Google Tag Manager DSGVO-konform einrichten

„Ist der Google Tag Manager DSGVO-konform?“ Die ehrliche Antwort: Die Frage ist falsch gestellt. Der Tag Manager selbst misst nichts. Er ist ein Auslieferungswerkzeug, das andere Skripte lädt – Google Analytics, Meta-Pixel, TikTok, eigene HTML-Schnipsel. Ob Ihr Setup datenschutzrechtlich trägt, hängt davon ab, was in diesem Container steckt, wann es feuert und welche Daten es wohin schickt.

Dieser Beitrag ist keine Rechtsberatung. Ob und in welcher Form Sie Einwilligungen brauchen, hängt von Ihrem Shop, Ihren Tools und den Regeln in Deutschland, Österreich und der Schweiz ab – das gehört in eine rechtliche Prüfung. Hier geht es um die technische Seite: wie Sie den Container so bauen, dass er die Entscheidung des Besuchers zuverlässig umsetzt.

Das Prinzip: Erst ablehnen, dann freigeben

Ein sauberes Setup folgt zwei Regeln:

1. Standard ist „abgelehnt“. Bevor der Besucher etwas entschieden hat, gelten alle optionalen Speicher- und Datenzwecke als nicht erteilt.
2. Tags folgen der Entscheidung. Erst wenn die passende Einwilligung vorliegt, dürfen Tags Daten mit Cookies erheben oder an Plattformen senden.

Die Verbindung zwischen Banner und Container übernimmt die Consent-Management-Plattform (CMP), also Ihr Cookie-Banner. Sie setzt den Standardzustand, merkt sich die Auswahl und meldet jede Änderung an den Tag Manager.

1. BestandsaufnahmeJedes Skript erfassen und zuordnen
2. CMP einbindenVor allen anderen Tags laden
3. Updates weitergebenÄnderungen sofort an Container melden
4. TestenJede Einwilligungsvariante prüfen

Die sechs Consent-Signale

Google arbeitet mit festen Signalen. Ihr Banner zeigt Besuchern dagegen Kategorien wie „Statistik“ oder „Marketing“. Die CMP muss beides sauber aufeinander abbilden.

Signal	Steuert	Typische Banner-Kategorie
analytics_storage	Speicher für Analyse, etwa GA4-Cookies	Statistik
ad_storage	Speicher für Werbung	Marketing
ad_user_data	Weitergabe von Nutzerdaten an Google für Werbung	Marketing
ad_personalization	Personalisierte Werbung, Remarketing	Marketing
functionality_storage	Komfortfunktionen wie Spracheinstellung	Funktional
security_storage	Sicherheitsrelevante Funktionen, etwa Login	Notwendig

Wie die Kategorien heißen, legt jede CMP selbst fest. Wichtig ist nur, dass „Marketing akzeptiert“ tatsächlich die drei Werbesignale setzt – und „nur Statistik“ ausschließlich analytics_storage.

Schritt 1: Bestandsaufnahme

Bevor Sie etwas umbauen, brauchen Sie einen Überblick. Erfassen Sie jedes Skript auf der Seite, egal ob es aus dem Tag Manager, einer Shop-App, einem WordPress-Plugin oder fest im Theme kommt:

• Wodurch wird es ausgelöst?
• Welche Daten und Parameter sendet es?
• Welche Cookies oder Browserspeicher nutzt es?
• Zu welcher Banner-Kategorie gehört es?
• Hat die Vorlage eine eingebaute Consent-Prüfung, und ist sie aktiv?

Alles, was niemand mehr nutzt, fliegt raus. Jedes überflüssige Tag ist ein zusätzliches Risiko ohne Gegenwert. Eine Vorlage für dieses Vorgehen liefert unsere Tracking-Audit-Checkliste.

Schritt 2: Die CMP richtig einbinden

Ob das Banner über den Tag Manager, eine Shop-App oder direkt im Code eingebunden wird, ist zweitrangig. Entscheidend ist, dass es mit dem Container spricht und vor allen anderen Tags läuft. Im Tag Manager heißt das: Das CMP-Tag hängt am Trigger „Consent-Initialisierung“.

Hilfreich ist außerdem die Consent-Übersicht in den Container-Einstellungen. Dort sehen Sie auf einen Blick, welche Tags welche Einwilligung voraussetzen – und welche noch gar nicht konfiguriert sind.

Schritt 3: Updates sofort weitergeben

Der Besucher entscheidet nicht nur einmal. Er kann später zustimmen, Teile widerrufen oder das Banner erneut öffnen. Jede dieser Änderungen muss sofort im Container ankommen – auf derselben Seite, nicht erst beim nächsten Seitenaufruf. Sonst geht entweder der erste Seitenaufruf nach der Zustimmung verloren, oder ein Tag feuert noch, obwohl gerade widerrufen wurde. Wie Sie ein fehlendes Update-Ereignis erkennen, zeigt der Beitrag Consent-Update fehlt im dataLayer.

Google-Tags und alle anderen

Hier liegt der häufigste Denkfehler. Googles eigene Tags reagieren automatisch auf die Consent-Signale. Für sie gibt es zwei Varianten:

• Basic: Die Tags laden erst nach Zustimmung. Ohne Einwilligung geht nichts an Google.
• Advanced: Die Tags laden immer, senden ohne Einwilligung aber nur cookielose Signale, aus denen Google fehlende Conversions modelliert.

