Measurement & Privacy Engineering
Client-Side Tracking verliert 30 bis 40 Prozent der Signale. Wir bauen die EU-gehostete Server-Side-Architektur, die das stoppt.
- GA4
- GTM Server-Side
- stape.io
- BigQuery (Frankfurt)
- Consent Mode V2
- Usercentrics
- OneTrust
✓ Zertifizierter stape.io Partner
ITP 2.3 in Safari. Drittanbieter-Cookies in Chrome ausgemustert. ML-basierte Adblocker. Die Ad-Algorithmen optimieren dann auf Basis von Rauschen.
Wir bauen die Server-Side-Architektur, die das ersetzt. 100 Prozent Server-Side über stape.io, geroutet in BigQuery Frankfurt. DSGVO-konform und vereinbar mit dem EU AI Act ab August 2026.
kaputt
Legacy
- Browser
- Client-Side GTM
- Safari ITP 2.3
- ML-Adblocker
- 3P-Cookies (Chrome) ausgemustert
- 30 bis 40 % Signalverlust
resilient
Datascale
- Browser
- First-Party Subdomain
- Server GTM (stape.io)
- Consent Mode V2 + PII-Filter
- BigQuery (Frankfurt)
- GA4 + Meta CAPI
Architektur: EU-first Data Routing mit strikter PII-Trennung. BigQuery in der Frankfurt-Region umgeht US-CLOUD-Act-Transfers vor jeder Anonymisierung.
Was wir bauen
Die meisten Analytics-Probleme entstehen nicht beim Auswerten von Daten. Sie entstehen beim Erfassen. Ein falsch benanntes Event, ein fehlendes Parameter, ein Consent-Layer der Daten wegwirft bevor sie ankommen, das sind die Fundamente, auf denen jede Analyse steht oder fällt.
Measurement & Privacy Engineering deckt den gesamten Lifecycle ab: strategische Definition, technische Implementierung, laufende QA. Für Web, Mobile und App. Mit dem richtigen Tool für den jeweiligen Kontext. DSGVO-konform. Ohne Vendor-Lock-in.
Wir folgen einem klaren Modell: Spec von uns, Code vom internen Dev-Team, QA wieder von uns. Die ausführliche Erklärung steht weiter unten unter „Der Measurement Blueprint".
Für wen?
Product & Engineering
Teams, die eine App oder Website neu aufbauen und Analytics von Anfang an richtig aufsetzen wollen, nicht als Nachgedanke in Sprint 12.
Marketing
Teams, die wissen, dass das eigene GA4-Setup kaputt ist, aber nicht wissen, wie kaputt oder warum. Oder die nach der UA-GA4-Migration merken, dass die Zahlen intern angezweifelt werden.
CMO / VP Marketing
Vor einer Budget-Entscheidung, und müssen sicher sein, dass ihre Conversion-Daten korrekt sind und das auch intern vertreten können.
CTO / Tech Leads
Brauchen einen Analytics-Partner, der direkt mit dem Dev-Team spricht. Spec-Dokumente liefert die tatsächlich umsetzbar sind. Und nach der Implementierung nicht verschwindet.
Die drei Module
Web Analytics Setup & Audit
Vollständige Implementierung oder technischer Audit eines bestehenden Web-Analytics-Setups. Tool-agnostisch, wir empfehlen was zum Use-Case passt, nicht was Lizenz-Provision bringt.
Was wir konkret machen:
- Setup oder Audit von GA4, Plausible CE oder Matomo
- Server-Side Tracking via stape.io für Adblocker-Resistenz und DSGVO-Compliance
- Strukturelle Bereinigung nach UA-GA4-Migration und Validierung gegen typische Fehler (Pre-Consent-Events, Cross-Domain-Brüche, Sampling-Verzerrungen)
- Cross-Domain-Tracking, Bot-Filter, Referral-Exclusions, interne Zugriffs-Ausschlüsse
Tools: GA4, Plausible CE, GTM, GTM Server-Side, stape.io
Server-Side Hosting voll managed via stape.io, kein GCP-Aufwand auf Client-Seite.
