Als der Europäische Gerichtshof 2019 entschied, dass Cookies und Tracking-Tools eine aktive Einwilligung der Nutzer brauchen, war die Aufregung groß. Wir haben damals selbst darüber geschrieben – und mit einer "Flut von Cookie-Bannern" gerechnet. Genau so kam es. Heute, gut sechs Jahre später, ist das Consent-Banner Alltag. Die eigentlich spannenden Fragen für dich als Shop-Betreiber haben sich verschoben: Wie holst du Einwilligungen ein, ohne Conversions zu verbrennen? Was passiert mit deinem Marketing, wenn ein Großteil der Besucher ablehnt? Und was bringt dir serverseitiges Tracking wirklich?
Dieser Beitrag ist die komplett überarbeitete Version unseres alten News-Artikels – auf dem Stand von Mitte 2026, aus der Praxis-Perspektive eines E-Commerce-Teams.
Wichtig vorab: Wir sind eine Agentur, keine Kanzlei. Dieser Artikel ist keine Rechtsberatung, sondern eine Einordnung aus Marketing- und Technik-Sicht. Für verbindliche Aussagen zu deinem konkreten Setup sprich mit einer auf Datenschutz spezialisierten Anwältin oder einem Anwalt.
Die Rechtslage in Kürze: DSGVO + TDDDG
Zwei Regelwerke bestimmen in Deutschland, was du beim Tracking darfst:
- § 25 TDDDG (bis 2024 hieß das Gesetz TTDSG, inhaltlich hat sich durch die Umbenennung nichts geändert) regelt den Zugriff auf das Endgerät: Alles, was Informationen auf dem Gerät deiner Besucher speichert oder ausliest – Cookies, Local Storage, Fingerprinting-Techniken – braucht eine Einwilligung. Ausgenommen ist nur, was für den ausdrücklich gewünschten Dienst technisch zwingend nötig ist, etwa der Warenkorb, der Login oder die Sprachauswahl.
- Die DSGVO regelt, was du anschließend mit personenbezogenen Daten machen darfst – also die eigentliche Verarbeitung für Analyse, Werbung oder Personalisierung.
Praktisch heißt das: Marketing-, Analyse- und Retargeting-Tools laufen im Regelfall nur mit vorheriger, aktiver, informierter Einwilligung. Vorangekreuzte Häkchen, "Weitersurfen gilt als Zustimmung" oder Banner ohne echte Ablehnen-Option sind seit Jahren vom Tisch. Verstöße können Bußgelder und Abmahnungen nach sich ziehen – das ist kein theoretisches Risiko, sondern gelebte Aufsichtspraxis.
Was ein Consent-Banner 2026 können muss
Die Anforderungen an eine wirksame Einwilligung sind mittlerweile ziemlich klar konturiert. Ein sauberes Banner:
- bietet "Akzeptieren" und "Ablehnen" gleichwertig auf der ersten Ebene an – kein verstecktes Ablehnen hinter drei Klicks,
- erklärt verständlich, welche Dienste zu welchem Zweck eingesetzt werden, und listet die Anbieter auf,
- ermöglicht granulare Auswahl (z. B. Statistik ja, Marketing nein),
- lädt keine Tracking-Skripte, bevor eingewilligt wurde – das ist der Punkt, an dem in Audits am häufigsten etwas schiefgeht,
- macht den Widerruf so einfach wie die Einwilligung, typischerweise über einen dauerhaft erreichbaren Link im Footer.
Dark Patterns – winzige Ablehnen-Links, schuldbewusst formulierte Buttons, Nerv-Banner bei jedem Seitenaufruf – sind nicht nur rechtlich angreifbar, sie beschädigen auch das Vertrauen genau in dem Moment, in dem jemand zum ersten Mal deinen Shop betritt.
Erwähnenswert: Seit April 2025 gibt es in Deutschland die Einwilligungsverwaltungsverordnung (EinwV). Sie schafft einen Rahmen für anerkannte Dienste, über die Nutzer ihre Cookie-Präferenzen zentral verwalten können – die Idee ist, die Banner-Flut langfristig einzudämmen. In der Praxis spielt das bisher kaum eine Rolle, weil solche Dienste sich erst etablieren müssen. Auch auf EU-Ebene wird über Vereinfachungen der Cookie-Regeln diskutiert. Verlass dich aber nicht auf Ankündigungen: Maßgeblich ist das, was heute gilt.
Das eigentliche Problem: Signalverlust
Die rechtliche Seite ist nur die halbe Geschichte. Selbst mit einem perfekten Banner verlierst du Daten, und zwar aus mehreren Richtungen:
- Ablehnungsraten: Ein relevanter Teil deiner Besucher klickt auf "Ablehnen". Diese Nutzer sind für Analytics und Werbeplattformen weitgehend unsichtbar.
