Tracking und Datenschutz wirken oft wie Gegner: Marketing will jede Conversion sehen, der Datenschutz will möglichst wenig Daten. Die gute Nachricht ist, dass beides zusammen geht. DSGVO-konformes Tracking heißt nicht, auf Messung zu verzichten. Es heißt, sauber zu fragen, nur das zu laden, wofür du eine Erlaubnis hast, und das auch belegen zu können.
In diesem Guide bekommst du die rechtlichen Grundlagen in verständlicher Sprache, die häufigsten Fehler aus der Praxis, eine Erklärung von Google Consent Mode v2 und eine Schritt-für-Schritt-Anleitung, wie du ein sauberes Setup mit LeadSignal aufbaust.
Dieser Guide ist keine Rechtsberatung. Er fasst die gängige Auslegung von DSGVO und TDDDG verständlich zusammen, Stand Oktober 2026. Rechtsprechung und Behördenmeinungen entwickeln sich weiter. Lass dein konkretes Setup im Zweifel von deinem Datenschutzbeauftragten oder einer spezialisierten Kanzlei prüfen.
Die rechtlichen Grundlagen in einfachen Worten
Für Tracking auf Websites in Deutschland sind vor allem zwei Regelwerke relevant. Sie greifen ineinander, regeln aber unterschiedliche Dinge.
DSGVO: Wann darfst du personenbezogene Daten verarbeiten?
Die Datenschutz-Grundverordnung regelt, unter welchen Bedingungen du personenbezogene Daten verarbeiten darfst. Dazu zählen nicht nur Namen und E-Mail-Adressen, sondern auch IP-Adressen, Cookie-IDs und Click-IDs, sobald sie einer Person zugeordnet werden können. Für Werbe-Tracking ist die Rechtsgrundlage in der Praxis fast immer die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
TDDDG (früher TTDSG): Wann darfst du auf das Gerät zugreifen?
Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, bis Mai 2024 TTDSG genannt, setzt die europäische ePrivacy-Richtlinie um. Nach § 25 TDDDG brauchst du eine Einwilligung, bevor du Informationen auf dem Endgerät speicherst oder ausliest, etwa Cookies, Local Storage oder Fingerprinting. Ausgenommen ist nur, was für den vom Nutzer gewünschten Dienst unbedingt erforderlich ist, zum Beispiel ein Warenkorb-Cookie oder die Speicherung der Consent-Entscheidung selbst.
Wichtig: Das TDDDG gilt unabhängig davon, ob die Daten personenbezogen sind. Schon das Setzen eines Marketing-Cookies braucht eine Einwilligung, egal ob es sich um First-Party-Cookies oder Third-Party-Cookies handelt.
Was eine gültige Einwilligung ausmacht
Eine Einwilligung ist nur dann wirksam, wenn sie bestimmte Kriterien erfüllt:
- Informiert: Besucher müssen verstehen, welche Tools welche Daten zu welchem Zweck verarbeiten.
- Freiwillig und aktiv: Kein Opt-out, keine vorausgewählten Häkchen. Der EuGH hat das 2019 im Planet49-Urteil klargestellt.
- Granular: Statistik und Marketing sollten getrennt wählbar sein, statt nur „alles oder nichts".
- Widerrufbar: Der Widerruf muss so einfach sein wie die Zustimmung (Art. 7 Abs. 3 DSGVO).
- Nachweisbar: Du musst belegen können, dass eine Einwilligung vorlag (Art. 7 Abs. 1 DSGVO).
Die häufigsten Fehler beim Tracking
Die meisten Probleme entstehen nicht durch böse Absicht, sondern durch Setups, die über die Jahre gewachsen sind. Diese Fehler sehen wir besonders oft.