Mobile & App Analytics (Firebase)
Analytics für native Apps und hybride Mobile-Produkte. Firebase als Grundlage, sauber konfiguriert, mit Event-Schema das zur Web-Strategie passt und in BigQuery plattformübergreifend zusammenläuft.
Was wir konkret machen:
- Event-Schema für iOS und Android nach Measurement Blueprint
- DSGVO-konforme Firebase-Konfiguration (Datenresidenz, Retention, Consent-Defaults)
- App-Consent-Architektur: Firebase + Enterprise-CMP-Integration mit korrekter State-Übergabe
- Firebase ↔ GA4 BigQuery Export für plattformübergreifende Analyse + In-App Purchase Tracking
Tools: Firebase Analytics, GA4, BigQuery, Usercentrics, OneTrust
Erfahrung u. a. mit MedTech-App-Analytics unter Art. 9 DSGVO (Gesundheitsdaten) und einem globalen Retail-App-Stack mit Enterprise-CMP. Wir schreiben keinen App-Code, wir definieren was gemessen wird, das Dev-Team setzt es um, wir validieren.
Cookie Consent Management & Consent Engineering
Consent-Layer ist keine Formality-Checkbox. Falsch konfiguriert vernichtet er Daten. Richtig konfiguriert schützt er den Nutzer und lässt die Analyse trotzdem verlässlich laufen.
Was wir konkret machen:
- CMP-Auswahl basierend auf Unternehmensgröße, Traffic-Volumen und Jurisdiktion
- Vollständiges Usercentrics- oder OneTrust-Setup inkl. Cookie-Scanning, Kategorisierung, Banner-Design, Geolocation-Rules
- Google Consent Mode V2 (Basic / Advanced) mit GTM-Integration für Conversion-Modeling trotz Consent-Einschränkungen
- Firebase + Enterprise-CMP Integration für Health-Apps und andere Art.-9-Datenkategorien
- Pre-Consent-Scan: vollständige Prüfung welche Cookies wann gesetzt werden
Tools: Usercentrics, OneTrust, Cookiebot, Google Consent Mode V2
So arbeiten wir
Der Measurement Blueprint
Jedes Engagement beginnt mit dem Measurement Blueprint. Das ist kein 2-seitiges Konzeptpapier, das ist ein vollständiges technisches Spec-Dokument.
Was der Blueprint enthält:
- KPI-Definition: Was wollen wir messen und warum? Alignment mit Unternehmenszielen
- Event-Schema: Alle Events, ihre Namen (Naming Convention), alle Parameter mit Datentypen und Werten
- Tracking Guide: Konkrete Implementierungsanleitung für das Dev-Team, direkt umsetzbar
- Tool-Empfehlung mit Begründung: Analytics-Tool, CMP, ob Server-Side sinnvoll
- Consent-Architektur: Welche Events Pre-Consent, welche Post-Consent, wie der State übergeben wird
Nach dem Blueprint: Dev-Team baut nach Spec. Wir reviewen Pull Requests und bereiten QA vor.
QA & Abnahme: Event-für-Event-Testing, Consent-Flow-Prüfung, Sign-off. Danach läuft alles in datascale-Verantwortung.
Das Ende des internen Ping-Pongs
Marketing will Daten. Der DPO blockt. Beide haben recht.
Das Pingpong endet erst, wenn die Infrastruktur die Trennung auf Server-Ebene erzwingt, nicht erst im Auswertungs-Excel. Wir bauen Architekturen, die der DPO freigeben kann und die dem Marketing die verlorenen Conversion-Signale zurückgeben.
Server-Side erzwingt Datenflüsse, die Client-Side kaum möglich sind: PII gefiltert, bevor sie an Google geht. Consent-State serverseitig propagiert. Vollständiges Audit-Log über jeden ausgehenden Tag, intern abrufbar für den DPO.
Datascale arbeitet ohne Account-Manager als Firewall. Sie sprechen mit den Engineers, die das System bauen, und mit dem DPO direkt, wenn es um Datenflüsse geht.
