Server Side Tracking und Einwilligung

Was Server Side Tracking ist, wie es sich vom Tracking im Browser unterscheidet und warum serverseitiges Google Tag Manager, GA4 über einen Server-Container, die Meta Conversions API oder Matomo in Deutschland trotzdem eine Einwilligung nach § 25 TDDDG brauchen können. Plus was es verbessert und wie Sie es mit Ihrem Cookie-Banner verbinden.

Zuletzt geprüft am 16 Oktober 2026

Kurz gesagt

Beim Server Side Tracking geht ein Teil der Arbeit vom Browser auf einen Server über, den Sie kontrollieren. Die Daten schickt in der Regel trotzdem der Browser.
§ 25 TDDDG ist technikneutral: Ein Cookie, das ein Server-Container auf Ihrer Domain setzt, braucht für Statistik oder Werbung genauso eine Einwilligung wie jedes andere.
Für die Verarbeitung auf dem Server brauchen Sie zusätzlich eine Rechtsgrundlage nach der DSGVO. Für Werbung und Profilbildung ist das in der Praxis die Einwilligung.
Server Side Tracking gibt Ihnen mehr Kontrolle darüber, was bei Anbietern ankommt. Am Cookie-Banner führt es nicht vorbei.

Was ist Server Side Tracking?

Beim klassischen Tracking erledigt der Browser alles. Ihre Seite lädt Skripte von Google, Meta und anderen Anbietern, und jedes Skript schickt Daten direkt vom Browser des Besuchers an die Server des jeweiligen Anbieters.

Beim Server Side Tracking schickt der Browser die Daten zuerst an eine Stelle: einen Server, den Sie kontrollieren, meist auf einer Subdomain Ihrer Website wie metrics.beispiel.de. Dieser Server nimmt die Anfrage entgegen, macht daraus Ereignisse und entscheidet, was an welchen Anbieter weitergeht. Bekanntestes Beispiel ist das serverseitige Google Tag Manager: ein „Server-Container“, der in Google Cloud oder bei einem spezialisierten Hosting-Anbieter läuft, neben dem gewohnten Web-Container im Browser. Typische Einsätze sind GA4 über einen Server-Container und die Meta Conversions API, mit der Ihr Server Conversions direkt an Meta sendet.

	Clientseitig	Serverseitig
Wo die Tags laufen	Im Browser des Besuchers	Auf einem Server, den Sie kontrollieren
Wer die Daten zuerst bekommt	Jeder Anbieter direkt	Ihr Server, der sie weiterleitet
Cookies	Oft von Anbieter-Skripten gesetzt	Können von Ihrem Server auf Ihrer Domain gesetzt werden
Kontrolle über das, was Anbieter erhalten	Gering: jedes Skript erhebt, was es will	Sie können Daten vor dem Weiterleiten entfernen oder ändern

Entscheidend: In den meisten Setups führt der Browser des Besuchers weiterhin ein Skript aus und schickt weiterhin die Daten. Anders ist nur, wohin sie zuerst gehen.

Server Side Tracking Tools im Überblick

Unter „Server Side Tracking“ werden recht verschiedene Werkzeuge zusammengefasst:

Serverseitiges Google Tag Manager: ein Server-Container, der Anfragen vom Google-Tag im Browser empfängt und an GA4, Google Ads oder andere Dienste weitergibt. Sie betreiben ihn selbst in Google Cloud oder lassen ihn bei einem Dienstleister hosten.
Conversions-Schnittstellen der Werbeplattformen, etwa die Meta Conversions API, über die Ihr Server oder Ihr Server-Container Ereignisse wie Käufe direkt an die Plattform sendet.
Selbst gehostete Analyse wie Matomo: Matomo nimmt Daten über seine Tracking HTTP API entgegen. Die kann der JavaScript-Tracker im Browser aufrufen, aber auch Ihr eigener Server, etwa mit dem PHP-Client. Zusätzlich lassen sich Server-Logfiles importieren.

Für die Rechtslage kommt es weniger auf das Werkzeug an als auf zwei Fragen: Was passiert auf dem Endgerät des Besuchers, und was passiert danach mit den Daten?

Braucht Server Side Tracking eine Einwilligung?

