Server-Side Tracking und DSGVO – wie rechtssicher in Deutschland umsetzen?

Fallt bloß nicht auf dieses Agentur-Märchen von wegen „wir tracken serverseitig also keine Cookies, also kein Banner nötig“ rein. Die deutschen Aufsichtsbehörden (allen voran Bayern und Baden-Württemberg) kennen das Thema in- und auswendig. Sobald fürs Marketing auch nur ein einziges Byte vom Endgerät ausgelesen wird, greift das TDDDG gnadenlos.

Knackpunkt bei der Architektur: Wenn euer Server-Container die IP-Adresse, den User-Agent und den Referrer im Rohzustand an Meta oder Google weiterleitet, liegt eine direkte Übermittlung personenbezogener Daten vor. Ihr müsst auf eurem Proxy mindestens das letzte Oktett der IP abschneiden und Zeitstempel verrauschen.

Man muss zwei Gesetze sauber trennen: § 25 TDDDG regelt den Zugriff aufs Endgerät (Cookies/Fingerprinting) und verlangt Consent. Art. 6 DSGVO regelt die Verarbeitung der erhobenen personenbezogenen Daten (z. B. IP-Adresse). Server-Side Tracking hilft euch zwar bei der Datenkontrolle im Sinne der DSGVO, hebelt aber die Hürde des TDDDG nicht aus.

Edit: Ich habe oben etwas falsch geschrieben, entschuldigung.

Wir haben so ein Setup auf einem eigenen Server in Frankfurt laufen, Serverkosten liegen bei knapp 80 EUR im Monat. Wir leiten aber nur Daten von Nutzern weiter, die im Consent-Banner aktiv zugestimmt haben. Unser Datenverlust durch Adblocker ist von 28 % auf 9 % gesunken – aber ohne Opt-in geht bei uns kein einziges Byte raus.

Letztes Jahr hat uns ein Berater dieselbe Idee gegeben, wir haben das Zustimmungsbanner deaktiviert. Zwei Monate später bekamen wir eine Abmahnung vom Anwalt einer Konkurrenzfirma; standen dann vor 1.800 EUR Anwaltskosten und Unterlassungserklärung. Sind sofort zum alten Consent-System zurück. In Deutschland lohnt sich dieses Risiko definitiv nicht.

Wird der Container, den ihr serverseitig hostet, in einem Rechenzentrum innerhalb der EU-Grenzen sein? Plant ihr beim Senden von Daten an Werbenetzwerke auch Offline-Kundenkennungen (wie gehashte E-Mails) abzugleichen?

macht keine geschäfte nach dem gerede von marketingleuten die typen schauen nur auf die conversion-tabelle. übrigens wenn ein bußgeld kommt, kommt es gegen die juristische person des unternehmens. bindet den consent-mechanismus an den server wenn keine erlaubnis da ist, soll der server auch keine anfrage an dritte schicken.

Wenn in Ihrem Unternehmen oder extern ein Datenschutzbeauftragter tätig ist, ist es eine gesetzliche Anforderung, diese Architekturänderung im Rahmen einer Datenschutz-Folgenabschätzung (DSFA) prüfen zu lassen. Ihre Datenschutzerklärung muss zwingend aktualisiert werden, um diesen neuen Datenfluss widerzuspiegeln.

Genau so, und das ist zudem kaum bekannt. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Wenn deine Situation anders ist, ändert sich das natürlich.

Ich würde mich freuen, wenn du das Ergebnis postest. Das allein zu versuchen, ist der teuerste Weg.

Wenn ich dich richtig verstehe, meinst du Folgendes: Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Da hast du recht. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Nur weil alle es tun, heißt es nicht, dass es richtig ist. An deiner Stelle würde ich so vorgehen.

an diesem Punkt widerspreche ich dir. also wenn Genehmigung und Umfang nicht schriftlich vorliegen darf der Test nicht starten.

das wars, entschuldige wenn ich zu lang war.

Da stimme ich zu. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Ich hoffe, das hilft dir weiter.

Das hatte ich auch schon überlegt. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Da stimme ich zu. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Aus Erfahrung weiß ich das.

Ich stimme zu möchte das sogar besonders betonen. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Das allein zu versuchen, ist der teuerste Weg.

das wusste ich nicht und änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

korrigiert mich fals ich falsch liege.