DSGVO-konformes Website-Tracking: Was 2026 wirklich gilt – von GA4 bis Server-Side

Warum 2026 das Jahr der verschärften Tracking-Durchsetzung ist

Seit Jahren wissen Webmaster, dass DSGVO und Website-Tracking kompliziert sind. Was sich 2026 verändert hat, ist nicht das Gesetz selbst, sondern die Konsequenz seiner Anwendung. Deutsche und europäische Datenschutzbehörden haben ihre Kooperation verschärft und Prüfschwerpunkte gesetzt: Website-Tracking gehört zu den am häufigsten beanstandeten Bereichen. Was bisher als graue Zone toleriert wurde, wird zunehmend aktiv verfolgt – und dabei taucht ein rechtliches Konstrukt immer häufiger auf, das für KMU besonders unangenehm ist.

Dazu kommt: Die Einwilligungsverwaltungsverordnung (EinwV), die im April 2025 in Kraft getreten ist, sollte eigentlich Abhilfe schaffen. Die Idee war gut: Nutzende legen ihre Tracking-Einstellungen einmal zentral fest, und Websites respektieren dieses Signal automatisch – kein Banner mehr nötig. Stand Juli 2026 hat diese Verordnung jedoch noch keine einzige offiziell anerkannte Anbieterplattform hervorgebracht. Das erhoffte Ende der Cookie-Banner ist auf unbestimmte Zeit verschoben. Website-Betreiber müssen weiterhin vollständig auf klassische Consent-Management-Plattformen setzen und können sich nicht auf ein einfaches Opt-out-Signal verlassen, das der Browser oder ein Dienst übermittelt.

Das Doppelverstoßprinzip: Eine Tracking-Aktion, zwei Bußgeldrahmen

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und die DSGVO regeln zwei verschiedene Dinge, die beim Website-Tracking fast immer zusammentreffen. §25 TDDDG schützt das Endgerät des Nutzers: Das Setzen eines Cookies, das Auslesen des Local Storage oder das Abrufen von Geräteinformationen erfordert in aller Regel eine vorherige aktive Einwilligung. Das ist der erste Eingriff. Anschließend beginnt die Verarbeitung der dabei erhobenen personenbezogenen Daten – IP-Adresse, User-ID, Verhaltensdaten – und dafür braucht es eine eigenständige Rechtsgrundlage nach Art. 6 DSGVO. Das ist der zweite Eingriff. Beide können separat verletzt werden und werden es regelmäßig, wenn Tracking ohne Einwilligung läuft. Datenschutzbehörden haben begonnen, diese Doppelnatur von Tracking-Verstößen in ihren Bescheiden explizit zu benennen, was potentiell zu kumulierten Bußgeldern führen kann. Für ein kleines Unternehmen ist das kein theoretisches Risiko mehr.

Besonders heikel: Das Timing. Die Einwilligung muss vor dem ersten Zugriff vorliegen. Es reicht nicht, einen Cookie-Banner irgendwo auf der Seite zu platzieren, wenn der GA4-Code bereits beim Laden der Seite feuert. Wer das technisch nicht sauber umgesetzt hat, ist im Zweifel in beiden Normen gleichzeitig. Das gilt auch für eingebettete Fonts, eingebettete Karten, Social-Media-Buttons und Chatbots – jedes Element, das eine Verbindung zu einem externen Server herstellt, fällt potenziell unter §25 TDDDG.

Google Analytics 4 in Deutschland: Was wirklich gilt

Google Analytics 4 ist das meistgenutzte Web-Analytics-Tool der Welt, und seine Rechtslage in Deutschland ist seit Jahren Gegenstand von Datenschutzbehörden-Entscheidungen, Gerichtsurteilen und Interpretationsstreitigkeiten. Die kurze Antwort lautet: GA4 ist nicht verboten. Aber wer es so betreibt, wie es standardmäßig eingerichtet wird, riskiert einen Verstoß. Das liegt an zwei strukturellen Problemen.

