← Zpět na blog case-study

Fallstudie: Wie ein deutsches Medienhaus Server-Side Tracking einführte — und Post von der Aufsichtsbehörde bekam

· 2 min čtení
Server-Side Tracking GTM CNAME Cloaking DPA Aufsichtsbehörde

Im Herbst 2025 migrierte ein deutsches Medienhaus (ca. 8 Mio. monatliche Unique Users) sein Tracking von clientseitigem Google Tag Manager auf einen serverseitigen GTM-Container auf Google Cloud Run. Das Ziel: Ad-Blocker umgehen, First-Party-Cookies stärken, ITP-Probleme lösen. Was dann passierte, ist lehrreich.

Die Migration: Technisch sauber, rechtlich naiv

Das Setup war technisch vorbildlich:

  • GTM-Server-Container auf data.publisher-domain.de
  • A-Record auf Google Cloud Run (Frankfurt, EU-Region)
  • GA4-Events über First-Party-Endpunkt statt analytics.google.com
  • First-Party-Cookie _ga mit 400-Tage-Laufzeit (statt 7 Tage durch ITP)

Die interne Rechtsabteilung argumentierte: „Wir senden Daten nur noch an unseren eigenen Server. Kein Drittanbieter-Cookie, kein Third-Party-Request. Consent-Banner ist für Analytics nicht mehr nötig.“

Das Behördenschreiben

Drei Monate später kam ein Auskunftsersuchen der zuständigen Landesbeauftragten für Datenschutz. Ein Nutzer hatte sich beschwert, dass nach dem Ablehnen aller Cookies weiterhin Tracking stattfand. Die Behörde fragte:

  1. Auf welcher Rechtsgrundlage werden GA4-Events erhoben?
  2. Warum feuert der First-Party-Endpunkt data.publisher-domain.de/collect auch nach Consent-Ablehnung?
  3. Warum setzt das CMP den Consent-Status nicht für serverseitige Tags?

Das Kernproblem: CMP ≠ GTM-Server

Die meisten Consent Management Platforms steuern clientseitige Tags. Wenn Tags serverseitig ausgeführt werden, fließt das Consent-Signal oft nicht bis zum Server-Container durch. Das Ergebnis:

  • CMP sagt: „Nutzer hat abgelehnt“
  • GTM-Client-Container respektiert die Ablehnung
  • Aber: Der Server-Container erhält den Consent-Status nicht und feuert GA4-Events trotzdem

Das ist kein theoretisches Problem — wir sehen dieses Muster bei ca. 30 % der Websites mit GTM Server-Side Containern.

Die CNIL-Leitlinien: Klare Sprache

Die französische Datenschutzbehörde (CNIL) hat 2023 klargestellt:

„Le recours au CNAME cloaking ou au server-side tagging ne dispense pas du recueil du consentement.“
— CNIL, Recommandation sur les cookies et autres traceurs, 2023

Übersetzt: CNAME Cloaking oder Server-Side Tagging befreit nicht von der Einwilligungspflicht. Die technische Methode der Datenerhebung ist irrelevant — relevant ist, ob personenbezogene Daten verarbeitet werden.

Die Lösung: Consent-Signal bis zum Server

Das Medienhaus musste nachrüsten:

  1. Consent-Status als First-Party-Cookie: Das CMP setzt einen consent_status-Cookie, den der GTM-Server-Container ausliest
  2. Server-Side Consent Check: Vor jedem GA4-Event prüft der Server-Container den Consent-Status. Bei denied: kein Event, kein Cookie
  3. Cookieless Ping-Modus: Google Consent Mode v2 im Server-Container aktiviert — bei denied werden nur cookielose, aggregierte Pings gesendet (gcs=G1)

Lehren für die Praxis

  • Server-Side Tracking ändert nichts an der Einwilligungspflicht (§ 25 TDDDG / Art. 5(3) ePrivacy)
  • Jede SST-Migration muss die Consent-Pipeline end-to-end testen — vom CMP bis zum Server-Container
  • Ein forensischer Scan nach der Migration ist Pflicht, um Reject-Leaks zu erkennen

Technische Details zu unserer SST-Erkennung finden Sie auf der Methodik-Seite.

Dieser Artikel wurde mit KI-Unterstützung erstellt und gegen verifizierte DSGVO-Rechtsprechung (GDPRhub) geprüft. Für Rechtsberatung wenden Sie sich an einen qualifizierten Datenschutzexperten.