Cookieless Tracking: DSGVO-konform messen ohne Cookies

Cookieless Tracking bezeichnet Messmethoden, die Nutzerverhalten mit Webanalyse Tools zu erfassen und aktivieren, ohne auf Third-Party-Cookies angewiesen zu sein. Stattdessen kommen First-Party-Daten, serverseitiges Tagging, kontextuelle Verfahren und statistische Modellierung zum Einsatz. Wichtig für alle Verantwortlichen in Deutschland: Cookieless bedeutet nicht automatisch einwilligungsfrei. DSGVO und TTDSG gelten weiterhin, und ob eine Einwilligung erforderlich ist, hängt von der eingesetzten Technik und dem Personenbezug der erhobenen Daten ab. Also wendet euch bei Trackingfragen immer an eure Datenschützerabteilung bzw. Juristen.

Auf einen Blick:

• Ein signifikanter Anteil des globalen Web-Traffics ist bereits cookieless, weil Safari und Firefox Third-Party-Cookies blockieren und viele Nutzer den Cookie-Banner ablehnen.
• Der sogenannte Consent-Gap führt dazu, dass in Audits regelmäßig ein erheblicher Anteil der Bestellungen in den Reports unsichtbar bleibt (häufig über ein Drittel der Bestellungen werden bei Ablehnung nicht gemessen).
• Die Kernbausteine moderner Setups sind First-Party-Signale, Server-Side-Tagging, Consent Mode v2 und statistische Modellierung.
• §25 TTDSG und Art. 6 DSGVO sind die maßgeblichen Rechtsgrundlagen für jede Tracking-Entscheidung in Deutschland.
• IT-WINGS begleitet Unternehmen beim Aufbau datenschutzkonformer Tracking-Architekturen, von der Konzeption bis zum laufenden Betrieb.

Inhaltsverzeichnis

• Was genau unterscheidet Cookieless Tracking vom klassischen Cookie-Tracking?
• Welche technischen Methoden gibt es, und wie funktionieren sie?
• Was sagen DSGVO und TTDSG zur Einwilligungspflicht in Deutschland?
• Welche Methode passt zu Ihrem Szenario? Ein Vergleich nach Datenschutz, Genauigkeit und Aufwand
• So implementieren Sie datenschutzkonformes Tracking Schritt für Schritt
• Wie IT-WINGS Cookieless Tracking in der Praxis umsetzt
• Welche Tools sind in Deutschland relevant? GA4, Matomo und eTracker im Überblick
• Was Marketing-Teams beim Thema Cookieless Tracking oft falsch einschätzen
• Wichtige Erkenntnisse
• Warum ein server-seitiger Ansatz langfristig die bessere Wahl ist
• IT-WINGS begleitet Sie beim Aufbau Ihrer Tracking-Architektur
• Nützliche Quellen und weiterführende Lektüre für Deutschland

Was genau unterscheidet Cookieless Tracking vom klassischen Cookie-Tracking?

Cookie-basiertes Tracking speichert eine eindeutige Kennung im Browser des Nutzers, meist als Third-Party-Cookie eines Werbenetzwerks. Dieser Cookie ermöglicht seitenübergreifendes Tracking, Cross-Device-Matching und persistente Nutzerprofile über Wochen. Das Modell funktioniert seit Jahren schlechter: Browser-Hersteller schränken Third-Party-Cookies ein, und Nutzer lehnen Consent-Banner ab.

Cookieless Tracking ersetzt dieses Modell durch Methoden, die entweder ohne persistente Kennungen auskommen oder auf eigene, selbst erhobene Signale setzen. Typische Bausteine sind:

• First-Party-Daten: Daten, die Nutzer direkt auf Ihrer eigenen Domain hinterlassen, etwa durch Login, Newsletter-Anmeldung oder Kaufabschluss.
• Server-Side-Tagging: Verlagerung der Tag-Ausführung auf eigene Server, wodurch Ad-Blocker und Browser-Restriktionen umgangen werden.
• Statistische Modellierung: Rekonstruktion fehlender Signale auf Basis vorhandener Muster, zum Beispiel durch Consent Mode v2.
• Kontextuelle Verfahren: Aussteuerung von Werbung anhand des Seiteninhalts statt anhand von Nutzerprofilen.

