Drittanbieter-Analyse-Tools offenlegen: Tracking prüfen

Das Wichtigste in Kürze:

• Drittanbieter-Analyse-Tools müssen nachvollziehbar nach Zweck, Anbieter und Datenfluss eingeordnet werden.
• Für Nutzungsanalysen durch Drittanbieter, geräteübergreifende Auswertungen und Profilbildung ist grundsätzlich eine aktive Einwilligung erforderlich.
• Prüfe nicht nur den Cookie-Banner, sondern auch CMP, Consent-Signale, Tags und Datenschutzerklärung gemeinsam.

Ein Cookie-Banner allein macht ein Tracking-Setup nicht transparent. Wenn du ein drittanbieter analyse tool offenlegen willst, musst du verständlich zeigen, welcher Anbieter welche Daten zu welchem Zweck erhält. Genau hier entstehen in der Praxis häufig Lücken: Der Anbieter steht zwar irgendwo in einer langen Datenschutzerklärung, aber nicht dort, wo Nutzer ihre Entscheidung treffen.

Ein nachvollziehbares Tracking-Setup ist eine technische und redaktionelle Zuordnung von Analyse-Tools, Anbietern, Zwecken, Einwilligungen und ausgelösten Tags. Es zeigt, was vor und nach einer Zustimmung passiert.

Die rechtliche Bewertung hängt außerdem davon ab, welche Vorgänge als „Tracking“ gelten. Dieser Leitfaden zeigt dir, wie du Drittanbieter, Zwecke und Consent-Signale strukturiert prüfst und wo die technische Umsetzung besonders häufig auseinanderläuft.

Warum du Drittanbieter-Analyse-Tools offenlegen musst

Die zentrale Frage lautet nicht nur: „Setzt die Website Cookies?“ Entscheidend ist, ob Daten an Dritte fließen, zu welchem Zweck das geschieht und ob daraus Nutzungsprofile oder seiten- beziehungsweise geräteübergreifende Analysen entstehen. Laut developers.google.com dient Consent Mode dazu, die Datenerhebung für Werbe- und Analysezwecke anhand der Nutzerzustimmung zu steuern.

Wer ein Drittanbieter-Analyse-Tool einsetzt, sollte deshalb mindestens vier Ebenen zusammenführen:

• den Namen des Anbieters oder Vendors,
• den konkreten Analyse- oder Werbezweck,
• die betroffenen Daten und Übertragungen,
• den Status der Einwilligung vor dem Tag-Start.

Die Offenlegung ist dabei kein rein juristischer Textbaustein. Sie muss zur technischen Realität passen. Wenn im Consent-Banner nur „Statistik“ steht, der Tag aber zusätzlich eine geräteübergreifende Analyse ermöglicht, bleibt die Zuordnung für Nutzer unklar.

Laut Liste von Statistik-Software – Wikipedia kann Statistik-Software sehr große Datenmengen mit rechenintensiven Methoden analysieren. Für deine Prüfung zählt daher nicht allein, ob ein Tool „Analytics“ heißt. Du musst verstehen, welche Daten verarbeitet werden und welche Auswertungen die konkrete Konfiguration erlaubt.

Transparenz beginnt bei den Empfängern

Ein verständlicher Hinweis beantwortet konkrete Fragen: Wer verarbeitet Daten? Warum ist das erforderlich? Welche Kategorien von Daten sind betroffen? Werden Informationen auf dem Gerät gespeichert oder ausgelesen? Wann startet die Verarbeitung?

Diese Fragen helfen auch intern. Marketing, Entwicklung und Datenschutz arbeiten dann mit derselben Beschreibung. Das reduziert das Risiko, dass ein neues Tag eingebaut wird, ohne den Consent-Flow oder die Datenschutzerklärung anzupassen.

Tracking sauber abgrenzen

Die Quellen betonen, dass die Einordnung davon abhängt, welche Vorgänge unter den Begriff „Tracking“ fallen. Eine pauschale Aussage wie „Analytics ist immer harmlos“ reicht deshalb nicht. Prüfe den Zweck und die Funktionsweise des konkreten Setups.

