Kurz gesagt: Wer Cookie-Banner und Adblocker richtig behandelt, verliert heute je nach Branche einen erheblichen Teil seiner Messdaten. Consent Mode v2 und serverseitiges Tagging holen einen Teil davon zurück, ohne die Einwilligung zu umgehen. Wichtig ist die Reihenfolge: erst Rechtsgrundlage, dann Technik.
Dieser Beitrag ist eine technische Einordnung und ersetzt keine Rechtsberatung.
Warum Ihre Zahlen nicht mehr stimmen
Drei Effekte überlagern sich. Erstens lehnt ein Teil der Besucher das Setzen von Cookies ab, damit fällt die klassische Messung für diese Personen aus. Zweitens blockieren Browser-Erweiterungen und teilweise die Browser selbst bekannte Tracking-Domains. Drittens verkürzen Schutzmechanismen die Lebensdauer clientseitig gesetzter Cookies, wodurch wiederkehrende Besucher als neu gezählt werden.
Das Ergebnis sind Berichte, die systematisch zu wenig zeigen und dabei nicht gleichmäßig verzerren: Kanäle mit technisch versierter Zielgruppe sehen schlechter aus, als sie sind.
Die Rechtsgrundlage in einem Absatz
In Deutschland regelt das TDDDG (früher TTDSG) den Zugriff auf Informationen im Endgerät. Für alles, was nicht technisch zwingend erforderlich ist, brauchen Sie eine informierte Einwilligung, und zwar bevor gespeichert oder ausgelesen wird. Die DSGVO regelt zusätzlich, was danach mit den Daten geschieht. Serverseitiges Tagging ändert daran nichts: Wenn im Browser eine Kennung gesetzt oder gelesen wird, gilt die Einwilligungspflicht unabhängig davon, wo der Container läuft.
Schritt 1: Ein Consent-Banner, das funktioniert
- Ablehnen ist auf der ersten Ebene genauso leicht erreichbar wie Zustimmen.
- Vorausgewählte Häkchen für nicht notwendige Zwecke gibt es nicht.
- Skripte werden erst nach Zustimmung geladen, nicht nur ihre Ausführung verzögert.
- Die Entscheidung ist jederzeit widerrufbar, zum Beispiel über einen Link im Footer.
- Die Einwilligung wird dokumentiert und ist exportierbar.
Praxisbeobachtung: Ein sauber gestaltetes Banner mit klaren Zwecken erzielt oft höhere Zustimmungsraten als ein Dark-Pattern-Banner, weil es Vertrauen schafft und weniger Menschen reflexhaft ablehnen. Details zur Umsetzung auf unserer Seite zum Consent-Management.
Schritt 2: Consent Mode v2 richtig einbinden
Consent Mode ist keine Umgehung der Einwilligung, sondern eine Signalisierung: Ihre Tags erfahren, ob eine Einwilligung vorliegt, und verhalten sich entsprechend. Ohne Einwilligung werden keine Kennungen gesetzt, es können lediglich anonyme Signale übertragen werden.
Vier Parameter sind zu setzen: analytics_storage, ad_storage, ad_user_data und ad_personalization. Die letzten beiden kamen mit Version 2 hinzu und sind Voraussetzung, um Zielgruppen und Conversion-Daten in Google-Werbeprodukten weiter nutzen zu können.
Zwei Betriebsarten stehen zur Wahl. Im Basic-Modus werden Tags vor der Einwilligung gar nicht geladen. Im Advanced-Modus laden sie und senden ohne Einwilligung nur cookielose Signale. Advanced liefert mehr modellierte Daten, muss aber sauber dokumentiert und im Consent-Text erklärt werden.
Der häufigste Fehler in der Praxis: Das Standardverhalten vor der Nutzerentscheidung ist nicht auf denied gesetzt. Dann feuern Tags in den ersten Millisekunden, bevor der Banner überhaupt sichtbar ist.
