Server-Side Tagging

Server-Side Tagging wird häufig als Lösung für ein rechtliches Problem verkauft: Wenn die Daten nicht mehr direkt vom Browser zu den Anbietern fließen, sondern über einen eigenen Server, sei die Einwilligung entbehrlich. Das ist falsch – und der Irrtum ist teuer, weil er eine aufwendige Umstellung mit einer Rechtsfolge begründet, die nicht eintritt.

Was technisch passiert

Beim herkömmlichen Aufbau lädt der Browser die Skripte der Anbieter und sendet die Messdaten direkt an sie. Der Betreiber sieht dabei nur, was er selbst eingebunden hat.

Beim serverseitigen Aufbau sendet der Browser die Daten zunächst an einen Container auf einem Server, den Sie betreiben – häufig unter einer eigenen Subdomain. Dort wird entschieden, welche Daten an welchen Anbieter weitergegeben werden. Von dort aus erfolgt die Übermittlung Server zu Server.

Was das tatsächlich bringt

Kontrolle über die Datenweitergabe. Sie sehen und bestimmen, welche Felder an welchen Empfänger gehen. Das ist ein echter Gewinn: Ohne diesen Zwischenschritt übermitteln Skripte häufig mehr, als der Betreiber weiß – Seitenpfade mit Parametern, Formularinhalte, Kennungen.

Datenminimierung wird umsetzbar. IP-Adressen lassen sich kürzen, Felder entfernen, Werte verallgemeinern, bevor sie das Haus verlassen. Das ist der Punkt, an dem serverseitiges Tagging datenschutzrechtlich tatsächlich hilft – nicht bei der Einwilligung, sondern bei den Grundsätzen.

Weniger Skripte im Browser. Kürzere Ladezeiten und eine geringere Angriffsfläche, weil weniger fremder Code im Kontext Ihrer Seite läuft.

Robustheit. Werbeblocker und Browsereinstellungen greifen seltener.

Genau der letzte Punkt ist allerdings auch der, der aufmerksam machen sollte: Eine Technik, die Schutzmechanismen des Nutzers umgeht, braucht eine besonders saubere rechtliche Grundlage – nicht eine schwächere.

Was es nicht ändert

§ 25 TDDDG gilt weiter. Die Vorschrift knüpft an den Zugriff auf die Endeinrichtung an – an Cookies, an das Auslesen von Kennungen, an das Speichern von Informationen im Browser. Das geschieht beim serverseitigen Aufbau ebenso; der Container setzt und liest weiterhin Kennungen, nur eben über Ihre eigene Domain. Ist der Zweck nicht unbedingt erforderlich, bleibt die Einwilligung Voraussetzung.

Die DSGVO gilt weiter. Die Verarbeitung findet statt und braucht eine Rechtsgrundlage. Dass ein Zwischenschritt eingebaut wurde, ändert daran nichts.

Die Übermittlung an den Anbieter bleibt eine Übermittlung. Sie erfolgt nur von einem anderen Absender. Damit bleibt auch die Frage der Drittlandübermittlung offen – und sie wird sogar unübersichtlicher, weil aus dem Browser nicht mehr erkennbar ist, wohin die Daten am Ende fließen.

Die Transparenzpflicht wächst. Weil der Vorgang für den Besucher nicht mehr sichtbar ist, muss die Datenschutzerklärung ihn umso deutlicher beschreiben: welcher Container, welche Empfänger, welche Felder.

Wenn Sie es einführen

  1. Erst die Einwilligungslösung sauber aufsetzen – siehe CMP Consulting und Consent Mode. Ohne sie verlagern Sie ein ungelöstes Problem nur an eine andere Stelle.
  2. Den Container in einer eigenen Umgebung betreiben und dokumentieren, wer ihn betreibt. Läuft er bei einem Anbieter, ist das eine Auftragsverarbeitung mit eigenem Vertrag.
  3. Die Weitergaben je Empfänger festlegen und aufschreiben. Das ist der Kern des Gewinns – und ohne Dokumentation nicht nachweisbar.
  4. Die Verarbeitung ins Verzeichnis aufnehmen, mit dem Container als eigenem Punkt.
  5. Messen, was tatsächlich passiert – vor der Entscheidung, nach Ablehnung, nach Zustimmung. Der kostenlose Website-Check zeigt die kontaktierten Server; laufend überwacht das Website-Monitoring.

Die ehrliche Empfehlung

Für die meisten mittelständischen Auftritte lohnt der Aufwand nicht. Der Betrieb eines eigenen Containers kostet Geld und Betreuung, und der rechtliche Gewinn ist geringer als versprochen.

Sinnvoll wird es dort, wo viel gemessen wird, wo mehrere Werbedienste zusammenwirken und wo jemand die Datenweitergabe tatsächlich steuern will. Wer es dagegen einführt, um die Einwilligung zu umgehen, hat Geld ausgegeben und das Risiko erhöht.

Kontakt

Ihre Agentur schlägt serverseitiges Tagging vor? Lassen Sie uns vorher über den rechtlichen Teil sprechen.