Datenschützer lieben owntag
Server Side Tagging auf europäischer Infrastruktur
Server Side Tagging etabliert sich als technischer Standard zur Erfüllung von Privacy-by-Design-Anforderungen nach Art. 25 DSGVO. Mit owntag bekommst du die volle Kontrolle über deine Tracking-Datenflüsse – gehostet auf 100% europäischer Infrastruktur, ohne Google Cloud, AWS oder Azure.
- EU-Infrastruktur
- 100%
- Keine US-Clouds
- DSGVO-konform
- Art. 25
- Privacy by Design
- Cloud Act Risiko
- 0
- Europäische Anbieter
- Einrichtung
- 30s
- Bis zum laufenden Server
Das Problem
Warum Client-Side Tracking problematisch ist
Bei klassischem Tracking kommuniziert der Browser direkt mit Drittanbieter-Servern – ohne deine Kontrolle.
Wenn du heute einen typischen Tracking-Setup hast, funktioniert das so: JavaScript-Tags wie gtag.js, analytics.js oder das Meta Pixel werden im Browser deiner Nutzer ausgeführt. Diese Scripts senden HTTP-Requests direkt an google-analytics.com, connect.facebook.net oder andere Drittanbieter-Domains.
Dabei werden automatisch Daten übertragen, auf die du als Website-Betreiber keinen Einfluss hast:
- IP-Adresse des Nutzers (immer im HTTP-Header enthalten)
- User-Agent (Browser-Typ, Version, Betriebssystem)
- Cookies (einschließlich Third-Party Cookies für Cross-Site-Tracking)
- Referrer-URL und URL-Parameter (UTM-Tags, Click-IDs)
- Geräteinformationen (Bildschirmauflösung, Viewport, Sprache)
Das zentrale Problem: Drittanbieter-Scripts können beliebige Informationen aus dem Browser auslesen. Du weißt nicht genau, welche Daten tatsächlich erfasst und übertragen werden. Bei einem Datenschutz-Audit ist das schwer zu dokumentieren – und noch schwerer zu rechtfertigen.
Client-Side vs. Server-Side Tracking
Der fundamentale Unterschied liegt in der Kontrolle über den Datenfluss.
Client-Side Tracking
- Direkte Datenübertragung an Drittanbieter-Server (Google, Meta, etc.)
- Keine Kontrolle über tatsächlich erfasste Daten
- Third-Party-Cookies ermöglichen Cross-Site-Tracking
- IP-Adresse wird automatisch im HTTP-Header übertragen
- Drittanbieter-Scripts können beliebige Daten auslesen
- Keine Möglichkeit zur Filterung vor der Weitergabe
Server Side Tagging
- Datenfluss läuft über deinen eigenen Server als Schleuse
- Volle Kontrolle: Du entscheidest, welche Daten weitergeleitet werden
- First-Party-Kontext durch Custom Subdomain
- IP-Anonymisierung vor Weitergabe an Drittanbieter
- PII-Stripping: Personenbezogene Daten filtern
- Drittanbieter sehen nur die Server-IP, nicht die des Nutzers
Die Lösung
Server Side Tagging als Proxy-Architektur
Ein intermediärer Server zwischen Browser und Drittanbieter gibt dir die Kontrolle zurück.
Server Side Tagging fügt einen kontrollierten Server in den Datenfluss ein. Statt Browser → Drittanbieter läuft der Datenfluss jetzt: Browser → Tagging-Server → Drittanbieter.
Dieser Server-Container – in unserem Fall der Server Side Google Tag Manager – fungiert als Schleuse. Er empfängt die Daten, verarbeitet sie, und entscheidet dann, was an welchen Empfänger weitergeleitet wird.
Custom Subdomain für First-Party-Kontext
Entscheidend für den Datenschutz ist die Einrichtung einer Custom Subdomain wie data.deinedomain.de. Dadurch operiert der Tagging-Server im First-Party-Kontext:
- Cookies werden als First-Party Cookies gesetzt
- HTTP-Only Flags sind möglich
- Safari/Firefox ITP-Beschränkungen (7-Tage-Limit) greifen nicht
- Drittanbieter wie Google Analytics sehen nur die IP-Adresse des Servers, nicht die des Nutzers
Diese technisch inhärente Pseudonymisierung ist ein wichtiger Baustein für Privacy by Design nach Art. 25 DSGVO.
DSGVO-Compliance
Wie Server Side Tagging die DSGVO unterstützt
Server Side Tagging ist kein Allheilmittel, aber es gibt dir die technischen Werkzeuge, um Datenschutzanforderungen zu erfüllen.
- Art. 25 DSGVO: Privacy by Design
- SST ermöglicht Datenminimierung vor Weitergabe – genau wie von Erwägungsgrund 78 DSGVO gefordert.
- Art. 32 DSGVO: Sicherheit der Verarbeitung
- Zentrale Verarbeitung auf kontrollierten Servern statt im Browser. Keine Third-Party-JavaScript-Execution.