Schritt 3: Server-Side-Tracking
Beim serverseitigen Tagging schickt die Website ihre Ereignisse an einen eigenen Endpunkt auf einer Subdomain Ihrer Domain. Dieser Server-Container entscheidet, was an welches Zielsystem weitergegeben wird.
| Vorteil | Einschränkung |
|---|---|
| Weniger Verluste durch Blocker, weil die Anfrage an Ihre eigene Domain geht | Ersetzt keine Einwilligung |
| Sie kontrollieren, welche Felder ein Drittanbieter erhält | Zusätzliche Infrastruktur mit laufenden Kosten |
| Stabilere Cookie-Laufzeiten, weniger doppelt gezählte Besucher | Fehler fallen später auf, weil weniger im Browser sichtbar ist |
| Weniger Skripte im Browser, dadurch bessere Ladezeit | Wartung und Monitoring werden Pflicht |
Wichtig für die Datenschutzdokumentation: Auch der Server-Container verarbeitet personenbezogene Daten. Standort, Auftragsverarbeitung und Löschfristen gehören ins Verarbeitungsverzeichnis.
Schritt 4: Serverseitige Conversion-Meldung
Für Werbeplattformen lohnt zusätzlich die serverseitige Übermittlung abgeschlossener Conversions, etwa aus Ihrem CRM. Damit melden Sie nicht nur den Formularabschluss, sondern das, was zählt: den tatsächlichen Auftrag. Voraussetzung ist auch hier eine Rechtsgrundlage und in den meisten Fällen die Einwilligung der betroffenen Person.
Was Sie realistisch zurückgewinnen
Seriöse Aussage statt Werbeversprechen: Wie viel Sie zurückholen, hängt von Ihrer Zustimmungsrate und Ihrer Zielgruppe ab. Die Reihenfolge der Wirksamkeit ist aber fast immer dieselbe:
- Zustimmungsrate verbessern. Der größte Hebel und der günstigste.
- Consent Mode v2 korrekt einbauen, damit Modellierung überhaupt greifen kann.
- Server-Side-Tagging für die verbleibenden technischen Verluste.
- Serverseitige Conversion-Meldung für belastbare Kampagnensteuerung.
Wer mit Schritt 3 beginnt, ohne Schritt 1 und 2 erledigt zu haben, baut Infrastruktur für Daten, die er ohnehin nicht erheben darf.
Prüfliste vor dem Go-live
- Vor der Entscheidung des Nutzers steht alles auf
denied. - Ablehnen führt nachweislich dazu, dass keine Kennung gesetzt wird (im Browser prüfbar).
- Widerruf funktioniert und löscht die gesetzten Kennungen.
- Datenschutzerklärung nennt alle Empfänger, auch den eigenen Server-Container.
- Auftragsverarbeitungsverträge liegen für alle Dienste vor.
- IP-Verkürzung und Datenaufbewahrung sind konfiguriert.
- Ein Testkauf oder Testformular erscheint korrekt und nur einmal im Bericht.
Häufige Fragen
Ist Google Analytics 4 in Deutschland zulässig?
Mit Einwilligung, korrekter Konfiguration und passenden Verträgen wird der Einsatz üblicherweise als vertretbar angesehen. Die Bewertung ist eine juristische Frage und sollte mit Ihrem Datenschutzbeauftragten geklärt werden.
Macht Server-Side-Tracking den Cookie-Banner überflüssig?
Nein. Sobald im Endgerät gespeichert oder gelesen wird, bleibt die Einwilligung erforderlich. Wer etwas anderes verspricht, verkauft Ihnen ein Risiko.
Was kostet ein Server-Container?
Die Infrastruktur liegt je nach Anbieter und Traffic meist im niedrigen zweistelligen Monatsbereich, dazu kommt die einmalige Einrichtung. Der Betrieb braucht Monitoring, sonst fällt ein Ausfall erst im Monatsbericht auf.
Und wenn wir gar nicht tracken?
Auch eine Entscheidung. Dann brauchen Sie andere Rückmeldungen: Anrufe, Formulare mit Herkunftsfrage, Angebotsquoten. Ohne jede Rückmeldung optimieren Sie im Blindflug.
Von Seitenaufrufen zu Ereignissen: das GA4-Denkmodell
GA4 kennt keine Zielvorhaben im alten Sinn mehr, sondern nur Ereignisse, von denen einige als Conversion markiert werden. Wer das alte Denken beibehält, misst am Ende Aktivität statt Geschäft.