Was besser funktioniert: Session-Linking innerhalb der eigenen Domain, Datenhoheit und Unabhängigkeit von Browser-Entscheidungen Dritter. Was schlechter funktioniert: Cross-Device-Tracking ohne Login, langfristige Nutzeridentifikation ohne Einwilligung und die Reichweite von Retargeting-Kampagnen über Plattformgrenzen hinweg.

Welche technischen Methoden gibt es, und wie funktionieren sie?

Die Wahl der richtigen Methode hängt von Ihrer Infrastruktur, Ihrem Datenschutzniveau und Ihren Messzielen ab. Hier sind die wichtigsten Verfahren im Überblick:

• First-Party-Cookies und Login-basierte IDs: First-Party-Cookies werden von Ihrer eigenen Domain gesetzt und unterstützen Session-Linking sowie Subdomain-Tracking. Sie sind datenschutzrechtlich weniger problematisch als Third-Party-Cookies, erfordern aber je nach Einsatzzweck dennoch eine Rechtsgrundlage. Login-basierte IDs liefern stabile, authentische Identitätssignale, die auch nach Browser-Wechsel erhalten bleiben.
• Server-Side-Tagging: Die Tag-Ausführung verlagert sich vom Browser auf Ihren eigenen Server. Das reduziert die Anfälligkeit gegenüber Ad-Blockern erheblich. Server-Side-Tagging erfordert eigene Infrastruktur, also CDN, Load Balancer und einen serverseitigen Container, und ändert die Transportstrecke, nicht automatisch die Rechtsgrundlage.
• Google Consent Mode v2 und modellierte Conversions: Wenn Nutzer die Einwilligung verweigern, rekonstruiert Consent Mode v2 fehlende Conversion-Signale statistisch. Branchenschätzungen zufolge lassen sich damit ein merklicher Anteil der verlorenen Conversions zurückgewinnen. Das ist eine sinnvolle Ergänzung, kein Ersatz für echte First-Party-Daten.
• Kontextuelles Targeting: Werbung wird anhand des Seiteninhalts ausgespielt, nicht anhand von Nutzerprofilen. Kein Personenbezug, keine Einwilligungspflicht für die Aussteuerung selbst. Reichweite und Präzision sind geringer als bei verhaltensbasiertem Targeting.
• Identity Graphs und gehashte IDs: Bekannte Nutzer werden über gehashte E-Mail-Adressen oder CRM-Matches plattformübergreifend erkannt. Voraussetzung ist eine explizite Einwilligung und ein sauberes Datenmodell.
• Fingerprinting: Technisch möglich, rechtlich in Deutschland äußerst problematisch. Das Auslesen von Browser- und Geräteeigenschaften zur Identifikation fällt unter §25 TTDSG und erfordert in der Regel eine Einwilligung. Zudem ist Fingerprinting durch Browser-Updates zunehmend unzuverlässig.
• eTags und Log-File-basierte Messung: eTags aus dem Browser-Cache können zur Wiedererkennung genutzt werden, fallen aber ebenfalls unter §25 TTDSG. Log-File-Analysen auf Serverebene liefern aggregierte Daten ohne Personenbezug, sind aber für granulares Conversion-Tracking ungeeignet.

Profi-Tipp: Die Kombination aus Server-Side-Tagging, gehashten First-Party-IDs und Consent Mode v2 bringt den größten Messgewinn bei gleichzeitig vertretbarem Datenschutzrisiko. Wer zusätzlich stabile Login-Signale aufbaut, reduziert die Abhängigkeit von Modellierungen dauerhaft.

Was sagen DSGVO und TTDSG zur Einwilligungspflicht in Deutschland?

