Ist serverseitiges Tracking DSGVO-konform?

Zu serverseitigem Tracking kursieren viele Meinungen: Ihre Agentur behauptet, der Umstieg löse das Einwilligungsproblem. Die Seite eines Tagging-Anbieters suggeriert dasselbe. Wir arbeiten im Bereich Compliance und schaffen hier Klarheit.

Ist serverseitiges Tracking DSGVO-konform?

Serverseitiges Tracking ist nur dann DSGVO-konform, wenn das gesamte Setup die Anforderungen der Verordnung erfüllt – nicht schon durch die Architektur an sich. Der Umzug auf einen Server ändert, wo die Daten verarbeitet werden. Er ändert nichts daran, ob Sie eine Rechtsgrundlage für die Verarbeitung benötigen oder ob Sie überhaupt eine Einwilligung zum Auslesen des Endgeräts eines Besuchers brauchen. Sie erfassen und nutzen weiterhin Nutzerdaten – nur an einer anderen Stelle.

Client-seitig oder serverseitig ist eine Architekturentscheidung. Einwilligung und Rechtsgrundlage sind Pflichten, die sich daran knüpfen, was Sie auf dem Endgerät eines Besuchers tun (etwa Cookies setzen), und an die personenbezogenen Daten, die Sie anschließend verarbeiten. Eine pauschale Antwort für serverseitiges Tracking als solches gibt es deshalb nicht.

Was sich durch serverseitiges Tracking ändert – und was nicht

Bei serverseitigem Tracking sendet der Browser Events zunächst an einen Tracking-Server. Dieser verarbeitet sie und leitet die benötigten Daten an Ziele wie Google Analytics 4 oder die Meta Conversions API weiter – statt dass der Browser jeden Anbieter direkt aufruft.

Serverseitiges Tracking: was sich ändert	Was gegenüber clientseitigem Tracking gleich bleibt
Wo die Daten verarbeitet werden: auf einem von Ihnen konfigurierten Tracking-Server, nicht im Browser jedes Besuchers	Die Notwendigkeit einer Rechtsgrundlage nach Artikel 6 der DSGVO
Wer entscheidet, was Ihre Website verlässt: Ihre Container-Regeln, nicht das Skript jedes Anbieters	Die Notwendigkeit einer Einwilligung, bevor irgendetwas auf einem Gerät liest oder schreibt
Cookie-Lebensdauer und First-Party-Beständigkeit dank der First-Party-Subdomain	Was die ePrivacy-Richtlinie für diesen ersten Lese- oder Schreibvorgang verlangt, unabhängig davon, ob es sich um Third-Party-Cookies handelt oder nicht
Wie viele Dritte den Browser erreichen, und welche Felder Sie vorher entfernen	Ihre Transparenzpflichten: Jeder Empfänger gehört in Ihre Richtlinien

Wie funktioniert serverseitiges Tracking?

Vier Schritte:

• Der Browser des Besuchers sendet ein Event an eine First-Party-Subdomain wie analytics.yourdomain.com.
• Der Tracking-Server empfängt es.
• Der Server wendet Ihre Regeln für Filterung und Anreicherung an.
• Der Server leitet das Verbleibende an die verbundenen Ziele weiter.

Warum serverseitiges Tracking die Einwilligungspflicht nicht aufhebt

Maßgeblich ist das Endgerät, nicht das Ziel der Daten

Dass die Behauptung „Serverseitig braucht man keine Einwilligung“ nicht stimmt, hat wenig mit der DSGVO zu tun. Der Grund liegt in der EU-ePrivacy-Richtlinie, dem Gesetz hinter den Cookie-Bannern.

Artikel 5(3) verlangt, dass das Speichern von Informationen im Endgerät eines Nutzers oder der Zugriff auf bereits gespeicherte Informationen nur mit dessen Einwilligung erfolgen darf – nach klarer und umfassender Information über die Zwecke. Zwei enge Ausnahmen gelten: die Durchführung der Übertragung einer Nachricht und das, was zwingend erforderlich ist, damit ein Anbieter einen vom Nutzer ausdrücklich angeforderten Onlinedienst bereitstellen kann.

