Server-Side Tracking & DSGVO: rechtssicher tracken – auch ohne Consent-Banner? (2026)

Dieser Guide klärt die zwei Ebenen der Rechtslage (§ 25 TDDDG und DSGVO), den entscheidenden Unterschied zwischen anonymen und pseudonymen Daten, wann einwilligungsfreies Tracking wirklich erlaubt ist, den Drittlandtransfer bei US-Diensten – und wie du Server-Side Tracking im E-Commerce sauber umsetzt.

Server-Side Tracking kurz erklärt

Beim client-seitigen Tracking feuert ein Skript direkt im Browser an die Endpunkte der Zielsysteme, wie z. B. GA4. Beim server-seitigen Tracking sendet der Browser nur eine Anfrage an deinen eigenen Server (z. B. sst.deinedomain.de), der die Events verarbeitet und von dort server-zu-server an die Zielsysteme weitergibt.

Ein oft verwechselter Begriff: Server-Side-Tagging meint konkret den Server-Container (z. B. serverseitiger Google Tag Manager), Server-Side-Tracking den ganzen Ansatz. Für die Grundlagen – was Conversion Tracking überhaupt ist und wie die Messkette funktioniert – siehe den Conversion-Tracking-Guide. Hier geht es um die Frage, die dort nur angerissen wird: Ist das eigentlich DSGVO-konform?

Ist Server-Side Tracking DSGVO-konform? Die ehrliche Antwort

Die kurze Antwort: Ja, aber nicht von allein – und nicht ohne Einwilligung, nur weil es serverseitig läuft.

Der häufigste Irrtum lautet: „Wir tracken serverseitig, also brauchen wir kein Consent-Banner mehr." Das ist falsch. Der Ort der Verarbeitung (Browser vs. Server) ändert nichts an deiner datenschutzrechtlichen Verantwortung. Fast jedes serverseitige Setup hat weiterhin eine client-seitige Komponente – ein Tag, ein Pixel oder ein First-Party-Cookie, das die Daten an den Server füttert. Genau dieser Zugriff aufs Endgerät löst die Einwilligungspflicht wieder aus.

Auch der serverseitige Google Tag Manager macht dein Tracking nicht automatisch konform. Er verlagert die Verarbeitung, nicht die Rechtspflichten.

Die Rechtsgrundlagen: § 25 TDDDG und Art. 6 DSGVO

Rechtssicheres Tracking klärt zwei Ebenen – kumulativ:

Ebene 1 – § 25 TDDDG (Zugriff aufs Endgerät). Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (seit Mai 2024 der neue Name des TTDSG) verlangt in § 25 Abs. 1 eine vorherige Einwilligung für das Speichern von Informationen auf dem Endgerät oder den Zugriff darauf – also Cookies, localStorage, aktives Fingerprinting. Die Norm ist technologieneutral: Sie greift unabhängig davon, ob die Auswertung danach im Browser oder auf dem Server passiert. Wichtig: § 25 kennt keine Ausnahme über „berechtigtes Interesse" – es gibt nur Einwilligung oder die eng gefassten Ausnahmen des § 25 Abs. 2 (technisch unbedingt erforderlich, z. B. Warenkorb, Login). Marketing- und Analyse-Tracking ist nicht „unbedingt erforderlich" und damit einwilligungspflichtig.

Ebene 2 – DSGVO (Verarbeitung der Daten). Was nach dem Empfang auf deinem Server passiert, ist eine eigene Frage. Sobald personenbezogene Daten verarbeitet werden, brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO:

• Einwilligung (Art. 6 Abs. 1 lit. a): der Regelfall fürs Marketing-Tracking – und die konsistente Grundlage, wenn § 25 ohnehin schon Einwilligung verlangt.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): theoretisch möglich, praktisch eng. Die EDSA-Leitlinien 1/2024 verlangen den dreistufigen Test (Interesse → Erforderlichkeit → Abwägung), und der EuGH gewichtet die Eingriffstiefe von Tracking hoch – für kanalübergreifendes Werbe-Tracking trägt lit. f daher selten. Der Haken: lit. f hilft nur auf Ebene 2. Es rettet § 25 nicht – wo Zugriff aufs Endgerät stattfindet, bleibt es bei der Einwilligung.

Kurz: § 25 TDDDG entscheidet, ob du überhaupt etwas auf dem Gerät speichern/lesen darfst; die DSGVO, was du mit den Daten danach tun darfst.

