Google Tag Manager DSGVO-konform einsetzen

Der Google Tag Manager (googletagmanager.com) lädt selbst keine Tracker, sondern verwaltet sie. Das eigentliche Datenschutz-Thema sind die Tags, die er ausspielt.

Der häufigste Fehler mit dem Tag Manager ist die Annahme, ein blockiertes Consent-Tool im Container reiche aus. Solange der Container-Snippet im <head> steht, wird beim Seitenaufruf bereits eine Verbindung zu googletagmanager.com aufgebaut und die IP-Adresse an Google übertragen — bevor irgendein Tag feuert. Für den Container selbst lässt sich das nur vermeiden, indem er erst nach Einwilligung nachgeladen wird oder serverseitig ausgeliefert wird.

Google Consent Mode v2 ist seit März 2024 für Werbefunktionen im EWR praktisch Pflicht, wenn Conversion-Daten an Google Ads fließen sollen. Er ersetzt aber kein Consent-Tool: Consent Mode passt nur das Verhalten der Google-Tags an den Zustimmungsstatus an — der Status selbst muss weiterhin von einem Banner erfasst werden, das den Anforderungen an eine Einwilligung genügt.

Bei Server-side Tagging wandert die Tag-Ausführung auf einen eigenen Endpunkt (oft eine Subdomain). Das verbessert Ladezeit und Datenkontrolle, verschiebt die Einwilligungspflicht aber nicht: Auch serverseitig ausgelöste Tags, die auf clientseitig gesetzte Kennungen zugreifen, brauchen die vorherige Zustimmung.

Ist das ein Risiko?

Lädt der Tag Manager einwilligungspflichtige Tags (Analytics, Ads, Pixel) vor oder trotz einer Ablehnung, fehlt für diese die Rechtsgrundlage nach § 25 Abs. 1 TDDDG. Der Container-Aufruf selbst überträgt bereits die IP an Google (USA).

Was du tun kannst

• Consent Mode bzw. eine Trigger-Bedingung nutzen, sodass Tags erst nach Einwilligung feuern.
• Jeden Tag im Container einer Kategorie zuordnen und gegen den Consent-Status prüfen.
• Server-side Tagging erwägen, aber die Einwilligungslogik konsequent übernehmen.
• Nach dem Setup im „Netzwerk“-Tab prüfen, was vor dem ersten Klick lädt.

Häufige Fragen

Ist der Google Tag Manager selbst einwilligungspflichtig?

Der Container-Aufruf lädt keine Tracker, überträgt aber beim Seitenaufruf die IP-Adresse an Google (USA). Streng genommen ist schon das ein Zugriff, der ohne technische Notwendigkeit erfolgt — konservativ wird der Container daher erst nach Einwilligung geladen.

Reicht Consent Mode v2 statt eines Cookie-Banners?

Nein. Consent Mode steuert nur, wie Google-Tags auf den Zustimmungsstatus reagieren. Der Status muss von einem separaten Consent-Tool erfasst werden, das eine echte Wahl zwischen Annahme und Ablehnung bietet.

Wie stelle ich sicher, dass Tags erst nach Zustimmung feuern?

Jedem Tag im Container eine Trigger-Ausnahme oder eine Consent-Bedingung geben, die den Zustimmungsstatus der jeweiligen Kategorie prüft. Danach im Vorschaumodus und im Netzwerk-Tab kontrollieren, was vor dem ersten Klick lädt.

Hilft Server-side Tagging bei der Einwilligung?

Es verbessert Performance und Datenkontrolle, ersetzt die Einwilligung aber nicht. Serverseitige Tags, die personenbezogene Daten verarbeiten, brauchen dieselbe Rechtsgrundlage wie clientseitige.

Wie consentglass hilft

Der kostenlose Scan prüft das ausgelieferte HTML und zeigt, welche Dienste eingebunden sind, ob ein Cookie-Banner erkannt wird und ob Datenschutz- und Impressum-Link vorhanden sind — mit Einordnung je Fund. Er ersetzt keine Rechtsberatung.