Website-Tracking im öffentlichen Sektor: Kampagnen messen unter der DSGVO

Kurzzusammenfassung: Öffentliche Stellen dürfen für Website-Analysen kein berechtigtes Interesse geltend machen, sodass in den meisten Fällen die Einwilligung als Rechtsgrundlage bleibt – und die Einwilligungsquoten auf Behörden-Websites liegen niedriger als auf kommerziellen Seiten. Server-side Tracking funktioniert bei den Daten, die du messen darfst. Website-Events treffen zuerst in deiner eigenen Infrastruktur ein, sodass du entscheidest, welche Felder an welches Tool weitergeleitet werden. Die Verarbeitung bleibt in der EU, und ein Besuch, für den eine Einwilligung vorliegt, kann auch nach Ablauf einer gewissen Zeit noch mit einem auf einer Portal-Domain eingereichten Antrag verknüpft werden.

Wenn deine Kampagnenberichte deutlich weniger Conversions anzeigen als deine eigenen Aufzeichnungen, liegt die Diskrepanz wahrscheinlich nicht an deiner Tag-Einrichtung. Kundenwege im öffentlichen Sektor enden oft dort, wo ein Browser-Tag nur begrenzt greift: auf einem separaten Portal oder einer Buchungsdomain, hinter einer Anmeldung, in einem Fallverwaltungssystem oder Wochen nach dem Klick, mit dem alles begann. Hinzu kommt, dass die Einwilligungsraten auf Behörden-Websites niedriger sind als auf kommerziellen Seiten, sodass ein Teil deiner Besucher bereits in den Daten fehlt, bevor sie überhaupt von einem Tool erfasst werden.

Websites des öffentlichen Sektors unterliegen einer strengeren Auslegung der Regeln, die für alle anderen gelten. Die Unterschiede sind so spezifisch, dass sie erhebliche Auswirkungen darauf haben, was man messen kann.

Dieser Leitfaden erklärt, was die Datenschutzvorschriften verlangen, wie es derzeit um Google Analytics steht und was sich durch eine server-side Konfiguration für Organisationen des öffentlichen Sektors ändert, die alle ihre Datenflüsse nachweisen müssen.

Ist Google Analytics in der EU verboten?

Google Analytics wurde in der EU nicht verboten, und es gibt keine EU-weite Entscheidung dagegen. Was es gibt, sind eine Reihe nationaler Entscheidungen aus dem Jahr 2022 und ein 2023 verabschiedeter Rahmen für den Datentransfer, gegen den derzeit Berufung eingelegt wurde. Für eine öffentliche Einrichtung bedeutet diese Kombination, dass das Tool heute nutzbar ist, du aber einen schriftlichen Notfallplan haben solltest.

Zwischen 2022 und 2023 haben Datenschutzbehörden in Österreich, Frankreich, Italien, Dänemark, Norwegen und Schweden bestimmte Verwendungszwecke von Google Analytics als rechtswidrig eingestuft. Der Europäische Datenschutzbeauftragte (EDSB) hat das Europäische Parlament wegen der Nutzung von Google Analytics und Stripe auf einer internen COVID-Testseite gerügt, bei der Daten in die USA übermittelt wurden. Jede Entscheidung galt nur für die Organisation, gegen die sie ergangen war, und alle betrafen Datenübermittlungen in die USA.

Im Juli 2023 hat die Europäische Kommission einen Angemessenheitsbeschluss für das EU-US-Datenschutz-Rahmenwerk verabschiedet, der einen rechtlichen Weg für Datenübermittlungen an zertifizierte US-Organisationen geschaffen hat. Die Nutzung von Google Analytics in der EU ist heute rechtmäßig, vorausgesetzt, die empfangende Stelle ist zertifiziert und deine eigene Einwilligungsregelung ist einwandfrei. Das Risiko, das du eingehst, besteht in der Abhängigkeit von einer einzigen Angemessenheitsentscheidung.

Gilt das EU-US-Datenschutzabkommen noch?

Ja, vorerst. Im September 2025 wies das Gericht eine Klage auf Nichtigerklärung des Datenschutzrahmens ab (Rechtssache T-553/23). Der Kläger, der französische Abgeordnete Philippe Latombe, legte Ende Oktober 2025 Berufung beim Gerichtshof ein (Rechtssache C-703/25 P), und über diese Berufung ist noch nicht entschieden worden.

