Tracking und Einwilligung in Deutschland: was Werbetreibende brauchen

In Deutschland beginnt Tracking mit einer Frage an den Besucher, und die Messung wartet auf die Antwort. So regelt es § 25 TDDDG für das Speichern und Auslesen von Informationen auf einem Gerät, mit engen Ausnahmen, und Googles eigene Einwilligungsrichtlinie verlangt von Werbetreibenden dasselbe. Wenn du aus dem Ausland in Deutschland werben willst, hat das zwei Folgen. Ein Teil deiner Besucher sagt Nein und fehlt in deinen Conversion-Daten. Und ein Cookie-Banner auf der Seite beweist noch nicht, dass die Tags auf die Antwort warten. Ein Tag ist ein kleines Stück Code auf deiner Website, das bei einer bestimmten Aktion Daten an ein Werkzeug wie Google Ads oder GA4 schickt.

Ich habe für Google an Messimplementierungen gearbeitet, und die Einwilligung ist das Erste, was ich in einem Konto prüfe. Unten erkläre ich, was das Gesetz verlangt und was Consent Mode löst oder nicht löst. Außerdem zeige ich, was ich auf deutschen Firmenwebsites gemessen habe, und gebe dir eine Checkliste. Ich bin kein Anwalt, und das hier ist keine Rechtsberatung.

1. Was das Gesetz verlangt, bevor die Messung startet

Zwei Ebenen gelten gleichzeitig. Die eine schützt das Gerät, die andere die personenbezogenen Daten.

§ 25 TDDDG: das Gerät

§ 25 TDDDG erlaubt es nur dann, Informationen auf dem Gerät eines Nutzers zu speichern oder dort bereits gespeicherte Informationen auszulesen, wenn der Nutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat. Die Einwilligung selbst muss die Anforderungen der DSGVO erfüllen. Es gibt zwei Ausnahmen: die Übertragung einer Nachricht und eine Speicherung oder einen Zugriff, der für einen ausdrücklich gewünschten digitalen Dienst unbedingt erforderlich ist.

Drei Details sind für Werbetreibende wichtig.

• Es kommt nicht auf personenbezogene Daten an. Die deutschen Datenschutzaufsichtsbehörden schreiben in ihrer Orientierungshilfe für Anbieter digitaler Dienste, dass die Einwilligungspflicht gilt, egal ob die Information einen Personenbezug hat oder nicht.
• Die Einwilligung kommt zuerst. Dieselbe Orientierungshilfe sagt, dass die Einwilligung schon vor dem Zugriff auf das Gerät vorliegen muss. Beim ersten Seitenaufruf Cookies setzen und erst danach fragen ist nicht zulässig.
• Ein Sitz im Ausland allein nimmt dich nicht aus dem Anwendungsbereich heraus. Das Gesetz gilt für alle Unternehmen, die in Deutschland eine Niederlassung haben, hier Dienstleistungen erbringen oder Waren auf dem Markt bereitstellen (§ 1 TDDDG). Derselbe Paragraf lässt § 3 DDG unberührt, das Herkunftslandprinzip für digitale Dienste. Wie beides für ein Unternehmen mit Sitz in einem anderen EU-Land zusammenpasst, ist eine Frage für einen Anwalt.

Wer entgegen dieser Vorschrift Informationen speichert oder ausliest, riskiert ein Bußgeld von bis zu 300.000 € (§ 28 TDDDG).

DSGVO: die personenbezogenen Daten

Die DSGVO gilt auch für ein Unternehmen außerhalb der EU, wenn es personenbezogene Daten von Menschen in der EU verarbeitet, um ihnen Waren oder Dienstleistungen anzubieten oder um ihr Verhalten zu beobachten (Art. 3 Abs. 2). Ist das der Fall, muss das Unternehmen schriftlich einen Vertreter in der EU benennen, mit Ausnahmen (Art. 27).

Einwilligung ist definiert als freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung, in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung (Art. 4 Nr. 11). Erwägungsgrund 32 ergänzt, dass Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit nicht zählen. Du musst nachweisen können, dass die Person eingewilligt hat (Art. 7 Abs. 1), und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3). Verstöße gegen die Bedingungen für die Einwilligung können mit bis zu 20 Millionen € oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5).

Der Ablehnen-Button

Die Orientierungshilfe der Behörden wird beim Banner konkret. Wenn ein Banner den Inhalt verdeckt und der Besucher es nicht einfach ignorieren kann, darf das Ablehnen nicht mehr Klicks kosten als das Zustimmen. Als Beispiel für diesen Mehraufwand nennt sie eine Ablehnung, die erst auf einer zweiten Ebene möglich ist.

