Server-Side Tracking, datenschutzorientiert und belastbar

GA4 selbst bleibt nutzbar, der datenschutzorientierte Betrieb ohne Server-Side wird aber immer schwieriger. Drei Faktoren ziehen Server-Side faktisch zur Pflicht: ITP 2.3 in Safari setzt clientseitige Cookies auf 7 Tage TTL, ML-basierte Adblocker filtern 25 bis 40 Prozent aller GA4-Calls, und Google Consent Mode V2 verlangt eine serverseitig validierte Consent-State. Ohne sGTM optimieren Sie auf gefilterte Daten.

Fast immer laufen Pixel und Conversion API parallel, ohne dass beide Pfade dieselbe Event-ID tragen. Die Plattform kann nicht deduplizieren und zählt beide Meldungen. Die gemeinsame Event-ID ist deshalb der erste Prüfpunkt in jedem Tracking Audit.

Ja, nach demselben Muster: Klick-ID sichern, Events aus dem Server-Container senden, Consent-Signal davor. Die sechs Kern-Plattformen (Google, Meta, TikTok, LinkedIn, Criteo, Outbrain) sind im Katalog dokumentiert; weitere Destinationen kommen projektweise über denselben Server-Container dazu.

Ein Google-Standard, der vor jedem Tag prüft, ob eine Einwilligung vorliegt. Fehlt sie, fließen nur modellierte, aggregierte Daten, keine personenbezogenen. Pflicht für Google Ads im EWR.

Ein Google-Tag-Manager-Container, der nicht im Browser, sondern auf einem eigenen Server läuft. Signale werden first-party gesendet, an Adblockern und ITP vorbei.

Eine Server-zu-Server-Schnittstelle, über die Conversions direkt an Meta, Google und Co. gemeldet werden, unabhängig vom Browser-Pixel und damit robuster.

First-Party-Subdomain (analytics.kunde.de) routet Requests an einen stape.io-Server-Container. Tags laufen serverseitig, der Browser sieht nur eine eigene Domain. Das ist keine Trickserei, sondern eine architekturale Verschiebung: PII wird gefiltert bevor sie an Google geht, Consent Mode V2 läuft davor, das Audit-Log bleibt bei Ihnen.

Consent Mode V2 regelt wie Google-Tags auf den Consent-Status reagieren, ersetzt aber keine vollständige CMP-Implementierung. Richtig eingesetzt arbeiten beide zusammen: die CMP steuert die Consent-Entscheidung, Consent Mode V2 übermittelt den Status korrekt an Google-Dienste. Ohne CMP-Hintergrund ist Consent Mode V2 nur eine API.

Pures Event-Tracking ist nicht betroffen. Relevant wird der Act, sobald aus Analytics-Daten automatisierte Entscheidungen ablaufen: BigQuery-ML-Modelle für Lookalike-Audiences, Custom-LLMs für Content-Personalisierung, Predictive-Scoring im CRM. Diese Pipelines brauchen Risiko-Klassifizierung, Datenherkunfts-Dokumentation und im Hochrisiko-Fall ein externes Audit. Der EU AI Act gilt gestaffelt: viele zentrale Pflichten werden ab dem 2. August 2026 relevant, weitere Regeln folgen bis 2027. Wir dokumentieren das im Measurement Blueprint von Anfang an mit.

Die Frankfurt-Region bei Google Cloud bedeutet: Daten bleiben im EU-Rechtsraum. Damit umgehen Sie die US-CLOUD-Act-Transfer-Problematik vor jeder Anonymisierung. Standard Contractual Clauses sind dann für die Ausnahmefälle da, nicht für den Default. Das ist die Lesart, die EU-DPOs ohne Diskussion freigeben.

Ein vollständiges technisches Spec-Dokument, das definiert was gemessen wird, wie Events benannt werden und welche Parameter welche Werte tragen. Grundlage für die Dev-Team-Implementierung und die spätere QA-Validierung. Kein Konzeptpapier für die Schublade.

Das interne Dev-Team, nach unserem Measurement Blueprint. Wir schreiben das Spec-Dokument, stehen für Rückfragen zur Verfügung und übernehmen nach der Implementierung die vollständige QA und alles Weitere. Bewusste Entscheidung gegen Vendor-Lock-in: Der Code verbleibt beim Kunden.

Ja. Apps nutzen Firebase Analytics als Basis, Websites meist GA4 oder Plausible. Die Event-Schemas unterscheiden sich, die Consent-Architektur unterscheidet sich (App-Consent vs. Browser-Consent), und die QA-Methodik ist technisch anders. Wir decken beide Welten ab.

Audit Sprint zum Festpreis 2.400 € netto, 10 Arbeitstage Lieferung. Enthält priorisierte Fehler-Liste, konkreten Handlungsplan und 90-Minuten-Walkthrough-Call. Komplexere Setups mit mehreren Brands oder App + Web + Shop laufen über den Audit Sprint Plus zu 3.900 €. Kein Folge-Vertrag.

Ja. Die Zertifizierung (CMP Expert Tech Track, seit Juni 2026) gibt uns direkte Eskalationswege und frühe Sicht auf Produkt-Änderungen, keine Empfehlungspflicht. Cookiebot bleibt unser Default für KMU-Setups, OneTrust passt für konzernweite Privacy-Suites, und wo ein Stack ohne einwilligungspflichtige Dienste auskommt, raten wir zur Banner-freien Architektur. Alle Partnerschaften stehen offen auf /integrations/.

OneTrust ist technisch für jede Unternehmensgröße einsetzbar, in Lizenz und Konfigurationsaufwand für SMB aber oft überdimensioniert. Für kleinere Unternehmen empfehlen wir meist Usercentrics (DACH-Marktführer) oder Cookiebot. Wir empfehlen was passt, nicht was wir am besten kennen.

Standard-Fall. Wir starten meist mit einem Audit Sprint: Bestandsaufnahme des aktuellen Setups, priorisierter Mängel-Report, Migrations-Plan. Je nach Tiefe der bestehenden Probleme wird gemeinsam entschieden, ob Bereinigung oder Neuaufbau wirtschaftlicher ist. Vendor-Lock-in ist nie ein Argument: alle GTM-Container, BigQuery-Exports und CMP-Konfigurationen verbleiben im Eigentum des Kunden.