Consent Management und Server-Side Tagging: DSGVO-konform kombinieren
Was ist Consent Management, welche Rolle spielt eine CMP, und warum ersetzt Server-Side Tagging kein Consent Management, sondern ergänzt es? Mit DSGVO-Checkliste.
- Andreas Rieger
- 3 min read
Consent ist die Einwilligung von Website-Besuchenden in die Verarbeitung ihrer Daten, etwa für Tracking oder Werbung. Consent Management bezeichnet den gesamten Prozess, diese Einwilligung einzuholen, zu speichern und an alle beteiligten Tools weiterzugeben – üblicherweise über eine Consent Management Platform (CMP) wie Usercentrics, Cookiebot oder eine Google-CMP-Partnerlösung.
Server-Side Tagging wird in den meisten Consent-Management-Anleitungen gar nicht erwähnt – dabei verändert es genau den Punkt, an dem Consent überhaupt wirksam wird.
Was ist Consent Management?
Eine CMP zeigt Website-Besuchenden einen Consent-Banner, speichert deren Entscheidung (z. B. “Analyse: ja”, “Marketing: nein”) und stellt diese Information anderen Skripten auf der Seite zur Verfügung. Erst wenn ein Tag die passende Einwilligung erkennt, darf es überhaupt aktiv werden.
In Deutschland ist eine funktionierende Consent-Management-Lösung durch TTDSG und DSGVO praktisch Pflicht, sobald nicht-technisch-notwendige Cookies oder Tracking-Skripte eingesetzt werden – unabhängig davon, ob client- oder serverseitig getrackt wird.
Warum Server-Side Tagging Consent Management nicht ersetzt – sondern ergänzt
Ein verbreitetes Missverständnis: Server-Side Tagging mache Consent-Banner überflüssig, weil Daten “nur noch über den eigenen Server” laufen. Das stimmt nicht. Die Einwilligungspflicht hängt an der Datenverarbeitung, nicht am Übertragungsweg.
Was sich tatsächlich ändert:
- Ohne CMP-Anbindung im Server-Container verarbeitet der Server unter Umständen Daten, bevor überhaupt eine Consent-Entscheidung vorliegt – ein Compliance-Risiko, nicht ein Vorteil.
- Mit korrekt angebundener CMP entscheidet der Server-Container anhand des übermittelten Consent-Status, welche Tags feuern und welche Daten weitergeleitet werden dürfen.
- Server-Side Tagging verbessert dadurch die Kontrolle über bereits erlaubte Daten (Filterung, Anonymisierung vor dem Versand) – es umgeht keine Einwilligungspflicht.
Kurz: Eine CMP entscheidet ob getrackt werden darf, der Server-Container entscheidet wie die erlaubten Daten verarbeitet werden.
Usercentrics/Cookiebot mit Server-Side GTM verbinden
- CMP im Web-Container einbinden: Usercentrics oder Cookiebot wird wie gewohnt clientseitig eingebunden und liefert den Consent-Status als Signal an den Google Tag Manager (z. B. über die integrierte Google-Consent-Mode-Unterstützung).
- Consent-Status im Web-Container an den Server-Container weitergeben: GTM übermittelt den Consent-Status zusammen mit den eigentlichen Tracking-Daten an den Server-Container.
- Server-seitige Client- und Tag-Konfiguration an Consent koppeln: Im Server-Container lassen sich Tags so einstellen, dass sie nur bei vorliegender Einwilligung feuern – analog zu den Consent-Einstellungen im Web-Container.
- Testen im Vorschau-Modus: Vor der Veröffentlichung prüfen, ob ein abgelehnter Consent auch serverseitig tatsächlich zum Blockieren des jeweiligen Tags führt.
Die technische Basis dafür ist ein bereits eingerichteter Server-Container – falls das noch fehlt, ist das der richtige nächste Schritt: Google Tag Manager Server-Side Container einrichten.
DSGVO-Checkliste für Server-Side Setups
- ☐ CMP ist sowohl im Web- als auch im Server-Container wirksam angebunden, nicht nur clientseitig.
- ☐ Tags im Server-Container feuern nachweislich nicht ohne passende Einwilligung.
- ☐ Consent-Kategorien der CMP (z. B. “Analyse”, “Marketing”) sind konsistent mit den Tag-Bedingungen im Server-Container.
- ☐ Auftragsverarbeitungsvertrag (AVV) liegt sowohl mit dem CMP-Anbieter als auch mit dem Hosting-Anbieter des Server-Containers vor.
- ☐ Datenschutzerklärung erwähnt den Einsatz von Server-Side Tagging und benennt die tatsächlich genutzten Zielsysteme.
- ☐ Server-Standort des Server-Containers ist bekannt und dokumentiert (relevant für internationale Datenübermittlung).
Eine CMP allein macht ein Tracking-Setup nicht automatisch DSGVO-konform, und ein Server-Container allein erst recht nicht – erst das korrekte Zusammenspiel aus beidem erfüllt beide Anforderungen: gültige Einwilligung und kontrollierte Datenverarbeitung.