Das Verwaltungsgericht Hannover hat in einem erstinstanzlichen Urteil vom 19. März 2025 in dieselbe Richtung entschieden. Laut dem Landesbeauftragten für den Datenschutz Niedersachsen muss nach dem Urteil ein gut sichtbarer „Alles ablehnen“-Button auf der ersten Ebene des Banners stehen, wenn es eine „Alles akzeptieren“-Option gibt. Das Gericht hat außerdem die Auffassung der Behörde bestätigt, dass der Einsatz des Google Tag Managers eine Einwilligung braucht. Das ist nur ein Gericht. Ich plane trotzdem damit.

2. Was Consent Mode löst und was nicht

Was er tut: In Googles Worten übermittelst du mit dem Einwilligungsmodus den Cookie-Einwilligungsstatus deiner Nutzer an Google, und die Tags passen ihr Verhalten daran an. Es gibt ihn in zwei Varianten.

• Basic. Google-Tags sind blockiert, bis der Besucher mit dem Banner interagiert. Willigt er nicht ein, wird nichts an Google übertragen, nicht einmal der Einwilligungsstatus.
• Advanced. Google-Tags laden, sobald der Besucher die Seite öffnet. Solange die Einwilligung abgelehnt ist, senden sie cookielose Pings. Google nutzt sie für ein werbetreibendenspezifisches Conversion-Modell.

Die Modellierung startet nicht von selbst. Zu Googles Bedingungen zählen 700 Anzeigenklicks über sieben Tage, je Land und Domaingruppierung. Und Google erwartet die Signale: Wer Googles Tags weiter für Messung, Personalisierung von Anzeigen und Remarketing nutzen will, muss die Einwilligung von Nutzern im EWR einholen und die Einwilligungssignale an Google weitergeben.

Was er nicht tut:

1. Er ist kein Banner. Googles Seite zum Einwilligungsmodus sagt, dass er kein Einwilligungsbanner und kein Widget mitbringt. Die Einwilligung einzuholen bleibt deine Aufgabe.
2. Er steuert nur Tags, die auf ihn hören. Googles Entwicklerdokumentation listet die Tags mit eingebauten Einwilligungsprüfungen: das Google-Tag, Google Analytics, Google Ads, Floodlight und den Conversion Linker. Für Tags ohne eingebaute Prüfung verweist sie auf die Einwilligungseinstellungen im Tag Manager, wo du die Prüfungen selbst hinzufügst. Für ein Meta- oder LinkedIn-Pixel setze ich diese Bedingung von Hand.
3. Er beantwortet die rechtliche Frage nicht. In der Advanced-Variante laden Google-Tags beim Öffnen der Seite und senden Pings, solange die Einwilligung abgelehnt ist. Das Gericht in Hannover hat eine Einwilligung schon für den Google Tag Manager selbst verlangt. In meiner Studie habe ich Seiten, die nur Pings mit dem Status „abgelehnt“ senden, getrennt gezählt: 859 von 41.161, also 2,1 %. Welche Variante du einsetzt, entscheidest du mit deinem Anwalt oder Datenschutzbeauftragten.
4. Er richtet sich nicht selbst ein. In derselben Studie schickten 3.066 Seiten vor jedem Klick Anfragen an Google Analytics 4. 2.027 davon trugen überhaupt keinen Einwilligungsstatus, 896 meldeten „abgelehnt“, 115 meldeten vor jedem Klick „erteilt“, und 28 waren gemischt oder unklar.

Die Schritte zur Einrichtung stehen in Consent Mode v2 einrichten.

3. Was meine drei Studien auf deutschen Firmenwebsites gemessen haben

Alle drei Studien nutzen dieselbe Stichprobe: 50.000 Website-Adressen, zufällig gezogen aus 350.146 deutschen Betrieben, die in OpenStreetMap mit einer Website eingetragen sind. Jede Studie hat eine eigene Zahl auswertbarer Seiten.

Tracking vor der Einwilligung

Zwischen dem 23. und 26. September 2026 habe ich jede Adresse in einem echten Browser geöffnet und protokolliert, was vor jedem Klick passiert. 41.161 Seiten waren erreichbar.