Bemerkenswert: Die Vorschrift erwähnt an keiner Stelle, wohin die Informationen anschließend gelangen. Die Pflicht knüpft an den Moment an, in dem etwas vom Gerät liest oder darauf schreibt.

Was die DSGVO für weitergeleitete Daten vorschreibt

Zwei Pflichten laufen parallel: Die ePrivacy-Richtlinie regelt den Zugriff auf das Gerät, die DSGVO regelt, was anschließend mit den personenbezogenen Daten passiert.

• Artikel 6(1) verlangt eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Ist diese Grundlage die Einwilligung, muss der Besucher der Verarbeitung für einen oder mehrere festgelegte Zwecke zugestimmt haben. Berechtigte Interessen nach Artikel 6(1)(f) sind eine Alternative, tragen aber bei der Weiterleitung von Daten an Werbeplattformen selten so weit, wie Teams sich das erhoffen – denn die Einwilligungspflicht aus der ePrivacy-Richtlinie greift bereits vorher.

• Artikel 7(1) verlangt, dass der Verantwortliche nachweisen kann, dass der Besucher eingewilligt hat. Sie brauchen also einen Nachweis, den Sie tatsächlich vorlegen können – nicht nur die Annahme, dass ein Banner seine Aufgabe erfüllt hat.
• Artikel 7(3) verlangt, dass der Widerruf einer Einwilligung genauso einfach ist wie ihre Erteilung – ein Widerruf muss also den Container erreichen und die Weiterleitung stoppen.

Wie DSGVO und ePrivacy-Richtlinie Marketing-Messung einordnen

Messung ist der einzige Bereich, in dem überhaupt eine Ausnahme greift. Manche Aufsichtsbehörden behandeln reine Reichweitenmessung anders als Marketing-Analytics. Die französische CNIL etwa nimmt Tracker zur Reichweitenmessung aus, die ausschließlich diesem Zweck dienen, allein im Auftrag des Publishers arbeiten, anonyme Statistiken erzeugen und Grenzen für Lebensdauer und Speicherung einhalten. Die Ausnahme ist eng gefasst und unterscheidet sich zwischen den Mitgliedstaaten.

Alles andere, was Marketer einsetzen, fällt nicht darunter: Retargeting, Conversion-Tracking, Lookalike-Audiences, Cross-Device-Attribution. Dafür braucht der Gerätezugriff eine Einwilligung und die Verarbeitung eine Rechtsgrundlage – unabhängig davon, ob die Anfrage vom Browser oder vom Server ausgeht.

Wie das Einwilligungssignal den Tracking-Server erreicht

Zu wissen, dass eine Einwilligung nötig ist, ist der leichte Teil. In einem serverseitigen Setup muss dieses Signal einen längeren Weg zurücklegen als clientseitig.

Die Kette ist kurz: Ihre Consent-Management-Plattform (CMP) erfasst die Entscheidung des Besuchers im Browser, diese Entscheidung reist mit jedem Event zum Tracking-Server, und der Container entscheidet pro Ziel, ob er weiterleitet, kürzt oder verwirft.

Das heißt: Ihr Einwilligungs-Setup muss zuverlässig funktionieren. Ein Container, der kein Einwilligungssignal erhält, wird dadurch nicht automatisch von der Pflicht ausgenommen – er leitet weiterhin Daten weiter, und die Dashboards füllen sich unverändert. Am schwierigsten ist der erste Besuch, da die Entscheidung des Besuchers bei der ersten Interaktion noch nicht bekannt ist. Starten Sie mit einer CMP, die Einwilligungen zuverlässig erfasst und speichert, und stellen Sie dann sicher, dass die Serverseite dieses Signal empfängt und danach handelt.

Wirkt sich serverseitiges Tracking auf die Compliance aus?