In Deutschland gelten zwei Regelwerke nebeneinander, wie bei jedem anderen Tracking auch (mehr in Cookie-Banner-Pflicht in Deutschland):

§ 25 TDDDG: Wer Informationen auf dem Endgerät speichert oder dort gespeicherte Informationen ausliest, braucht eine Einwilligung, es sei denn, das ist unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen.
Die DSGVO: Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage, Transparenz und angemessene Schutzmaßnahmen.

Server Side Tracking führt nicht aus § 25 TDDDG heraus. Die Vorschrift fragt, was auf dem Gerät passiert, nicht, wo die Daten landen. Und sie gilt auch, wenn keine personenbezogenen Daten im Spiel sind. Die Datenschutzkonferenz (DSK) betont in ihrer Orientierungshilfe Digitale Dienste, dass § 25 technikneutral formuliert ist und alle Techniken erfasst, mit denen Informationen gespeichert oder ausgelesen werden. Als Zugriff wertet sie es ausdrücklich auch, wenn per JavaScript Eigenschaften eines Endgeräts ausgelesen und an einen Server übermittelt werden.

Der Europäische Datenschutzausschuss (EDSA) wird in seinen Leitlinien 2/2023 zum technischen Anwendungsbereich von Art. 5 Abs. 3 der ePrivacy-Richtlinie, die § 25 TDDDG umsetzt, noch konkreter:

Eine Website, die den Browser per JavaScript Informationen senden lässt, verschafft sich Zugang zu diesen Informationen.
Kennungen in URLs oder Tracking-Pixeln sind eine Anweisung an das Gerät, diese Kennung zurückzusenden, und damit ebenfalls Zugang.
Auch das Erheben einer eindeutigen Kennung, etwa einer gehashten E-Mail-Adresse, über Code im Browser fällt darunter.
Selbst Tracking allein auf Basis der IP-Adresse kann erfasst sein, sofern Sie nicht sicherstellen können, dass die Adresse nicht vom Gerät des Besuchers stammt.

Ein serverseitiges Setup tut genau das: Das Google-Tag im Browser schickt Ereignisse an Ihren Server, und der Server-Container kann ein Cookie auf Ihrer Domain setzen, um Besucher wiederzuerkennen. Ein First-Party-Cookie aus dem Server-Container braucht für Statistik oder Marketing deshalb genauso eine Einwilligung wie eines, das ein Skript setzt. Hinzu kommt: Das VG Hannover hat im März 2025 erstinstanzlich entschieden, dass bereits der Einsatz des Google Tag Managers einwilligungsbedürftig ist.

Die Ausnahme für unbedingt erforderliche Zugriffe bleibt bestehen. Sie hängt aber vom Zweck ab, nicht von der Technik, und die DSK legt sie eng aus.

Die DSGVO gilt auch auf dem Server

Sobald die Daten Ihren Server erreichen, gilt für alles Weitere die DSGVO: die Weitergabe an Google oder Meta, die Anreicherung mit Bestell- oder CRM-Daten, der Aufbau von Zielgruppen. Für jeden Zweck brauchen Sie eine Rechtsgrundlage, und nach den Einwilligungsleitlinien des EDSA muss eine Einwilligung vor Beginn der Verarbeitung vorliegen.

Für Werbung und Profilbildung ist das in der Praxis die Einwilligung. Die DSK schreibt, dass beim Tracking nur in wenigen Konstellationen die Voraussetzungen des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) erfüllt sind. Verarbeiten eingebundene Dienstleister die Daten auch für eigene Zwecke, kann lit. f für die Übermittlung, und sei es nur der IP-Adresse, nach der DSK in der Regel keine wirksame Rechtsgrundlage sein. Der EuGH hat im Verfahren Meta Platforms gegen Bundeskartellamt (C-252/21, 4. Juli 2023) entschieden, dass personalisierte Werbung die Verarbeitung von Nutzerdaten durch Meta ohne Einwilligung nicht als berechtigtes Interesse rechtfertigt. Eine Website, die Besucherdaten für Targeting oder Conversion-Messung an eine Werbeplattform schickt, wird schwer ein berechtigtes Interesse begründen können, wo es die Plattform selbst nicht kann.