Deliverables
Je nach Engagement-Typ variiert der Umfang. Vollständiges Engagement enthält:
Strategie & Planung
- Measurement Blueprint (Event-Schema, Naming Convention, Parameter-Dokumentation)
- Tracking Guide für Dev-Team (direkt umsetzbar)
- Tool-Empfehlung mit schriftlicher Begründung
- Consent-Architektur Dokumentation
Technische Implementierung
- GTM Container Setup (Tags, Trigger, Variables, Folder-Struktur)
- Server-Side GTM Setup via stape.io (wenn relevant)
- Firebase Analytics Konfiguration (wenn App-Projekt)
- CMP Setup und Konfiguration (Usercentrics / OneTrust / Cookiebot)
- Google Consent Mode V2 Integration
- Enhanced Conversions Setup (Google Ads)
- Meta Conversion API (CAPI) Setup (wenn relevant)
QA & Validierung
- Event-Testing gegen Measurement Blueprint Spec (jedes Event einzeln)
- Consent-Flow Prüfung (Pre-Consent / Post-Consent Zustand)
- Datenqualitäts-Report (Sampling, Datenverlust, Bot-Traffic, interne Zugriffe)
- Abnahmedokument mit Sign-off
Übergabe & Dokumentation
- Übergabe-Dokumentation für internes Team
- DSGVO-Konformitäts-Nachweis des Setups
- 30-tägiger Post-Launch-Support
Scope im Detail
Tag-Implementierung
- GTM Container-Struktur: Workspace, Naming, Versionierung
- Alle Tags, Trigger, Variables nach Measurement Blueprint
- Server-Side Setup (stape.io): Container, Clients, Tags, erste-Partei-Cookie-Migration
Event-Tracking
- Custom Events nach Schema (Web + App)
- E-Commerce: GA4 Purchase Flow, Firebase In-App Purchases
- Formular-, Scroll-, Video-Tracking (YouTube, Vimeo)
- App-Events nach Firebase Best Practice (iOS + Android)
- Deep Link Tracking (wenn App-Projekt)
Conversion-Tracking
- Google Ads Enhanced Conversions (First-Party Data)
- Meta CAPI: Server-Side Event-Matching
- Offline Conversion Import (wenn CRM vorhanden)
- App-Conversions: Firebase → Google Ads / Meta
Consent & DSGVO
- CMP: Auswahl, Implementierung, Konfiguration, Scanning
- Google Consent Mode V2 (Basic / Advanced) mit GTM
- Pre-Consent-Scan: Was lädt vor Zustimmung?
- DSGVO-Konformitätsprüfung aller eingebundenen Tools
- App-Consent: Firebase + CMP Integration
Datenqualität
- Bot- und Spam-Filter (GTM und GA4-Ebene)
- Interne IP-Ausschlüsse
- Cross-Domain-Tracking (wenn mehrere Domains)
- Referral Exclusion Lists
- Sampling-Strategie (GA4 360 / BigQuery Export)
Mobile & App
- Firebase SDK Konfiguration (iOS + Android)
- Event-Schema iOS & Android nach Blueprint
- Firebase ↔ GA4 Property-Verknüpfung
- Firebase BigQuery Export
- In-App Purchase Tracking (Revenue Events)
Engagement-Tiefen
Drei Tiefen. Klare Scopes.
Kein Retainer ohne Bedarf.
Audit Sprint
Wir prüfen was falsch läuft. Report + priorisierter Handlungsplan.
zzgl. gesetzlicher MwSt. · Festpreis für klar begrenzten Scope
Eingeschlossen im Festpreis
- 1 Domain
- 1 Analytics Property
- 1 Tag Manager / Tracking Setup
- 1 CMP
- bis zu 5 Kern-Conversions
- 10 Arbeitstage
- PDF-Report + 90-Min Walkthrough
Lieferumfang
- Vollständige Analyse des bestehenden Setups
- Priorisierter Report mit konkreten Handlungsempfehlungen
- Walkthrough-Call mit dem Team (90 Min)
- Kein Folgevertrag, keine Retainer-Verpflichtung
Wann sinnvoll
Wenn das Setup läuft, aber die Zahlen intern angezweifelt werden. Oder wenn nach einer UA→GA4-Migration unklar ist, was davon belastbar geblieben ist.
