DSGVO & Conversion-Tracking: Warum die Panik übertrieben ist — Camp Nerd 2024

Beim Camp Nerd 2024 habe ich einen Vortrag mit einem bewusst provokanten Titel gehalten: „DSGVO ist ein riesen Scam”. Die Botschaft dahinter meine ich ernst.

Die These: DSGVO-Panik schadet mehr als sie schützt

Damit das klar ist: Die DSGVO ist ein wichtiges Gesetz, Datenschutz zählt. Aber was in der Praxis passiert, hat mit dem eigentlichen Ziel der Verordnung oft wenig zu tun.

Was ich täglich bei Unternehmen sehe:

• Tracking komplett abgeschaltet — aus Angst vor Abmahnungen
• Marketing-Budgets blind ausgegeben — ohne Daten, die zeigen, was funktioniert
• Consent-Banner falsch implementiert — blockieren mehr als nötig
• Verzicht auf Google Ads — weil „DSGVO und Google ja nicht geht”

Die Folge: Unternehmen verlieren Geld. Nicht weil die DSGVO es verlangt, sondern weil sie falsch umgesetzt wird.

Was wirklich erlaubt ist

Server-Side Tracking

Server-Side Tracking über Google Tag Manager ist DSGVO-konform einsetzbar:

• Daten werden über deinen eigenen Server geroutet, nicht direkt an Google
• Du kontrollierst exakt, welche Daten weitergeleitet werden
• IP-Anonymisierung passiert auf deinem Server, bevor Daten Google erreichen
• Keine Third-Party-Cookies nötig

Consent Mode v2

Google Consent Mode v2 ist seit März 2024 Pflicht für Google-Ads-Werbetreibende in der EU. Was er wirklich tut, verstehen aber die wenigsten:

• Granted Mode: Volle Datenerfassung nach explizitem Consent
• Advanced Mode: Cookieless Pings ermöglichen Conversion-Modellierung auch ohne Consent — komplett datenschutzkonform
• Basic Mode: Gar keine Daten vor Consent — konform, aber du verlierst 40–70 % deiner Conversion-Daten

Enhanced Conversions

First-Party-Daten (E-Mail, Telefon) werden gehasht (SHA-256) an Google übermittelt:

• Der Nutzer hat die Daten selbst eingegeben (Formular, Bestellung)
• Die Daten verlassen deinen Server nur als Hash
• Google kann den Hash mit eingeloggten Nutzern matchen — ohne neue Cookies zu setzen

Die häufigsten DSGVO-Fehler im Marketing

1. Consent-Banner blockiert alles

Viele CMP-Setups sind so konfiguriert, dass selbst nach Consent kein Tag feuert. Ergebnis: 0 % Conversion-Daten, obwohl der Nutzer zugestimmt hat.

2. Analytics und Ads werden gleichgesetzt

Google Analytics und Google Ads haben unterschiedliche Rechtsgrundlagen. GA4 braucht Consent (Analyse). Google Ads Conversion-Tracking kann unter bestimmten Umständen auf berechtigtem Interesse basieren.

3. „Zur Sicherheit schalten wir alles ab”

Der häufigste Fehler. Dann verbrennt ein Unternehmen 5.000 € im Monat für Ads, ohne zu wissen, ob sie funktionieren. Das ist nicht „sicher”, das ist fahrlässig.

4. Cookie-Banner als Dark Patterns

Das andere Extrem: Banner, die „Akzeptieren” groß und grün machen und „Ablehnen” verstecken. Das ist weder konform noch vertrauenswürdig.

Der pragmatische Weg

1. Server-Side GTM aufsetzen — Kontrolle über den Datenfluss
2. Consent Mode v2 mit Advanced Mode — maximale Daten bei maximaler Konformität
3. Enhanced Conversions aktivieren — First-Party-Daten nutzen
4. CMP sauber konfigurieren — nicht zu viel blockieren, nicht zu wenig
5. Dokumentieren — Verarbeitungsverzeichnis aktuell halten

Key Takeaways

• DSGVO ≠ kein Tracking: Sauberes Tracking ist datenschutzkonform möglich
• Server-Side ist der Standard: Wer noch Client-Side trackt, verliert Daten und riskiert Probleme
• Consent Mode v2 nutzen: Advanced Mode gibt dir Conversion-Daten auch ohne expliziten Consent
• Pragmatismus schlägt Panik: Ein durchdachtes Setup schützt Nutzer UND dein Business

---

Tracking und DSGVO richtig aufsetzen? Jetzt Beratung anfragen →