DSGVO-konformes Tracking 2026: Consent Mode v2 verständlich erklärt

7 Min. Lesezeit

DSGVO-konformes Tracking 2026: Consent Mode v2 verständlich erklärt

Als wir unsere eigene Website neu aufgebaut haben, stand ich vor derselben Frage wie viele meiner Kunden: Wie bekomme ich Tracking, das mir wirklich etwas sagt, ohne rechtlich auf dünnem Eis zu stehen? Die Antwort war eine komplette Umstellung: selbst gehosteter Consent-Banner, Consent Mode v2 und ein Google Tag Manager, der erst nach der Einwilligung überhaupt geladen wird. Vor dem Klick auf „Akzeptieren“ verlässt kein einziger Tracking-Request den Browser.

In diesem Beitrag erkläre ich, was Consent Mode v2 eigentlich ist, warum ich mich für die strenge Variante entschieden habe und wie Sie prüfen können, wo Ihre eigene Website steht. Eines vorweg: Ich bin Performance-Marketer, kein Anwalt. Dieser Beitrag ist ein Erfahrungsbericht aus der Praxis, keine Rechtsberatung.

Warum ich unser Tracking komplett umgestellt habe

Der Anlass war unser Website-Rebuild. Wenn man ohnehin jede Zeile neu aufsetzt, gibt es keine Ausrede mehr für gewachsene Altlasten: irgendwann eingebaute Pixel, ein Cookie-Banner von der Stange, Tags, die „schon immer“ vor der Einwilligung feuerten.

Dazu kam ein zweiter Grund: Glaubwürdigkeit. Ich prüfe mit unserem Tracking- und Consent-Check regelmäßig fremde Websites auf genau diese Punkte. Da will ich auf der eigenen Website zeigen, wie es richtig aussieht, nicht nur davon reden. Datengetrieben zu arbeiten und die Einwilligung der Besucher ernst zu nehmen ist kein Widerspruch. Es ist eine Architekturfrage.

Consent Mode v2 verständlich erklärt, kein Bürokratiemonster

Der Consent Mode ist eine Schnittstelle von Google, über die Ihre Website den Google-Diensten mitteilt, was der Besucher erlaubt hat. Technisch sind das Signale, die auf „granted“ (erlaubt) oder „denied“ (verweigert) stehen, etwa analytics_storage für Statistik-Cookies und ad_storage für Werbe-Cookies.

Version 2 hat zwei zusätzliche Signale gebracht: ad_user_data (dürfen Nutzerdaten für Werbezwecke an Google gehen?) und ad_personalization (darf Werbung personalisiert werden?). Seit März 2024 verlangt Google diese Signale für den Europäischen Wirtschaftsraum. Wer sie nicht sendet, verliert in Google Ads nach und nach zentrale Funktionen, etwa Remarketing-Zielgruppen und die Modellierung von Conversions.

Wichtig zu verstehen: Consent Mode v2 ist kein Cookie-Banner und ersetzt auch keinen. Er ist die Leitung zwischen Ihrem Banner und den Google-Tags. Der Banner holt die Entscheidung des Besuchers ein, der Consent Mode übersetzt sie für Google. Und er macht Ihr Setup nicht automatisch DSGVO-konform, es kommt darauf an, wie Sie ihn einsetzen. Ein perfekt konfigurierter Consent Mode hinter einem manipulativen Banner bleibt ein Problem, nur eben ein technisch sauber übermitteltes.

Dabei gibt es zwei Spielarten:

  • Basic-Variante: Ohne Einwilligung wird gar nichts geladen, keine Tags, keine Pings. Erst nach dem Opt-in starten die Google-Dienste mit den passenden Signalen.
  • Advanced-Variante: Die Google-Tags laden sofort und senden auch ohne Einwilligung anonymisierte, cookielose Pings, aus denen Google Conversions modelliert.

