Server-side Tracking DSGVO: Was Sie wissen müssen

Die DSGVO hat für Online-Unternehmen vieles verändert. Für Datenschutzbeauftragte, Marketer und Entwickler bleibt es entscheidend, die europäischen Datenschutzvorgaben einzuhalten und personenbezogene Daten korrekt zu verarbeiten. Server-side Tracking verbessert die DSGVO-Compliance, indem es die Datenkontrolle zentralisiert, Anonymisierung ermöglicht und die Weitergabe an Dritte minimiert. Gleichzeitig erfordert es die ausdrückliche Einwilligung der Nutzer, Datenminimierung und eine sichere Verarbeitung gemäß den gesetzlichen Vorgaben.

In diesem Leitfaden erhalten Sie einen Überblick darüber, wie Server-side Tracking hilft, die Datenschutzstandards der DSGVO zu erfüllen und gleichzeitig Ihre Analytics-Möglichkeiten zu verbessern.

Das Wichtigste in Kürze

• Server-side Tracking bietet mehr Kontrolle darüber, welche Daten an Plattformen wie Google und Facebook gesendet werden. So können Sie personenbezogene Informationen wie IP-Adressen und Client-IDs gezielt ausschließen.
• Der zunehmende Fokus auf Datenschutz sowie der Wandel von Drittanbieter- zu First-Party-Cookies unterstreichen die zentrale Rolle von Server-side Tracking, um jede Marketingstrategie zukunftssicher zu gestalten.
• Server-side Tracking steht in direktem Zusammenhang mit DSGVO-Anforderungen an Datenspeicherung, Auftragsverarbeitungsverträge (AVV) und Beziehungen zu Drittanbietern. ISO-zertifizierte First-Party-Datenplattformen wie TAGGRS gewährleisten, dass die Daten Ihrer Nutzer sicher gespeichert, rechtmäßig verarbeitet und nur unter strengen vertraglichen Bedingungen an Dritte weitergegeben werden.

Wie gilt die DSGVO für Server-side Tracking?

Die DSGVO (Datenschutz-Grundverordnung) ist ein Datenschutzgesetz, das die Verarbeitung personenbezogener Daten regelt und gleichermaßen für Server-side Tracking gilt.

Online umfassen personenbezogene Daten zum Beispiel Name, E-Mail-Adresse, IP-Adresse, bestimmte Cookies, Gesundheitsdaten und Finanzdaten. Immer wenn Ihre Website oder Anwendung solche Daten erhebt oder verarbeitet, egal ob serverseitig oder clientseitig, müssen Sie sicherstellen, dass mindestens eine der sechs Rechtsgrundlagen greift:

• ausdrückliche Einwilligung der Nutzer
• vertragliche Notwendigkeit
• gesetzliche Verpflichtung
• Schutz lebenswichtiger Interessen
• öffentliches Interesse oder Ausübung öffentlicher Gewalt
• berechtigtes Interesse, sofern die Rechte der Nutzer nicht überwiegen.

Wie unterstützt Server-side Tracking die DSGVO-Compliance?

Server-side Tracking bietet Ihnen mehr Kontrolle darüber, welche Daten gesammelt, verarbeitet und an Dritte weitergegeben werden. Beispielsweise lassen sich personenbezogene Informationen wie IP-Adressen und Client-IDs vor der Weiterleitung an Plattformen wie Google Analytics oder Facebook gezielt herausfiltern.

Die Anforderungen der DSGVO bleiben jedoch unverändert: Jede Datenverarbeitung benötigt eine gültige Rechtsgrundlage, und Nutzer müssen transparent darüber informiert werden, welche Daten zu welchem Zweck erhoben werden. Für viele Online-Unternehmen ist das Tracking des Nutzerverhaltens essenziell, um Services zu optimieren und fundierte Entscheidungen zu treffen. Website-Tracking ist grundsätzlich nicht verboten, jedoch sind eine korrekte technische Umsetzung und der Unternehmensstandort entscheidend, um die DSGVO vollständig einzuhalten.

