Server-Side Tagging und Tracking: Warum die DSGVO-Einwilligung weiter gilt

Tag-Manager wandern auf den Server. Der Server-Container von Google Tag Manager, Tealium EventStream, Adobe Event Forwarding, Segment und gehostete Dienste wie Stape senden Events an einen Server, den Sie kontrollieren, und leiten sie von dort weiter, entweder über eine Subdomain wie data.example.com oder über einen Pfad Ihrer Hauptdomain wie example.com/metrics. An dem, was DSGVO und ePrivacy-Regeln verlangen, ändert das nichts: eine Einwilligung vor Analytics- und Werbe-Cookies und eine Rechtsgrundlage für jedes personenbezogene Datum, das Sie an eine Werbe- oder Analytics-Plattform senden.

Was sich ändert, ist der Weg, den die Einwilligung nehmen muss. Das Banner läuft weiterhin im Browser, die Entscheidung, Daten an einen Anbieter zu senden, fällt aber jetzt auf Ihrem Server. Die Entscheidung des Besuchers muss deshalb mit jedem Event mitgeschickt werden.

Server-Side Tagging und Tracking: Warum die DSGVO-Einwilligung weiter gilt

Zwei Wege, Tags auf der eigenen Domain zu betreiben

	Subdomain	Pfad auf der Hauptdomain
Beispiel	data.example.com	example.com/metrics
Einrichtung	Ein DNS-Eintrag verweist die Subdomain auf Ihren Tagging-Server	Ihr CDN oder Reverse Proxy leitet den Pfad an Ihren Tagging-Server weiter
Was sich ändert	Anfragen und Cookies sind First-Party	Anfragen sind Same-Origin, Tag-Skripte und Events laden also wie der Rest Ihrer Website
Braucht weiterhin eine Einwilligung	Ja	Ja

Safari begrenzt die Lebensdauer von Cookies, die eine Subdomain setzt, wenn diese auf eine andere IP-Adresse als Ihre Hauptwebsite verweist. Das ist ein Grund, warum immer mehr Setups einen Pfad auf der Hauptdomain nutzen. Für die Einwilligung macht die Wahl keinen Unterschied: In beiden Fällen gehören die Tags und Cookies Ihnen, und damit auch die Verantwortung.

Warum Server-Side Tagging die Einwilligung nicht ersetzt

Vier Annahmen hört man oft, und keine davon stimmt.

• „Server-Cookies sind keine Cookies.“ Ein Cookie, das Ihr Server setzt, wird trotzdem auf dem Endgerät des Besuchers gespeichert. Die ePrivacy-Regeln erfassen das Speichern und Auslesen von Informationen auf einem Endgerät, unabhängig davon, wer sie setzt.
• „First-Party heißt ausgenommen.“ Eine Ausnahme für First-Party gibt es nicht. Ein First-Party-Cookie für Analytics oder Werbung braucht genauso eine Einwilligung wie ein Third-Party-Cookie. Der Digital Omnibus der EU könnte künftig einen Teil der First-Party-Messung ausnehmen, doch das ist bislang ein Verhandlungstext und kein geltendes Recht.
• „Der Browser spricht nie mit dem Anbieter, also ist alles in Ordnung.“ Die DSGVO gilt für die personenbezogenen Daten, die Sie weiterleiten, etwa IP-Adressen, gehashte E-Mail-Adressen und Bestelldetails, egal ob sie den Browser oder Ihren Server verlassen.
• „Werbeblocker sehen es nicht, also zählt es nicht.“ Anfragen vor Blockern zu verbergen ändert nichts an der rechtlichen Pflicht. Was Sie erheben dürfen, bestimmt weiterhin die Entscheidung des Besuchers in Ihrem Banner.