Dass ein Tool cookielose Signale technisch unterstützt, heißt nicht, dass Sie sie ohne Einwilligung senden dürfen. Welche Variante für Sie zulässig ist, klärt die rechtliche Prüfung. Details zur Umsetzung im Shop stehen im Beitrag Consent Mode v2 in Shopify.

Alle anderen Tags – Meta, TikTok, Pinterest, eigenes HTML – kennen den Consent Mode nicht von sich aus. Sie müssen ausdrücklich blockiert werden, bis die passende Einwilligung vorliegt. In der Praxis heißt das: Ein Meta-Pixel feuert nur, wenn das Consent-Ereignis der CMP kommt und eine Variable „Marketing erteilt“ meldet. Der AddToCart feuert beim Warenkorb-Ereignis, ebenfalls nur mit dieser Bedingung.

Viele aktuelle Vorlagen bringen inzwischen eine eigene Consent-Prüfung mit. Verlassen sollten Sie sich darauf erst, wenn Sie getestet haben, dass sie greift.

Schritt 4: Testen, und zwar jede Variante

Ein Banner, das gut aussieht, beweist nichts. Prüfen Sie im Vorschaumodus und im Netzwerk-Tab des Browsers diese Fälle:

Szenario	Erwartetes Verhalten
Banner ignoriert	Alle Signale abgelehnt, keine Marketing-Tags
Nur Notwendige	Keine Analyse- und Marketing-Tags, höchstens cookielose Signale
Nur Statistik	Nur analytics_storage erteilt, kein Werbe-Tag feuert
Nur Marketing	Nur die drei Werbesignale erteilt, keine Analyse
Alles akzeptiert	Alle Signale erteilt
Widerruf	Ab sofort angepasstes Verhalten
Wiederkehrender Besuch	Gespeicherte Auswahl wird übernommen

Besonders genau hinsehen sollten Sie beim ersten Seitenaufruf, im Checkout und beim Wechsel zwischen Domains. Dort gehen Signale am leichtesten verloren.

Typische Fehler

• Tracking außerhalb des Containers. Eine Shop-App oder ein Plugin sendet Daten an der CMP vorbei. Der Besucher lehnt ab, das Skript feuert trotzdem.
• Standardzustand zu spät gesetzt. Läuft ein Tag vor der CMP, ist die Anfrage schon unterwegs, bevor „abgelehnt“ gilt.
• „Nicht gesetzt“ mit „abgelehnt“ verwechselt. Setzen Sie den Standard ausdrücklich, und testen Sie, was passiert, wenn das Banner langsam oder gar nicht lädt.
• Alle Signale auf einmal erteilt. „Nur Statistik“ darf keine Werbesignale freigeben.
• Widerruf nie getestet. Wer das Banner erneut öffnet und ablehnt, muss ab diesem Moment anders behandelt werden.
• Hashing als Freibrief. Eine gehashte E-Mail-Adresse für den Kundenabgleich ist nicht anonym und braucht trotzdem eine Rechtsgrundlage.

Was ein gutes Banner leisten muss

Die Technik im Container hilft wenig, wenn das Banner selbst Schwächen hat. Achten Sie auf:

• verständliche Erklärungen, was jede Kategorie bedeutet,
• eine aktive Entscheidung – Weiterscrollen ist keine Einwilligung,
• getrennt wählbare Kategorien,
• eine Ablehnung, die so leicht erreichbar ist wie die Zustimmung,
• eine dauerhaft erreichbare Möglichkeit, die Auswahl zu ändern,
• eine Protokollierung, wer wann was gesehen und gewählt hat.

Welche CMP Sie wählen, hängt vor allem von Ihrem Shopsystem ab. Wichtig ist, dass sie mit dem Google Consent Mode zusammenarbeitet und sich sauber in Shopify oder WooCommerce integriert. Ein Beispiel für Shopify zeigt der Beitrag zu Pandectes mit GTM und Consent Mode.

Und der Server-Container?

Mit einem Server-Container laufen die Daten zuerst über Ihre eigene Subdomain, bevor sie an Google, Meta oder andere gehen. Das bringt eine zusätzliche Kontrollebene: Sie können Parameter entfernen, IP-Adressen kürzen und genau festlegen, was jede Plattform erhält.

Die Einwilligung ersetzt das nicht. Der Web-Container muss den Consent-Status an den Server weitergeben, und die Tags dort müssen ihn beachten. Prüfen Sie im Server-Container außerdem:

• Datenumfang: Welche Parameter, URLs und Kennungen gehen an welche Plattform – und braucht sie die wirklich?
• Speicherung: Werden Anfragen protokolliert? Wie lange, und wo?
• Standort: Ein Server in der EU heißt nicht, dass die Daten in der EU bleiben. Die empfangenden Plattformen verarbeiten sie nach eigenen Regeln.

Was Server-Side Tracking datenschutzrechtlich ändert und was nicht, haben wir in Server-Side Tracking und DSGVO ausführlicher beschrieben.

Fazit

Der Tag Manager ist so datenschutzfreundlich wie seine Konfiguration. Standard „abgelehnt“, eine CMP, die vor allem anderen läuft, sofortige Updates, ausdrücklich blockierte Fremd-Tags und ein Test jeder Variante: Damit setzen Sie die Entscheidung Ihrer Besucher technisch zuverlässig um. Die rechtliche Bewertung Ihres konkreten Setups ersetzt das nicht.

Wie ein Server-Container zusätzlich Kontrolle über Datenflüsse schafft, erklärt unsere Seite zu Datenschutz; Begriffe wie CMP oder sGTM finden Sie im Glossar. Für Ihr Setup: Erstgespräch anfragen.