Das erste ist der Datentransfer in die USA. GA4 überträgt Nutzungsdaten an Google-Server, die dem US-CLOUD-Act unterliegen – das bedeutet, dass US-Behörden unter bestimmten Umständen Zugriff auf diese Daten verlangen können. Das EU-US Data Privacy Framework (DPF), das im Juli 2023 als Nachfolger des gescheiterten Privacy Shield vereinbart wurde, bietet hierfür eine formale Rechtsgrundlage. Die Datenschutzorganisation NOYB hat jedoch Klage vor dem Europäischen Gerichtshof eingereicht, und die politischen Spannungen zwischen der EU und den USA in Datenschutzfragen halten an. Wer langfristige Rechtssicherheit benötigt, sollte das als Planungsrisiko einkalkulieren.

Das zweite Problem ist die Konfiguration. Seit März 2024 verlangt Google für seinen Werbedienst den Einsatz von Consent Mode v2, einem System, das GA4 mitteilt, ob und in welchem Umfang eine Einwilligung vorliegt. Consent Mode v2 ist jedoch keine Datenschutzlösung aus sich heraus – es ist ein Signal-Framework. GA4 kann auch im sogenannten Modellierungsmodus arbeiten, bei dem es fehlende Daten durch statistische Schätzungen ersetzt. Das ist für Marketingzwecke nützlich, verändert aber nicht die grundlegende Einwilligungspflicht. Wer Consent Mode v2 aktiviert, ist nicht automatisch DSGVO-konform; er hat lediglich das technische Fundament für eine konforme Nutzung gelegt.

Cookie-Banner: Warum die meisten Implementierungen nicht ausreichen

Viele Website-Betreiber glauben, mit einem Cookie-Banner auf der sicheren Seite zu sein. Das ist ein Irrtum, der sich regelmäßig in Beanstandungen niederschlägt. Ein Banner zu haben ist nicht dasselbe wie einen rechtssicheren Einwilligungsprozess zu haben. Die Anforderungen an einen rechtsgültigen Banner sind deutlich strenger, als die meisten kostenlosen oder billigen Lösungen liefern.

Der wichtigste Grundsatz: Die Einwilligung muss freiwillig, informiert und eindeutig sein. Freiwilligkeit bedeutet, dass die Entscheidung gegen Tracking genauso einfach sein muss wie die Entscheidung dafür. Technisch heißt das: Ein Ablehnen-Button muss auf derselben Ebene wie der Zustimmen-Button erscheinen, dieselbe Größe haben und dieselbe visuelle Prominenz genießen. Das klingt trivial, wird aber in der Praxis regelmäßig missachtet. Dark Patterns – ein grüner, prominenter „Alle akzeptieren"-Button neben einem grauen, kleinen „Ablehnen" – sind nach aktueller Rechtsprechung unzulässig. Das Verwaltungsgericht Hannover hat im März 2025 einen Fall entschieden, in dem genau dieses Muster beanstandet wurde: Die Behörde stellte fest, dass eine echte Wahlfreiheit nicht vorlag, weil die Gestaltung die Nutzer systematisch zur Einwilligung lenkte.

Darüber hinaus muss der Banner technisch sicherstellen, dass vor dem Klicken auf eine Option kein Tracking-Code ausgeführt wird. Das klingt selbstverständlich, scheitert in der Praxis aber häufig daran, dass Drittanbieter-Skripte (Google Tag Manager, Meta Pixel, Hotjar) über separate Mechanismen geladen werden, die der Banner nicht kontrolliert. Wer Google Tag Manager nutzt, muss sicherstellen, dass der GTM-Container selbst erst nach Einwilligung lädt – oder zumindest keine Tracking-Tags enthält, die ohne Einwilligung feuern. Das erfordert eine sorgfältige Tag-Konfiguration, die über das bloße Einbinden eines Banner-Skripts weit hinausgeht.

Schließlich: Die Einwilligung muss widerrufbar sein. Nutzende müssen jederzeit eine bereits erteilte Zustimmung zurückziehen können, und dieser Widerruf muss technisch sofortige Wirkung haben. Ein Link im Footer auf die Datenschutzerklärung, der dann irgendwo eine Möglichkeit zur Änderung bietet, reicht nicht. Die gängige Lösung ist ein dauerhaft zugänglicher Einstellungs-Button (oft in der Ecke des Bildschirms oder im Footer), der den Banner erneut öffnet.

Server-Side Tracking: Was es leistet – und wo die Grenzen sind

Server-Side Tracking hat sich in den letzten Jahren als eine der zentralen Antworten auf zwei separate Probleme etabliert: sinkende Datenqualität durch Ad-Blocker und Browser-Beschränkungen einerseits, und die Hoffnung auf mehr Datenschutz andererseits. Beides ist teilweise berechtigt, beides wird aber häufig überschätzt.

