Personenbezogene Daten im Tracking: Was wohin fließt

Fragt man in einem Shop, welche personenbezogenen Daten an Google, Meta oder TikTok gehen, lautet die Antwort oft: keine, wir messen ja nur Käufe. Ein Blick in die tatsächlichen Anfragen zeigt meist ein anderes Bild. In der URL der Bestellbestätigung steht die E-Mail-Adresse, im dataLayer liegt der vollständige Kundendatensatz, und jede Anfrage aus dem Browser bringt die IP-Adresse gleich mit.

Das ist selten Absicht. Es entsteht, weil Tracking über Jahre wächst und niemand den gesamten Datenfluss im Blick hat. Dieser Beitrag ordnet ein, welche Daten im Shop-Tracking personenbezogen sind, wo sie typischerweise ungewollt abfließen und wie Sie das technisch in den Griff bekommen.

Was als personenbezogen gilt

Im englischen Sprachraum ist von PII die Rede, Personally Identifiable Information. Die DSGVO spricht von personenbezogenen Daten und fasst den Begriff weit: Gemeint ist jede Information, die sich auf eine identifizierte oder identifizierbare Person bezieht. Es reicht, dass eine Person indirekt bestimmbar ist, etwa über eine Kennung oder die Kombination mehrerer Merkmale.

Für das Tracking im Onlineshop heißt das:

• Direkt identifizierend: Name, E-Mail-Adresse, Telefonnummer, Lieferadresse.
• Indirekt identifizierend: IP-Adresse, Kunden-ID, Bestellnummer, Cookie-Kennungen, Geräte-IDs.
• Besonders schutzwürdig: Gesundheitsdaten, Angaben zu Religion oder politischer Meinung. Für Shops relevant wird das, wenn Produktkategorien Rückschlüsse zulassen, etwa bei Apotheken, Erotik oder Nahrungsergänzung.

Ob ein einzelnes Datum personenbezogen ist, hängt vom Zusammenhang ab. Eine Postleitzahl allein sagt wenig. Zusammen mit Bestellwert, Zeitstempel und Kunden-ID sieht das anders aus.

Gehashte Daten sind nicht anonym

Ein verbreitetes Missverständnis betrifft das Hashing. Meta, Google und TikTok erwarten E-Mail-Adressen und Telefonnummern für den Abgleich mit ihren Nutzerprofilen als SHA-256-Hash. Viele werten das als Anonymisierung.

Das ist es nicht. Ein Hash ist eine Pseudonymisierung: Dieselbe E-Mail ergibt immer denselben Hash, und genau deshalb kann die Plattform ihn ihren eigenen Nutzern zuordnen. Datenschutzrechtlich bleibt es ein personenbezogenes Datum. Hashing ist trotzdem sinnvoll, weil die Adresse nicht im Klartext übertragen wird. Es ersetzt aber weder Einwilligung noch Rechtsgrundlage.

Wo personenbezogene Daten unbemerkt abfließen

Die meisten Probleme entstehen nicht in den bewusst eingerichteten Abgleichsfeldern, sondern an Stellen, an die niemand gedacht hat.

Stelle	Was passiert	Typisches Beispiel
URL und Seitentitel	Pageview-Tags senden die vollständige Adresse mit	?email= auf der Danke-Seite oder im Newsletter-Formular
dataLayer	Theme oder App schreibt Kundendaten hinein, Tags greifen pauschal zu	Name und Adresse im Purchase-Event
Formular-Tracking	Ereignisse übernehmen Feldinhalte statt nur den Formularnamen	Eingegebene Telefonnummer als Event-Parameter
Browser-Anfragen	Jeder Aufruf an eine Plattform überträgt IP-Adresse und User-Agent	GA4- oder Pixel-Anfrage direkt aus dem Browser
Referrer	Die vorherige URL inklusive Parametern wird weitergegeben	Login- oder Passwort-Reset-Link als Referrer

Bei GA4 ist das mehr als eine Datenschutzfrage. Google untersagt in seinen Richtlinien, personenbezogene Daten wie E-Mail-Adressen oder Telefonnummern an Analytics zu senden. Landen sie trotzdem in Berichten, lassen sie sich nur mit Aufwand wieder entfernen, und Google kann im Zweifel Konsequenzen für die Property ziehen.

Warum Sie die Daten nicht einfach weglassen

Der naheliegende Gedanke wäre, gar keine personenbezogenen Daten mehr zu übermitteln. Für die Werbeplattformen ist das jedoch keine gute Option. Die Meta Conversions API und die Enhanced Conversions bei Google leben davon, dass gehashte E-Mail-Adressen und Telefonnummern einen Kauf einem Nutzer zuordnen. Fehlen sie, sinkt die Zuordnungsquote, bei Meta sichtbar an der Event Match Quality, und die Gebotsstrategien lernen aus weniger Signalen.

