DSGVO-konformes Tracking ist jede Form von Website-Analyse, bei der Besucherdaten nur dann und so erhoben werden, wie es die Datenschutzgrundsätze erlauben, also in der Regel erst nach Einwilligung. Der wichtigste Hebel ist dabei nicht das Tool, sondern der Moment, zu dem die Erhebung startet.
In diesem Beitrag erklären wir in einfachen Worten, was einwilligungsfreies von einwilligungsbasiertem Tracking unterscheidet, wie Cookie-Banner, cookieless Analytics und serverseitiges Tracking funktionieren und worauf Sie als KMU praktisch achten müssen.
Was heißt „Tracking" eigentlich?
Tracking bedeutet: Ihre Website zeichnet auf, wer kommt, was er sich ansieht und was er tut, etwa Klicks, Formularabsendungen oder Verweildauer. Technisch läuft das meist über Skripte von Tools wie Google Analytics oder Meta, die beim Laden der Seite aktiv werden und Daten an die Server des Anbieters senden.
Ein einfaches Bild: Tracking ist wie ein Besucherbuch im Eingangsbereich, nützlich, aber nur akzeptabel, wenn die Leute wissen, was dort notiert wird und wofür.
Warum wird Tracking unter DSGVO schwierig?
Der Grund ist simpel: Schon eine IP-Adresse gilt als personenbezogenes Datum. Sobald Daten an ein Tool außerhalb Ihres Servers gehen, kommt das Thema Datenübermittlung ins Ausland hinzu bei US-Tools ein bekannter Stolperstein. Seit dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission von 2023) ist eine Übermittlung an zertifizierte Anbieter zwar möglich, sie muss aber im Einzelfall geprüft und dokumentiert werden.
Zusätzlich gilt der Einwilligungsgrundsatz: Das Tool darf erst starten, wenn der Besucher aktiv zugestimmt hat. Für das Speichern und Auslesen von Informationen im Endgerät verlangt in Deutschland § 25 TDDDG eine Einwilligung, sofern sie nicht unbedingt erforderlich sind. „Weitersurfen" oder vorausgewählte Kästchen zählen nicht als Zustimmung.
Was ist ein Cookie-Banner und was muss es leisten?
Ein Cookie-Banner ist die Box, die beim Seitenaufruf erscheint und den Besucher um Einwilligung bittet. Rechtlich ist es das Mittel, mit dem diese Einwilligung eingeholt wird. Die wichtigsten Punkte:
- Zwei gleichwertige Buttons: „Zustimmen" und „Ablehnen" müssen gleich gut erreichbar sein.
- Gruppierung: Notwendige, funktionale, analytische und Marketing-Cookies werden getrennt erklärt.
- Nachvollziehbarkeit: Es muss nachweisbar sein, was der Besucher wann gewählt hat.
- Widerruf: Die Auswahl ist jederzeit wieder änderbar, nicht nur einmalig.
Was ist cookieless Analytics?
Cookieless Analytics verzichtet auf Cookies als Speichermittel. Stattdessen werden Besuche über andere, oft kürzerlebende Merkmale zusammengefasst, etwa eine anonymisierte Sitzung oder eine lokal gespeicherte Kennung, die nicht dauerhaft im Browser liegt. Wichtig: Auch eine lokal gespeicherte Kennung fällt unter die Einwilligungspflicht, wenn sie nicht unbedingt erforderlich ist.
Der Vorteil: Es gibt weniger Daten, die dauerhaft zuordenbar sind. Der Nachteil: Die Reichweitenmessung wird ungenauer, und wiederkehrende Besucher lassen sich schlechter erfassen.
Was ist serverseitiges Tracking?
Beim serverseitigen Tracking läuft das Skript nicht im Browser des Besuchers, sondern auf Ihrem eigenen Server. Der Server fragt das Analytics-Tool ab, statt dass der Browser direkt dorthin sendet.
Das bringt zwei Vorteile:
- Weniger Daten verlassen den Browser, weil nicht jedes Skript direkt mit dem Tool spricht.
- Sie haben mehr Kontrolle darüber, welche Daten überhaupt an das Tool gesendet werden.
Aber: Serverseitiges Tracking ist kein Freifahrtschein. Wenn am Ende Daten in die USA fließen oder Endgeräte ausgelesen werden, braucht es trotzdem eine Rechtsgrundlage.
Was sollten KMUs konkret beachten?
Für kleine und mittlere Unternehmen gilt: Es geht nicht um die teuerste Lösung, sondern um die sauberste. Diese Punkte sind der schnellste Weg zu einem tragfähigen Setup:
- Bestandsaufnahme: Welche Tracking-Tools sind auf Ihrer Seite aktiv? (Analytics, Meta, YouTube, Maps, Retargeting …)
- Rechtsgrundlage klären: Einwilligung, berechtigtes Interesse oder Ausnahmetatbestand?
- Cookie-Banner prüfen: Sind Ablehnung und Zustimmung gleichwertig?
- Datenfluss dokumentieren: Welche Daten gehen an welchen Server?
- Auftragsverarbeitungsvertrag (AVV) mit jedem Tool-Anbieter geschlossen
- Test nach Updates: Nach jeder technischen Änderung prüfen, ob die Einwilligung noch greift
Fazit: Es geht um den Moment der Erhebung, nicht ums Tool
DSGVO-konformes Tracking ist kein einzelnes Tool, sondern ein Prinzip: Erst einholen, dann messen. Wer Besucher darüber informiert, was passiert, und ihnen echte Wahlmöglichkeiten gibt, steht bei einer Prüfung in der Regel gut da. Der schnellste Hebel für KMUs ist die Bestandsaufnahme, denn ohne zu wissen, was überhaupt läuft, kann man nichts sauber konfigurieren.
Und wenn Sie nicht sicher sind, ob Ihr aktuelles Setup hält: Sprechen Sie mit uns: Wir schauen gemeinsam auf Ihre Tools, Ihr Banner und Ihren Datenfluss.
Mehr zu den Grundlagen finden Sie in unserem Beitrag ChatGPT und DSGVO: Was Unternehmen wissen müssen sowie in unserem Digital-Marketing-Angebot.