Die entscheidende Frage ist nicht, ob Sie Cookies verwenden, sondern ob Sie auf den Endgerätespeicher eines Nutzers zugreifen oder vergleichbare Techniken einsetzen. §25 TTDSG regelt genau das: Jeder Zugriff auf Informationen im Endgerät eines Nutzers, der nicht technisch zwingend notwendig ist, erfordert eine Einwilligung. Das gilt auch für Fingerprinting, eTags und ähnliche Verfahren.

Cookieless Tracking ist rechtlich nicht automatisch einwilligungsfrei. Die Orientierungshilfe Tracking der Datenschutzkonferenz (DSK) zeigt, dass viele technisch ähnliche Verfahren unter §25 TTDSG fallen können. Für die DSGVO-Ebene gilt: Sobald Daten einem identifizierbaren Nutzer zugeordnet werden können, liegt Personenbezug vor, und Art. 6 DSGVO greift.

Rechtsgrundlagen im Überblick – Stand Juli 2026:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Die sicherste Grundlage für Analyse und Marketing-Tracking. Erfordert eine aktive, informierte Zustimmung vor der Datenerhebung.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Möglich, aber streng. Die Abwägung muss dokumentiert sein, und für viele Analysefälle bleibt die Einwilligung die rechtssichere Basis.
• Technische Notwendigkeit: Rein aggregierte, anonymisierte Auswertungen ohne Personenbezug können einwilligungsfrei sein, wenn kein Zugriff auf den Endgerätespeicher erfolgt.

Praktische Compliance-Checkliste:

• Datenschutz-Folgenabschätzung (DPIA) für alle Tracking-Verfahren mit Personenbezug durchführen.
• Zweckbindung dokumentieren: Welche Daten werden wofür erhoben?
• Speicherfristen festlegen und technisch durchsetzen.
• Transparenzpflichten erfüllen: Datenschutzerklärung, Cookie-Richtlinie und Consent-Management-Plattform (CMP) aktuell halten.
• Rechtsgrundlage für jedes Tracking-Verfahren schriftlich festhalten.
• Aufsichtsbehörden im Blick behalten: Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) und die Landesdatenschutzbehörden veröffentlichen regelmäßig aktualisierte Orientierungshilfen.

Profi-Tipp: Beauftragen Sie vor dem Go-live einer neuen Tracking-Architektur eine externe Datenschutzprüfung. Aufsichtsbehörden erwarten nicht nur technische Konformität, sondern auch nachvollziehbare Dokumentation der Abwägungsentscheidungen.

Welche Methode passt zu Ihrem Szenario? Ein Vergleich nach Datenschutz, Genauigkeit und Aufwand

Für E-Commerce-Betreiber mit Login ist die Kombination aus Server-Side-Tagging und gehashten First-Party-IDs am stärksten. Für Content-Sites ohne Nutzerkonten liefert kontextuelles Targeting in Verbindung mit First-Party-Cookies und Consent Mode v2 ein gutes Verhältnis aus Datenschutz und Messqualität. Fingerprinting sollte in Deutschland grundsätzlich vermieden werden: Das rechtliche Risiko überwiegt den technischen Nutzen deutlich.

Methoden lassen sich gut kombinieren. Server-Side-Tagging plus First-Party-Daten plus Modellierung ergibt ein Setup, das sowohl gegenüber Browser-Restriktionen als auch gegenüber Aufsichtsbehörden belastbar ist.

So implementieren Sie datenschutzkonformes Tracking Schritt für Schritt

Ein strukturierter Umsetzungsfahrplan verhindert, dass technische Entscheidungen vor der Rechtsprüfung getroffen werden, was in der Praxis der häufigste Fehler ist.