Für E-Commerce, mehrere Domains oder App + Web: Audit Sprint Plus, 3.900 € netto Festpreis. Bonus: 50 % des Audit Sprint werden auf einen Build Sprint angerechnet, wenn innerhalb von 30 Tagen beauftragt.
Audit Sprint anfragenBuild Sprint
Neuaufbau oder Restrukturierung eines Tracking-Setups.
zzgl. gesetzlicher MwSt. · finaler Festpreis nach Scope-Definition
Typischer Scope
- 1 Domain (Multi-Domain auf Anfrage)
- 1 Analytics-Property (GA4 oder Piwik PRO)
- Server-Side Container (Stape oder eigene Cloud)
- 1 CMP mit Consent Mode V2
- bis zu 15 Events / Conversions
- 4–8 Wochen Umsetzung
- Blueprint, QA-Sign-off, Handover-Doku
Lieferumfang
- Measurement Blueprint für das Dev-Team
- GTM + Server-Side Setup inkl. CMP-Integration
- Vollständige QA gegen Blueprint mit Sign-off
- Handover-Dokumentation + 30 Tage Post-Launch Support
Wann sinnvoll
Wenn Analytics strukturell falsch aufgebaut ist und Reparieren im laufenden Betrieb mehr kostet als ein sauberer Neuaufbau.
Managed Evolution
Laufende Partnerschaft. Analytics als Produkt, nicht als Einmal-Projekt.
zzgl. gesetzlicher MwSt. · monatlich kündbar nach Mindestlaufzeit
Im Monatspreis enthalten
- bis zu 3 Domains in laufender Betreuung
- Wartung von GA4 + Server-Side Stack
- monatliche Roadmap + Sprint-Planung
- QA bei jedem Release-Deploy
- Slack-Kanal, < 4 h Response (Mo–Fr)
- monatlicher Report + Executive-Summary
- 3 Monate Mindestlaufzeit, dann monatlich
Lieferumfang
- Monatliche Entwicklung + Feature-Rollouts
- Laufende QA bei jedem Deploy
- Executive-Reports + Dashboard-Evolution
- Slack-Support mit garantierten Response-Zeiten
Wann sinnvoll
Wenn Analytics laufend mitwachsen muss. Neue Kampagnen, neue Produkte, neue Datenquellen, und der Aufbau eines internen Teams kommt nicht in Frage.
Alle Preise netto, zzgl. gesetzlicher MwSt. Für Unternehmen in Deutschland, Österreich und der Schweiz.
-
Ist GA4 ohne Server-Side Tracking 2026 noch legal nutzbar?
GA4 selbst bleibt nutzbar, der DSGVO-konforme Betrieb ohne Server-Side wird aber immer schwieriger. Drei Faktoren ziehen Server-Side faktisch zur Pflicht: ITP 2.3 in Safari setzt clientseitige Cookies auf 7 Tage TTL, ML-basierte Adblocker filtern 25 bis 40 Prozent aller GA4-Calls, und Google Consent Mode V2 verlangt eine serverseitig validierte Consent-State. Ohne sGTM optimieren Sie auf gefilterte Daten.
-
Wie umgehen Sie Adblocker datenschutzkonform?
First-Party-Subdomain (analytics.kunde.de) routet Requests an einen stape.io-Server-Container. Tags laufen serverseitig, der Browser sieht nur eine eigene Domain. Das ist keine Trickserei, sondern eine architekturale Verschiebung: PII wird gefiltert bevor sie an Google geht, Consent Mode V2 läuft davor, das Audit-Log bleibt bei Ihnen.
-
Ist GA4 mit Consent Mode V2 wirklich DSGVO-konform?
Consent Mode V2 regelt wie Google-Tags auf den Consent-Status reagieren, ersetzt aber keine vollständige DSGVO-konforme CMP-Implementierung. Richtig eingesetzt arbeiten beide zusammen: die CMP steuert die Consent-Entscheidung, Consent Mode V2 übermittelt den Status korrekt an Google-Dienste. Ohne CMP-Hintergrund ist Consent Mode V2 nur eine API.