Anonyme vs. pseudonyme Daten: der entscheidende Unterschied

Hier liegt der Hebel, den fast alle Ratgeber auslassen – und der über die Einwilligungspflicht entscheidet:

• Anonyme Daten fallen komplett aus der DSGVO (Erwägungsgrund 26) – vorausgesetzt, die Person ist mit vernünftigen Mitteln nicht mehr identifizierbar. Die Anonymisierung muss irreversibel sein.
• Pseudonyme Daten bleiben personenbezogen (Art. 4 Nr. 5 DSGVO) und voll DSGVO-pflichtig. Ein Hash, ein Token oder eine ersetzte ID ist Pseudonymisierung, nicht Anonymisierung.

Warum das zählt: „Server-Side = anonym" ist ein Mythos. Dein Server empfängt weiterhin IP, User Agent, Verhaltensdaten und oft eine First-Party-ID – diese Kombination ist mindestens pseudonym. Der EuGH hat das zweimal geschärft:

• IP-Adresse = personenbezogen (EuGH Breyer, C-582/14): Dynamische IPs sind für den Seitenbetreiber personenbezogen, wenn er rechtlich Mittel hat, die Person mit Hilfe Dritter zu identifizieren. In Verbindung mit Erwägungsgrund 30 (IP als Online-Kennung) gilt: IP ist im Web-/Marketing-Kontext regelmäßig personenbezogen.
• Kennungen = personenbezogen (EuGH IAB Europe, C-604/22, 2024): Eine ID ist bereits dann personenbezogen, wenn sie sich mit einer IP oder anderen Kennungen verknüpfen lässt – auch wenn der Halter selbst die Verknüpfung nicht herstellen kann. Das widerlegt „wir speichern nur einen gehashten Wert, also ist es anonym".

Die Faustregel: Solange ein wiedererkennbarer Bezug bleibt, sind die Daten pseudonym – und damit einwilligungspflichtig.

Einwilligungsfreies Tracking: Mythos oder echte Strategie?

Jetzt zur Frage, die alle wirklich interessiert. Einwilligungsfreies Tracking ist möglich – aber kein Schalter. Es ist rechtlich nur dann tragfähig, wenn beide Ebenen sauber gelöst sind:

1. Kein § 25-Auslöser: kein Speichern/Auslesen auf dem Endgerät, das eine Einwilligung erfordert (oder nur technisch unbedingt Erforderliches). Sobald du ein Cookie oder eine Geräte-ID setzt, um die Messung zu ermöglichen, ist § 25 wieder aktiv.
2. UND entweder echte Anonymität (kein Personenbezug → DSGVO greift nicht) oder eine tragfähige Rechtsgrundlage ohne Einwilligung (praktisch fast nur ein sauber dokumentiertes berechtigtes Interesse – mit den genannten engen Grenzen).

„Cookieless ≠ consentless" ist dabei die häufigste Verwechslung: Ohne Cookies zu tracken heißt nicht automatisch, ohne Einwilligung tracken zu dürfen. Auch cookielose Verfahren können personenbezogen sein (z. B. über IP oder Fingerprinting) und damit einwilligungspflichtig.

Was Zertifizierungen bedeuten – und was nicht. Für einwilligungsfreie Verfahren gibt es private Prüf-/Zertifizierungssiegel (z. B. ePrivacyseal), die einer bestimmten Messmethode bescheinigen, dass sie ohne Einwilligung nach TDDDG/DSGVO auskommt. Wichtig einzuordnen: Ein solches Siegel prüft die Methode, nicht dein gesamtes Setup, und es ist nicht bindend für Aufsichtsbehörden oder Gerichte. Es ist ein starkes Indiz und ein Vertrauenssignal – kein Freibrief.

Wie Tracify das löst. Tracify setzt genau hier an: mit einem patentierten, nach eigenen Angaben consent-frei zertifizierten Hybrid-Tracking, das ausschließlich auf deutschen Servern verarbeitet wird. Der Anspruch: Customer Journeys erfassen, ohne von der Einwilligungsrate abhängig zu sein – und ohne die typischen § 25-Auslöser. Laut Tracify landen so bis zu 60 Prozent mehr relevante Datenpunkte im System, bei einer Tracking-Rate von nahezu 100 Prozent über mehr als 30 Tage, während einwilligungsbasierte Standard-Setups mit jedem Tag mehr Nutzer verlieren. (Für den konkreten Einsatz gilt auch hier: Die datenschutzrechtliche Bewertung ist setup-spezifisch – die Zertifizierung bescheinigt die Methode.)