1. Audit der aktuellen Messung: Erfassen Sie alle aktiven Tracking-Verfahren, Cookies, Tags und Datenflüsse. Identifizieren Sie den Consent-Gap: Wie viele Conversions bleiben bei Ablehnung unsichtbar?
2. Datenbedürfnisse definieren: Welche Metriken sind für Ihre Geschäftsentscheidungen tatsächlich notwendig? Zweckbindung beginnt hier, nicht in der Datenschutzerklärung.
3. Architektur wählen: Entscheiden Sie auf Basis von Datenschutzanforderungen, Budget und technischer Reife. Pilot-Setups mit Server-Side-Tagging sind für die meisten Mittelständler innerhalb von vier bis acht Wochen umsetzbar.
4. CMP integrieren: Eine Consent-Management-Plattform steuert, welche Tags bei welchem Consent-Status feuern. Ohne saubere CMP-Integration ist jedes Tracking-Setup rechtlich angreifbar.
5. DPIA durchführen: Für alle Verfahren mit Personenbezug ist eine Datenschutz-Folgenabschätzung Pflicht. Dokumentieren Sie Zweck, Risiken und Schutzmaßnahmen.
6. Data Layer aufbauen: Ein sauberer Data Layer ist die Grundlage für zuverlässige Datenerfassung, unabhängig von der gewählten Plattform. Definieren Sie Ereignisstruktur, Variablennamen und Hashing-Regeln vorab.
7. Hashing und Pseudonymisierung umsetzen: E-Mail-Adressen und andere personenbezogene Daten müssen vor der Übertragung an externe Plattformen gehasht werden (SHA-256 ist Standard).
8. Testen und validieren: Gleichen Sie Event-Counts gegen Ihre Verkaufsdatenbank ab. Abweichungen über 5 % deuten auf Fehlkonfigurationen hin.
9. Rollout und Monitoring: Definieren Sie KPIs für die Messqualität, etwa Conversion-Abdeckungsrate und Datenlatenz, und prüfen Sie diese wöchentlich in den ersten vier Wochen.

Zur Orientierung: Ein Pilot-Projekt für einen mittelgroßen E-Commerce-Shop umfasst typischerweise Audit, Konzept und erste Server-Side-Implementierung. Enterprise-Setups mit CRM-Integration und vollständiger DPIA-Begleitung sind deutlich aufwendiger und erfordern entsprechend mehr Vorlaufzeit.

Rund 60 % des globalen Web-Traffics ist bereits cookieless. Wer jetzt noch kein datenschutzkonformes Tracking-Fundament aufgebaut hat, trifft Budgetentscheidungen auf Basis lückenhafter Daten.

Wie IT-WINGS Cookieless Tracking in der Praxis umsetzt

Ein typisches Ausgangsszenario: Ein mittelständischer E-Commerce-Betreiber stellt fest, dass nach Einführung eines DSGVO-konformen Cookie-Banners die gemessenen Conversions um mehr als ein Drittel eingebrochen sind. Das Budget für Suchmaschinenwerbung wird auf Basis dieser verzerrten Daten gesteuert, was zu Fehlallokationen führt.

IT-WINGS geht dieses Problem mit einer klar strukturierten Architektur an:

1. Ausgangslage analysieren: Vollständiges Tracking-Audit, Consent-Gap-Messung und Bestandsaufnahme aller Datenflüsse, inklusive Drittanbieter-Tags.
2. Architektur konzipieren: Serverseitiger Container auf eigener Infrastruktur, serverseitiges Tracking als Kernkomponente, CMP-Integration für saubere Consent-Steuerung.
3. Data Layer definieren: Einheitliche Ereignisstruktur für alle relevanten Touchpoints, Hashing-Regeln für E-Mail-Adressen (SHA-256), klare Trennung zwischen First-Party-Storage (Browser-IDs) und First-Party-Data (Server-Empfang).
4. Server-Endpunkte konfigurieren: API-Relay an Plattform-Schnittstellen (Google Ads, Meta), Load Balancer und CDN-Konfiguration für Latenzminimierung.
5. Consent Mode v2 aktivieren: Modellierte Conversions als Ergänzung zu echten First-Party-Signalen, nicht als Ersatz.
6. Validierung durchführen: Abgleich der gemessenen Conversions gegen die Verkaufsdatenbank. Zielwert: Abweichung unter 5 %. Audit-Log für alle Konfigurationsänderungen.
7. DPIA abschließen: Dokumentation aller Verarbeitungszwecke, Risikobewertung und Schutzmaßnahmen, Festlegung von Speicherfristen und Verantwortlichkeiten.