Das Prinzip: Statt Tracking-Code direkt im Browser des Nutzers auszuführen (clientseitiges Tracking), werden Ereignisse zunächst an einen eigenen Server gesendet. Dieser Server – typischerweise ein Google Tag Manager Server-Side Container, der auf eigenem Hosting läuft – verarbeitet die Daten vor und leitet dann nur ausgewählte, ggf. anonymisierte Informationen an GA4 oder andere Dienste weiter. Das hat echte Vorteile: Ad-Blocker und Browser-Datenschutzfunktionen greifen seltener, weil die Anfragen von einer eigenen Domain kommen und nicht sofort als Tracking erkannt werden. Die Datenqualität steigt spürbar, weil weniger Events verloren gehen. Und es ist möglich, vor der Weiterleitung IP-Adressen zu kürzen oder andere Anonymisierungen vorzunehmen.

Was Server-Side Tracking jedoch nicht löst: Das grundlegende Datenschutzproblem beim Einsatz von GA4. Die Daten, die nach der Serververarbeitung an Google übermittelt werden, landen nach wie vor auf Google-Servern. Das Endgerät des Nutzers wird nach wie vor adressiert, wenn der erste Seitenaufruf Ereignisse erzeugt. Die Einwilligungspflicht nach §25 TDDDG und Art. 6 DSGVO bleibt vollständig bestehen. Server-Side Tagging ist ein technisches Qualitätsinstrument, kein rechtliches. Wer es als Datenschutzlösung verkauft bekommt, hat möglicherweise nicht vollständig zugehört – oder nicht vollständig informiert.

Sinnvoll ist Server-Side Tracking für KMU, die GA4 weiterhin nutzen wollen, eine gute Datenqualität benötigen und einen rechtssicheren Banner bereits implementiert haben. Als eigenständige Maßnahme zur DSGVO-Konformität reicht es nicht.

Alternativen zu GA4: Matomo, etracker, Pirsch und Umami im Vergleich

Für viele KMU ist die ehrlichste Lösung nicht, GA4 datenschutzkonform zu konfigurieren, sondern ein Tool zu wählen, das dieses Problem von Anfang an gar nicht hat. Der Markt für datenschutzfreundliche Web-Analytics ist in den letzten Jahren deutlich gewachsen. Vier Optionen stechen für deutsche KMU heraus:

Matomo ist die ausgereifteste Open-Source-Alternative und kann vollständig auf eigenem Hosting in Deutschland betrieben werden. Daten verlassen dann nie einen Drittanbieter-Server. Die französische Datenschutzbehörde CNIL empfiehlt Matomo explizit als datenschutzfreundliche Analyse-Option und erlaubt unter bestimmten Konfigurationsbedingungen sogar den Betrieb ohne Einwilligungs-Banner. Für Deutschland gelten strengere Maßstäbe, aber Matomo mit korrekter IP-Anonymisierung und ohne Third-Party-Tracking gilt als solide Grundlage. Der Nachteil: Self-Hosting erfordert technisches Know-how für Installation, Updates und Backups. Die Cloud-Version von Matomo (InnoCraft) liegt auf EU-Servern, erfordert aber wiederum einen Auftragsverarbeitungsvertrag.

etracker ist ein deutsches Unternehmen mit Sitz in Hamburg, das „Privacy by Default" als Kernversprechen hat. Besonders relevant: etracker bietet einen Tracking-Modus, der nach Einschätzung des Anbieters und einiger Datenschutzberater auch ohne aktive Einwilligung betreibbar ist – weil keine Cookies gesetzt werden, keine Cross-Site-Tracking-Mechanismen eingesetzt werden und die Daten in Deutschland gespeichert bleiben. Das ist rechtlich nicht vollständig unumstritten, aber etracker hat diese Position aktiv mit Aufsichtsbehörden abgestimmt und stellt entsprechende Dokumentation bereit. Für KMU, die Analyse-Daten ohne Banner-Aufwand wollen und auf ein deutsches Unternehmen als Auftragsverarbeiter vertrauen, ist das eine pragmatische Option.