Eine schlanke Ereignisstruktur für eine Dienstleisterseite sieht so aus:
| Ereignis | Wann es ausgelöst wird | Als Conversion? |
|---|---|---|
| formular_gesendet | Nach erfolgreicher Übermittlung, nicht beim Klick | Ja |
| telefon_klick | Klick auf eine Telefonnummer, vor allem mobil | Ja |
| termin_gebucht | Bestätigungsseite des Terminwerkzeugs | Ja |
| datei_download | Download einer Broschüre oder Checkliste | Optional |
| scroll_leistungsseite | Tiefes Scrollen auf einer Leistungsseite | Nein, nur als Qualitätssignal |
Regel: Ereignisse benennen, was passiert ist, nicht wo es passiert ist. Der Ort gehört in einen Parameter, nicht in den Ereignisnamen. Sonst haben Sie nach einem Jahr dreißig Ereignisse, die dasselbe bedeuten.
Der häufigste Messfehler: doppelte Zählung
Wenn ein Formular sowohl per Klick als auch über die Danke-Seite gemessen wird, verdoppeln sich die Conversions. Die Werbeplattform optimiert dann auf eine Zahl, die es nicht gibt. Prüfen Sie nach jeder Änderung mit einem Testdurchlauf: eine echte Anfrage absenden und in der Echtzeitansicht zählen, wie oft das Ereignis erscheint. Genau einmal ist richtig.
Was bei einer Datenschutzprüfung gefragt wird
Halten Sie diese Punkte dokumentiert bereit. Sie sind gleichzeitig eine gute Selbstprüfung:
- Welche Dienste werden eingesetzt, zu welchem Zweck, auf welcher Rechtsgrundlage?
- Wo werden Daten verarbeitet, und liegen Auftragsverarbeitungsverträge vor?
- Wie wird die Einwilligung eingeholt, und wie wird sie nachgewiesen?
- Wie kann sie widerrufen werden, und was passiert technisch beim Widerruf?
- Welche Aufbewahrungsfristen sind eingestellt?
- Werden Daten an Dritte außerhalb der EU übermittelt, und mit welcher Absicherung?
- Sind Kennungen pseudonymisiert, und werden IP-Adressen gekürzt?
Wer diese sieben Fragen schriftlich beantworten kann, hat den größten Teil der Dokumentationspflicht erfüllt.
Zustimmungsrate verbessern, ohne zu tricksen
Die Zustimmungsrate ist der größte Hebel für Datenqualität. Diese Maßnahmen wirken und bleiben regelkonform:
- Zwecke in klarer Sprache benennen, nicht in Juristendeutsch. „Wir messen, welche Seiten gelesen werden“ ist verständlicher als „Analyse-Cookies gemäß Art. 6“.
- Das Banner nicht die halbe Seite verdecken lassen, besonders nicht mobil.
- Nur so viele Dienste anbieten, wie wirklich genutzt werden. Eine Liste mit dreißig Anbietern erzeugt Ablehnung.
- Das Banner erst nach dem ersten sichtbaren Inhalt einblenden, nicht davor.
- Den Nutzen benennen: bessere Inhalte, weniger irrelevante Werbung.
Nicht regelkonform und riskant sind hingegen: vorausgewählte Häkchen, versteckte Ablehnen-Optionen, farblich abgeschwächte Ablehnen-Schaltflächen und wiederholtes Nachfragen nach einer Ablehnung.
Wenn Daten fehlen: was Sie trotzdem tun können
Auch mit lückenhaften Daten lassen sich Entscheidungen treffen, wenn Sie die Lücke kennen:
- Vergleichen Sie Zeiträume statt absoluter Zahlen. Die Verzerrung bleibt konstant, der Trend stimmt.
- Nutzen Sie serverseitige Kennzahlen als Gegenprobe: eingegangene Formulare im Postfach, Anrufe, Angebote.
- Fragen Sie im Erstkontakt nach der Herkunft. Diese eine Frage schließt mehr Lücken als jedes Werkzeug.
- Bewerten Sie Kanäle an Abschlüssen, nicht an Klicks. Abschlüsse kennen Sie vollständig.
Nächster Schritt
Wir bauen Consent, Messung und Auswertung als ein System, nicht als drei Einzelteile. Einstiegspunkte: Server-Side-Tracking, Google Analytics 4 und Tracking und Analyse.