Profi-Tipp: Der häufigste Implementierungsfehler ist das fehlende Trennmodell zwischen First-Party-Storage und First-Party-Data. Wer beides vermischt, riskiert Duplikate in den Conversion-Daten und Compliance-Lücken bei der Datenweitergabe an externe Plattformen.

Welche Tools sind in Deutschland relevant? GA4, Matomo und eTracker im Überblick

Die Wahl der Analyseplattform hat direkte Auswirkungen auf Datenhoheit, Compliance-Aufwand und Messqualität.

• Google Analytics 4 (GA4): GA4 unterstützt Consent Mode v2 und bietet modellierte Conversions für Nutzer, die keine Einwilligung erteilen. Die Daten werden auf Google-Servern verarbeitet, was für viele deutsche Unternehmen datenschutzrechtliche Fragen aufwirft, insbesondere nach dem Schrems-II-Urteil. Ein Datenschutzkonformer Betrieb erfordert einen abgeschlossenen Auftragsverarbeitungsvertrag, IP-Anonymisierung und eine sorgfältig konfigurierte CMP. Für Unternehmen mit höchsten Anforderungen an Datenhoheit ist GA4 allein nicht ausreichend.
• Matomo: Matomo kann auf eigenen Servern betrieben werden und bietet damit vollständige Datenhoheit. In bestimmten Konfigurationen, etwa mit aktivierter IP-Anonymisierung und deaktivierten Tracking-Cookies, ist ein einwilligungsfreier Betrieb möglich. First-Party-Cookies unterstützen Session-Linking und Subdomain-Tracking. Matomo ist besonders für Unternehmen geeignet, die On-Premise-Hosting bevorzugen und keine Daten an US-amerikanische Anbieter übermitteln möchten.
• eTracker: Eine deutschsprachige Alternative mit starkem DSGVO-Fokus. eTracker verarbeitet Daten ausschließlich auf deutschen Servern und bietet Konfigurationen, die ohne Einwilligung betrieben werden können, wenn keine personenbezogenen Daten erhoben werden. Für Unternehmen, die eine schlüsselfertige DSGVO-konforme Lösung suchen, ist eTracker eine der direktesten Optionen im DACH-Markt.
• Server-seitiger Google Tag Manager: Als Ergänzung zu GA4 ermöglicht der serverseitige Tag Manager eine bessere Datenkontrolle und reduziert die Abhängigkeit von clientseitigen Skripten. Er ersetzt keine Rechtsgrundlage, verbessert aber Datenqualität und Blocker-Resistenz erheblich.

Für Unternehmen mit höchsten Anforderungen an Datenhoheit empfiehlt sich Matomo On-Premise oder eTracker. Für Unternehmen, die bereits in das Google-Ökosystem investiert haben, ist GA4 mit Server-Side-Tagging und Consent Mode v2 die pragmatische Wahl.

Was Marketing-Teams beim Thema Cookieless Tracking oft falsch einschätzen

Einige Fehlannahmen sind so verbreitet, dass sie kurz direkt angesprochen werden sollten:

