundsätzlich der Website-Betreiber, also der Kunde. Die Agentur kann jedoch in die Haftung geraten, wenn sie das rechtswidrige Setup wissentlich umgesetzt hat oder vertraglich die Verantwortung für die DSGVO-Konformität übernommen hat. Zudem drohen der Agentur Regressansprüche, wenn ein Bußgeld auf ein nachweislich fehlerhaftes technisches Setup zurückzuführen ist.
Fazit
Tracking vor Cookie Consent betrifft gut jede sechste Website, und ein vorhandener Cookie-Banner verhindert es nicht zuverlässig: Gut jede fünfte Website mit Banner überträgt trotzdem vorher Daten. Ein Banner, der das Tracking nicht technisch blockiert, erfüllt seinen Zweck nicht.
Als Agentur trägst du Mitverantwortung für die Websites deiner Kunden. Wer Pre-Consent Tracking erkennen und dokumentieren kann, hat einen klaren Vorteil – gegenüber der Aufsichtsbehörde und gegenüber Kunden, die eine nachweisbare Compliance-Geschichte brauchen.