Für eine öffentliche Einrichtung ist das eine Frage der Planung. „Safe Harbour“ wurde 2015 und „Privacy Shield“ 2020 für ungültig erklärt, beide nach Genehmigung durch die Kommission. In beiden Fällen mussten die Organisationen, die sich darauf verlassen hatten, unter Zeitdruck neue Lösungen entwickeln. Wenn deine Kampagnenauswertung vom aktuellen Rahmenwerk abhängt, schreib dir jetzt schon auf, was du mit einer Vorlaufzeit von sechs Wochen tun würdest, und bewahre das zusammen mit der Datenschutz-Folgenabschätzung auf.

Souveränität wird zu einer Vergaberegel, nicht nur zu einer Präferenz

Im Juni 2026 hat die Europäische Kommission den „Cloud and AI Development Act“ vorgeschlagen, der für die Cloud-Souveränität einen vierstufigen Sicherheitsrahmen vorsieht, den öffentliche Stellen auf der Grundlage ihrer eigenen Risikobewertungen anwenden würden. Es handelt sich dabei lediglich um einen Vorschlag und nicht um ein Gesetz; betrachte die Stufen daher als voraussichtliche Anforderungen für die Beschaffung.

Die Kommission hat den zugrunde liegenden Rahmen bereits auf ihre eigenen Beschaffungen angewendet und im April 2026 einen „Sovereign Cloud“-Auftrag im Wert von bis zu 180 Millionen Euro über sechs Jahre an Post Telecom, StackIT, Scaleway und Proximus vergeben.

Für ein Messprojekt bedeutet das: Wenn du dich heute für einen Stack entscheidest, wirst du später aufgefordert, diese Wahl anhand dieses Rahmens zu begründen. Wenn du dir dieses Jahr ohnehin einen Verarbeitungsstandort aussuchst, ersparst du dir durch die Wahl eines Standorts in der EU eine Migration, die sonst für dich geplant wäre.

Warum gelten für Behördenwebsites strengere Regeln?

Es gibt drei Regeln, die für öffentliche Stellen gelten und ihnen weniger Optionen und weniger Flexibilität einräumen als kommerziellen Organisationen.

Das „berechtigtes Interesse“ gilt hier nicht

Der letzte Satz von Artikel 6 Absatz 1 der DSGVO besagt, dass Buchstabe f nicht für Verarbeitungen gilt, die von Behörden in Ausübung ihrer Aufgaben durchgeführt werden.

Wenn ein Besucher eines Online-Shops seine Einwilligung verweigert, kann sich der Online-Shop dennoch auf berechtigte Interessen für grundlegende Analysen berufen. Du hast keine Alternative, daher entscheidet die Qualität deiner Einwilligung darüber, wie groß ein Teil deiner Zielgruppe ist, den du messen kannst.

Für welche Organisationen gilt das?

Die Ausnahme gilt für Behörden nur dann, wenn sie ihre öffentlichen Aufgaben wahrnehmen. Für Ministerien, Gemeinden, Behörden, Schulen, Universitäten und öffentliche Krankenhäuser deckt das den Großteil der Nutzungszwecke der Website ab.

Aber das deckt nicht alles ab. Ein Museumsshop, das kommerzielle Konferenzgeschäft einer Universität, der werbefinanzierte Zweig eines öffentlich-rechtlichen Senders und ein kommunales Versorgungsunternehmen, das auf dem freien Markt verkauft, fallen nicht unter den öffentlichen Auftrag, und für diese Teile der Website könnte dennoch ein berechtigtes Interesse vorliegen.

Wenn eine Domain beides umfasst, behandle die gesamte Website als zustimmungsbasiert und dokumentiere, warum.

Die Einwilligung hat weniger Gewicht, wenn das Verhältnis ungleich ist

In Erwägungsgrund 43 werden Behörden als Beispiel genannt, bei denen das Ungleichgewicht zwischen der Organisation und dem Besucher Zweifel daran aufkommen lässt, ob die Einwilligung freiwillig erteilt wird. Die Einwilligung ist für dich dennoch möglich, allerdings unter zwei Bedingungen: Die Ablehnung muss mit einem Klick möglich sein, und der Dienst muss für jemanden, der die Einwilligung verweigert, genauso funktionieren.