• „Server-Side macht Consent überflüssig.“ Falsch. Server-Side-Tagging ändert die Transportstrecke, nicht die Rechtsgrundlage. Wer personenbezogene Daten verarbeitet, braucht weiterhin eine DSGVO-konforme Grundlage.
• „Fingerprinting ist eine einfache Ersatzlösung.“ Fingerprinting ist in Deutschland rechtlich riskant, fällt unter §25 TTDSG und wird durch Browser-Updates zunehmend unzuverlässig. Es ist keine tragfähige Langzeitstrategie.
• „Cookieless Tracking ist technisch zu komplex für uns.“ Ein Pilot-Setup mit Server-Side-Tagging und CMP-Integration ist für die meisten Unternehmen umsetzbar, wenn die Anforderungen klar definiert sind.
• „Modellierte Daten sind genauso gut wie echte Daten.“ Consent Mode v2 kann typischerweise 20–30 % der verlorenen Conversions rekonstruieren. Das ist wertvoll, aber kein vollständiger Ersatz für echte First-Party-Signale.
• „Wir brauchen kein DPIA, weil wir keine Cookies mehr setzen.“ Eine Datenschutz-Folgenabschätzung ist an den Personenbezug der verarbeiteten Daten geknüpft, nicht an die Technik. Server-Side-Verarbeitung mit Personenbezug erfordert eine DPIA.
• „First-Party-Daten sind automatisch datenschutzkonform.“ Auch selbst erhobene Daten unterliegen der DSGVO. Zweckbindung, Speicherfristen und Transparenzpflichten gelten unabhängig davon, ob die Daten von Ihrer eigenen Domain stammen.

Die häufigste Folge dieser Fehlannahmen: verzerrte Attribution, falsche Budgetentscheidungen im Performance Marketing und Compliance-Risiken, die erst bei einer Prüfung durch die Aufsichtsbehörde sichtbar werden.

Wichtige Erkenntnisse

Cookieless Tracking ist heute Standard, aber nicht gleichbedeutend mit Einwilligungsfreiheit: First-Party-Daten und serverseitige Architektur liefern den größten Nutzen in datenschutzkonformen Setups.

Warum ein server-seitiger Ansatz langfristig die bessere Wahl ist

Die Debatte um Cookieless Tracking wird oft als technisches Problem behandelt. Das greift zu kurz. Wer nur die Technik wechselt, ohne die Datenarchitektur grundlegend zu überdenken, tauscht ein Problem gegen ein anderes aus.

Der entscheidende Vorteil eines server-seitigen, First-Party-orientierten Setups liegt nicht in der Blocker-Resistenz allein. Er liegt in der Ownership: Wer eigene Server-Pipes betreibt, eigene Daten erhebt und eigene Identitätssignale aufbaut, ist unabhängig von Browser-Entscheidungen, Plattform-Änderungen und regulatorischen Verschiebungen auf Drittanbieter-Ebene. Das ist eine strukturelle Stärke, keine kurzfristige Lösung.

Was viele Teams unterschätzen: Stabile First-Party-Signale, also Logins, Newsletter-Abonnements, CRM-Matches, sind nicht nur technisch wertvoll. Sie sind auch das einzige Tracking-Fundament, das langfristig gegenüber Aufsichtsbehörden erklärbar und gegenüber Nutzern transparent ist. Modellierte Daten sind gut. Echte Daten sind besser. Und echte Daten entstehen durch Beziehungen, nicht durch Technik allein.

Ein weiterer Punkt, der in der Praxis oft unterschätzt wird: Server-Side-Setups verbessern die Qualität der Signale, die an Werbenetzwerke übermittelt werden. Bessere Signale bedeuten bessere Bid-Optimierung, niedrigere Kosten pro Conversion und stabilere Kampagnenperformance. Der ROI einer sauberen Tracking-Architektur zeigt sich nicht nur im Datenschutz-Audit, sondern direkt im Werbebudget.

Die Unternehmen, die jetzt in datenschutzkonforme, server-seitige Architekturen investieren, werden in zwei Jahren einen messbaren Datenvorteil gegenüber denen haben, die weiter auf Modellierung und Drittanbieter-Signale setzen. Das ist keine Prognose. Das ist die logische Konsequenz aus dem, was Browser-Hersteller und Regulatoren seit Jahren ankündigen und umsetzen.

IT-WINGS begleitet Sie beim Aufbau Ihrer Tracking-Architektur

Wer nach diesem Artikel weiß, was zu tun ist, aber nicht, wie er anfangen soll, ist in guter Gesellschaft. Die meisten Unternehmen haben kein Erkenntnisproblem, sondern ein Umsetzungsproblem: fehlende Ressourcen, unklare Verantwortlichkeiten oder schlicht keine Erfahrung mit Server-Side-Infrastruktur und DPIA-Prozessen.