• 59,5 % hatten ein Cookie-Banner, das der Browser erkennen konnte.
• 8,8 %, also 3.619 Seiten, schickten vor jedem Klick Daten an einen Mess- oder Werbedienst, ohne ein „abgelehnt“-Signal. Das 95-%-Konfidenzintervall reicht von 8,5 % bis 9,1 %.
• Auf 2.619 dieser 3.619 Seiten hatte der Browser ein Banner erkannt.
• Google Analytics oder Google Ads war bei 2.670 davon beteiligt.
• Auf einem festen Viertel der Seiten (10.173) hat der Browser danach versucht, einen Zustimmen-Button zu klicken, und auf 5.212 davon einen gefunden. Von 1.854 Seiten darunter, die Tracking zeigten, haben 573 schon vor dem Klick gemessen. Das sind 30,9 %. 1.079 schickten vor dem Klick keine Messung.
• Weitere 1.733 Seiten, 4,2 %, luden vor dem Klick ein Tracking-Skript, ohne darüber schon zu messen.

Die vollständigen Ergebnisse stehen in Tracking vor der Einwilligung.

Google Fonts

Am 22. September 2026 luden 18,7 % der 38.065 erreichbaren Seiten ihre Schriften noch von Googles Servern. Rund 17,7 Prozentpunkte davon habe ich direkt gemessen; den Rest habe ich anhand einer Nachprüfung von 185 Seiten geschätzt. Zusätzlich habe ich 706 große deutsche Unternehmen geprüft, von denen 540 erreichbar waren. Bei diesen 540 erreichbaren Unternehmen waren es 10,1 %.

Warum das ein Einwilligungsthema ist: Im Januar 2022 hat das Landgericht München I in erster Instanz einen Websitebetreiber zur Zahlung von 100 € verurteilt, weil die IP-Adresse des Besuchers ohne Einwilligung über Google Fonts an Google gegangen war. Das Gericht hat festgehalten, dass sich die Schriften auch ohne Verbindung zu Googles Servern nutzen lassen. Details stehen in Google Fonts: 50.000 deutsche Firmenseiten im Check.

Pflichtseiten

Für die dritte Studie habe ich die Adressen am 24. September 2026 abgerufen. 38.958 lieferten eine verschlüsselte Seite ohne Fehler, und 37.393 Startseiten ließen sich auswerten. Rund 10,9 % davon hatten keinen Link zu einer Datenschutzerklärung (Spanne 8,7 bis 14,7 %, im Browser nachgeprüft). Der Rest steht in Firmenwebsites 2026.

Das sind lokale deutsche Betriebe, vom Restaurant bis zur Anwaltskanzlei, keine Stichprobe von Werbetreibenden. Ich lese die Zahlen als Grundrate: Ein Banner auf der Seite sagt wenig darüber, was dahinter passiert.

Fazit

Eine Checkliste für Werbetreibende mit Sitz im Ausland:

1. Liste jedes Tag auf den Landingpages auf und notiere, was es auf dem Gerät speichert oder ausliest.
2. Ein Banner auf Deutsch mit „Akzeptieren“ und „Ablehnen“ auf der ersten Ebene, für beides gleich viele Klicks.
3. Alle Einwilligungssignale stehen standardmäßig auf „abgelehnt“. Ob Google-Tags vor der Entscheidung laden (Advanced) oder erst danach (Basic), entscheidest du mit deinem Anwalt oder Datenschutzbeauftragten. Jedes andere Tag wartet auf das Ja.
4. Füg im Tag Manager für jedes Tag, das nicht von Google kommt, Einwilligungsprüfungen hinzu.
5. Teste in einem frischen Browserfenster, bevor du irgendetwas anklickst. Die Fünf-Minuten-Methode steht in der Studie, und der Tracking-Check liefert eine erste Einschätzung.
6. Bewahre Nachweise der Einwilligungen auf, verlink die Datenschutzerklärung auf jeder Landingpage und mach den Widerruf so einfach wie die Einwilligung.
7. Hoste Schriften selbst. Der Google Fonts Checker zeigt dir, ob eine Seite noch bei Google anfragt.
8. Sitzt dein Unternehmen außerhalb der EU, frag deinen Anwalt nach dem Vertreter nach Art. 27 DSGVO.
9. Plane die Lücke ein. Wer ablehnt, fehlt in deinen Conversion-Daten. Beurteile Kampagnen also nach dem, was dir die Einwilligung übrig lässt.

Was ich liegen lassen würde: ein Banner mit nur einem „OK“-Button und jedes Setup, das niemand bei noch offenem Banner getestet hat.

Wenn ich mir dein Consent- und Tracking-Setup ansehen soll, bevor du in Deutschland wirbst, buch ein Erstgespräch.