Für Cookies ist unabhängig von der Rechtsgrundlage eine Einwilligung erforderlich

Artikel 5 Absatz 3 der ePrivacy-Richtlinie schreibt vor, dass eine Einwilligung erforderlich ist, bevor Informationen auf dem Gerät einer Person gespeichert werden oder auf dort bereits gespeicherte Informationen zugegriffen wird. Diese Bestimmung gilt unabhängig von der DSGVO und betrifft auch Analyse-Cookies, selbst wenn es sich nicht um personenbezogene Daten handelt.

Was sollte eine Kampagne im öffentlichen Sektor messen?

Wenn die Datenschutzfragen kompliziert erscheinen, ist es verlockend, gar nichts zu messen, um auf Nummer sicher zu gehen. Das funktioniert so lange, bis jemand fragt, wie viele Bewerbungen die Kampagne eingebracht hat, und du nur Zahlen zu Impressionen und Klicks vorweisen kannst.

Organisationen des öffentlichen Sektors schalten viel bezahlte Werbung mit definierten Zielen:

• Stellenangebote bei den Streitkräften, der Polizei, im Schulwesen und im öffentlichen Dienst
• Kampagnen zur öffentlichen Gesundheit
• Erinnerungen zur Inanspruchnahme von Sozialleistungen und zu Steuerfristen
• Förderprogramme
• Volkszählung und Wählerregistrierung

Jedes davon mündet in etwas Zählbares, sei es eine gestartete App, ein gebuchter Termin oder ein abgeschicktes Formular. Ohne dieses Signal kann dir dein Reporting nur sagen, wie viel Aufmerksamkeit du gekauft hast – und nicht, zu welchen konkreten Ergebnissen das geführt hat.

Das Einwilligungsproblem auf Websites des öffentlichen Sektors

Die Zustimmungsraten auf Regierungswebsites sind in der Regel niedriger als auf kommerziellen Websites, was zu einer Messlücke führt, die sich nicht durch die Tag-Konfiguration beheben lässt. Wenn ein großer Teil deiner Besucher das Tracking ablehnt, geben deine Analysedaten nur den Anteil der Personen wieder, die zugestimmt haben – was nicht repräsentativ für deine gesamte Zielgruppe ist.

Die Verzerrung verläuft in eine vorhersehbare Richtung. Ablehnungen konzentrieren sich auf Safari- und Mobilfunknutzer sowie auf Personen, die ohnehin schon datenschutzbewusst sind – und genau das ist bei einer Rekrutierungs- oder Gesundheitskampagne oft die Zielgruppe, auf die du es abgesehen hast. Es gibt zwei Möglichkeiten, zu verhindern, dass dies deine Entscheidungen verzerrt:

• Zeige deine Zustimmungsrate neben jeder Kampagnenzahl an, damit die Anzahl der Conversions nicht mit der Gesamtzahl verwechselt wird.
• Schlüssele die Conversions nach Browsern auf, bevor du feststellst, dass ein Kanal unterdurchschnittlich abschneidet, denn ein Kanal, der Safari-Traffic liefert, sieht dabei schlechter aus, als er tatsächlich ist.

Es ist außerdem wichtig zu wissen, dass Google bei fehlender Einwilligung die Lücke in den Berichten mit modellierten Conversions füllt – ein Teil der Angaben in deinem Dashboard ist also nur eine Schätzung. Je niedriger deine Einwilligungsquote ist, desto größer ist dieser Anteil. Das solltest du wissen, bevor du dich auf modellierte Conversions verlässt, um ein Budget zu rechtfertigen.

Eine niedrige Zustimmungsquote zwingt manche Organisationen dazu, sich für eine von zwei Optionen zu entscheiden.

Die erste besteht darin, das Banner so zu gestalten, dass es die Nutzer zur Einwilligung drängt – typischerweise durch vorab angekreuzte Kästchen, eine schwer auffindbare Ablehnungsoption oder einen optisch dominanten „Akzeptieren“-Button. Die Aufsichtsbehörden haben bereits Entscheidungen zu vorab angekreuzten Kästchen, schwer auffindbaren Ablehnungsoptionen und uneinheitlichem Button-Design getroffen und in jedem Fall festgestellt, dass die eingeholte Einwilligung ungültig war.