IT-WINGS übernimmt genau diese Aufgaben. Wir starten mit einem vollständigen Tracking-Audit, der Ihren Consent-Gap sichtbar macht und alle Datenflüsse dokumentiert. Darauf aufbauend konzipieren und implementieren wir eine datenschutzkonforme Architektur, inklusive Server-Side-Tagging, CMP-Integration und DPIA-Begleitung. Für die Ergebnisse bauen wir Dashboards in Power BI, die Conversions, Datenqualität und Kampagnenperformance in einem Blick zeigen.

Unser Einstiegspaket umfasst Audit und Proof-of-Concept, typischerweise innerhalb von vier bis sechs Wochen. Für Unternehmen mit komplexeren Anforderungen, etwa CRM-Integration oder vollständige Enterprise-Implementierung, entwickeln wir individuelle Projektpläne. Sprechen Sie uns an: Eine unverbindliche Erstberatung zeigt Ihnen, wo Ihr größter Handlungsbedarf liegt und welche Schritte den schnellsten Effekt bringen. Jetzt Kontakt aufnehmen und datenschutzkonformes Tracking als Wettbewerbsvorteil nutzen.

Nützliche Quellen und weiterführende Lektüre für Deutschland

Für die Rechtsprüfung sind offizielle Stellen und Primärquellen unverzichtbar. Für die technische Implementierung helfen praxisnahe Guides weiter.

Rechtliche Grundlagen und Aufsichtsbehörden:

• Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI): Orientierungshilfen zu Schrems II und internationalen Datentransfers, relevant für GA4-Entscheidungen.
• Art. 6 DSGVO auf dejure.org: Volltext der Rechtsgrundlagen für die Datenverarbeitung, inklusive berechtigtem Interesse.
• Europäische Kommission: Was sind personenbezogene Daten?: Grundlagendefinition, die für die Beurteilung des Personenbezugs bei Tracking-Verfahren maßgeblich ist.
• EuGH-Urteil C-673/17 (Planet49): Leitentscheidung zur Einwilligungspflicht bei Cookies, Basis für die aktuelle Rechtslage in Deutschland.
• Dr. Datenschutz: Cookieless Tracking ohne Einwilligung: Praxisnahe Aufbereitung der Rechtslage für Deutschland, empfohlen für den Einstieg in die Compliance-Prüfung.

Technische Implementierung:

• Google Tag Manager First-Party Setup Guide: Offizielle Dokumentation für Server-Side-Konfiguration, CDN und API-Relay.
• Matomo: First-Party-Cookies für datenschutzfreundliche Analyse: Erläutert Session-Linking, Subdomain-Tracking und On-Premise-Vorteile.
• Matomo: Betrieb ohne Einwilligung: Konfigurationsanleitung für einwilligungsfreien Betrieb unter bestimmten Bedingungen.
• Firefox Total Cookie Protection: Hintergrund zur Browser-seitigen Einschränkung von Third-Party-Cookies, relevant für die Einschätzung des Consent-Gaps.

Weiterführende Fachbeiträge:

• OMT: Cookieless Tracking als Ausweg aus dem Consent-Chaos: Übersicht über Rechtsgrundlagen und praktische Abwägungen für Webanalyse-Verantwortliche.
• DataFirst: Cookieless Tracking für DACH-Shops: Praxisorientierter Überblick mit Fokus auf E-Commerce und den DACH-Markt.

Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine rechtliche Beratung. Für Ihre konkrete Situation empfehlen wir die Konsultation eines auf Datenschutzrecht spezialisierten Anwalts sowie die Prüfung der aktuellen Orientierungshilfen der zuständigen Aufsichtsbehörde.

Empfehlung

• etracker – die DSGVO-konforme Tracking- Lösung | IT-WINGS
• Datenschutzkonformes Tracking | IT-WINGS
• Matomo Digital Analytics Plattform | IT-WINGS
• Tracking-Tools: Infos, Funktionen & Anbieter | IT-WINGS