Server-Side Tracking und Datensouveränität: Worauf es bei der Wahl des Anbieters ankommt

Gastbeitrag von Mason Werner, Google-Ads-Spezialist für KMU und Arztpraxen in Deutschland, Österreich und der Schweiz. Ehemals im Auftrag von Google tätig.

Server-Side Tracking ist in den letzten zwei Jahren vom Spezialisten-Thema zum Standard geworden. Für Unternehmen, die Google Ads schalten, hat das einen direkten Effekt: Je vollständiger die Conversion-Daten, desto besser können die Gebotsstrategien arbeiten. Werbeblocker, die Cookie-Begrenzung in Safari und weitere Faktoren reißen Lücken, und Server-Side Tracking schließt einen großen Teil davon.

Bei der Auswahl des Anbieters wird eine Frage aus meiner Erfahrung selten gestellt: Wem gehört der Server, über den die Daten laufen, und welches Recht gilt für ihn?

Serverstandort ist nicht gleich Datensouveränität

Auf den ersten Blick sehen die meisten Anbieter ähnlich aus: ähnliche Tarife, ähnliche Limits, ähnliche Preise. Fast alle werben auch mit Servern im deutschsprachigen Raum, zum Beispiel in Frankfurt, und das ist erst einmal in Ordnung. Für mich ist das relevant, weil der Großteil meiner Kunden im DACH-Raum sitzt. Welcher Standort passt, ist natürlich für jedes Land individuell.

Doch der Teufel steckt im Detail. Viele Anbieter, meines Wissens nach auch viele der großen, sind US-Unternehmen oder hosten auf einer US-Cloud. Für sie gilt tatsächlich US-Recht, unabhängig davon, wo das Rechenzentrum steht.

Was der CLOUD Act damit zu tun hat

Der US CLOUD Act von 2018 gilt für US-Unternehmen unabhängig davon, wo ihre Server stehen. Ein US-Anbieter mit Servern in Frankfurt bleibt also ein US-Anbieter und kann verpflichtet werden, auch Daten europäischer Kunden von europäischen Servern an US-Behörden herauszugeben.

Dazu kommen die US-Überwachungsgesetze, vor allem Section 702 des FISA. Auf ihnen beruht das Schrems-II-Urteil: 2020 hat der Europäische Gerichtshof das EU-US Privacy Shield gekippt, weil US-Behörden auf europäische Daten zugreifen konnten, ohne dass EU-Bürger wirksam geschützt waren.

Seit 2023 gibt es den Nachfolger, das EU-US Data Privacy Framework. Im September 2025 hat das Gericht der EU eine erste Klage dagegen abgewiesen, die Berufung liegt beim Europäischen Gerichtshof, also bei dem Gericht, das schon das Privacy Shield gekippt hat. Das Framework gilt, ob es dauerhaft hält, ist offen.

Mir ist ein möglichst lückenloser Datenschutz wichtig, und eine Rechtsgrundlage, die jederzeit kippen kann, reicht dafür nicht. Damit fallen bereits viele Anbieter raus.

Den rechtlichen Hintergrund erklärt TAGGRS ausführlicher im Artikel zum europäischen Server-Side Tracking.

Warum das im DACH-Raum besonders zählt

In Deutschland, Österreich und der Schweiz ist Datenschutz mehr als eine Pflicht aus der DSGVO und, in der Schweiz, dem revidierten Datenschutzgesetz (revDSG). Kunden und Patienten erwarten von einem Unternehmen, dass es mit ihren Daten sorgfältig umgeht.

Im Gesundheitsbereich gilt das noch mehr. Dabei geht es nicht nur um die Daten des Unternehmens, sondern um die der Website-Besucher. Die vertrauen darauf, dass ihre Daten nicht irgendwo landen, wo sie nicht hingehören. Diese Verantwortung sollte bei der Wahl des Tracking-Anbieters mitgedacht werden.

Warum die Wahl bei mir auf TAGGRS fiel

Der Serverstandort allein sollte nicht das entscheidende Kriterium sein. Wichtiger ist, ob der Anbieter selbst unter US-Recht fällt.

TAGGRS sitzt in den Niederlanden, ist ein EU-Unternehmen und unterliegt EU-Recht und der DSGVO. Die Server laufen meines Wissens nach bei europäischen Hosting-Anbietern und nicht auf einer US-Cloud. Damit liegt die Datenhoheit klar in der EU, was bei vielen Anbietern so nicht gegeben ist. Dazu kommt ein persönlicher Punkt: Ich setze, wo es geht, auf Anbieter aus der Nähe. Meine Suche nach einem lokalen Anbieter, der diese Anforderungen erfüllt, hat mich zu TAGGRS geführt.

Wichtig dabei: Ein EU-Anbieter ersetzt keine Einwilligung. Getrackt wird weiterhin nur mit gültigem Consent. Was sich ändert, ist, wer danach Zugriff auf die Daten haben kann.

Drei Fragen, die zum Standard gehören sollten

Tarife und Preise werden in der Regel verglichen. Wem der Anbieter gehört und welchem Recht er unterliegt, kommt dagegen aktuell so gut wie nie auf den Tisch. Gerade für Unternehmen mit Sitz in der EU sollte das zur Standardprüfung gehören. Drei Fragen reichen dafür:

• Wo sitzt der Anbieter, und wem gehört er?
• Läuft er auf europäischer Infrastruktur oder auf einer US-Cloud wie Google Cloud, AWS oder Azure?
• Lässt sich die Hosting-Region wählen und für deinen Datenschutzbeauftragten dokumentieren?

Verarbeitet deine Website über das Tracking gar keine personenbezogenen Daten, ist das Thema weniger kritisch. Nach meinem jetzigen Wissensstand trifft das bei den meisten Unternehmen, die Google Ads mit Conversion-Tracking schalten, tatsächlich nicht zu: Schon IP-Adresse, Klick-ID und Cookie-Kennungen können nach der DSGVO personenbezogene Daten sein.

Mehr zu Server-Side Tracking allgemein (Kosten, Setup, wann es sich noch nicht lohnt) findest du im Artikel Server-Side Tracking: Warum es 2026 zur Pflicht wird (und wann nicht).