Consent & Privacy-first Tracking

Wer Besuche und Bestellungen auswertet, braucht dafür häufig die Einwilligung der Besuchenden. Der Banner ist dabei der kleinste Teil. Schwieriger ist, dass jeder eingebundene Dienst den Status kennen und sich daran halten muss, auch der, den vor einem halben Jahr jemand über den Tag Manager nachgetragen hat.

Wir setzen das technisch um und ergänzen es, wo es passt, um datensparsame Messmethoden. Rechtsberatung gehört nicht dazu. Was für ein Unternehmen im Einzelfall gilt, klären dessen Datenschutzbeauftragte oder Rechtsberatung, und wir setzen das Ergebnis um.

Woran man erkennt, dass die Umsetzung nicht stimmt

Meist fällt es auf, wenn man einmal mit geöffneten Entwicklerwerkzeugen auf die eigene Seite schaut. Tags feuern schon beim Laden, bevor eine Entscheidung vorliegt. Nach dem Ablehnen erscheinen weiterhin Cookies oder Anfragen an Drittanbieter. Über den Tag Manager sind neue Dienste dazugekommen, ohne dass jemand die Einwilligung geprüft hat. Oder die Zahlen sind nach Einführung des Banners gesunken, und niemand kann sagen, um wie viel. Wenn zusätzlich keiner weiß, welcher Dienst welche Daten erhebt, ist die Bestandsaufnahme der erste Schritt.

Was das Gesetz an dieser Stelle regelt

Zwei Regelwerke greifen ineinander. Die DSGVO bestimmt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen, und nennt die Einwilligung als eine mögliche Grundlage. In Deutschland regelt § 25 des TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, bis Mai 2024 TTDSG) das Speichern und Auslesen von Informationen im Endgerät, etwa Cookies. Dafür ist grundsätzlich eine Einwilligung nötig, außer die Maßnahme ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich.

Auf EU-Ebene liegen Vorschläge zur Änderung der Cookie-Regeln vor, die im Rahmen des Digital Omnibus beraten werden. Wie sie ausfallen, ist nach unserem Kenntnisstand offen. Bis dahin gelten die bisherigen Regeln.

Was nach dem Klick passieren muss

Die Consent-Plattform zeigt den Banner an, speichert die Entscheidung und stellt sie technisch bereit. Welche man nimmt, ist eine Frage von Sprachen, Hosting und Anbindung an den Tag Manager. Entscheidend ist, was danach geschieht.

In Regionen mit Einwilligungspflicht stehen alle Einwilligungsarten auf „verweigert“, bis die Entscheidung vorliegt, und zwar schon vor dem ersten Messbefehl. Sobald die Besuchenden entscheiden, geht der neue Status sofort an Tag Manager und Tags. Jeder Auslöser ist an die passende Einwilligung gebunden, auch bei Diensten, die später ergänzt werden. Ändern Besuchende ihre Entscheidung, müssen die Tags dem neuen Status folgen.

Laufen die Daten über einen eigenen Server, muss der Status auch dort ankommen. Ersetzen kann der Server die Einwilligung nicht. Die Technik dazu steht unter Server-Side Tracking.

Google Consent Mode

Der Consent Mode teilt Google-Tags mit, welche Einwilligungen vorliegen. In Version 2 gibt es vier Signale: ad_storage und analytics_storage steuern das Speichern von Informationen, ad_user_data und ad_personalization die Verwendung von Nutzerdaten für Werbung und Personalisierung. Die beiden letzten kamen mit dem Update vom November 2023 hinzu.

Im Basic-Modus bleiben Google-Tags blockiert, bis eine Entscheidung vorliegt. Wer ablehnt, schickt nichts an Google. Im Advanced-Modus laden die Tags sofort mit dem Standardwert „verweigert“ und senden bei Ablehnung cookielose Signale mit Zeitstempel, Referrer und Einwilligungsstatus, die Google für Modellierung nutzen kann. Welcher Modus passt, ist auch eine rechtliche Frage, die wir mit Datenschutz und Rechtsberatung klären.

Zwei Dinge leistet der Consent Mode nicht. Er speichert keine Entscheidungen, das bleibt Sache der Consent-Plattform. Und er hält keine Dienste von Drittanbietern auf, die nicht von Google stammen.

Messen, wenn nicht eingewilligt wird

Manche Analyse-Tools sind für datensparsame Messung gebaut. Matomo etwa lässt sich ohne Cookies betreiben, dann sinkt die Genauigkeit bei wiederkehrenden Besuchenden. Andere arbeiten von vornherein ohne Cookies und mit täglich wechselnden Kennungen. Cookielos heißt aber nicht automatisch einwilligungsfrei: Das TDDDG betrifft jeden Zugriff auf Informationen im Endgerät, die DSGVO gilt, sobald personenbezogene Daten verarbeitet werden, und Aufsichtsbehörden beurteilen einzelne Konfigurationen zum Teil unterschiedlich. Ob ein Tool ohne Einwilligung laufen darf, entscheidet die rechtliche Bewertung im Einzelfall.

Sinnvoll ist die datensparsame Variante trotzdem, etwa für Grundzahlen wie Seitenaufrufe und Quellen. Detaillierte Analysen über mehrere Seiten hinweg bleiben der Einwilligung vorbehalten.

Wer nicht einwilligt, fehlt in den detaillierten Daten. Wie groß die Lücke ist, hängt von Publikum, Banner und Seite ab, aber sie lässt sich messen: Die Einwilligungsquote zeigt, wie belastbar die Zahlen sind. Bestellungen aus dem Shop sind vollständig, auch wenn das Tracking Lücken hat. Deshalb gleichen wir Trackingdaten mit Shop, CRM oder Buchhaltung ab und sehen, wie weit sie auseinanderliegen. Manche Anbieter schätzen fehlende Conversions zusätzlich mit statistischen Modellen, was Mindestmengen an Daten voraussetzt. Modellierte Zahlen ersetzen keine Messwerte, und in Berichten kennzeichnen wir, was gemessen und was geschätzt ist.

Tests im Browser

Eine geplante Konfiguration garantiert noch keine korrekte Umsetzung. Wir öffnen die Seite deshalb in vier Zuständen und schauen, was tatsächlich gesendet wird. Vor der Entscheidung dürfen weder Anfragen an Drittanbieter noch Tracking-Cookies auftreten. Nach Ablehnung bleibt das so, auch nach dem Wechsel auf weitere Seiten. Nach Zustimmung starten die erwarteten Tags mit korrekt gesetzten Signalen, und nach einem Widerruf folgen sie wieder dem neuen Status.

Die Tests wiederholen wir bei Änderungen an Website, Tag Manager oder Consent-Plattform. Dokumentiert werden Datenflüsse, Einstellungen, eingesetzte Dienste und Testergebnisse.