- Art. 44 ff. DSGVO: Drittlandtransfers
- Bei EU-only Hosting und vollständiger Anonymisierung vor Transfer liegt keine Übermittlung personenbezogener Daten in Drittländer vor.
- SHA256-Hashing
- Personenbezogene Daten wie E-Mail-Adressen können vor Weitergabe (z.B. an Meta CAPI) verschlüsselt werden.
- Vollständige Dokumentation
- Alle ausgehenden Requests sind in "Outgoing HTTP Requests" einsehbar – perfekt für Audits und Nachweispflichten.
- Keine Piggyback-Tags
- Bei Client-Side können Tags weitere Tags nachladen. SST eliminiert diese unkontrollierte Datenweitergabe komplett.
Regulatorischer Kontext
Behördenentscheidungen zu Google Analytics
Die wegweisenden Entscheidungen der EU-Datenschutzbehörden haben Server Side Tagging als Compliance-Strategie etabliert.
DSB Österreich: Der Startschuss
Die Datenschutzbehörde Österreich stellte im Dezember 2021 fest, dass der Einsatz von Google Analytics gegen Art. 44 DSGVO verstößt. Die Kernkritikpunkte:
- IP-Adressen, Cookie-IDs und Browser-Parameter sind personenbezogene Daten
- IP-Anonymisierung ist Pseudonymisierung, nicht Anonymisierung – Google kann Nutzer re-identifizieren
- Der risikobasierte Ansatz wurde ausdrücklich abgelehnt
In einer Folgeentscheidung bezeichnete die DSB die IP-Anonymisierung als "nutzlose Schutzmaßnahme".
CNIL Frankreich: Proxy-Server als Lösung
Die französische CNIL erließ ab Februar 2022 mehrere Entscheidungen gegen Google Analytics – und benannte in ihrer FAQ vom Juni 2022 explizit Proxy-Server als mögliche Compliance-Lösung:
- Unternehmen muss in der EU registriert sein
- Server physisch in der EU lokalisiert
- Pseudonymisierung vor dem Datenexport
- Keine Re-Identifizierbarkeit durch den Empfänger
Das ist im Grunde eine Beschreibung von Server Side Tagging mit EU-Hosting.
Weitere Behörden
Die schwedische IMY sprach im Juli 2023 die ersten Geldbußen für Google Analytics-Nutzung in der EU aus: Tele2 erhielt €1 Million, CDON ca. €29.000. Die dänische Datatilsynet empfahl, Google Analytics einzustellen oder einen Reverse Proxy zu implementieren. Norwegens Behörde warnte im Februar 2025, europäische Unternehmen sollten "Exit-Strategien" für US-Dienste entwickeln.
Das EU-US Data Privacy Framework
Seit Juli 2023 existiert das neue EU-US Data Privacy Framework, das Transfers an zertifizierte US-Unternehmen ermöglicht. Google ist zertifiziert. Allerdings: noyb hat "Schrems III" angekündigt, das Framework basiert auf einer Executive Order (jederzeit widerrufbar), und der EDPB fordert eine Neubewertung. Die Rechtsunsicherheit bleibt bestehen – ein Grund mehr, sich mit EU-basierten Alternativen abzusichern.
100% EU-Infrastruktur
owntag ist europäisch
Mit owntag hostest du deinen Server Side GTM auf Infrastruktur, die sich nicht nur in der EU befindet, sondern auch EU-Unternehmen gehört.
owntag GmbH mit Sitz in Hamburg betreibt alle Server auf Scaleway – einem französischen Cloud-Anbieter. Wir nutzen keine Google Cloud, AWS oder Azure.
Das bedeutet: Keine Anwendung des US CLOUD Act, der US-Behörden Zugriff auf Daten bei US-Unternehmen ermöglicht – selbst wenn die Server in der EU stehen. Bei owntag hast du dieses Risiko nicht.
owntag für Datenschutz
Was owntag für deinen Datenschutz tut
owntag gibt dir die Infrastruktur und Tools für datenschutzkonformes Tracking – die Konfiguration liegt bei dir.
- 100% EU-Infrastruktur
- Server auf Scaleway (Frankreich) – kein Google Cloud, AWS oder Azure. Keine Anwendung des US CLOUD Act.
- Deutsche GmbH
- owntag ist eine deutsche GmbH mit Sitz in Hamburg. Vollständig europäisches Unternehmen unter EU-Recht.
- Integrierte Geolokalisierung
- Erkennung des Herkunftslandes ohne externe API-Calls. Deine Nutzer-IPs werden an niemanden weitergegeben.
- AVV verfügbar
- Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO für deine Compliance-Dokumentation.
Datenschutzfreundliche Geolokalisierung
Länder erkennen ohne Dritte
owntag ermittelt das Herkunftsland automatisch – ohne externe API-Calls und ohne Weitergabe von Nutzer-IPs.
Die Geolokalisierung erfolgt komplett lokal auf den owntag-Servern mittels einer ständig aktualisierten IP2Location-Datenbank. Es werden keine externen Dienste angefragt.