Serverseitiges Tracking wirkt sich tatsächlich auf Ihre Compliance aus – und richtig umgesetzt, ist dieser Effekt positiv. Nichts von dem oben Genannten macht es zur schlechteren Wahl für den Datenschutz. Im Gegenteil: Es lässt sich als datenschutzfreundlichere Tracking-Methode betrachten:

• Sie setzen Ihre Regeln auf Infrastrukturebene durch, an einer einzigen Stelle, die Sie selbst kontrollieren – statt sich darauf zu verlassen, dass jedes Anbieter-Skript sie einhält.
• Sie entscheiden, wo der Tracking-Server läuft – ein EU-Hosting hält den ersten Verarbeitungsschritt innerhalb der EU. Übermittlungen an Ziele außerhalb des EWR benötigen weiterhin eine Grundlage nach Kapitel V der DSGVO.
• Sie legen fest, welche Felder Ihre Website verlassen, und können Identifikatoren entfernen oder sie hashen, wo das nicht möglich ist. Hashing verringert das Risiko, aber eine gehashte E-Mail-Adresse oder Telefonnummer bleibt personenbezogene Daten – dieselben Pflichten gelten also weiterhin.
• Weniger Anbieter erreichen den Browser direkt – dadurch lesen weniger unabhängige Dritte das Endgerät jedes Besuchers, und weniger Skripte sind überhaupt in der Lage, Informationen zu erfassen, für die sie nie autorisiert waren.
• Jeder Durchlauf über den Server lässt sich protokollieren, sodass Sie zeigen können, was weitergeleitet wurde und warum. Das ist ein Nachweis der Durchsetzung: Er ergänzt Ihre Einwilligungsnachweise nach Artikel 7(1), ersetzt sie aber nicht.

Wie ein DSGVO-konformes serverseitiges Setup aussieht

Zu wissen, wie man serverseitiges Tracking einrichtet, ist eine Sache. So gelingt die Einrichtung, ohne dass die Compliance darunter leidet.

1. Bestimmen Sie die Rechtsgrundlage für jedes Ziel einzeln. Ein Container kann sechs Empfänger versorgen, und die stützen sich nicht unbedingt alle auf dieselbe Grundlage.
2. Holen Sie die Einwilligung vor jedem Gerätezugriff ein, nicht erst vor der Weiterleitung. Auslöser ist das Lesen oder Schreiben durch den Browser – bevor Ihr Server überhaupt etwas erfährt.
3. Übergeben Sie den Einwilligungsstatus bei jedem Event an den Container. Ein Container, der die Entscheidung nicht sieht, kann nicht danach handeln.
4. Entfernen Sie Identifikatoren vor der Weiterleitung, wo immer möglich, etwa E-Mail-Adressen und Telefonnummern, und hashen Sie sie, wo das nicht geht. Hashing ist Minimierung, keine Anonymisierung: gehashte Identifikatoren bleiben personenbezogene Daten und fallen weiterhin in den Anwendungsbereich. Machen Sie Datenminimierung zum Standard.
5. Wählen Sie das Hosting mit Blick auf Datenübermittlungen. EU-Hosting verringert das Risiko am Container, aber jedes Ziel außerhalb des EWR braucht weiterhin eine eigene Übermittlungsgrundlage.
6. Dokumentieren Sie jedes Ziel in Ihrer Datenschutz- und Cookie-Richtlinie. Ein Empfänger, der nicht in der Richtlinie steht, ist ein nicht offengelegter Empfänger.
7. Prüfen Sie, was den Container verlässt, und prüfen Sie es nach jeder Tag-Änderung erneut. Kontrollieren Sie die ausgehende Payload, statt sich auf die Konfiguration allein zu verlassen.

Was das für Sie bedeutet

Die letzte Frage, die Sie beantworten müssen: Erfüllt Ihr konkretes Setup die für Sie geltenden regulatorischen Anforderungen – also Einwilligung einholen, eine Rechtsgrundlage haben und Ihre Aktivitäten in Ihren Richtlinien offenlegen?

Die stärksten Setups behandeln Messung und Einwilligung nicht länger als zwei getrennte Systeme. Genau das ist der Gedanke hinter unserer Lösung für serverseitiges Tracking: Tracking-Pipeline und Einwilligungsebene als ein System – statt zwei, die Sie selbst mühsam verbinden müssen.

Events werden vor der Weiterleitung gegen die Entscheidung des Besuchers geprüft, und die Standardkonfiguration blockiert alles ohne gültige Einwilligung.

FAQ