Was Server Side Tracking verbessert

Server Side Tracking ist kein Weg um die Einwilligung herum, aber es kann Ihr Tracking datensparsamer und besser kontrollierbar machen:

Kontrolle über das, was Anbieter erhalten. Nach Google hat nur Ihr Unternehmen Zugriff auf die Daten im Server-Container, bis Sie sie weitersenden. Sie können Felder entfernen, URLs kürzen oder Ereignisse verwerfen, bevor sie Ihren Server verlassen.
IP-Adressen und Kennungen. Sie können die vollständige IP-Adresse zurückhalten oder Kennungen vor dem Weiterleiten ersetzen. Das unterstützt die Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO).
Weniger Drittanbieter-Anfragen im Browser. Weniger Anbieter-Skripte auf der Seite heißt weniger Stellen, die direkt Daten vom Gerät des Besuchers auslesen können.
Weniger Daten in Drittländer. Läuft Ihr Server in der EU und entfernt Daten vor dem Weiterleiten, erreichen weniger personenbezogene Daten Anbieter außerhalb Europas. Die französische Aufsichtsbehörde CNIL beschreibt einen solchen „Proxy“ für die Reichweitenmessung unter strengen Bedingungen: keine Weitergabe der IP-Adresse, ersetzte Kennung, entfernte Referrer und URL-Parameter, keine seitenübergreifenden Kennungen und ein Hosting, das Übermittlungen außerhalb der EU ausschließt. Auch die CNIL sieht darin eine Lösung für die Übermittlungsfrage, keinen Ersatz für die Einwilligung. Für US-Anbieter, die unter dem EU-US Data Privacy Framework zertifiziert sind, ist die Übermittlung seit Juli 2023 ohnehin abgesichert (siehe Google Analytics und DSGVO).

Matomo und serverseitige Reichweitenmessung

Viele suchen Server Side Tracking, weil sie eine Analyse ohne Cookie-Banner wollen, häufig mit Matomo. Matomo können Sie selbst hosten, und die Daten können statt aus dem Browser auch von Ihrem Server oder aus Logfiles kommen. Das ändert die Ausgangslage, aber eine Freikarte ist es nicht:

§ 25 TDDDG: Setzt Matomo Cookies oder liest der JavaScript-Tracker Geräteeigenschaften aus, ist § 25 berührt. Ob die Ausnahme für unbedingt erforderliche Zugriffe greift, lässt sich nach der DSK allenfalls für eine genau definierte Konfiguration und einen bestimmten Zweck beurteilen. Schon die Messung von Besucherzahlen gehört nicht automatisch zum Basisdienst.
Reine Zählung oder Analyse: Die DSK unterscheidet eine einfache Zählung von Seitenabrufen, etwa auf Basis von Logfiles ohne personenbezogene Daten, von Analysen mit Geräteinformationen, Benutzer-IDs, Einstiegs- und Ausstiegsseiten oder internen Suchen. Je näher Ihre Konfiguration an der reinen Zählung ist, desto besser sind die Argumente.
DSGVO: Auch eine serverseitige Auswertung von IP-Adressen und Logfiles ist eine Verarbeitung personenbezogener Daten und braucht eine Rechtsgrundlage und einen Eintrag in Ihrer Datenschutzerklärung.

Wer auf Nummer sicher gehen will, lädt auch Matomo erst nach der Einwilligung in der Kategorie Statistik.

Server Side Tracking mit Cookie-Banner und Consent Mode

Das Setup, das funktioniert, ist dasselbe wie ohne Server-Container, mit einem zusätzlichen Schritt:

Ihr Cookie-Banner holt die Entscheidung ein und blockiert Statistik- und Marketing-Tags bis zur Einwilligung.
Google Consent Mode v2 gibt die Entscheidung weiter (siehe Google Consent Mode v2 erklärt). Nach der Google-Dokumentation müssen Sie Consent Mode nur im Web-Container einrichten: Das Google-Tag hängt den Einwilligungsstatus an jede Anfrage an den Server-Container.
Googles Tags im Server-Container folgen diesem Status. Im Basismodus werden Analytics-Tags vollständig blockiert, und es werden weder im Browser noch auf dem Server Analytics-Cookies gesetzt oder gelesen. Im erweiterten Modus senden Analytics-Tags stattdessen anonyme Messungen. Ohne Einwilligung lesen und schreiben Google-Ads-Conversion-Tags keine Cookies, und Remarketing- und Floodlight-Anfragen werden blockiert. In Deutschland ist der Basismodus die vorsichtigere Wahl.
Tags anderer Anbieter brauchen Ihre Aufmerksamkeit. Google sagt das nur für die eigenen Tags zu. Ein Tag für die Meta Conversions API oder jedes andere Tag im Server-Container sollte nur auslösen, wenn der Einwilligungsstatus es erlaubt. Das richten Sie selbst über Trigger oder Bedingungen ein.

Ein Banner wie Cookie Confirm setzt die Standardwerte für Consent Mode, bevor ein Google-Tag lädt, und aktualisiert sie nach der Entscheidung des Besuchers. So erreicht der Einwilligungsstatus mit jeder Anfrage auch den Server-Container.

Meta Conversions API und Einwilligung

Die Meta Conversions API verbindet Ihren Server mit Meta, sodass Sie Ereignisse wie Käufe und Leads senden können, ohne nur auf das Meta-Pixel im Browser angewiesen zu sein. Meta nutzt diese Ereignisse für die Messung und Optimierung von Werbung.

Damit ist das eine Verarbeitung für Werbezwecke. Die Nutzungsbedingungen für Meta Business Tools verlangen, dass Sie alle nötigen Rechte und eine Rechtsgrundlage für die geteilten Daten haben und in Ländern, die für das Speichern von oder den Zugriff auf Informationen auf Endgeräten eine Einwilligung verlangen (die Bedingungen nennen die EU), eine nachweisbare Einwilligung einholen. In der Praxis heißt das:

Senden Sie Ereignisse über die Conversions API nur für Besucher, die im Banner Marketing zugestimmt haben.
Nutzen Sie die Conversions API nicht, um Conversions von Besuchern „zurückzuholen“, die abgelehnt haben.
Nennen Sie Meta und die Conversions API in Ihrer Cookie-Richtlinie und Datenschutzerklärung.

Die Option „Limited Data Use“ von Meta ist für bestimmte Datenschutzgesetze von US-Bundesstaaten gedacht. Ein Einwilligungsmechanismus für die EU ist sie nicht.

Häufige Fehler

„Das ist cookielos, also brauchen wir keine Einwilligung.“ § 25 TDDDG erfasst mehr als Cookies: Skripte, die den Browser Daten senden lassen, Tracking-Pixel, Kennungen in URLs und Fingerprinting fallen nach DSK und EDSA ebenfalls darunter.
„Das ist jetzt First Party.“ § 25 unterscheidet nicht zwischen eigenen und fremden Cookies und nicht zwischen Cookies aus Skripten und vom Server. Der Zweck entscheidet.
Daten vor der Entscheidung senden. Leitet Ihr Server-Container Seitenaufrufe oder Conversions weiter, bevor der Besucher im Banner geklickt hat, verarbeiten Sie Daten ohne Rechtsgrundlage.
„Gehashte E-Mail-Adressen sind anonym.“ Sie sind pseudonymisierte und damit personenbezogene Daten. Gehasht werden sie gerade, damit Plattformen wie Meta sie einer Person zuordnen können.
Tags anderer Anbieter vergessen. Consent Mode steuert nur Googles Tags. Jedes andere Tag im Server-Container braucht eine eigene Einwilligungsprüfung.
Cookie-Richtlinie und Datenschutzerklärung nicht anpassen. Besucher müssen erfahren, welche Anbieter ihre Daten erhalten, auch wenn die Daten zuerst über Ihren Server laufen. Muster dafür finden Sie in Cookie-Richtlinie: Muster und Pflichtangaben und Datenschutzerklärung für Ihre Website.

Quellen

Häufige Fragen

Ist Server Side Tracking DSGVO-konform?