Der zweite Ansatz besteht darin, alles als von der Einwilligungspflicht ausgenommen zu betrachten. Streng notwendige Cookies sind gemäß der ePrivacy-Richtlinie ausgenommen, und einige nationale Regulierungsbehörden akzeptieren eng gefasste Ausnahmen für die Messung von Gesamtbesucherzahlen.

Frankreich ist das deutlichste Beispiel dafür, wie dieser Weg funktioniert. Die CNIL veröffentlichte früher eine Liste mit Analysetools, die sie als ausnahmegerecht bewertet hatte. Diese Liste wurde am 1. Januar 2026 abgeschafft, sodass Anbieter sich nun selbst anhand der Kriterien bewerten müssen, die die CNIL im Juli 2025 veröffentlicht hat. Die Bedingungen sind streng. Die meisten Tools scheitern an einer Bedingung: Der Anbieter darf die Daten nicht für eigene Zwecke weiterverwenden. Google Analytics erfüllt diese Anforderungen nicht, da Google die gesammelten Daten für eigene Zwecke verarbeitet und sie nutzt, um seine Dienste zu verbessern und seine Werbeprodukte zu unterstützen.

In Deutschland gilt § 25 TDDDG, und die DSK-Leitlinien vertreten eine ähnlich enge Auslegung darüber, welche Analysetools ohne Einwilligung eingesetzt werden dürfen. Die niederländische Datenschutzbehörde legt ihre eigenen Bedingungen fest.

Für die meisten öffentlichen Einrichtungen besteht die messbare Zielgruppe also aus denjenigen, die das Banner akzeptieren – deshalb ist es so wichtig, dass die Daten stimmen. Wenn jemand dem Tracking zustimmt, solltest du am Ende den gesamten Weg nachverfolgen können: den Klick, der ihn auf die Website geführt hat, das Formular, das er auf der Portal-Domain ausgefüllt hat, den Termin, den er Wochen später gebucht hat, und so weiter. Ein Großteil dieser Daten geht aufgrund von Cookie-Lebensdauerbeschränkungen, Werbeblockern und Problemen beim domänenübergreifenden Tracking verloren, noch bevor die Einwilligung zur Einschränkung wird.

Was der Browser vor der Einwilligung verliert, ist gar nicht erst die Frage

Safari begrenzt die Gültigkeitsdauer von Cookies, die von JavaScript gesetzt werden, auf etwa sieben Tage und verkürzt diese auf rund 24 Stunden, wenn die Ziel-URL einen bekannten Werbeparameter wie „gclid“ oder „fbclid“ enthält. Jeder bezahlte Klick enthält einen solchen Parameter, und mit jeder neuen Safari-Version wurde dieser Zeitraum weiter verkürzt.

Cookies, die von deinem eigenen Server über HTTP gesetzt werden, umgehen diese Begrenzung, vorausgesetzt, der Endpunkt wird von deinem eigenen Host aus bereitgestellt und nicht von einer separaten Tracking-Subdomain.

Diese Lücke trifft Kampagnen im öffentlichen Sektor stärker als die meisten anderen, weil die Entscheidungsphasen lang sind. Ein Vorsorgetermin wird erst Monate nach der ersten Anzeige gebucht. Ein Bewerber liest im März eine Stellenanzeige und bewirbt sich im Mai. Ein Einwohner informiert sich in einer Sitzung über eine Sozialleistung und beantragt sie in einer anderen. In jedem Fall hat der Browser bereits vergessen, welche Kampagne ihn dazu gebracht hat, und die Conversion landet unter „Direkt“ oder „Organisch“.

Was sich durch server-side Tracking ändert

Beim server-side Tracking wird die Tagging-Arbeit aus dem Browser des Besuchers auf einen Server-Container verlagert, der auf deiner eigenen Domain läuft. Die Website sendet die Event-Daten dorthin, und du entscheidest von diesem einen Ort aus, was an welche Zieladresse weitergeleitet wird.

Für eine Organisation des öffentlichen Sektors hat dies fünf wesentliche Vorteile.