Pirsch Analytics ist ein neueres deutsches Produkt, das ebenfalls ohne Cookies arbeitet und seine Daten in Deutschland speichert. Es setzt auf eine datenschutzfreundliche Fingerprinting-Methode, die keine persistente Nutzeridentifikation über mehrere Sessions hinweg ermöglicht. Die Oberfläche ist modern und einsteigerfreundlich. Pirsch ist günstiger als etracker und eignet sich besonders für KMU, die vor allem Besucher- und Seitenaufrufzahlen brauchen, aber keine komplexen Conversion-Trichter abbilden müssen.

Umami ist eine kostenlose Open-Source-Lösung, die wie Matomo selbst gehostet werden kann. Sie ist schlanker als Matomo und deutlich einfacher einzurichten. Für Solo-Selbständige oder sehr kleine KMU mit etwas technischem Hintergrund eine valide Option, wenn ein eigener VPS vorhanden ist.

Preisangaben ohne Gewähr, Stand Juli 2026. Rechtliche Einordnung ohne Banner: stets individuell prüfen lassen.

Wie sich das in der Praxis lösen lässt

Es gibt keine universelle Antwort, weil die richtige Tracking-Lösung von der Ausgangssituation abhängt. Drei Szenarien lassen sich für KMU grob unterscheiden – und sie führen zu sehr unterschiedlichen Empfehlungen.

Das erste Szenario: Sie betreiben eine Website ohne nennenswerten Werbebudget-Einsatz und brauchen hauptsächlich Basisinformationen – Besucherzahlen, beliebteste Seiten, grobe Herkunft. Hier ist der Umstieg auf ein cookiefreies Tool wie etracker oder Pirsch die sauberste Lösung. Kein Banner, kein US-Transfer, keine aufwendige Consent-Verwaltung. Die Einschränkung: Sie sehen weniger als mit GA4, insbesondere bei Cross-Channel-Attribution und detaillierten Nutzer-Journeys. Für die meisten kleinen KMU ist das kein echter Verlust.

Das zweite Szenario: Sie schalten Google Ads oder Meta Ads und brauchen Conversion-Tracking, das mit diesen Plattformen kommuniziert. Hier führt kein Weg an GA4 (oder Google Tag Manager) und den jeweiligen Pixel-Implementierungen vorbei. Der Ansatz: Consent Mode v2 korrekt einrichten, eine professionelle Consent-Management-Plattform (Cookiebot, consentmanager oder ähnliche) implementieren, und den Banner so gestalten, dass er rechtlichen Anforderungen genügt – gleichwertige Optionen, keine Dark Patterns, technisch korrekte Blockierung vor Einwilligung. Ein Auftragsverarbeitungsvertrag mit Google ist in diesem Fall Pflicht und kann direkt in der Google-Konsole abgeschlossen werden. Server-Side Tagging kann ergänzend eingesetzt werden, um die Datenqualität zu verbessern, ist aber optional.

Das dritte Szenario: Sie wollen vollständige Datensouveränität und haben die technischen Ressourcen oder einen Partner, der das umsetzt. Matomo self-hosted auf einem deutschen Server ist hier die richtige Wahl. Alle Daten bleiben in Ihrer Infrastruktur, kein Auftragsverarbeiter, keine US-Risiken, keine DPF-Abhängigkeit. Der Aufwand ist real: Installation, regelmäßige Updates, Backup-Strategie, ggf. Datenbankwartung. Aber für Unternehmen, bei denen Datenschutz kein Randthema ist – Steuerberatungen, Rechtsanwälte, Gesundheitsberufe –, ist dieser Weg die konsequenteste Lösung.

Unabhängig vom Szenario gilt: Der erste Schritt ist immer eine Bestandsaufnahme. Welche Skripte laufen auf der Website? Wann werden sie geladen? Was überträgt der Browser wohin? Viele KMU wissen das schlicht nicht – weil es der Webdesigner eingebaut hat, ohne es zu erklären. Dieser Bestandscheck kann mit Browser-Entwicklerwerkzeugen oder Tools wie dem Browser-Addon „Privacy Badger" in groben Zügen auch von Laien durchgeführt werden. Für eine rechtssichere Bewertung braucht es dann einen Fachmann. Details zur konkreten Umsetzung erklärt die Seite zur Analytics- & Tracking-Einrichtung.

Häufige Fragen