Es kann sein, aber nicht, weil es auf einem Server läuft. Es gelten dieselben Regeln wie beim Tracking im Browser: Einwilligung nach § 25 TDDDG für das Speichern und Auslesen von Informationen auf dem Endgerät, eine Rechtsgrundlage nach der DSGVO, Transparenz und bei Übermittlungen in die USA eine tragfähige Grundlage. Server Side Tracking erleichtert manches, etwa das Entfernen von Daten, bevor sie einen Anbieter erreichen. Die Einwilligung ersetzt es nicht.

Brauche ich mit serverseitigem Google Tag Manager noch ein Cookie-Banner?

Ja, für Statistik- und Marketing-Tags. Das Google-Tag läuft weiter im Browser und schickt Daten an Ihren Server-Container, und der Server-Container kann Cookies auf Ihrer Domain setzen. Beides fällt unter § 25 TDDDG. Das VG Hannover hat 2025 außerdem entschieden, dass schon der Einsatz des Google Tag Managers einwilligungsbedürftig ist. Ihr Banner holt die Entscheidung ein, Consent Mode gibt sie an den Server-Container weiter.

Braucht die Meta Conversions API eine Einwilligung?

Ja, wenn sie für Werbung eingesetzt wird, und das ist ihr Zweck. Nach den Nutzungsbedingungen für Meta Business Tools sind Sie dafür verantwortlich, eine Rechtsgrundlage und, wo das Gesetz es verlangt, eine nachweisbare Einwilligung zu haben. Der EuGH hat 2023 im Verfahren Meta gegen Bundeskartellamt entschieden, dass personalisierte Werbung die Datenverarbeitung von Meta ohne Einwilligung nicht als berechtigtes Interesse rechtfertigt. Senden Sie Ereignisse nur für Besucher, die Marketing zugestimmt haben.

Kann ich Matomo serverseitig ohne Einwilligung nutzen?

Das hängt von der genauen Konfiguration und dem Zweck ab. Die DSK sagt, ob eine Reichweitenmessung ohne Einwilligung zulässig ist, lasse sich allenfalls für eine genau definierte Konfiguration und Zweckbestimmung beurteilen. Eine reine Zählung von Seitenabrufen, etwa aus Logfiles ohne personenbezogene Daten, ist etwas anderes als eine Analyse mit Besucher-IDs, Geräteinformationen und Nutzungspfaden. Eine pauschale Freigabe für Matomo gibt es in Deutschland nicht.

Sind First-Party-Cookies vom eigenen Server einwilligungsfrei?

Nein. § 25 TDDDG unterscheidet weder zwischen eigenen Cookies und Cookies von Drittanbietern noch zwischen Cookies, die ein Skript setzt, und Cookies, die ein Server setzt. Entscheidend ist, ob das Cookie unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen. Ein Cookie, das Besucher für Statistik oder Werbung wiedererkennt, ist das nicht.

Sind gehashte E-Mail-Adressen anonym?

Nein. Der Hash einer E-Mail-Adresse ist immer derselbe Code, deshalb lässt er sich abgleichen. Nach der DSGVO sind das pseudonymisierte Daten und damit weiterhin personenbezogene Daten (Erwägungsgrund 26). Meta fragt gehashte E-Mail-Adressen gerade deshalb ab, um sie seinen Nutzern zuzuordnen.

Funktioniert Server Side Tracking mit Google Consent Mode v2?

Ja. Sie richten Consent Mode im Web-Container ein; das Google-Tag hängt den Einwilligungsstatus an jede Anfrage an den Server-Container, und Googles eigene Tags dort richten sich danach. Tags anderer Anbieter im Server-Container tun das nicht automatisch. Für sie müssen Sie selbst dafür sorgen, dass sie nur mit Einwilligung auslösen.

Dieser Ratgeber ist eine allgemeine Information und keine Rechtsberatung. Wir prüfen ihn regelmäßig, aber Gesetze und Leitlinien ändern sich. Unsicher, was für Sie gilt? Fragen Sie eine Anwältin oder einen Anwalt.

Weitere Ratgeber

Alle Ratgeber →

Die ersten 7 Tage komplett kostenlos

Erstellen Sie ein kostenloses Konto und finden Sie heraus, ob Cookie Confirm zu Ihnen passt. In 5 Minuten live.

Keine Kreditkarte erforderlich
Danach €7,95 pro Monat
Plug-and-play-Installation

Kostenlos testen

4,9/5 5.000+ Websites