Die Advanced-Variante klingt für Marketer verlockend, weil weniger Daten verloren gehen. Sie bedeutet aber, dass vor jeder Einwilligung Daten an Google fließen, und genau darüber streiten Datenschützer. Für unsere Website habe ich mich bewusst für die strenge Basic-Variante entschieden: Vor dem Opt-in passiert nichts. Das kostet Datenpunkte, ist dafür aber sauber argumentierbar.

Die rechtliche Seite in Kurzform

Die Consent-Mode-Signale und ihre Pflicht im Europäischen Wirtschaftsraum

Ohne in die Tiefe zu gehen, das Grundprinzip ist überschaubar: Cookies und vergleichbare Technologien, die für den Betrieb der Website nicht notwendig sind, brauchen in Österreich eine echte, informierte Einwilligung, bevor sie gesetzt werden. Das ergibt sich aus dem Telekommunikationsgesetz und der DSGVO.

„Echt“ heißt dabei: Der Besucher muss frei wählen können. Ein Banner, bei dem „Alle akzeptieren“ leuchtet und die Ablehnung in Untermenüs versteckt ist, ein Banner, der beim Weiterscrollen einfach verschwindet, oder Tags, die schon beim Seitenaufruf feuern, während der Banner noch offen ist: All das sehe ich in unseren Website-Scans laufend, und genau das sind die Muster, die Datenschutzbehörden und Gerichte immer wieder beanstanden. Details dazu klären Sie im Zweifel bitte mit Ihrer Rechtsberatung.

So haben wir es umgesetzt: Banner selbst gehostet, GTM erst nach Opt-in

DSGVO-konforme Tracking-Architektur aus Design, Funktion und Timing

Unsere Umsetzung besteht aus drei Bausteinen:

  1. Selbst gehosteter Consent-Banner. Keine externe Consent-Plattform, kein fremdes Script, das vor der Einwilligung von einem Drittserver lädt. Der Banner ist Teil der Website, mit drei Kategorien: notwendig, Statistik, Marketing. „Nur notwendige“ ist genauso prominent wie „Alle akzeptieren“, und über den Footer-Link lässt sich die Auswahl jederzeit ändern.
  2. Consent Mode v2 mit Standard „denied“. Beim Seitenaufruf stehen alle Signale auf verweigert. Erst die Entscheidung des Besuchers setzt sie um, und zwar getrennt nach Statistik und Marketing.
  3. Google Tag Manager erst nach der Einwilligung. Das ist der Punkt, der unser Setup von den meisten unterscheidet: Der GTM wird nicht etwa geladen und nur „stumm geschaltet“, er wird ohne Opt-in gar nicht erst eingebunden. Lehnt der Besucher ab, existiert auf der Seite schlicht kein Google-Code.

Der messbare Effekt: Ruft jemand unsere Website auf und klickt nichts an, gehen null Tracking-Requests raus. Keine Verbindung zu Google, Meta oder einem Analytics-Dienst, nichts. Die Entscheidung des Besuchers wird als einzelnes Cookie auf unserer eigenen Domain gespeichert, hundertachtzig Tage lang, damit der Banner nicht bei jedem Besuch neu erscheint. Ein angenehmer Nebeneffekt dieser Architektur: Die Seite bleibt schnell, weil vor der Einwilligung schlicht nichts Zusätzliches geladen werden muss.

Was das für die Datenqualität bedeutet

Unterschied zwischen Basic und Advanced Consent Mode für die Datenqualität

Die ehrliche Antwort: Ja, mit der strengen Variante sehen Sie nur die Besucher, die eingewilligt haben. Ein Teil des Traffics bleibt unsichtbar. Damit muss man arbeiten können, und man kann es auch.

Denn für die Steuerung von Kampagnen brauchen Sie keine lückenlose Überwachung, sondern belastbare Relationen: Welche Kampagne bringt Anfragen, welche verbrennt Budget? Diese Verhältnisse bleiben auch mit Einwilligungs-Tracking erkennbar. Dazu kommen Datenquellen, die ganz ohne Cookies auskommen, etwa die Google Search Console für die organische Sichtbarkeit oder serverseitige Kennzahlen Ihres Hosters. Wer seine Entscheidungen an Trends und Relationen ausrichtet statt an scheinbar exakten Einzelwerten, verliert durch ein sauberes Setup erstaunlich wenig Steuerungsfähigkeit. Wie wir Tracking und Kampagnen zusammen denken, zeigt unsere Seite zum Performance Marketing.