Pixel feuern vor der Einwilligung
Der Klassiker: Ein Tracking-Pixel wie der Meta Pixel oder das Google Ads Tag ist fest im Theme eingebaut und lädt sofort, während der Cookie-Banner noch angezeigt wird. Der Banner ist dann nur Dekoration. Prüfe das selbst: Öffne deine Seite in einem privaten Fenster, lehne nichts ab und stimme nichts zu und schau im Netzwerk-Tab der Entwicklertools nach, ob schon Anfragen an Werbeplattformen rausgehen.
Dark Patterns im Banner
Ein großer, farbiger „Alle akzeptieren"-Button und ein winziger grauer Link „Einstellungen" auf Ebene zwei: Solche Gestaltungen sehen viele Datenschutzbehörden und Gerichte kritisch. Die verbreitete Erwartung ist, dass „Ablehnen" auf der ersten Ebene genauso einfach erreichbar ist wie „Akzeptieren".
Kein Nachweis der Einwilligung
Wenn eine Behörde oder ein Abmahner fragt, musst du zeigen können, wann und wofür eingewilligt wurde. Ein Banner, der die Entscheidung nur im Browser speichert, liefert dir keinen Nachweis.
IP-Adressen ungekürzt verarbeiten
IP-Adressen sind personenbezogene Daten. Wer sie vollständig speichert, obwohl er sie nicht braucht, verstößt gegen den Grundsatz der Datenminimierung. Eine Kürzung der IP-Adresse ist ein einfacher und sinnvoller Schritt.
Server-Side Tracking als Umgehung der Einwilligung
Dieser Irrtum ist besonders verbreitet. Server-Side Tracking über die Conversions API macht dein Tracking robuster gegen Ad-Blocker und Browser-Einschränkungen. Es ändert aber nichts an der Rechtslage. Wenn du Daten zu Werbezwecken an Meta, Google, LinkedIn oder TikTok sendest, brauchst du dafür eine Einwilligung, egal welchen Weg die Daten nehmen. Mehr zu den technischen Vorteilen liest du in unserem Artikel warum Server-Side Tracking wichtig ist.
Server-Side Tracking ist ein Werkzeug für bessere Datenqualität, kein Schlupfloch. Richtig eingesetzt sendet es Events nur für Besucher, die eingewilligt haben, und das zuverlässiger als ein reiner Browser-Pixel.
Google Consent Mode v2 erklärt
Google Consent Mode v2 ist ein Mechanismus, mit dem deine Website Google-Tags mitteilt, welche Einwilligungen ein Besucher erteilt hat. Die Tags passen ihr Verhalten daran an. Consent Mode ist kein Cookie-Banner, sondern die Schnittstelle zwischen Banner und Google-Diensten.
Die vier Consent-Signale
| Signal | Bedeutung |
|---|---|
ad_storage | Darf für Werbezwecke auf dem Gerät gespeichert werden (z. B. Werbe-Cookies)? |
analytics_storage | Darf für Analysezwecke gespeichert werden (z. B. Google Analytics Cookies)? |
ad_user_data | Dürfen Nutzerdaten für Werbezwecke an Google gesendet werden? |
ad_personalization | Dürfen die Daten für personalisierte Werbung und Remarketing genutzt werden? |
Die Signale ad_user_data und ad_personalization sind mit Version 2 neu dazugekommen. Seit März 2024 verlangt Google sie für Nutzer im Europäischen Wirtschaftsraum. Fehlen sie, kannst du Funktionen wie Remarketing-Listen und Teile der Conversion-Messung in Google Ads nicht oder nur eingeschränkt nutzen. Das ist eine Vorgabe von Google, kein Gesetz, aber praktisch genauso verbindlich, wenn du Google Ads schaltest.
Basic vs. Advanced Mode
- Basic Mode: Google-Tags laden erst nach Einwilligung. Ohne Einwilligung geht nichts an Google. Google modelliert fehlende Conversions dann auf Basis allgemeiner Daten.
- Advanced Mode: Google-Tags laden sofort, senden ohne Einwilligung aber nur cookielose Pings ohne Identifier. Daraus kann Google genauere Modelle bauen.