Der Ländercode wird per HTTP-Header (x-owntag-usercountry) bereitgestellt. Damit kannst du das Google-Feature Regionsspezifisches Verhalten für Tags nutzen – z.B. um für bestimmte Länder andere Consent-Regeln anzuwenden.
Strukturierte Geräteinformationen
User Agent Info ohne Drittanbieter
owntag analysiert User-Agent-Strings lokal und liefert strukturierte Gerätedaten – ohne externe Dienste.
User Agent Info analysiert den User-Agent-Header auf den owntag-Servern und stellt Browser, Betriebssystem, Rendering-Engine und Plattformtyp als einzelne HTTP-Header bereit (z. B. x-owntag-device-browser, x-owntag-device-os).
Nutze diese Daten für Analytics-Anreicherung, plattformspezifische Trigger oder die Übergabe strukturierter Geräteinformationen an Conversion-APIs – ganz ohne Drittanbieter-Dienste.
Wichtig zu wissen
Was Server Side Tagging nicht kann
SST ist ein mächtiges Werkzeug, aber kein Allheilmittel. Diese Grenzen solltest du kennen.
owntag betont explizit: "Macht owntag mein Tracking automatisch DSGVO-konform? Nein, aber es gibt dir die Werkzeuge dafür." Hier sind die wichtigsten Einschränkungen:
Grenzen und Verantwortlichkeiten
- Einwilligung bleibt Pflicht
- SST befreit nicht von der Einwilligungspflicht nach TTDSG § 25 und ePrivacy-Richtlinie. Consent Mode V2 muss weiterhin implementiert werden.
- Verantwortlichkeit beim Betreiber
- Du als Website-Betreiber bleibst Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO. owntag gibt dir die Werkzeuge – die korrekte Konfiguration liegt bei dir.
- Konfiguration entscheidend
- Falsche Konfiguration führt weiterhin zu Datenschutzverstößen. Regelmäßige Audits der ausgehenden Requests sind empfohlen.
- Google Analytics & US-Transfer
- Bei GA4 werden Daten laut Google-Dokumentation immer auch auf US-Servern verarbeitet. SST ist hier eine Proxy-Lösung, kein Komplettausschluss.
Technische Tipps
Empfehlungen für die datenschutzfreundliche Implementierung
Diese Maßnahmen helfen dir, das Maximum an Datenschutz aus deinem SST-Setup herauszuholen.
Technische Maßnahmen
- Custom Domain einrichten: Nutze eine Subdomain deiner eigenen Domain (z.B.
data.deinshop.de) für den First-Party-Kontext. - IP-Handling konfigurieren: Entferne IP-Adressen vollständig (
ip_override: "0.0.0.0") oder ersetze sie durch die Server-IP vor Weitergabe an US-Dienste. - Client-ID pseudonymisieren: Die CNIL empfiehlt einen Hash mit zeitvariabler Komponente:
crc32_hash(IP + UserAgent) + "." + timestamp - Transformations nutzen: Filtere Daten vor dem Versand an Vendor-Tags. Das Google Ads Tag sendet z.B. standardmäßig alle Eventdaten – filtere, was du nicht brauchst.
- Outgoing Requests prüfen: Im SGTM Preview Mode kannst du unter "Outgoing HTTP Requests" genau sehen, welche Daten an welchen Empfänger gehen.
Rechtliche Maßnahmen
- AVV abschließen mit owntag gemäß Art. 28 Abs. 3 DSGVO
- Transfer Impact Assessment bei verbleibenden US-Transfers (z.B. Google Analytics)
- Verarbeitungsverzeichnis aktualisieren (Art. 30 DSGVO)
- Datenschutzerklärung anpassen – erwähne das Server-Side-Tracking-Setup
- Consent-Logs archivieren für die Nachweispflicht nach Art. 5 Abs. 2 DSGVO
Fazit
Server Side Tagging als Datenschutz-Baustein
Server Side Tagging ist ein technischer Baustein für datenschutzkonformeres Tracking, der die Anforderungen von Art. 25 DSGVO (Privacy by Design) und Art. 32 DSGVO (Sicherheit der Verarbeitung) substanziell unterstützt.
European-only Hosting auf EU-eigener Infrastruktur – wie von owntag angeboten – eliminiert Drittlandtransfer-Risiken für den Hosting-Bereich und adressiert die Kernkritikpunkte der DSB Österreich und CNIL Frankreich zu Google Analytics.
Die Technologie gibt dir als Website-Betreiber die Werkzeuge für besseren Datenschutz: Datenfilterung, IP-Anonymisierung, PII-Stripping. Die Verantwortung für deren korrekten Einsatz bleibt bei dir als Verantwortlichem.
Die rechtliche Unsicherheit durch die erwartete "Schrems III"-Anfechtung des EU-US Data Privacy Framework macht vorausschauende Planung mit EU-basierten Alternativen ratsam. Mit owntag bist du darauf vorbereitet.
Bereit für Server Side?
Übernimm die Kontrolle über deine digitale Datenerhebung mit Server Side Tagging und dem Server Side GTM – einfach gehostet mit owntag.