Es geht also nicht darum, so wenig wie möglich zu senden, sondern gezielt: die richtigen Felder, in der richtigen Form, an die richtige Plattform, und nur mit Einwilligung.

Was ein Server-Container ändert

Beim klassischen Browser-Tracking schickt jedes Tag seine Daten direkt an den jeweiligen Anbieter. Was dort ankommt, bestimmt der Code des Anbieters, nicht Sie. Ein Server-Container schiebt eine Station dazwischen, die Ihnen gehört.

Browser-Tracking

• Jedes Tag sendet direkt zum Anbieter
• Anbieter-Code bestimmt die Daten
• IP-Adresse geht mit jeder Anfrage mit

Server-Container

• Filtern pro Ziel
• URLs vor der Weitergabe bereinigen
• Zentral hashen
• IP-Weitergabe an Consent gekoppelt

Damit bekommen Sie Eingriffsmöglichkeiten, die im Browser fehlen:

• Filtern pro Ziel. GA4 erhält Ereignisse ohne E-Mail und Telefonnummer, Meta erhält dieselben Felder gehasht. Ein Ereignis, zwei unterschiedliche Datenpakete.
• URLs bereinigen. Query-Parameter wie email oder token lassen sich vor der Weitergabe entfernen, auch wenn der Shop sie weiterhin erzeugt.
• Zentral hashen. Normalisierung und Hashing passieren an einer Stelle, statt in jedem Tag einzeln und uneinheitlich.
• IP-Adresse steuern. Ob die echte IP an eine Plattform geht, hängt vom Consent ab. Wie das bei GA4 aussieht, beschreibt der Beitrag zur IP-Anonymisierung in GA4.
• Nachvollziehbarkeit. Die Protokolle zeigen, welche Felder tatsächlich an welche Plattform gehen. Das hilft bei Audits und bei Rückfragen des Datenschutzbeauftragten.

Wichtig ist die Einordnung: Ein Server-Container macht Tracking nicht automatisch datenschutzkonform. Er macht den Datenfluss kontrollierbar. Was Sie mit dieser Kontrolle anfangen, entscheiden Ihre Regeln. Welche Rolle Einwilligung und Rechtsgrundlage dabei spielen, haben wir unter Server-Side Tracking und DSGVO zusammengefasst.

So prüfen Sie Ihr Setup

Eine erste Bestandsaufnahme lässt sich ohne großen Aufwand machen:

1. Testkauf mit erkennbarer Adresse. Bestellen Sie mit einer eindeutigen E-Mail-Adresse und suchen Sie danach in den Netzwerkanfragen des Browsers. Jeder Treffer im Klartext ist ein Befund.
2. dataLayer auf der Danke-Seite ansehen. Welche Kundendaten liegen dort, und welche Tags lesen sie aus?
3. Seiten-URLs in GA4 durchsuchen. Ein Bericht über Seitenpfade mit Filter auf @ oder email zeigt schnell, ob Adressen in Analytics gelandet sind.
4. Abgleichsfelder pro Plattform dokumentieren. Welche Felder gehen an Meta, Google, TikTok, und in welcher Form?
5. Consent-Abhängigkeit prüfen. Werden die Felder auch ohne Einwilligung übertragen?

Für eine vollständige Prüfung des gesamten Setups eignet sich unsere Tracking-Audit-Checkliste.

Recht und Technik getrennt betrachten

Welche Daten Sie auf welcher Rechtsgrundlage an welche Plattform übermitteln dürfen, ist eine rechtliche Frage. Sie hängt von Ihrer Einwilligungslösung, Ihren Verträgen mit den Anbietern und Ihrer Datenschutzerklärung ab und muss im Einzelfall geprüft werden. In der Schweiz gilt zudem das revidierte Datenschutzgesetz mit eigenen Anforderungen. Dieser Beitrag ersetzt keine rechtliche Bewertung.

Die technische Seite ist davon unabhängig: Erst wenn Sie wissen, was tatsächlich fließt, kann Ihre Rechtsberatung beurteilen, ob es zulässig ist.

Fazit

Personenbezogene Daten stecken im Shop-Tracking an mehr Stellen, als die meisten vermuten: in URLs, im dataLayer, in Formular-Events und in jeder Browser-Anfrage. Ganz darauf zu verzichten, kostet Zuordnung und Kampagnenleistung. Der bessere Weg ist ein Datenfluss, den Sie selbst steuern: gefiltert pro Plattform, gehasht, wo nötig, und an die Einwilligung gekoppelt.

Wie Server-Side Tracking diese Kontrolle herstellt, erklären wir auf unserer Seite zu Datenschutz; Begriffe wie Hashing, sGTM oder Consent Mode finden Sie im Glossar. Für Ihr Setup: Erstgespräch anfragen.