Der Advanced Mode liefert tendenziell bessere Modellierung, ist datenschutzrechtlich aber umstrittener, weil schon vor der Einwilligung Anfragen an Google gehen. Viele Datenschutzbeauftragte in Deutschland empfehlen deshalb den Basic Mode. Kläre das mit deinem Datenschutzbeauftragten.
Was du ohne Einwilligung messen kannst und was nicht
Ein realistisches Bild hilft, Erwartungen zu setzen.
Ohne Einwilligung sind typischerweise möglich:
- Aggregierte, anonyme Besucherzählung durch Cookieless Tracking, sofern nichts auf dem Gerät gespeichert oder ausgelesen wird und keine Rückschlüsse auf Personen möglich sind
- Modellierte Conversions über Google Consent Mode, die Google aus Mustern hochrechnet
- Kennzahlen wie Seitenaufrufe, Top-Seiten oder Referrer in anonymisierter Form
Nur mit Einwilligung solltest du:
- Werbe-Pixel wie den Meta Pixel, das Google Ads Tag oder den TikTok Pixel laden
- First-Party-Daten wie gehashte E-Mail-Adressen für Matching an Werbeplattformen senden
- Server-Events über die Conversions API mit Nutzerbezug übermitteln
- Besucher über mehrere Sitzungen hinweg wiedererkennen
Wie hoch der Anteil der Besucher ohne Einwilligung ist, hängt stark von Branche, Zielgruppe und Banner-Gestaltung ab. Viele Werbetreibende berichten von Ablehnungsraten irgendwo zwischen 20 und 50 Prozent. Umso wichtiger ist es, die Einwilligungen, die du bekommst, auch vollständig zu nutzen.
So richtest du DSGVO-konformes Tracking mit LeadSignal ein
LeadSignal ist so gebaut, dass Consent und Tracking aus einer Hand kommen. Du brauchst kein separates Consent-Tool und keinen Google Tag Manager. Eine allgemeine Einführung in das Setup findest du im Guide zum einfachen Conversion-Tracking.
Schritt 1: Snippet einbauen
Füge das LeadSignal-Snippet in den Head deiner Website ein. Im Onboarding prüft LeadSignal live, ob die Installation funktioniert. Entferne anschließend alte, fest eingebaute Pixel aus Theme oder Plugins, damit nichts an der Einwilligung vorbei lädt.
Schritt 2: Cookie-Banner konfigurieren
Der integrierte Cookie-Banner lässt sich als Leiste, Box oder schwebendes Element darstellen, im hellen, dunklen oder System-Theme und mit deiner Akzentfarbe. Er ist auf Deutsch, Englisch, Französisch und Spanisch verfügbar. Besucher entscheiden getrennt über die Kategorien Notwendig, Präferenzen, Statistik, Marketing und Nicht klassifiziert.
Schritt 3: Cookie-Inventar prüfen
Besucher sehen im Banner eine Übersicht der eingesetzten Cookies. Prüfe die Liste, damit sie zu deinen tatsächlich genutzten Tools und zu deiner Datenschutzerklärung passt.
Schritt 4: Werbeplattformen verbinden
Verbinde Meta, Google Ads, LinkedIn und TikTok. Pixel und Tags dieser Plattformen laden erst, wenn der Besucher der Kategorie Marketing zugestimmt hat. Für Meta, LinkedIn und TikTok kannst du zusätzlich die serverseitige Übertragung aktivieren, mit Deduplizierung über eine Event-ID. Für Google Ads lädt LeadSignal das Google Tag und übergibt die Consent Mode v2 Signale ad_storage, ad_user_data und ad_personalization automatisch. Details findest du auf der Seite zur Google Ads Integration.