Du entscheidest, welche Daten deine Systeme verlassen

Bei clientseitigen Tags verlässt alles den Browser, bevor du es überhaupt siehst. Dazu gehören Seiten-URLs mit Fallbezügen, versehentlich erfasste Werte aus Formularfeldern und Suchbegriffe, die in eine Suchfunktion eingegeben wurden. Bei einem Server-Container gelangen die Daten zuerst in deine Infrastruktur, sodass die Datenminimierung gemäß Artikel 5 Absatz 1 Buchstabe c zu einer Konfiguration wird, die du exportieren und der DPIA als Anhang beifügen kannst.

The event stream stays in the region you chose, including the parts you filter out

Wenn der Container auf europäischer Infrastruktur läuft, bleibt der gesamte Stream der Ereignisse – einschließlich all dessen, was du herausfilterierst – in der EU. Deine Datenschutzerklärung beschreibt den tatsächlichen Datenfluss, und das Verzeichnis der Verarbeitungsvorgänge stimmt mit dem überein, was das System tatsächlich tut.

Die Einwilligung wird an einer einzigen Stelle durchgesetzt, statt in jedem Tag

Der Server überprüft vor der Weiterleitung den Status der Einwilligung und sendet Daten nur für die Zwecke, denen der Besucher zugestimmt hat. Wenn jemand seine Einwilligung widerruft, wird diese Entscheidung an einer zentralen Stelle umgesetzt, anstatt darauf angewiesen zu sein, dass jedes Tag korrekt funktioniert. Wie das in Verbindung mit einem CMP wie Axeptio funktioniert, erklären wir in unserem Artikel „Beyond the banner“.

Auf deiner Website werden weniger Skripte von Drittanbietern ausgeführt

Durch die server-side Verlagerung von Tags wird die Anzahl der externen Skripte reduziert, die im Browser des Besuchers geladen werden. Das bedeutet, dass weniger Drittanbieter Daten direkt erhalten, und es sorgt für eine verbesserte Seitenleistung – was für Websites des öffentlichen Sektors wichtig ist, die die in der Richtlinie zur Barrierefreiheit im Web festgelegten Anforderungen an Barrierefreiheit und Leistung erfüllen müssen.

Bei der Wahl deiner Analyselösung geht es nicht mehr um „alles oder nichts“

Unternehmen, die von Google Analytics weggehen, verlieren oft gleichzeitig ihre Kampagnenmessung, da die Conversion-Tags, die Google Ads und Meta mit Daten versorgten, auf der GA4-Konfiguration basierten. Beim server-side Tracking sendet deine Website einen einzigen Stream an den Container, und du konfigurierst jedes Ziel unabhängig voneinander – das heißt, du kannst trennen, was du an Analyse- und Werbeplattformen sendest. Wenn du zum Beispiel eine in der EU gehostete Analyseplattform nutzt, kannst du den vollständigen Datensatz dorthin senden und die Daten, die du an Google Ads und Meta weitergibst, auf genau die Conversion-Signale beschränken, die sie benötigen. Wie das konkret aussehen kann, dokumentieren wir in einem Piwik PRO-Konfiguration.

Was server-side Tracking nicht löst

Server-side Tracking ist eine Methode zum Erfassen und Weiterleiten von Daten. Einige der Behauptungen, die darüber aufgestellt werden, halten einer datenschutzrechtlichen Prüfung nicht stand.

• Das schafft keine rechtmäßige Grundlage. Wenn du kein berechtigtes Interesse geltend machen kannst und ein Besucher keine Einwilligung erteilt hat, wird die Verarbeitung durch die Verlagerung auf einen Server nicht rechtmäßig.
• Für Cookies ist weiterhin eine Einwilligung erforderlich. Artikel 5 Absatz 3 der ePrivacy-Verordnung gilt für das Speichern oder Auslesen von Informationen auf einem Gerät – ein von deinem Server gesetztes First-Party-Cookie ist nach wie vor eine auf einem Gerät gespeicherte Information.
• Dadurch wird ein US-amerikanischer Auftragsverarbeiter nicht zu einem EU-Auftragsverarbeiter. Die Weiterleitung von Daten von einem europäischen Server an eine in den USA ansässige Plattform ist nach wie vor eine Datenübermittlung, die denselben Vorschriften unterliegt.
• In deiner Datenschutzerklärung muss weiterhin beschrieben werden, welche Daten du erfassst und wer sie erhält. Ein Server-Container beeinflusst, welche Empfänger in dieser Liste erscheinen; daher musst du die Erklärung jedes Mal aktualisieren, wenn du einen hinzufügen oder entfernen.