Server-Side Tagging lohnt sich trotzdem. Sie bestimmen, was Ihre Infrastruktur verlässt: Sie können IP-Adressen entfernen, User Agents kürzen und Felder löschen, die ein Anbieter nicht braucht, bevor Sie Daten weiterleiten. Das unterstützt die Datenminimierung nach der DSGVO. Es braucht nur dasselbe Einwilligungssignal wie Browser-Tags, das auf anderem Weg übermittelt wird.

Wo serverseitige Setups Lücken haben

Der Server leitet Events weiter, ohne die Einwilligung zu prüfen

Ein Server-Container oder eine Event-Pipeline leitet weiter, was ankommt. Die Tags von Google lesen Google Consent Mode und passen an, was sie senden. Die meisten anderen Connectors, etwa die Meta Conversions API, die TikTok Events API, LinkedIn und die OpenAI Conversions API für ChatGPT Ads, prüfen die Einwilligung nicht selbst. Mit den Standardeinstellungen senden sie jedes Event, auch Events von Besuchern, die abgelehnt haben.

Skripte von der eigenen Domain laufen vor dem Banner

Wenn Ihr Tag-Manager oder Ihr CDN Tag-Skripte von Ihrer Domain ausliefert und in Ihre Seiten einfügt, bestimmen Sie unter Umständen nicht mehr, in welcher Reihenfolge sie geladen werden. Laufen sie, bevor Ihre CMP die Einwilligung gesetzt hat, können sie Cookies setzen und Daten senden, bevor der Besucher das Banner gesehen hat. Man spricht hier von einem verspäteten Einwilligungssignal (Late Consent Signal). Das One-Click-CDN-Setup von Google Tag Gateway ist ein typisches Beispiel.

Prüfungen anhand von Domains funktionieren nicht mehr

Skriptblocker und einfache Tag-Audits erkennen Tracker an ihren Domains. Sobald alles von Ihrer eigenen Domain geladen wird, können sie einen Tracker nicht mehr von Ihrem eigenen Code unterscheiden. Prüfen Sie die Einwilligung deshalb anhand der Anfragen, die Ihre Website tatsächlich sendet.

Vom Server gesetzte Cookies fehlen in der Cookie-Richtlinie

Cookies, die Ihr Tagging-Server setzt, tragen Ihre Domain und werden leicht übersehen. Sie müssen trotzdem in Ihrer Cookie-Richtlinie aufgeführt und vom Banner abgedeckt sein. Ein Cookie-Scan findet auch First-Party-Cookies.

Wie Sie die Einwilligung an serverseitige Tags übergeben

1. Laden Sie zuerst die CMP. Wenn Ihre Tags von Ihrer eigenen Domain geladen werden, liefern Sie das Banner auf demselben Weg aus, damit es nicht langsamer ist als die Tags: UniConsent unterstützt eine First-Party-CMP-Domain.
2. Senden Sie die Entscheidung mit jedem Event. Fügen Sie den Einwilligungsstatus jedem Event hinzu, das der Browser an Ihren Server sendet: Google-Consent-Mode-Werte für Google, den IAB-TCF-String für Werbeanbieter, die ihn auslesen, und Zweck- oder Vendor-Flags für alle anderen.
3. Prüfen Sie die Einwilligung auf dem Server, bevor Sie weiterleiten. Jeder Anbieter-Connector wird nur ausgelöst, wenn der passende Zweck oder Vendor erlaubt ist.
4. Führen Sie einen Nachweis. Senden Sie die Consent-ID mit jedem Event, damit Sie zeigen können, auf welcher Entscheidung jedes weitergeleitete Event beruht.

In Server-Side Google Tag Manager, dem verbreitetsten Setup, geben die Tags von Google Consent Mode automatisch an den Server-Container weiter, sodass Google Analytics und Google Ads der Entscheidung des Besuchers folgen. Andere Tags im Container tun das nicht. Leiten Sie den benötigten Einwilligungswert aus dem Web-Container weiter und ergänzen Sie damit den Trigger jedes Meta-, TikTok-, LinkedIn- oder OpenAI-Tags.

