Website-Tracking 2026: So tracken Marketer ihre Nutzer legal und effektiv

Für Marketing-Verantwortliche in Deutschland stellt sich 2025 eine entscheidende Frage: Wie lässt sich Nutzerverhalten effektiv tracken, ohne gegen die Datenschutzgrundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) zu verstoßen? Die rechtlichen Anforderungen werden zunehmend strenger, während gleichzeitig die Notwendigkeit präziser Daten für erfolgreiches Marketing steigt. Dieser Leitfaden zeigt Ihnen, wie Sie beide Anforderungen erfüllen.

Website-Tracking (auch User Tracking) bezeichnet die systematische Erfassung, Speicherung und Auswertung von Nutzerdaten auf einer Website. Dabei werden Informationen wie Seitenaufrufe, Klickpfade, Verweildauer, Website Traffic und Interaktionen der Website-Besucher dokumentiert und ausgewertet. Ziel ist es, das User Behavior besser zu verstehen, Marketing- und Vertriebsprozesse zu optimieren, die User Experience zu verbessern und die Conversion Rate (z. B. im E-Commerce) zu steigern.

Web Analytics liefert Antworten auf geschäftskritische Fragen: Welche Marketing-Kanäle generieren Conversions? Wo brechen Nutzer den Kaufprozess ab? Welche Content-Formate passen am besten? Über ein zentrales Dashboard behalten Teams die wichtigsten KPIs im Blick. Ohne diese Erkenntnisse agieren Sie im Marketing faktisch blind.

Professionelles Web Tracking ermöglicht:

• Conversion-Optimierung: Identifizierung und Beseitigung von Hindernissen im Kaufprozess
• ROI-Messung: Präzise Zuordnung von Umsätzen zu Marketingmaßnahmen
• Personalisierung: Auslieferung relevanter Inhalte basierend auf Nutzerinteressen
• A/B-Testing: Datengestützte Entscheidungen über Design- und Content-Varianten

Doch diese Daten sind personenbezogen – und damit reguliert. Die Herausforderung besteht darin, effektives Tracking zu implementieren, das die hohen Datenschutzstandards in Deutschland erfüllt.

Die rechtlichen Rahmenbedingungen für Website-Tracking in Deutschland sind komplex, aber klar definiert. Zwei zentrale Gesetzeswerke bestimmen, was erlaubt ist und was nicht.

1. DSGVO– die EU-Datenschutznorm

Die Datenschutz-Grundverordnung (DSGVO, GDPR) gilt EU-weit und regelt die Verarbeitung personenbezogener Daten.

Art. 6 DSGVO – Rechtsgrundlagen der Verarbeitung: Jede Datenverarbeitung benötigt eine Rechtsgrundlage. Für Tracking kommt in den meisten Fällen nur die Einwilligung (Art. 6 Abs. 1 lit. a) in Betracht. Das „berechtigte Interesse” (Art. 6 Abs. 1 lit. f) reicht seit der Rechtsprechung nicht mehr aus.

Art. 7 DSGVO – Bedingungen für die Einwilligung: Die Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erfolgen. Vorab aktivierte Checkboxen sind unzulässig.

Art. 13/14 DSGVO – Informationspflichten: Sie müssen transparent darüber informieren, welche Daten Sie zu welchem Zweck erheben und wer darauf Zugriff erhält.

2. TDDDG – Spezifizierung für digitale Dienste und Trackingtechnologien

In Deutschland ergänzt das Telekommunikation‑Digitale‑Dienste‑Datenschutz‑Gesetz (TDDDG; früher TTDSG) die DSGVO um Vorgaben zur Speicherung oder dem Zugriff auf Informationen in Endgeräten der Nutzer (z. B. Cookies, LocalStorage, Fingerprinting). Der zentrale Paragraph ist § 25 TDDDG:

§ 25 Abs. 1 TDDDG verbietet den Zugriff auf Informationen im Endgerät des Nutzers ohne dessen Einwilligung – es sei denn, der Zugriff ist technisch erforderlich für die Bereitstellung eines ausdrücklich gewünschten Dienstes.