Was dir das server-side Tracking stattdessen bietet, ist die Kontrolle darüber, was du sendest, eine lückenlose Aufzeichnung dessen, was auf deiner eigenen Infrastruktur passiert ist, und eine Konfiguration, die du in einer DPIA genau beschreiben kannst. All das macht es einfacher, die Pipeline zu verteidigen.

Was deine DPIA und deine Beschaffungsunterlagen benötigen

DPIA-Fragen für ein Website-Tracking-Projekt

Frage	Was du bereithalten solltest
Welche personenbezogenen Daten werden verarbeitet?	Die Feldliste, die dein Server-Container pro Ziel weiterleitet. Siehe die Feldliste unten.
Wo werden die Daten verarbeitet?	In der Hosting-Region des Containers sowie in den Regionen der jeweiligen Ziele, an die du die Daten weiterleitest.
Wer sind die Auftragsverarbeiter und Unterauftragsverarbeiter?	Dein Hosting-Anbieter und jede Plattform, die Daten empfängt. Frag deinen Anbieter nach einer aktuellen Liste der Unterauftragsverarbeiter, bevor du loslegst.
Was ist die Rechtsgrundlage?	Einwilligung – dokumentiere, wie sie eingeholt wird und wie ein Widerruf gehandhabt wird.
Wie wird die Datenminimierung umgesetzt?	Die Filterregeln in deinem Container. Sieh dir die folgende Feldliste an.
Wie lang sind die Aufbewahrungsfristen?	Je nach Ziel, da sich deine Analyseplattform und deine Werbeplattformen unterscheiden.
Welche Sicherheitsmaßnahmen gelten?	Sicherheitszertifizierungen des Hosting-Anbieters, Zugriffskontrollen und die Frage, wer in deiner Organisation die Konfiguration ändern darf.

Ein Beispiel für eine Liste zulässiger Felder

Zwei der oben genannten Fragen – welche personenbezogenen Daten verarbeitet werden und wie die Datenminimierung umgesetzt wird – werden durch dasselbe Dokument beantwortet: die Liste der Felder, die dein Container an die jeweiligen Empfänger weiterleiten darf. Unten findest du einen Ausgangspunkt für eine Konfiguration im öffentlichen Sektor. Passe sie entsprechend deinen eigenen Events an.

Bereich	Analytics (in der EU gehostet)	Werbeplattformen	Grund
Hostname der Seite	Weiter	Weiter	Notwendig, um den Besuch zuzuordnen
Vollständiger Seitenpfad	Weiter	Abschnitt angeben	Pfade benennen das Programm, die Bedingung oder die freie Stelle
Abfrage-String	Nur Whitelist	Entfernen	Enthält Fallreferenzen, Filter und Quizantworten
Kampagnenparameter (utm, gclid)	Weiter	Weiter	Das Attributionssignal selbst
Ereignisname	Weiter	In einen neutralen Namen umbenennen	Namen wie „housing_benefit_started“ beschreiben die Person
Konversionswert	Weiter	Weiter	Wird für das Reporting und das Bidding benötigt
Werte der Formularfelder	Fall	Fall	Eher zufällig als absichtlich aufgenommen
Suchbegriffe auf der Seite	Weiter	Fall	Intern nützlich, extern aufschlussreich
E-Mail oder Telefon	Fall	Hash-verarbeitet, nur wenn eine Rechtsgrundlage vorliegt	Dokumentiere die Grundlage, bevor du die Funktion aktivierst
IP-Adresse	Kürzen	Fall	Die vollständige IP-Adresse wird selten benötigt, sobald der Container sie hat
User-Agent	Weiter	Weiter	Geräteberichte
Referrer	Weiter	Weiter	Kanal-Berichterstattung
Benutzer-ID des angemeldeten Nutzers	Fall	Fall	Verknüpft die Messung mit einer Fallakte
Einwilligungsstatus	Weiter	Weiter	Die Regel, die der Server durchsetzt

Drei Szenarien zur Nachverfolgung im öffentlichen Sektor

Die folgenden Szenarien beschreiben Situationen, in denen ein Browser-Tag nicht mehr funktioniert: Der Besucher wechselt zu einer anderen Domain, die Konversion findet außerhalb der Website statt oder zwischen dem Klick und dem Ergebnis vergeht zu viel Zeit.