- Browser-Restriktionen: Safari und Firefox blockieren Third-Party-Cookies seit Jahren und begrenzen die Lebensdauer von First-Party-Cookies teils drastisch. Google hat die groß angekündigte Abschaffung der Third-Party-Cookies in Chrome zwar mehrfach verschoben und schließlich abgeblasen – am Trend ändert das nichts: Cookie-basierte Werbedaten werden unzuverlässiger.
- Adblocker und Tracking-Schutz filtern klassische Pixel zusätzlich heraus.
Die Folge kennst du vermutlich aus deinen eigenen Dashboards: Google Ads und Meta sehen weniger Conversions, als tatsächlich stattfinden, Analytics-Zahlen und Shop-Backend klaffen auseinander, und Kampagnen-Algorithmen optimieren auf lückenhafter Datenbasis.
Serverseitiges Tracking: Was es bringt – und was nicht
Genau hier setzt serverseitiges Tracking an. Statt dass der Browser deiner Besucher Daten direkt an Google, Meta & Co. schickt, laufen die Events zuerst über einen Server, den du kontrollierst (z. B. einen serverseitigen Google Tag Manager). Von dort gehen sie – gefiltert und angereichert – an die Plattformen, etwa per Meta Conversions API oder an Google Ads.
Die realen Vorteile:
- Stabilere Datenqualität: Server-Events sind unempfindlicher gegen Adblocker und Browser-Restriktionen als Browser-Pixel.
- Kontrolle: Du entscheidest, welche Daten in welcher Form die Plattformen erreichen, kannst Parameter kürzen, hashen oder ganz entfernen.
- Bessere Kampagnen-Performance: Vollständigere Conversion-Signale bedeuten besseres Bidding – gerade bei Smart-Bidding-Strategien und Advantage+-Kampagnen macht das einen messbaren Unterschied.
- Schnellere Website: Weniger Third-Party-Skripte im Browser.
Das verbreitete Missverständnis: Serverseitiges Tracking ist kein Trick, um die Einwilligungspflicht zu umgehen. Sobald auf dem Endgerät etwas gespeichert oder ausgelesen wird (und das ist bei praktisch jedem Tracking-Setup der Fall) oder personenbezogene Daten für Werbezwecke verarbeitet werden, brauchst du weiterhin eine Einwilligung. Wer Server-Side-Tagging als "Tracking ohne Cookie-Banner" verkauft, verkauft dir ein Abmahnrisiko.
Sinnvoll kombiniert wird das Ganze mit dem Google Consent Mode (seit 2024 in der Version 2 faktisch Pflicht, wenn du Google-Werbedienste im EWR nutzt): Er übermittelt den Einwilligungsstatus an Google, sodass Tags sich entsprechend verhalten, und ermöglicht bei fehlender Einwilligung eine konservative, modellierte Schätzung von Conversions statt einfach eines blinden Flecks.
Deine Praxis-Checkliste
- Consent-Banner auditieren: Werden wirklich keine Tags vor der Einwilligung geladen? (Im Browser mit leerem Profil und offenen DevTools prüfen – nicht dem CMP-Dashboard blind vertrauen.)
- Ablehnen-Option gleichwertig? Erste Ebene, gleiche Sichtbarkeit.
- Datenschutzerklärung aktuell? Jeder eingesetzte Dienst muss dort auftauchen – auch der Server-Side-Container.
- Consent Mode korrekt implementiert? Status muss vor dem Laden der Google-Tags gesetzt sein.
- Server-Side-Tagging evaluieren: Ab nennenswertem Werbebudget lohnt sich das Setup fast immer – sauber dokumentiert und mit dem Datenschutz abgestimmt.
- First-Party-Daten aufbauen: Newsletter, Kundenkonten, Kaufhistorie – Daten, die Kunden dir freiwillig geben, sind das stabilste Fundament, das du haben kannst.
- Regelmäßig nachprüfen: Tools ändern sich, Rechtsprechung auch. Einmal jährlich gehört das Setup auf den Prüfstand.
Fazit
2019 war die Cookie-Einwilligung eine Schreckensnachricht, 2026 ist sie schlicht Betriebsvoraussetzung. Der Unterschied zwischen Shops, die trotzdem präzise steuern können, und solchen, die im Blindflug werben, liegt heute im technischen Setup: ein sauberes, ehrliches Consent-Banner, Consent Mode, serverseitiges Tracking und ein wachsender First-Party-Datenbestand. Wer das ordentlich aufsetzt, verliert weniger Daten als die Konkurrenz – und bleibt dabei auf der rechtlich sicheren Seite. Und noch einmal: Für die juristische Absicherung deines konkreten Setups ist anwaltliche Beratung der richtige Weg.
---
Du willst wissen, wie viel Conversion-Daten dein aktuelles Setup tatsächlich verliert? Wir bei Alpha Design bauen Tracking-Setups für Online-Händler – von Consent Mode über serverseitigen Google Tag Manager bis zur Conversions API, abgestimmt auf deine Google- und Meta-Kampagnen. Melde dich für einen unverbindlichen Tracking-Check.