Was das bedeutet:

• Tracking-Cookies benötigen immer eine Einwilligung.
• Marketing- und Analyse-Cookies fallen nicht unter „technisch erforderlich”.
• Auch cookielose Tracking-Methoden sind einwilligungspflichtig, wenn sie auf Informationen im Endgerät zugreifen.
• Verstöße können mit Bußgeldern bis zu 300.000 Euro geahndet werden.

Die Einwilligungsverwaltungsverordnung (EinwVO) 2025

Seit dem 1. April 2025 gilt die neue Einwilligungsverwaltungsverordnung (EinwVO), die auf § 26 TDDDG basiert. Sie ermöglicht sogenannte PIMS (Personal Information Management Services) – zentrale Dienste, über die Nutzer ihre Tracking-Präferenzen einmalig festlegen können.

Was das bedeutet:

• Cookie-Banner bleiben zunächst bestehen.
• Künftig können Nutzer ihre Präferenzen zentral hinterlegen.
• Websites, die PIMS unterstützen, müssen diese Einstellungen respektieren.
• Die Technologie befindet sich noch im Aufbau.

Die praktische Relevanz von PIMS wird sich 2025/2026 zeigen. Für Ihre aktuelle Tracking-Implementierung bedeutet dies: Bleiben Sie auf dem Laufenden in Bezug auf anerkannte PIMS-Dienste.

Aktuelle Rechtsprechung

Die deutschen Datenschutzbehörden und Gerichte legen die Vorschriften streng aus. Wichtige Entwicklungen sind:

• Google Analytics Verbot: Datenschutzbehörden in mehreren EU-Ländern haben den Einsatz von Google Analytics als nicht DSGVO-konform eingestuft, weil personenbezogene Daten (insbesondere IP-Adressen) in die USA übertragen werden.
• Cookie-Banner-Urteile: Das Verwaltungsgericht Hannover und andere Gerichte haben klare Anforderungen an die Gestaltung von Cookie-Bannern formuliert.
• Hohe Bußgelder: Verstöße gegen Cookie-Vorschriften führen zu fünfstelligen Bußgeldern.

Das heißt: ohne rechtskonforme Einwilligung kein Tracking.

Um rechtssicher zu tracken, müssen Sie verstehen, welche technischen Methoden existieren und welche datenschutzrechtlichen Implikationen sie haben.

1. Cookie-basiertes Tracking

Ein Cookie ist eine Textdatei, die im Browser des Nutzers gespeichert wird. Bei jedem Seitenaufruf wird dieser Cookie ausgelesen, wodurch der Nutzer wiedererkannt wird. Es gibt:

• Erstanbieter-Cookies (First-Party-Cookies): Von Ihrer Domain gesetzt, speichern beispielsweise Warenkorb-Informationen
• Drittanbieter-Cookies (Third-Party-Cookies): Von externen Diensten (Google, Facebook) gesetzt, ermöglichen Tracking über mehrere Websites hinweg

Einordnung:

• Erstanbieter-Cookies für Tracking sind einwilligungspflichtig nach § 25 TDDDG.
• Drittanbieter-Cookies sind einwilligungspflichtig und zusätzlich problematisch wegen Datenübermittlung an Dritte.
• Bei technisch notwendigen Cookies (z. B. Session-Cookies für Login) ist keine Einwilligung erforderlich.

Drittanbieter-Cookies werden von großen Browsern schrittweise blockiert. Google Chrome hat die vollständige Abschaffung mehrfach verschoben, plant aber weiterhin den Ausstieg. Safari und Firefox blockieren sie standardmäßig.

