Brauche ich mit Server-Side Tracking noch ein Cookie-Banner?

Ja. Server-Side Tracking ändert nichts an der Pflicht zur Einwilligung: Für nicht notwendige Cookies und für Tracking zu Werbezwecken brauchen Sie sie weiterhin.

Macht EU-Hosting Google Analytics DSGVO-konform?

Nicht allein. Ein Server-Container in der EU, der Daten vor der Übermittlung pseudonymisiert, macht das Setup robuster, die Übermittlung an einen US-Anbieter aber nicht automatisch unproblematisch.

Ist das EU-US Data Privacy Framework noch gültig?

Der Angemessenheitsbeschluss besteht seit 2023 und wurde im September 2025 vom Gericht der Europäischen Union in erster Instanz bestätigt. Das Rechtsmittel liegt beim Gerichtshof, der Ausgang ist offen.

Server-Side Tracking und DSGVO: Was gilt?

Macht Server-Side Tracking die Einwilligung überflüssig? Nein. Was es datenschutzrechtlich wirklich ändert – und was nicht.

Kaum ein Thema wird im Marketing so widersprüchlich dargestellt wie das Verhältnis von Server-Side Tracking und Datenschutz. Die einen verkaufen es als Weg, den Cookie-Banner zu umgehen. Die anderen halten es deshalb für unzulässig. Beides ist falsch. Dieser Beitrag ordnet ein – aus der Praxis, nicht als Rechtsberatung.

Die wichtigste Aussage zuerst

Server-Side Tracking ändert nichts an der Pflicht zur Einwilligung. Ob Daten vom Browser oder von einem Server an Google und Meta fließen, ist für die Frage, ob Sie das dürfen, unerheblich. Maßgeblich bleiben die DSGVO und in Deutschland das TDDDG: Für nicht notwendige Cookies und für Tracking zu Werbezwecken brauchen Sie eine Einwilligung.

Wer Ihnen verspricht, mit einem Server-Container ließen sich auch Nutzer ohne Einwilligung messen, verkauft Ihnen ein Risiko.

Was sich tatsächlich ändert

Der Unterschied liegt nicht im Ob, sondern im Wie – und dort ist er erheblich.

Was Server-Side Tracking ändert

Bleibt gleich: das Ob

Einwilligung bleibt Pflicht
DSGVO und TDDDG gelten weiter
Ablehnung heißt: keine Messung

Ändert sich: das Wie

Nur konfigurierte Felder gehen hinaus
IP kürzen, E-Mail hashen
Weniger fremde Scripts im Browser

Kontrolle über den Datenumfang

Läuft das Script eines Anbieters im Browser, hat es Zugriff auf den gesamten Seitenkontext. Was genau es ausliest, bestimmen nicht Sie. Auf dem Server ist es umgekehrt: Ein Tag sendet ausschließlich die Felder, die Sie konfiguriert haben. Das ist gelebte Datenminimierung nach Art. 5 DSGVO.

Bereinigung vor der Übermittlung

Auf dem eigenen Server können Sie Daten verändern, bevor sie einen Dritten erreichen: IP-Adressen kürzen, E-Mail-Adressen per SHA-256 hashen, einzelne Parameter entfernen. Diese Maßnahmen liegen auf Ihrer Infrastruktur und nicht als Einstellung beim Empfänger.

Weniger fremder Code auf der Seite

Jedes Drittanbieter-Script ist ein Sicherheits- und Datenschutzrisiko. Verlagern Sie Tags auf den Server, sinkt die Zahl der Scripts im Browser. Das verbessert nebenbei die Ladezeit.

EU-Hosting und Drittlandtransfer

Die österreichische Datenschutzbehörde entschied Anfang 2022, dass der Einsatz von Google Analytics ohne zusätzliche Schutzmaßnahmen gegen die DSGVO verstößt; weitere europäische Behörden folgten. Kern war die Übermittlung personenbezogener Daten in die USA.

Seit 2023 gibt es mit dem EU-US Data Privacy Framework wieder einen Angemessenheitsbeschluss. Das Gericht der Europäischen Union hat ihn im September 2025 in erster Instanz bestätigt. Das Rechtsmittel liegt beim Gerichtshof, und seit Sommer 2026 wird der Beschluss erneut angegriffen. Wie das ausgeht, weiß niemand.

Ein Server-Container in der EU, der Daten pseudonymisiert, bevor sie einen US-Anbieter erreichen, ist die Art von zusätzlicher Schutzmaßnahme, die Aufsichtsbehörden in diesem Zusammenhang fordern. Er macht Ihr Setup robuster gegenüber der Rechtslage – er macht die Übermittlung aber nicht automatisch unproblematisch. Auch Stape weist darauf hin: EU-Hosting allein macht Google Analytics nicht konform; die Daten müssen zusätzlich bereinigt werden.

Was ein sauberes Setup ausmacht

Consent Mode v2 ist aktiv, und der Consent-Status wird bis in den Server-Container durchgereicht und dort geprüft.
Ohne Einwilligung werden keine Marketing-Cookies gesetzt und keine personenbezogenen Daten an Werbeplattformen gesendet.
IP-Kürzung und Hashing sind serverseitig eingerichtet.
Es besteht ein Auftragsverarbeitungsvertrag mit dem Hosting-Anbieter.
Der Container läuft in einer EU-Region.
Die Datenschutzerklärung beschreibt das Setup zutreffend.
Es gibt eine Dokumentation: Datenfluss, übermittelte Felder je Plattform, Bereinigungsregeln.

Die Grauzone: Ad-Blocker und eigene Domain

Server-Side-Setups laden Scripts häufig über die eigene Domain, damit Filterlisten sie nicht blockieren. Das ist technisch sinnvoll, um eingewilligte Nutzer nicht zu verlieren. Es darf aber nicht dazu dienen, eine Ablehnung zu übergehen. Die Trennlinie ist der Consent: Wer zugestimmt hat, soll zuverlässig gemessen werden. Wer abgelehnt hat, wird nicht gemessen – gleichgültig, über welche Domain ein Script geladen würde.

Wie Sie Ihren Datenschutzbeauftragten ins Boot holen

Die Erfahrung zeigt: Datenschutzbeauftragte stehen einem Server-Setup meist offener gegenüber als erwartet, wenn sie früh eingebunden werden. Der Grund ist einfach – zum ersten Mal lässt sich zeigen, welche Daten das Unternehmen verlassen. Hilfreich sind:

ein Datenflussdiagramm vom Browser über den Server bis zur Plattform,
eine Feldliste je Empfänger,
die Regeln für Kürzung und Hashing,
der AVV und der Hosting-Standort,
der Nachweis, dass ohne Einwilligung nichts gesendet wird.

Fazit

Server-Side Tracking ist kein Schlupfloch und kein Risiko an sich. Es ist ein Werkzeug, das Ihnen die Kontrolle über den Datenabfluss zurückgibt. Richtig eingesetzt ist es datensparsamer als jedes Pixel im Browser. Die Einwilligung ersetzt es nicht.

Wie wir das umsetzen, steht auf der Seite DSGVO und EU-Hosting. Fragen zu Ihrem Fall klären wir im Erstgespräch.