-
Was ändert der EU AI Act ab August 2026 für mein Tracking?
Pures Event-Tracking ist nicht betroffen. Relevant wird der Act, sobald aus Analytics-Daten automatisierte Entscheidungen ablaufen: BigQuery-ML-Modelle für Lookalike-Audiences, Custom-LLMs für Content-Personalisierung, Predictive-Scoring im CRM. Diese Pipelines brauchen ab August 2026 Risiko-Klassifizierung, Datenherkunfts-Dokumentation und im Hochrisiko-Fall ein externes Audit. Wir dokumentieren das im Measurement Blueprint von Anfang an mit.
-
Warum BigQuery in Frankfurt und nicht in den USA?
Die Frankfurt-Region bei Google Cloud bedeutet: Daten verlassen den EU-Rechtsraum nicht. Damit umgehen Sie die US-CLOUD-Act-Transfer-Problematik vor jeder Anonymisierung. Standard Contractual Clauses sind dann für die Ausnahmefälle da, nicht für den Default. Das ist die Lesart, die EU-DPOs ohne Diskussion freigeben.
-
Was ist ein Measurement Blueprint?
Ein vollständiges technisches Spec-Dokument, das definiert was gemessen wird, wie Events benannt werden und welche Parameter welche Werte tragen. Grundlage für die Dev-Team-Implementierung und die spätere QA-Validierung. Kein Konzeptpapier für die Schublade.
-
Wer implementiert das Tracking in der App oder auf der Website?
Das interne Dev-Team, nach unserem Measurement Blueprint. Wir schreiben das Spec-Dokument, stehen für Rückfragen zur Verfügung und übernehmen nach der Implementierung die vollständige QA und alles Weitere. Bewusste Entscheidung gegen Vendor-Lock-in: Der Code verbleibt beim Kunden.
-
Brauche ich für eine App einen anderen Ansatz als für eine Website?
Ja. Apps nutzen Firebase Analytics als Basis, Websites meist GA4 oder Plausible. Die Event-Schemas unterscheiden sich, die Consent-Architektur unterscheidet sich (App-Consent vs. Browser-Consent), und die QA-Methodik ist technisch anders. Wir decken beide Welten ab.
-
Was kostet ein Analytics-Audit?
Audit Sprint zum Festpreis 2.400 € netto, 10 Arbeitstage Lieferung. Enthält priorisierte Fehler-Liste, konkreten Handlungsplan und 90-Minuten-Walkthrough-Call. Komplexere Setups mit mehreren Brands oder App + Web + Shop laufen über den Audit Sprint Plus zu 3.900 €. Kein Folge-Vertrag.
-
Arbeiten Sie auch mit OneTrust für kleinere Unternehmen?
OneTrust ist technisch für jede Unternehmensgröße einsetzbar, in Lizenz und Konfigurationsaufwand für SMB aber oft überdimensioniert. Für kleinere Unternehmen empfehlen wir meist Usercentrics (DACH-Marktführer) oder Cookiebot. Wir empfehlen was passt, nicht was wir am besten kennen.
-
Wir haben bereits ein Setup von einer anderen Agentur, können wir migrieren?
Standard-Fall. Wir starten meist mit einem Audit Sprint: Bestandsaufnahme des aktuellen Setups, priorisierter Mängel-Report, Migrations-Plan. Je nach Tiefe der bestehenden Probleme wird gemeinsam entschieden, ob Bereinigung oder Neuaufbau wirtschaftlicher ist. Vendor-Lock-in ist nie ein Argument: alle GTM-Container, BigQuery-Exports und CMP-Konfigurationen verbleiben im Eigentum des Kunden.
Nächster Schritt
Tracking, das die nächsten drei Jahre überlebt.
Audit Sprint zum Festpreis 2.400 € netto, 10 Arbeitstage Lieferung. Priorisierter Report, 90-Minuten-Walkthrough-Call. Kein Folge-Vertrag, kein Retainer-Zwang.