2. Fingerprinting

Anstatt einen Cookie zu setzen, erstellt Fingerprinting aus verschiedenen Geräte- und Browser-Eigenschaften einen einzigartigen „digitalen Fingerabdruck”. Kombiniert werden unter anderem:

• Bildschirmauflösung
• Installierte Schriftarten
• Browser-Version und Plugins
• Betriebssystem
• Spracheinstellungen
• Canvas-/WebGL-Fingerprinting

Einordnung:

Die DSK (Konferenz der Datenschutzbehörden) hat 2021 klargestellt: Reines Fingerprinting basierend auf Daten, die der Browser beim Seitenaufruf automatisch übermittelt, fällt nicht unter § 25 TDDDG. Aber: Sobald ein Personenbezug besteht, greift die DSGVO und Sie benötigen eine Einwilligung.

Herausforderung:

Vollständiges Fingerprinting, das eine zuverlässige Wiedererkennung ermöglicht, erzeugt fast immer einen Personenbezug. Damit wird es einwilligungspflichtig.

3. Server-Side-Tracking

Hierbei werden Daten nicht direkt vom Browser an Tools wie Google Analytics gesendet. Stattdessen läuft die Kommunikation über einen zwischengeschalteten Server (Ihren eigenen oder den eines Anbieters), der die Daten verarbeitet, bevor sie weitergeleitet werden.

Der technische Ablauf:

1. Der Nutzer interagiert mit Ihrer Website.
2. Das Tracking-Event wird an Ihren Server gesendet.
3. Der Server verarbeitet/anonymisiert die Daten.
4. Die bereinigten Daten werden an Analyse-Tools weitergeleitet.

Vorteile:

• Höhere Datenqualität, da Ad-Blocker umgangen werden
• Bessere Kontrolle über Daten vor der Weitergabe
• Möglichkeit zur Anonymisierung vor Drittübermittlung
• Schnellere Website-Performance

Einordnung:

Server-Side-Tracking wird oft als „datenschutzkonforme Lösung” vermarktet. Das ist aber stark vereinfacht, denn:

• Wenn Sie Cookies oder JavaScript-Fingerprinting einsetzen, bleibt die Einwilligungspflicht bestehen (§ 25 TDDDG).
• Wenn Sie personenbezogene Daten an Dritte (z. B. Google) übermitteln, benötigen Sie weiterhin eine Einwilligung (DSGVO).
• Server-Side-Tracking kann helfen, ist aber kein rechtlicher Freibrief.

Für Unternehmen, die große Marketingbudgets verwalten und maximale Datenkontrolle benötigen, kann Server-Side-Tracking trotz des erheblichen Implementierungsaufwands sinnvoll sein.

4. Cookielose Tracking-Alternativen

Es gibt zwei Ansätze:

Session-basiertes Tracking: Nutzer werden nur während einer Session verfolgt. Nach Schließen des Browsers ist keine Wiedererkennung mehr möglich.

Hash-basierte Ansätze: Tools wie Trackboxx nutzen die IP-Adresse und andere Parameter, um einen Hash zu generieren, der maximal 24 Stunden gespeichert wird. Die IP selbst wird nicht dauerhaft gespeichert.

Einordnung:

Diese Methoden können – bei korrekter Implementierung ohne Personenbezug – einwilligungsfrei sein. Der Wermutstropfen: deutlich eingeschränkte Analysemöglichkeiten.

Viele Unternehmen tracken rechtswidrig, oft ohne es zu wissen. Dies sollten Sie unbedingt vermeiden. Zu den größten rechtlichen Risiken zählen:

1. Fehlendes oder mangelhaftes Cookie-Banner

Cookie-Banner erfüllen oft nicht die gesetzlichen Anforderungen. Häufige Fehler:

• Tracking startet vor der Einwilligung
• „Ablehnen”-Button ist versteckt oder weniger prominent
• Keine granulare Auswahl nach Zwecken möglich
• Unklare oder missverständliche Formulierungen
• Fehlende Informationen über Datenweitergabe

Risiko: Bußgelder bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (je nachdem, was höher ist). In der Praxis: Bußgelder im vier- bis fünfstelligen Bereich sind üblich.

Aktuelle Entwicklung 2025: Das Verwaltungsgericht Hannover hat strenge Anforderungen formuliert. „Akzeptieren” und „Ablehnen” müssen gleichwertig dargestellt sein. Dark Patterns (manipulative Designs) sind unzulässig.

