Conversion-Tracking, das DSGVO-konform bleibt.
Und trotzdem vollständig misst.

Conversion-Tracking steht seit Jahren zwischen zwei Anforderungen, die sich zu widersprechen scheinen. Die Rechtslage verlangt Einwilligung vor jedem nicht notwendigen Zugriff auf das Endgerät. Die Werbeplattformen verlangen möglichst vollständige Daten, um Gebote sinnvoll zu steuern. Der Widerspruch löst sich auf, sobald Tracking als Architektur geplant wird und nicht als Sammlung von Skripten.

Was die Rechtslage in Österreich verlangt

Zwei Regelwerke greifen ineinander. Das Telekommunikationsgesetz 2021 regelt in § 165 Abs. 3 den Zugriff auf das Endgerät: Cookies und vergleichbare Technologien, die nicht technisch notwendig sind, brauchen eine Einwilligung [1]. Die DSGVO regelt die anschließende Verarbeitung personenbezogener Daten und setzt die Maßstäbe für eine gültige Einwilligung: freiwillig, informiert, eindeutig. Eine vorausgewählte Checkbox reicht nicht, das hat der EuGH bereits 2019 entschieden [2].

Dazu kommt die Frage der Übermittlung in Drittländer. Die österreichische Datenschutzbehörde hat 2022 eine konkrete Google-Analytics-Nutzung beanstandet, weil Daten ohne ausreichende Garantien in die USA flossen [3]. Mit dem EU-US Data Privacy Framework gibt es seit Juli 2023 wieder eine Grundlage für Übermittlungen an zertifizierte US-Unternehmen [4]. An der Einwilligungspflicht für Cookies ändert das nichts.

Warum Tracking trotzdem lückenhaft wird

Selbst ein rechtlich sauberes Setup verliert Daten, wenn es nur im Browser läuft. Safari begrenzt per Skript gesetzte Cookies auf sieben Tage [7]. Wer am Montag eine Anzeige klickt und am übernächsten Mittwoch kauft, ist für das Werbekonto ein neuer Besucher. Ad-Blocker unterdrücken bekannte Pixel-Domains vollständig. Und jede abgelehnte Einwilligung fehlt ohne Gegenmaßnahme ganz in der Statistik.

Das Ergebnis sind Werbekonten, die weniger Conversions sehen, als tatsächlich passieren. Für die Berichterstattung ist das ärgerlich, für die Steuerung ist es teuer: Smart Bidding verteilt Budget nach den Conversions, die es sieht. Fehlen die Käufe eines Kanals systematisch, wird dieser Kanal systematisch unterbewertet.

Was Server-Side-Tracking leistet

Beim Server-Side-Tracking sendet die Website Ereignisse nicht direkt an Google oder Meta, sondern an einen eigenen Server-Container unter einer Subdomain des Unternehmens [8]. Dieser Server setzt First-Party-Cookies mit stabiler Laufzeit, prüft den Einwilligungsstatus und entscheidet, welche Felder an welche Plattform weitergegeben werden. IP-Adressen lassen sich kürzen, URL-Parameter entfernen, sensible Felder verwerfen.

Drei Effekte zählen: Die Messung ist robuster gegen Browser-Beschränkungen, die Kontrolle über abfließende Daten liegt beim Unternehmen, und die Website lädt schneller, weil weniger Drittanbieter-Skripte im Browser laufen.

Consent Mode v2: modellieren statt raten

Für Besucher ohne Einwilligung bleibt eine Lücke, die sich nicht durch Technik schließen lässt und auch nicht schließen soll. Der Consent Mode v2 von Google übergibt den Einwilligungsstatus an die Google-Tags. Ohne Einwilligung senden sie nur cookielose Signale ohne Kennungen, aus denen Google fehlende Conversions statistisch hochrechnet [6]. Seit März 2024 ist Consent Mode v2 Voraussetzung, um Personalisierungs- und Remarketing-Funktionen für Nutzer im Europäischen Wirtschaftsraum zu verwenden.

Wo Datenschutz und Datenqualität zusammenfallen

Die stärksten Signale entstehen dort, wo eine Einwilligung vorliegt und das Unternehmen eigene Daten hat. Enhanced Conversions und die Meta Conversions API übertragen gehashte Kundendaten wie die E-Mail-Adresse eines Käufers, damit die Plattform den Kauf einer Anzeige zuordnen kann. Das funktioniert nur mit sauberer Rechtsgrundlage und wirkt dann deutlich stärker als jedes Cookie. Wer zusätzlich Bestellwerte statt bloßer Zählungen überträgt, gibt Smart Bidding die Information, auf die es eigentlich optimieren soll: Umsatz.

Wie ein solcher Server-Container technisch aufgesetzt wird, beschreibt der Ratgeber Server-Side-Tracking einrichten. Den Vergleich der beiden Ansätze im Detail liefert Server-Side-Tracking vs. Client-Side. Auf derselben Datenbasis setzen weitere Lösungen auf, etwa eine Umsatzprognose oder ein Lead-Scoring.