Drittanbieter-Analyse-Tools offenlegen: Die Prüflogik

Wenn du ein drittanbieter analyse tool offenlegen willst, beginne mit dem Datenfluss und nicht mit dem Namen des Tools. Der Anbietername allein erklärt noch nicht, was passiert. Erst die Verbindung aus Zweck, Tag, Daten und Zustimmung macht das Setup prüfbar.

Zweck und Datenfluss erfassen

Erstelle zunächst eine interne Übersicht. Sie muss nicht kompliziert sein, sollte aber für jede Integration dieselben Fragen beantworten:

1. Welcher Tag oder welches Skript wird geladen?
2. Welcher Drittanbieter erhält Daten?
3. Welchem Zweck dient die Verarbeitung?
4. Welche Einwilligung ist vor dem Start erforderlich?
5. Was passiert, wenn der Nutzer ablehnt?
6. Welche Systeme übermitteln den Consent-Status?

Trenne dabei Analyse, Werbung, Personalisierung und Produktverbesserung. Die Aufsichtsbehörden diskutieren die Rechtsgrundlage für die Verarbeitung zum Zweck der Verbesserung eines Produkts im Rahmen der DSGVO. Daraus folgt für die Praxis: Der Zweck muss konkret beschrieben und rechtlich bewertet werden, statt pauschal als „Optimierung“ zu erscheinen.

Bei Nutzungsanalysen durch Drittanbieter sowie bei seiten- und geräteübergreifenden Analysen ist grundsätzlich eine Einwilligung erforderlich. Gleiches gilt für personalisierte Werbung, Tracking mit Profilbildung und die Erstellung von Bewegungsprofilen. Diese Einordnung gehört in deine Prüflogik, nicht erst in eine nachträgliche Korrektur.

Vendoren und Tags zuordnen

Ein häufiger Fehler entsteht, wenn ein Unternehmen nur die sichtbare Marke nennt, nicht aber die konkrete technische Integration. Google Analytics, Google Ads oder ein anderes System können über verschiedene Tags, Container oder Konfigurationen eingebunden sein. Dokumentiere deshalb Tag und Anbieter gemeinsam.

Die folgende Übersicht hilft bei der Zuordnung:

Prüfebene	Frage	Ergebnis
Zweck	Warum werden Daten verarbeitet?	Analyse, Werbung, Personalisierung oder anderer Zweck
Anbieter	Wer erhält oder verarbeitet Daten?	Konkreter Vendor oder Dienstleister
Technik	Welcher Tag startet die Verarbeitung?	Tag, Skript oder Messfunktion
Consent	Welche Zustimmung liegt vor?	Erlaubt, abgelehnt oder nicht entschieden
Information	Wo wird der Vorgang erklärt?	Banner, Präferenzcenter und Datenschutzerklärung

Diese Tabelle ersetzt keine rechtliche Prüfung. Sie macht aber sichtbar, wo Angaben fehlen oder nicht zusammenpassen. Besonders wichtig ist die letzte Zeile: Eine technische Zustimmung ohne verständliche Information bleibt für Nutzer schwer nachvollziehbar.

Consent und technische Umsetzung verbinden

Eine aktive Zustimmung muss vor der Verarbeitung personenbezogener Daten erfolgen. Ein Opt-out reicht dafür nicht aus. Das ist der wichtigste Unterschied zwischen einem kontrollierten Consent-Flow und einem System, das zunächst misst und erst später eine Ablehnung berücksichtigt.

Opt-in statt Opt-out

Bei einem Opt-in wartet das System, bis der Nutzer eine entsprechende Entscheidung getroffen hat. Erst danach dürfen die dafür vorgesehenen Analyse- oder Werbe-Tags starten. Bei einem Opt-out werden Daten dagegen zunächst verarbeitet, sofern der Nutzer nicht widerspricht. Für die hier beschriebenen Nutzungsanalysen durch Drittanbieter ist dieses Modell nicht ausreichend.

Prüfe deshalb diese Punkte:

• Werden Analyse-Tags vor der Entscheidung blockiert?
• Werden abgelehnte Zwecke tatsächlich deaktiviert?
• Übernimmt jede eingebundene Plattform den Consent-Status?
• Bleibt die Auswahl nach einem Seitenwechsel erhalten?
• Kann der Nutzer seine Entscheidung später ändern?