Drittlandtransfer & Datensouveränität: reicht ein EU-Server?

Ein häufiger Trugschluss: „Wir hosten in der EU, also ist der US-Transfer gelöst." Nicht ganz.

• Wenn du Events an Meta oder Google (USA) weitergibst, findet ein Drittlandtransfer statt – unabhängig davon, wo dein Tagging-Server steht. Rechtsgrundlage ist aktuell das EU-US Data Privacy Framework (DPF) (Angemessenheitsbeschluss Juli 2023). Der Status 2026: Das DPF gilt, wurde vom EU-Gericht in der Sache Latombe (T-553/23, September 2025) zunächst bestätigt – gegen dieses Urteil läuft jedoch ein Rechtsmittel (C-703/25 P), und es gibt „Schrems-III"-Diskussionen. Kurz: belastbar heute, aber nicht in Stein gemeißelt. Praxis: prüfen, ob der konkrete Empfänger DPF-zertifiziert ist, und Standardvertragsklauseln plus Transfer-Folgenabschätzung als Fallback behalten.
• Warnbeispiel: Das LG München I entschied 2022 zu „Google Fonts", dass schon die Weitergabe der IP an einen US-Dienst ohne Rechtsgrundlage ein Verstoß ist (Schadensersatz nach Art. 82 DSGVO). Jede server-zu-server-Weitergabe, die die IP ohne Grundlage abfließen lässt, trägt dasselbe Risiko.
• Deutsche Server als Souveränitäts-Antwort. Verarbeitet dein Tracking-/Attributions-Layer die Daten auf deutschen Servern, bleibt zumindest diese Ebene in deutscher Hoheit – ein echter Unterschied zu US-Cloud-Setups. Genau das ist Tracifys Aufstellung: Verarbeitung in Deutschland, statt Daten unnötig in die USA zu spiegeln.

Server-Side Tracking im E-Commerce richtig umsetzen

Für Shops führt der Weg über ein First-Party-Setup, sauber an den Consent gekoppelt:

• Shop-Systeme: In Shopify, Shopware, JTL oder WooCommerce bindest du das serverseitige Tracking über native Integrationen oder Plugins an; die Kauf-Events (value, currency, Order-ID) laufen über den First-Party-Endpunkt.
• Zusammenspiel mit Meta CAPI: Server-Side ist die Architektur, die Meta Conversions API ist ein Ziel darauf. Auch hier gilt: Der Consent muss Pixel und CAPI steuern – server-seitig ist nicht consent-frei.
• DSGVO-Checkliste fürs Setup: Consent-Kopplung aller Kanäle; AV-Vertrag mit jedem Dienstleister/Empfänger; Rechtsgrundlage je Verarbeitung dokumentiert; Drittlandtransfer geprüft (DPF/SCC); Datenminimierung (nur nötige Parameter, IP-Handhabung); ggf. Datenschutz-Folgenabschätzung bei umfangreichem Tracking; Verzeichnis der Verarbeitungstätigkeiten gepflegt.

Von rechtssicheren Daten zur fairen Bewertung: KI-Attribution

Rechtssicheres, vollständiges Tracking ist die Voraussetzung – aber es beantwortet noch nicht die eigentliche Marketing-Frage: Welcher Kanal hat den Verkauf wirklich verursacht? Auf einer vollständigen, DSGVO-konformen Datenbasis läuft bei Tracify eine verhaltensbasierte, KI-gestützte Attribution, die den tatsächlichen, inkrementellen Beitrag jedes Touchpoints misst – nicht nur den letzten Klick. Erst vollständige Daten und faire Gewichtung ergeben verlässliche Zahlen. Mehr dazu im Hybrid-Tracking und in der KI-Attribution.

Fazit

Server-Side Tracking ist rechtssicher möglich – aber nicht, weil es serverseitig ist, sondern wenn du beide Ebenen sauber löst: den Zugriff aufs Endgerät nach § 25 TDDDG und die Verarbeitung nach der DSGVO. „Server-Side = consent-frei" und „EU-Server = US-Transfer gelöst" sind Mythen, die teuer werden können.

Einwilligungsfreies Tracking ist kein Schalter, sondern eine enge, fachlich zu prüfende Strategie: kein einwilligungspflichtiger Gerätezugriff, echte Anonymität oder eine tragfähige Grundlage – idealerweise mit zertifizierter Methode und Verarbeitung in Deutschland. Genau diese Kombination aus vollständigen Daten, Rechtssicherheit und fairer KI-Attribution ist der Ansatz von Tracify.