2. Einsatz von Google Analyticsohne ausreichende Schutzmaßnahmen

Google Analytics 4 verarbeitet Daten in den USA. Datenschutzbehörden in Österreich, Frankreich, Italien und anderen Ländern haben dies als DSGVO-widrig eingestuft, weil:

• Personenbezogene Daten (IP-Adressen) in ein Drittland ohne angemessenes Schutzniveau übertragen werden
• US-Behörden potenziell auf diese Daten zugreifen können (FISA 702, EO 12333)
• Die Standardvertragsklauseln keine ausreichenden Garantien bieten

Risiko: Es drohen nicht nur Bußgelder, sondern auch Anordnungen zur Einstellung der Datenverarbeitung.

Was Sie tun können:

• Umstieg auf europäische Alternativen (Matomo, etracker, Plausible)
• Bei Google Analytics 4: maximale Anonymisierung, Datenminimierung, regelmäßige Datenlöschung
• Kombination mit Server-Side-Tracking zur IP-Anonymisierung
• Transparente Information in der Datenschutzerklärung

Ein 100 % risikofreier Einsatz von Google Analytics ist derzeit in Deutschland kaum möglich. Sie müssen das Risiko abwägen.

3. Fehlende oder unvollständige Datenschutzerklärung

Die Datenschutzerklärung informiert nicht ausreichend über:

• Eingesetzte Tracking-Tools und deren Anbieter
• Zweck der Datenverarbeitung
• Empfänger der Daten (insbesondere in Drittländern)
• Speicherdauer
• Rechte der Betroffenen

Risiko: Verstoß gegen Art. 13 DSGVO, Bußgelder und Abmahnungen durch Wettbewerber oder Verbraucherschutzverbände sind möglich.

4. Fehlender oder unzureichender Auftragsverarbeitungsvertrag (AVV)

Wenn Sie Tools von Drittanbietern nutzen, handeln diese als Auftragsverarbeiter. Sie benötigen einen AVV, der die technischen und organisatorischen Maßnahmen zum Datenschutz regelt.

Risiko: Ohne AVV ist die Datenverarbeitung unrechtmäßig.

Tipp: Die meisten großen Anbieter stellen AVV-Vorlagen bereit, die Sie in Ihrem Account aktivieren können.

5. Verstoß gegen Datenminimierung und Speicherbegrenzung

Sie erheben mehr Daten als notwendig oder speichern sie länger als erforderlich. Zum Beispiel:

• Vollständige IP-Adressen werden gespeichert, obwohl anonymisierte IPs ausreichen würden
• Tracking-Daten werden unbegrenzt aufbewahrt
• Nutzerprofile werden über Jahre hinweg aufgebaut

Risiko: Verstoß gegen Art. 5 DSGVO (Grundsätze der Datenverarbeitung).

Was Sie tun können:

• Implementieren Sie automatische Löschfristen
• Anonymisieren Sie IP-Adressen
• Überprüfen Sie regelmäßig, welche Daten Sie wirklich benötigen

6. Ignorieren von Nutzerrechten

Nutzer haben umfassende Rechte: Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch. Wenn Sie diese Anfragen nicht oder unzureichend beantworten, drohen rechtliche Konsequenzen.

Tipp: Etablieren Sie einen Prozess für Betroffenenanfragen. Bei größeren Websites mit vielen Tracking-Tools kann die technische Umsetzung komplex sein.

Diese Anleitung hilft Ihnen, Schritt für Schritt ein rechtssicheres Tracking-Setup zu implementieren.

Schritt 1: Bestandsaufnahme – Was tracken Sie aktuell?