Der letzte Punkt wird oft übersehen. Ein Consent-Banner ist kein einmaliger Kontakt, sondern Teil eines fortlaufenden Präferenzprozesses. Ändert der Nutzer seine Auswahl, müssen betroffene Tags und Speichermechanismen darauf reagieren.

Consent Mode und CMP

Laut Google for Developers steuert Consent Mode die Datenerhebung anhand der Nutzerzustimmung für Werbe- und Analysezwecke. Die technische Funktion ersetzt jedoch nicht die Entscheidung, welche Zwecke du anbietest und welche Anbieter du transparent machst.

Google empfiehlt laut Tag Manager-Hilfe, bei einer Consent Management Platform das GTM-Template zu nutzen, das direkt in die Consent API integriert ist. Für die Umsetzung bedeutet das: Die CMP muss den Status zuverlässig an den Google Tag Manager übergeben. Der Tag Manager muss diesen Status wiederum bei der Ausführung berücksichtigen.

Checkliste für nachvollziehbare Tracking-Setups

Eine gute Checkliste prüft nicht nur die Datenschutzerklärung. Sie verbindet redaktionelle Angaben mit technischer Kontrolle. Gehe am besten in drei Durchgängen vor.

Vor dem Consent-Banner

Dokumentiere alle Analyse- und Werbeintegrationen, die auf der Website vorhanden sind. Berücksichtige auch Tags, die über einen Tag Manager geladen werden. Ordne jedem Eintrag einen Anbieter, einen Zweck und eine Datenkategorie zu.

Prüfe danach die Sprache im Banner. „Statistik“ kann verständlich sein, bleibt aber zu ungenau, wenn mehrere Anbieter mit unterschiedlichen Funktionen darunter zusammengefasst werden. Beschreibe Zwecke so, dass Nutzer eine informierte Entscheidung treffen können.

Kontrolliere außerdem, ob Drittanbieter-Analyse-Tools in der Datenschutzerklärung und im Präferenzcenter wiederzufinden sind. Die Angaben sollten sich nicht widersprechen. Wenn ein Anbieter technisch geladen wird, aber nirgends auftaucht, fehlt die Nachvollziehbarkeit.

Nach der Einwilligung

Teste jede relevante Auswahl: Zustimmung, Ablehnung und individuelle Einstellungen. Beobachte, welche Tags starten und welche blockiert bleiben. Ein Test mit akzeptierten Cookies allein reicht nicht.

Achte besonders auf:

• Requests an externe Anbieter,
• gesetzte oder ausgelesene Speichermechanismen,
• ausgelöste Tags im Google Tag Manager,
• übermittelte Consent-Signale,
• die Reaktion bei einer späteren Änderung der Auswahl.

Erstelle für jede Variante einen kurzen Prüfvermerk. So bleibt nachvollziehbar, wann und unter welchen Bedingungen ein Tag aktiv wurde. Das erleichtert spätere Anpassungen und die Abstimmung zwischen Marketing, Entwicklung und Datenschutz.

Regelmäßig kontrollieren

Tracking-Setups verändern sich. Neue Kampagnen, Plugins oder Templates können zusätzliche Anbieter einführen. Kontrolliere deshalb nach Änderungen an Website, CMP, Tag Manager oder Kampagnenstruktur, ob die Offenlegung noch stimmt.

Hilfreich ist eine feste Zuständigkeit. Eine Person oder ein Team sollte wissen, wer neue Vendoren anmeldet, wer die Zwecke formuliert und wer die technische Blockierung prüft. Ohne diesen Prozess bleibt die Dokumentation schnell veraltet.

TCF, Google Tag Manager und Consent-Signale

Das Transparency & Consent Framework, kurz TCF, kann Consent-Informationen in einem standardisierten Umfeld übermitteln. Es ersetzt jedoch nicht die individuelle Prüfung deines Setups.