Eine Gemeinde, die für eine Dienstleistung wirbt, die man online beantragen kann

Die Kampagne leitet Besucher zu einem Bewerbungsformular weiter, das auf einer separaten Portal-Domain gehostet wird. Der Browser behandelt das Portal als neuen Besuch, sodass die ausgefüllte Bewerbung als direkter Traffic erfasst wird und die Kampagne fast keine Conversions anzeigt. Dabei enthält die URL des Formulars Parameter, die beschreiben, für welches Programm sich der Bewohner bewirbt.

„Click ID Recovery“ speichert die Kennung auf dem Server und das „Multi Domain Tool“ hält die Sitzung portalübergreifend aufrecht, um sicherzustellen, dass die Bewerbung der Kampagne zugeordnet wird. Die URL-Details werden vor der Weiterleitung entfernt, und die Werbeplattform erhält eine Conversion, ohne dass erkennbar ist, auf welche Stelle sich der Bewerber beworben hat.

Ein öffentlicher Arbeitgeber, der eine Rekrutierungskampagne durchführt

Bewerbungen werden über ein Bewerbermanagementsystem eingereicht, und die Entscheidung über die Vorauswahl oder Einstellung erfolgt erst Wochen später. Deine Nachverfolgung beschränkt sich auf den Klick auf die Stellenanzeige – das ist also das Signal, anhand dessen die Anzeigenplattform optimiert. Sie gibt dein Budget dafür aus, Leute zu finden, die Stellenanzeigen öffnen, statt solche, die sich bewerben.

Das Weiterleiten eingereichter Bewerbungen als Offline-Konversionen aus dem Bewerbermanagementsystem an den Server sorgt dafür, dass die Kampagne eine Konversion erhält, die an das eigentliche Ziel geknüpft ist. Spätere Phasen fließen in dieselbe Auswertung ein, sodass du die Kosten pro Einstellung anhand deiner eigenen Daten auswerten kannst.

Eine Kampagne im Bereich der öffentlichen Gesundheit mit einem langen Entscheidungszeitraum

Jemand sieht im März eine Vorsorgekampagne und bucht im Juni einen Termin. Das beim ersten Besuch gesetzte Cookie ist längst abgelaufen, sodass die Buchung dem direkten Traffic oder der organischen Suche zugeschrieben wird.

„Cookie Recovery“ speichert die Kennung in einem ITP-konformen First-Party-Cookie und stellt sie bei der Rückkehr des Nutzers wieder her, sodass die Verbindung zwischen dem Besuch im März und der Buchung im Juni erhalten bleibt.

Server-side Tracking implementieren, ohne deine bestehende Lösung neu aufzubauen

Deine aktuelle Konfiguration läuft weiter, während du einen Server-Container daneben hinzufügst. Bevor du auf server-side Tracking umstellst, verschiebe die Events einzeln und vergleiche die Ergebnisse, bevor du irgendetwas deaktivierst.