So prüfen Sie Ihre eigene Website

Sie können den wichtigsten Test selbst machen, ohne Werkzeuge zu installieren:

  • Öffnen Sie Ihre Website in einem privaten Fenster, damit keine alte Einwilligung gespeichert ist.
  • Öffnen Sie vorher die Entwicklertools Ihres Browsers (Taste F12) und dort den Reiter „Netzwerk“.
  • Laden Sie die Seite und klicken Sie im Banner nichts an. Filtern Sie die Liste nach „google“, „facebook“ oder „analytics“.
  • Erscheinen dort schon Einträge, feuern Ihre Tags vor der Einwilligung, genau das Muster, das Probleme macht.

Wer es bequemer mag: Unser Tracking- und Consent-Check macht einen echten Live-Scan Ihrer Website und zeigt Ihnen, welche Bausteine eingebunden sind, vom GTM über GA4 und Meta Pixel bis zum Consent Mode v2.

Brauche ich Consent Mode v2, wenn ich keine Google Ads schalte?
Verpflichtend ist er vor allem dann, wenn Sie Google-Werbedienste in Europa nutzen, also etwa Google Ads mit Remarketing oder Conversion-Messung. Wer nur Google Analytics einsetzt, braucht trotzdem eine saubere Einwilligungslösung, und der Consent Mode ist der vorgesehene Weg, diese Entscheidung an Google-Tags weiterzugeben. Kurz: Sobald Google-Tags im Spiel sind, ist er die richtige Grundlage.
Reicht ein Cookie-Banner allein nicht aus?
Nein, und das ist der häufigste Irrtum. Der Banner ist nur die Oberfläche. Entscheidend ist, was technisch dahinter passiert: Werden die Tags wirklich erst nach der Einwilligung geladen? Wird die Ablehnung genauso respektiert wie die Zustimmung? In unseren Scans sehen wir regelmäßig Websites mit Banner, bei denen die Pixel trotzdem sofort feuern.
Verliere ich mit der strengen Basic-Variante nicht zu viele Daten?
Sie sehen weniger Besucher, das stimmt. Für die Kampagnensteuerung zählen aber Relationen und Trends, und die bleiben aussagekräftig. Mein Rat: erst das Setup sauber aufstellen, dann bewerten, ob die verbleibende Datenbasis für Ihre Entscheidungen reicht. In den meisten KMU-Fällen reicht sie.
Muss ich für ein sauberes Setup meine Website neu bauen?
Nein. Consent-Banner, Consent Mode v2 und die richtige Tag-Reihenfolge lassen sich auch in bestehende Websites einbauen, egal ob WordPress, Shopify oder Eigenentwicklung. Der Aufwand hängt vom Zustand des vorhandenen Setups ab. Ein Scan zeigt schnell, wie weit der Weg ist.

Mein Fazit

Consent Mode v2 ist kein Bürokratie-Monster, sondern eine klare Schnittstelle: Der Besucher entscheidet, die Technik setzt es um. Die Umstellung auf unserer eigenen Website hat mir zwei Dinge bestätigt. Erstens: Ein Setup, das vor der Einwilligung schlicht nichts lädt, ist technisch gut machbar und lässt sich jedem Besucher und jeder Behörde ruhigen Gewissens zeigen. Zweitens: Die Angst vor dem Datenverlust ist kleiner als gedacht, wenn man mit Relationen statt Einzelwerten arbeitet.

Wenn Sie wissen möchten, wo Ihre Website steht: Der kostenlose Tracking- und Consent-Check scannt sie live und zeigt Ihnen die konkreten Funde, in wenigen Minuten.