Google Tag Manager nutzen — Worauf müssen wir in Deutschland bezüglich Datenschutz und DSGVO achten?

Vergesst auf der technischen Seite bloß nicht das Setup für Consent Mode v2. Beim Einrichten der Trigger solltet ihr statt 'All Pages' lieber auf die Custom Events hören, die eure CMP feuert. Testet das Ganze unbedingt selbst im Network-Tab der Browser-DevTools, um sicherzugehen, dass ohne Einwilligung wirklich absolut gar keine Requests rausgehen.

Macht euch sofort eine Tabelle auf und tragt alle bestehenden Tags ein: 1) Name des Tags, 2) Anbieter und Serverstandort, 3) Zweck 4) Erforderliche Consent-Kategorie (Statistik, Marketing etc.). Wenn ihr ohne dieses Inventar auf den Tag Manager umstellt blickt nach drei Monaten kein Mensch mehr durch, welcher Code wann feuert.

Manche Agenturen reden sich ja gern mit 'Der GTM ist nur ein Container, der setzt selbst keine Cookies, braucht man keine Einwilligung für' heraus. Das ist in Deutschland extrem riskant. Beim Laden des Container-Skripts geht die IP des Nutzers an Drittserver. Das Ding gehört also ganz nach oben in die Consent-Logik.

haben das letztes jahr mit unserer agentur in hamburg durchgezogen. der anwalt hat die datenschutzerklärung komplett neu aufgesetzt, waren 600 eur beratungskosten. aber dafür schläft man ruhig falls mal post von der behörde kommt ist die doku griffbereit.

Wir haben bei unserem Wechsel die Opt-in-Raten getrackt. Rund 68 Prozent der Besucher haben den Statistik-Cookies zugestimmt, bei Marketing-Pixeln waren es gerade mal 42 Prozent. Wenn ihr die Consent-Struktur nicht sauber aufsetzt, verliert ihr diese Daten komplett.

Unterstützt euer aktuelles Consent-Tool eigentlich Server-Side Tagging (Server-Side GTM)? Falls ihr verhindern wollt, dass Daten direkt auf Google-Server wandern: Habt ihr mal überlegt, das über einen Proxy-Server innerhalb der EU laufen zu lassen?

Ich empfehle einen Blick in die Orientierungshilfen der Landesbeauftragten für Datenschutz. Das Vorliegen von Standardvertragsklauseln (SCC) für Drittlandtransfers und die Transparenz im Cookie-Banner sind bei Prüfungen meist die ersten Punkte, die kontrolliert werden.

Beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Wer bei google tag manager datenschutz hetzt, stolpert alle an derselben Stelle. Das war's, entschuldige, wenn ich zu lang war.

Bleibe dran.

Beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Das war's, entschuldige, wenn ich zu lang war.

Ich möchte kurz warnen. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

An deiner Stelle würde ich so vorgehen.

Bei mir war es genau umgekehrt deshalb schreibe ich das. Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Das ist meine Meinung ich behaupte nicht dass es absolut richtig ist.

Ich würde mich freuen, wenn du das Ergebnis postest.

Ich bin derselben Meinung. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist macht es zum Teil des Ziels.

Ein nicht getestetes Backup ist kein Backup. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Genau so ist es. Ein nicht getestetes Backup ist kein Backup.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Das hört man oft, aber bei uns war es nie so. Wenn der Benachrichtigungsweg lang ist kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Aus Erfahrung weiß ich das.

Ich schreibe mal meine Erfahrung auf. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Ein automatisierter Scan-Report ist kein Penetrationstest. Ich hoffe, das hilft dir weiter.

Ich stimme zu.