Um DSGVO-konformes Tracking zu gewährleisten, müssen Sie Ihre Methoden der Datenerhebung verstehen und gezielte Schritte zur Einhaltung der gesetzlichen Vorschriften unternehmen. Dazu zählen die Kontrolle und Begrenzung der erhobenen Daten sowie eine sichere Speicherung und Verarbeitung gemäß DSGVO-Standards. Server-side Tracking sollte stets nach dem Prinzip „Privacy by Design“ implementiert werden, mit robustem Consent Management und regelmäßigen Audits, um die Einhaltung zu sichern und die Rechte der Nutzer zu schützen.

Daten sammeln

Die Datenerfassung erfolgt in der Regel mit einem Tracking-Skript und Cookies von Drittanbietern, zum Beispiel Code von Google und Facebook, der oft über GTM platziert wird. Dieser Code sammelt Daten, und Sie haben praktisch keine Kontrolle darüber. Google kann also sammeln, was es will. Um die Kontrolle darüber zu behalten, welche Daten gesammelt werden, können Sie Server-side Tagging einsetzen. Damit haben Sie die volle Kontrolle darüber, welche Daten an Google oder Facebook gesendet werden.

Damit können Sie auch bestimmte Daten von der Erfassung ausschließen, zum Beispiel IP-Adressen und Client-IDs. Sie können sogar noch weiter gehen und auch keine URL-Parameter (etwa UTM-Tags) mitsenden.

GA4 bietet zudem mehr Flexibilität, um sicherzustellen, dass bestimmte Daten nicht erfasst werden. Beispielsweise können Sie Google Signals, personalisierte Werbung und Standortdaten deaktivieren.

Das Wichtigste ist letztlich, ein Cookie-Banner zu verwenden, um die Erlaubnis zur Datenerfassung einzuholen und klar anzugeben, welche Daten zu welchen Zwecken verarbeitet werden. Dafür nutzen wir Cookiebot, da es gut mit dem Google Tag Manager zusammenarbeitet. Mithilfe des Consent Mode im Google Tag Manager stellen Sie sicher, dass das Tracking tatsächlich den Angaben im Cookie-Banner entspricht.

Wenn Sie den Consent Mode im Server-Container des Google Tag Managers einrichten, wird je nach Einwilligungsgrad, den der Nutzer im Cookie-Banner wählt, gesteuert, welche Daten an die entsprechenden Plattformen weitergeleitet werden. So erfolgt die Datenverarbeitung im Einklang mit den Präferenzen der Nutzer und den Datenschutzgesetzen und schafft einen Ausgleich zwischen dem Schutz der Privatsphäre und der Nutzung von Daten für gezieltes Marketing und Analysen.

Daten speichern

Auch die Datenspeicherung ist ein wichtiger Faktor. Wie lange werden die Daten gespeichert? Auch hier hat GA4 Fortschritte gemacht. So können Sie ausschließen, dass Daten an andere Bereiche von Google weitergegeben werden.

Darüber hinaus ist es wichtig, dass personenbezogene Daten nicht außerhalb der EU gespeichert werden. Bei Google Analytics ist das jedoch der Fall. Durch Server-side Tracking werden die personenbezogenen Daten bereits im Vorfeld ausgeschlossen und somit niemals an Google Analytics gesendet. Auf diese Weise können Sie es im Rahmen der DSGVO nutzen.

TAGGRS läuft auf unabhängiger europäischer Infrastruktur bei einem europäischen Hosting-Anbieter, sodass Ihre Tracking-Daten in der EU verarbeitet werden.

Daten verarbeiten

Schließlich müssen Sie mit der Partei, die die Daten erhält, einen Auftragsverarbeitungsvertrag abschließen. Im Falle von GA4 stimmen Sie diesem zu, wenn Sie ein Konto anlegen.