Schritt 5: Daten minimieren
LeadSignal anonymisiert IP-Adressen (letztes Oktett bei IPv4, letzte 80 Bit bei IPv6). E-Mail, Telefonnummer und Name werden nur nach Einwilligung per Hashing mit SHA-256 an Plattformen übergeben, etwa für Advanced Matching bei Meta oder Enhanced Conversions bei Google.
Schritt 6: Vor-Consent-Zählung verstehen
Bevor ein Besucher einwilligt, zählt LeadSignal Besuche mit einem täglich wechselnden, gesalzenen Hash. Auf dem Gerät wird dabei nichts gespeichert, und es wird keine dauerhafte Identität gebildet. So siehst du im Dashboard trotzdem, wie viel Traffic du hast. Willigt ein Besucher später ein, werden die vorherigen anonymen Besuche seiner Identität zugeordnet. Lass auch diese Logik von deinem Datenschutzbeauftragten bewerten und in deiner Datenschutzerklärung beschreiben.
Schritt 7: Consent-Nachweise und AVV
LeadSignal speichert jede Consent-Entscheidung mit Zeitstempel und Consent-ID. Das ist dein Nachweis für Audits. Schließe außerdem den Auftragsverarbeitungsvertrag ab, den du unter /de/avv findest. Im Dashboard siehst du zusätzlich deine Consent-Rate und kannst Änderungen am Banner direkt in ihrer Wirkung beobachten.
Consent-Rate verbessern, ohne zu tricksen
Eine höhere Einwilligungsrate bringt mehr Daten, aber nur, wenn sie ehrlich zustande kommt. Diese Hebel sind fair und funktionieren:
- Klare Sprache: Erkläre in einem Satz, wofür du die Daten nutzt, etwa „damit wir sehen, welche Anzeigen wirklich helfen". Juristische Textwüsten schrecken ab.
- Passendes Layout: Ein dezenter, gut lesbarer Banner, der nicht den ganzen Inhalt verdeckt, wirkt vertrauenswürdiger. Teste Leiste, Box und schwebende Variante.
- Markengerechtes Design: Ein Banner in deinen Farben wirkt wie ein Teil deiner Seite und nicht wie ein Fremdkörper.
- Sprache des Besuchers: Ein Banner in der Muttersprache wird eher gelesen und verstanden.
- Weniger Tools: Jedes zusätzliche Tool im Banner erhöht die Skepsis. Entferne Tags, die niemand mehr nutzt.
- Messen und vergleichen: Beobachte deine Consent-Rate nach jeder Änderung, statt nach Bauchgefühl zu entscheiden.
Finger weg von versteckten Ablehnen-Buttons, irreführenden Farben oder vorausgewählten Kategorien. Das bringt kurzfristig vielleicht ein paar Prozent, kann aber Abmahnungen, Bußgelder und Vertrauensverlust nach sich ziehen.
Checkliste für DSGVO-konformes Tracking
- Werbe-Pixel und Tags laden erst nach Marketing-Einwilligung
- Ablehnen ist auf der ersten Banner-Ebene so einfach wie Akzeptieren
- Kategorien sind getrennt wählbar, nichts ist vorausgewählt
- Widerruf ist jederzeit einfach möglich, zum Beispiel über einen Link im Footer
- Consent-Entscheidungen werden mit Zeitstempel nachweisbar gespeichert
- Google Consent Mode v2 Signale werden korrekt übergeben
- Server-Events werden nur für eingewilligte Besucher gesendet
- IP-Adressen werden gekürzt
- Cookie-Inventar und Datenschutzerklärung sind aktuell und stimmen überein
- Auftragsverarbeitungsverträge mit allen Dienstleistern liegen vor
- Das Setup wurde in einem privaten Browserfenster geprüft
Wenn du die meisten Punkte abhaken kannst, bist du auf einem guten Weg. Wenn nicht, lohnt sich ein Blick auf die Preise und Pläne von LeadSignal: Der kostenlose Plan reicht, um Banner und Tracking an einem Projekt auszuprobieren.