Bevor Sie optimieren können, müssen Sie Transparenz schaffen:

Tracking-Audit durchführen:

1. Listen Sie alle eingesetzten Tools auf (Analytics, Tag Manager, Heatmaps, A/B-Testing, Social Media Pixels, etc.)
2. Dokumentieren Sie für jedes Tool:
   • Welche Daten werden erfasst?
   • Werden Cookies gesetzt? Welche?
   • Wo werden Daten verarbeitet (EU, USA, andere Drittländer)?
   • Liegt ein AVV vor?
3. Nutzen Sie Browser-Developer-Tools oder spezielle Cookie-Checker um alle Cookies und Verbindungen zu erkennen

Typische Überraschungen: Viele Unternehmen entdecken beim Audit, dass mehr Tools aktiv sind als gedacht – oft durch historisch gewachsene Implementierungen oder vergessene Plugins.

Schritt 2: Rechtliche Basis klären

Für jedes Tracking-Tool benötigen Sie eine Rechtsgrundlage:

Technisch notwendig oder nicht? Nur notwendige Cookies (Login, Warenkorb, technische Session-Verwaltung) sind ohne Einwilligung erlaubt. Analyse- und Marketing-Cookies sind nie technisch notwendig.

Einwilligung einholen: Für alle nicht-notwendigen Cookies und Tracking-Methoden benötigen Sie eine Einwilligung über ein Einwilligungsverwaltungs-Tool.

AVV abschließen: Für jeden Drittanbieter muss ein Auftragsverarbeitungsvertrag vorliegen.

Schritt 3: Einwilligungsverwaltungs-Plattform (Consent Management Platform or CMP) implementieren

Ein professionelles Einwilligungsverwaltungs-Tool, wie etwa das von CookieYes, ist unverzichtbar für rechtssicheres Tracking.

Anforderungen an Ihr Cookie-Banner:

Erste Ebene (sofort sichtbar):

• Information über Einsatz von Cookies
• Gleichwertige Buttons für „Akzeptieren” und „Ablehnen”
• Link zu „Einstellungen” für detaillierte Auswahl
• Link zur Datenschutzerklärung

Zweite Ebene (Einstellungen):

• Kategorisierung nach Zwecken (z. B. „Statistik”, „Marketing”, „Externe Medien”)
• Für jede Kategorie: Beschreibung, Liste der Tools, Speicherdauer
• Möglichkeit, Kategorien individuell zu aktivieren/deaktivieren
• „Technisch notwendige” Cookies können vorausgewählt, aber nicht abwählbar sein

Technische Implementierung: Das Banner muss alle Tracking-Scripts blockieren, bis die Einwilligung erteilt wurde. Viele CMPs bieten dafür automatische Blocking-Mechanismen.

Dokumentation: Ihre CMP sollte jede Einwilligung protokollieren (Consent-Log): Zeitstempel, erteilte/verweigerte Kategorien, Banner-Version. Dies ist Ihr Nachweis im Streitfall.

Schritt 4: Tracking-Tools datenschutzfreundlich konfigurieren

Selbst mit Einwilligung sollten Sie Ihre Tools so konfigurieren, dass sie nur notwendige Daten erheben.

Google Analytics 4:

• IP-Anonymisierung aktivieren
• Datenaufbewahrung auf zwei Monate begrenzen
• Erweiterte Datenverarbeitungsoptionen deaktivieren, wenn nicht benötigt
• Google-Signale deaktivieren (verhindert geräteübergreifendes Tracking)
• Datenfreigabe mit Google deaktivieren

Google Tag Manager:

• Server-Side-Container in Betracht ziehen für sensible Branchen
• Consent Mode v2 implementieren (wichtig für Google Ads)
• Alle Tags an Einwilligungsvariablen binden

Facebook Pixel:

• Advanced Matching nur mit expliziter Einwilligung
• Automatische erweiterte Zuordnung deaktivieren
• Prüfen Sie, ob Sie wirklich alle Standard-Events benötigen

Schritt 5: Datenschutzerklärung aktualisieren

Ihre Datenschutzerklärung muss vollständig über Ihr Tracking informieren.