Auswirkungen der DSGVO auf das Tracking

Ein konkretes Beispiel für die Auswirkungen von Datenschutzgesetzen auf das Tracking ist das Verbot von Google Analytics durch einige Regierungen. Da Google Analytics Daten über das Verhalten von Website-Besuchern sammelt, kann dies zu Datenschutzbedenken führen. Daher haben einige Regierungen beschlossen, Google Analytics auf staatlichen Websites zu verbieten, um die Privatsphäre der Bürger zu schützen.

Viele Länder sind der Meinung, dass Google Analytics nicht mit der DSGVO konform ist. Diese Entwicklung unterstreicht die wachsende Bedeutung von Privatsphäre und Datenschutz in der digitalen Welt und zeigt zugleich den Bedarf an Alternativen wie Server-side Tracking.

Hier finden Sie eine Liste der Länder, in denen Google Analytics als illegal gilt.

Wie hilft Server-side GTM bei der Einhaltung der DSGVO?

Wenn Sie mit Cookies von Drittanbietern arbeiten, wissen Sie, dass die Kontrolle über Ihre Daten manchmal schwierig ist. Mit Server-side GTM können Sie dieses Problem lösen und besser steuern, was mit Ihren Daten geschieht.

Kontrolle über Daten von Dritten

Wenn Sie mit Tracking-Skripten von Drittanbietern arbeiten, wissen Sie nicht immer, welche Daten gesammelt werden. Mit Server-side GTM können Sie dies genauer steuern. Wenn Sie zum Beispiel Server-side Tracking für Facebook einrichten, legen Sie mit Server-Tags genau fest, welche Informationen an Facebook gehen. Dadurch schränken Sie ein, was Facebook sehen kann.

Sicherer Umgang mit sensiblen Informationen und PII

Plattformen wie Google und Facebook verbieten in ihren Richtlinien, ihnen personenbezogene, identifizierbare Informationen (PII) zu senden. Server-side GTM hilft Ihnen dabei: Sie können PII wie IP-Adressen entfernen, bevor sie an externe Plattformen weitergeleitet werden, oder die Informationen hashen.

Lösungen zur Datenverwaltung

• Hashing von Nutzerdaten. Verschiedene Plattformen haben ihre eigenen Standards für das Hashing. Google Analytics verwendet zum Beispiel SHA256, ebenso wie Facebook.
• Eine Fake-GA4-ID verwenden. Manche verwenden eine echte Google Analytics 4 ID für das Event-Tracking und eine Fake-GA4-ID, um Daten an den Server-Container zu senden.

Mit Server-side GTM können Sie außerdem Website-URLs ändern, bevor Sie sie an eine externe Partei senden. Das ist nützlich, wenn Ihre URLs zum Beispiel sensible Informationen enthalten, die nicht weitergegeben werden sollen.

Ist Server-side die Zukunft?

Angesichts der zunehmenden Bedeutung des Datenschutzes und der DSGVO ist Server-side Tagging mehr als ein Trend. Es ermöglicht Unternehmen, die Datenerfassung zu verfeinern und gleichzeitig die Datenschutzgesetze besser einzuhalten. Einige Länder verbieten bereits bestimmte Tracking-Tools von Drittanbietern, was den Bedarf an serverseitigen Lösungen noch verstärkt.

Es gibt auch eine Verlagerung von Third-Party- zu First-Party-Cookies, da die Privatsphäre der Nutzer immer wichtiger wird. Server-side Tagging ergänzt das, indem sensible Daten gefiltert und gehasht werden, bevor sie an externe Parteien gehen.

Alles in allem dürfte Server-side Tagging zum Standard werden. Angesichts der zunehmenden Bedeutung von DSGVO-Compliance und Datenintegrität bietet es einen Weg zu Compliance und detaillierter Datenanalyse.

TAGGRS bietet Server-side Tracking Hosting, mit dem Sie weiterhin online Daten sammeln und gleichzeitig die DSGVO einhalten.

Häufig gestellte Fragen