Wie UniConsent zu jedem serverseitigen Setup passt

UniConsent funktioniert mit jedem Tag-Manager, den Sie auf dem Server betreiben. Es erfasst die Entscheidung des Besuchers einmal und stellt sie dem Browser-Client Ihres Tag-Managers bereit:

• über die Consent Ready API und die JavaScript API, einschließlich der Consent-ID;
• als Werte für Google Consent Mode v2, die für Besucher aus der EU, dem EWR, dem Vereinigten Königreich und der Schweiz auf denied gesetzt werden, bevor ein Google-Tag läuft;
• als IAB TCF- und GPP-Strings für Werbeanbieter, die sie auslesen;
• nach Zweck, Kategorie und Vendor im Data Layer, für jedes andere Tag.

UniConsent ist eine von Google zertifizierte CMP und eine beim IAB TCF registrierte CMP. Es bietet fertige Consent-Tags für das Meta Pixel, das TikTok Pixel und Microsoft UET sowie Custom Vendors für Plattformen außerhalb des IAB TCF, etwa OpenAI. Consent Logging protokolliert jede Entscheidung. Für die serverseitigen Tools von Google gibt es Einrichtungsanleitungen für Server-Side GTM und Google Tag Gateway.

Starten Sie eine kostenlose Testphase oder prüfen Sie Ihre Website jetzt mit dem kostenlosen Consent Mode Checker.

Checkliste für die Einwilligung beim Server-Side Tagging

• Die CMP wird vor jedem Tag geladen, auch vor Skripten, die von Ihrer eigenen Domain ausgeliefert werden.
• Jedes Event, das an Ihren Server geht, enthält den Einwilligungsstatus des Besuchers.
• Jeder Anbieter-Connector auf dem Server wird nur mit der passenden Einwilligung ausgelöst.
• Felder, die ein Anbieter nicht braucht, werden auf dem Server vor dem Weiterleiten entfernt.
• Cookies, die Ihr Server setzt, sind in Ihrer Cookie-Richtlinie aufgeführt.
• Eine Ablehnung im Banner stoppt jeglichen Traffic von Ihrem Server zu Werbeplattformen. Testen Sie das, bevor Sie live gehen.

FAQ

Macht Server-Side Tagging meine Website DSGVO-konform?

Nein. Sie haben mehr Kontrolle über die Daten, die Sie senden, und das hilft. Für Werbe- und Analytics-Cookies und für die Weitergabe personenbezogener Daten an Werbe- und Analytics-Plattformen brauchen Sie aber weiterhin eine Einwilligung.

Brauche ich ein Cookie-Banner, wenn meine Tags auf meiner eigenen Domain laufen?

Ja, wenn Sie Cookies oder ähnliche Technologien für Analytics oder Werbung einsetzen und Besucher aus der EU, dem EWR oder dem Vereinigten Königreich haben. Cookies, die von Ihrer eigenen Domain gesetzt werden, sind trotzdem Cookies.

Ist eine Subdomain oder ein Pfad auf der Hauptdomain besser für die Einwilligung?

Keins von beiden ändert die Regeln für die Einwilligung. Ein Pfad auf der Hauptdomain umgeht die Cookie-Begrenzung von Safari für Subdomains mit einer anderen IP-Adresse. Skripte, die so ausgeliefert werden, können aber vor dem Banner laden, wenn Sie die Reihenfolge nicht steuern.

Kann mein Server den IAB-TCF-String auslesen?

Ja. Senden Sie den TC-String mit jedem Event. Ihr Server kann Zwecke und Vendors prüfen, bevor er weiterleitet, und Anbieter, die das TCF unterstützen, können den String selbst auslesen.

Umgeht Google Tag Gateway die Einwilligung?

Nein. Die Tags folgen weiterhin Google Consent Mode, sofern Ihre CMP die Einwilligung setzt, bevor sie laufen. UniConsent ist genau dafür gebaut.