Was TCF leistet

Laut nhimg.org ist das Transparency & Consent Framework ein freiwilliger Standard für Publisher und Vendors in digitaler Werbung, Messung und Personalisierung. Die TCF-Policies verfolgen das Ziel, Beteiligte bei der Einhaltung von DSGVO und ePrivacy-Richtlinie zu unterstützen, wenn personenbezogene Daten verarbeitet oder Informationen auf Geräten gespeichert beziehungsweise ausgelesen werden.

“The TCF is a voluntary standard intended for use by three categories of stakeholders … 1) Publishers: owners or operators of online content or services where personal data is collected and used by third-party companies (vendors) for digital advertising, audience measurement, or content personalisation.” – IAB Europe, TCF – Transparency & Consent Framework.

Für die praktische Prüfung bedeutet das: Ermittle, ob deine CMP TCF unterstützt, welche Vendoren hinterlegt sind und ob die übermittelten Zwecke zu deiner tatsächlichen Konfiguration passen.

Wo technische Grenzen liegen

Google Ads und Google Analytics sind mit Version 2.0 des TCF kompatibel. Bei aktivierter TCF-Unterstützung berücksichtigen Google-Tags die TCF-Einstellungen zur Nutzereinwilligung. Diese technische Kompatibilität nimmt dir aber nicht die Aufgabe ab, Anbieter verständlich offenzulegen und die korrekte Zweckzuordnung zu prüfen.

Ein standardisiertes Signal ist außerdem nur so zuverlässig wie seine Übergabe. Wenn die CMP einen Status setzt, der Tag Manager ihn aber nicht korrekt verarbeitet, entsteht eine Lücke zwischen Nutzerentscheidung und Datenerhebung. Prüfe deshalb beide Ebenen: das Signal und die Reaktion des Tags.

Fazit

Drittanbieter-Analyse-Tools offenzulegen bedeutet mehr, als Anbieter in einer Datenschutzerklärung aufzulisten. Du brauchst eine nachvollziehbare Verbindung zwischen Zweck, Vendor, Tag, Consent-Status und tatsächlichem Datenfluss. Beginne mit einer vollständigen Bestandsaufnahme, trenne Analyse von Werbung und Profilbildung und teste anschließend Zustimmung, Ablehnung sowie nachträgliche Änderungen.

Consent Mode, CMP, Google Tag Manager und TCF können die technische Übermittlung von Einwilligungen unterstützen. Sie ersetzen aber keine klare Information und keine saubere interne Prüflogik. Wenn du dein Setup strukturieren oder redaktionell verständlicher machen willst, findest du bei Schreibwertig passende Leistungen für Marketing und SEO sowie weitere Informationen zum rechtssicheren Offenlegen von Analyse-Tools und Drittanbietern.

Häufig gestellte Fragen

Wann müssen Drittanbieter-Analyse-Tools offengelegt werden?

Drittanbieter-Analyse-Tools müssen transparent beschrieben werden, sobald sie Daten verarbeiten oder an einen externen Anbieter übermitteln. Erkläre Anbieter, Zweck, Datenkategorien und Consent-Status dort, wo Nutzer ihre Auswahl treffen, und ergänze die Angaben in der Datenschutzerklärung. Prüfe außerdem, ob die technische Implementierung diese Beschreibung tatsächlich abbildet.

Reicht ein Opt-out für Tracking?

Nein, ein Opt-out reicht für die beschriebenen Nutzungsanalysen durch Drittanbieter grundsätzlich nicht aus. Erforderlich ist eine aktive Zustimmung, bevor personenbezogene Daten verarbeitet werden. Das betrifft insbesondere seiten- und geräteübergreifende Analysen, personalisierte Werbung, Tracking mit Profilbildung und Bewegungsprofile. Entscheidend bleibt die konkrete Funktion des jeweiligen Setups.

Wie prüfe ich Google Consent Mode?

Prüfe zuerst, ob deine CMP die Entscheidung des Nutzers korrekt erfasst. Danach kontrollierst du, ob der Consent-Status über die Consent API beziehungsweise den Google Tag Manager an die Tags gelangt. Teste Zustimmung, Ablehnung und spätere Änderungen. Laut Google dient Consent Mode dazu, die Datenerhebung für Werbe- und Analysezwecke anhand der Nutzerzustimmung zu steuern.