1. Beginne mit der Datenschutz-Folgenabschätzung (DPIA) noch vor den technischen Arbeiten. In den meisten öffentlichen Einrichtungen dauert das länger als die Umsetzung selbst, daher ist es am besten, frühzeitig damit anzufangen.
2. Überprüfe, was du derzeit versendest. Öffne eine Live-Event-Payload und lies jedes Feld durch. Überprüfe deine URLs, Abfragezeichenfolgen, Ereignisnamen und Formularinteraktionen auf alles, was die Person identifiziert oder den von ihr genutzten Dienst nennt.
3. Erstelle die Liste der zulässigen Felder mit deinem Datenschutzbeauftragten. Legt fest, was die einzelnen Empfänger erhalten sollen, bevor ihr irgendetwas konfiguriert.
4. Richte den Server-Container auf deiner eigenen Domain ein. Leite zunächst ein Event darüber, beginnend mit deiner wichtigsten Conversion.
5. Wende die Filterregeln an. Entferne alle URL-Details jenseits der Domain, lass nur genehmigte Parameter durch und gib den Events Namen, die die Aktion beschreiben, ohne die Person zu identifizieren.
6. Binde die Einwilligung ein. Der Server sollte den Einwilligungsstatus prüfen, bevor er irgendetwas weiterleitet. Ein Widerruf sollte dann für alle Ziele von derselben Stelle aus gelten.
7. Hinzufügen den Consent Mode v2, wenn du Google Ads nutzt. Google verlangt die vier Einwilligungssignale für Traffic aus dem EWR. Ohne diese Signale stellt Google die Erstellung von Remarketing-Zielgruppen ein und die Conversion-Modellierung verschlechtert sich. Der Container sorgt zwar dafür, dass die Einwilligung auf jeder Zielseite eingeholt wird, aber Google erwartet trotzdem die Signale – richte also beides ein.
8. Vergleiche die Browser- und Serverdaten, bevor du irgendetwas deaktivierst. Der Unterschied ist bei Safari und mobilem Datenverkehr am größten, da dort Browser-Einschränkungen und Werbeblocker verhindern, dass die meisten events erfasst werden.
9. Beziehe die Systeme mit ein, auf die der Browser keinen Zugriff hat. Anwendungen, Buchungen und Ergebnisse aus späteren Phasen werden in deiner eigenen Software erfasst – sende sie also von dort aus an den Container.
10. Dokumentiere die Regeln und füge sie in deinen Release-Prozess ein. Ein neuer Parameter oder ein umbenanntes Event kann die von dir konfigurierte Filterung zunichte machen, daher müssen die Regeln bei Änderungen an der Website überprüft werden. Unsere Checkliste zum server-side Tracking ist ein guter Ausgangspunkt.

Wie TAGGRS Organisationen des öffentlichen Sektors unterstützt

TAGGRS hostet und wartet den Server-Container, sodass deine IT-Abteilung keine Cloud-Infrastruktur dafür einrichten oder betreiben muss. Die Lösung läuft auf europäischen Servern, und du weißt genau, wo deine Daten verarbeitet werden und wer Zugriff darauf hat.

Die Lösung erweitert deinen Google Tag Manager-Container. Dein bestehender Web-Container kann weiterlaufen, während du Tags migrierst und die Ergebnisse überprüfst.

Einige Funktionen sind für eine Implementierung im öffentlichen Sektor besonders wichtig:

• Data Enricher filtert und bereitet Events auf dem Server auf, bevor irgendetwas weitergeleitet wird. Hier wird deine Liste der zulässigen Felder zu einer verbindlichen Regel. GTM-Transformationen übernehmen das Entfernen und Umbenennen, und die Konfiguration kann exportiert und in deinem DPIA-Anhang verwendet werden.
• Das Diagramm „Einwilligungsgenehmigungen“ zeigt deine Einwilligungsraten im Zeitverlauf an, sodass du auf einen Blick erkennen kannst, wie viel deines Traffics du erfasst hast.
• Das Multi-Domain-Tool verwaltet die Portal- und Buchungsdomains, wie wir es in den obigen Szenarien beschrieben haben.
• Die Piwik PRO-Konfiguration umfasst die Einrichtung eines in der EU gehosteten Analysesystems für Organisationen, die von Google Analytics umgestiegen sind.

Fazit

Die Messung der Ergebnisse des Medienbudgets und die Speicherung von Bürgerdaten in einer Infrastruktur, für die man Rechenschaft ablegen kann, werden meist als gegensätzliche Anforderungen betrachtet. Durch die Kontrolle der Datenflüsse kannst du jede Frage im Datenschutz-Assessment klar beantworten und ein Kampagnen-Reporting aufrechterhalten, das auch bei verschärften Tracking-Beschränkungen Bestand hat.

Im Wesentlichen geht es darum, zu wissen, was deine bestehende Konfiguration übermittelt und wohin. Unser kostenloser Website-Tracking-Checker scannt deine Domain und bewertet dein Tracking in Bezug auf Pixel, server-side Abdeckung, Cookies und Einwilligungen – zu jedem Befund gibt es eine empfohlene Lösung. Er benötigt keinen Zugriff auf deinen Tag-Manager oder dein Anzeigenkonto, was auch bedeutet, dass du ihn ausführen kannst, bevor du jemanden intern einbeziehst.

Wenn du eine Bewertung vorbereitest, vereinbare eine Demo, und wir gehen gemeinsam durch, was eine server-side Konfiguration für deine Datenflüsse, deine Hosting-Region und deine Liste der Unterauftragsverarbeiter bedeuten würde.

FAQ