Pflichtinhalte für jedes Tool:

• Name und Anbieter des Tools (inklusive Adresse)
• Zweck der Datenverarbeitung („Reichweitenmessung”, „Conversion-Tracking”, etc.)
• Rechtsgrundlage (Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO)
• Welche Daten werden erfasst? (z. B. „IP-Adresse, Browsertyp, besuchte Seiten”)
• Speicherdauer bzw. Kriterien für Löschung
• Bei Drittlandtransfer: Information über das Drittland und Garantien
• Hinweis auf Widerrufsrecht

Schritt 6: Prozesse für Betroffenenrechte etablieren

Nutzer können jederzeit ihre Rechte geltend machen. Seien Sie vorbereitet:

Auskunftsrecht: Können Sie auf Anfrage sagen, welche Daten Sie über eine Person gespeichert haben? Bei Tracking-Tools ist dies oft schwierig, da die Daten beim Drittanbieter liegen.

Löschrecht: Können Sie Tracking-Daten eines Nutzers löschen? Bei dezentralen Tools (Google Analytics, Facebook) müssen Sie den Löschprozess des Anbieters nutzen.

Widerspruchsrecht: Nutzer können der Datenverarbeitung widersprechen. Technisch: Opt-Out-Cookie oder dauerhafte Speicherung der Ablehnung.

Dokumentation: Halten Sie fest, wie Sie diese Rechte technisch umsetzen können.

Schritt 7: Regelmäßige Überprüfung

Tracking und Datenschutz müssen laufend überprüft werden:

Vierteljährlicher Check:

• Gibt es neue Tools oder Cookies auf der Website?
• Sind alle Einträge in der Datenschutzerklärung aktuell?
• Funktioniert das Cookie-Banner noch korrekt?
• Werden Consent-Entscheidungen korrekt umgesetzt?

Jährlicher Deep-Dive:

• Vollständiges Tracking-Audit
• Überprüfung aller AVVs
• Review der Datenflüsse und Speicherfristen
• Schulung der verantwortlichen Mitarbeiter

Bei Änderungen: Neue Tools, neue Tracking-Zwecke oder Updates an bestehenden Tools erfordern eine Anpassung Ihrer Dokumentation und gegebenenfalls des Cookie-Banners.

Alternative Tracking-Ansätze evaluieren

Weitere datenschutzfreundliche Analytics-Tools sind:

• Matomo: Open Source, kann auf eigenem Server gehostet werden, volle Datenkontrolle
• etracker: Deutsche Alternative mit Fokus auf DSGVO-Konformität
• Plausible: Minimalistisches, cookieloses Analytics
• Fathom: Privacy-First Analytics aus der EU

Tools wie Trackboxx oder Matomo ohne Cookies bieten eine eingeschränkte, aber einwilligungsfreie Analyse. Der Nachteil: keine Wiedererkennung über Sitzungen hinweg, eingeschränkte Funnel-Analysen.

Mit vielen Browsern (z. B. Chrome, Safari) und Plattformen (z. B. Google) beginnt das Aus für Drittanbieter-Cookies. Marketer müssen umdenken – hin zu Methoden, die datenschutzfreundlicher und zugleich effektiv sind:

• Erstanbieter-Daten (First-Party-Daten) gewinnen an Bedeutung: Eigene Website-Daten, CRM-Daten, einwilligungsbasierte Kennungen
• Server-Side-Tracking verlagert Tracking-Logik in die eigene Infrastruktur, reduziert Abhängigkeiten von Browser-Cookies und Drittanbietern
• Kohorten-Tracking (z. B. Privacy Sandbox) und datenschutzgerechte Targeting-Methoden werden wichtiger
• KI-gestützte Analytics & Predictive Models: Mehr Insights, tiefere Personalisierung – zugleich aber erhöhtes Datenschutzrisiko (Profiling, automatisierte Entscheidungen)

Was Marketer jetzt tun sollten

• Aufbau einer Einwilligungs-First-Strategie: Nutzer-Zustimmung als aktive Voraussetzung
• Investition in Erstanbieter-Daten-Infrastruktur und Hosting in der EU
• Vorbereitung auf Privacy-by-Design & by-Default: Tracking-Settings müssen standardmäßig datenschutzfreundlich sein
• Zusammenarbeit mit Partnern, die sowohl Marketing- als auch Rechtsfachwissen bieten – z. B. CookieYes