GDPR (General Data Protection Regulation)

Was die DSGVO verlangt

Die DSGVO trat im Mai 2018 in Kraft und ist bis heute die einflussreichste Datenschutzregelung der Welt. Die zentralen Pflichten für jedes Business, das in der EU Marketing macht:

1. Rechtsgrundlage. Jede Verarbeitung personenbezogener Daten muss gerechtfertigt sein, typischerweise durch Einwilligung (fürs Marketing), Vertrag (für die Abwicklung) oder berechtigtes Interesse (mit Bedacht).
2. Die Einwilligung muss spezifisch, informiert und freiwillig sein. Vorangekreuzte Kästchen zählen nicht. Gebündelte Einwilligung („allem zustimmen“) zählt nicht.
3. Datenminimierung. Sammle nur, was du für den angegebenen Zweck brauchst.
4. Speicherbegrenzung. Bewahre Daten nicht länger auf als nötig.
5. Sicherheit. Angemessene technische und organisatorische Maßnahmen.
6. Rechenschaftspflicht. Dokumentiere alles. Du musst die Einhaltung nachweisen können.

Was die DSGVO als personenbezogene Daten ansieht

Weiter gefasst, als die meisten Teams erwarten:

• Name, E-Mail, Telefon, Adresse, klar
• IP-Adresse, Geräte-ID, Cookie-ID, ebenfalls personenbezogene Daten
• Pseudonymisierte Daten (gehashte E-Mail), weiterhin personenbezogene Daten
• Aggregierte Daten, in der Regel KEINE personenbezogenen Daten, wenn sie wirklich anonym sind

Speziell fürs Marketing-Tracking: Schon die IP-Adresse allein ist personenbezogen. Schon das Cookie allein ist personenbezogen. Du brauchst eine Rechtsgrundlage, um sie zu erheben.

Einwilligung fürs Marketing-Tracking

Die Realität 2026:

• Ein Nutzer landet auf deiner EU-Website
• Deine CMP (Consent-Management-Platform) zeigt ein Banner mit klaren, granularen Optionen
• Bis der Nutzer aktiv einwilligt, lädst du KEINE Tracking-Pixel, setzt keine Tracking-Cookies und feuerst keine Conversion-Events mit personenbezogenen Daten
• Lehnt der Nutzer ab, respektierst du das, über die Mechanismen von Consent Mode V2 erhalten Ad-Plattformen weiterhin Signale mit abgelehnter Einwilligung fürs Messmodell, aber es fließen keine personenbezogenen Daten

Die Muster „Soft-Opt-in“ oder „stillschweigende Einwilligung“, die vor der DSGVO beim Tracking üblich waren, sind unter der DSGVO nicht rechtmäßig.

Wie die Tracking-Architektur mit der DSGVO zusammenspielt

Serverseitiges First-Party-Tracking ist in der Regel DSGVO-freundlicher als Client-seitige Pixel, weil:

• Du entscheidest, was weitergeleitet wird. Serverseitig kannst du PII entfernen, Identifier hashen und nur das Nötige weiterleiten.
• Du kontrollierst die Rechtsgrundlage. Kein Third-Party-Skript lädt vor der Einwilligung.
• Du kannst einen Widerruf in Echtzeit umsetzen. Ein Opt-out lässt sich durch deine Server-zu-Server-Pipelines durchreichen.

Das macht Tracking nicht automatisch konform, du brauchst weiterhin die Einwilligung und einen klaren Datenschutzhinweis. Aber die Architektur ist besser steuerbar.

Häufige Fehler

• Das Pixel vor der Einwilligung laden. Klarer Verstoß. Das Cookie-Banner muss das Pixel blockieren, bis die Einwilligung vorliegt.
• Die IP-Adresse als nicht personenbezogen behandeln. Sie ist es. Anonymisiere oder aggregiere.
• Marketing-Einwilligung mit der Zustimmung zu den AGB bündeln. Nicht freiwillig. Nicht gültig.
• Das Recht auf Löschung vergessen. Kunden können verlangen, dass du ihre Daten löschst. Du brauchst einen Prozess, der das über alle Systeme hinweg umsetzt, die sie berühren.

FAQ zur DSGVO

Was ist die DSGVO?

Die DSGVO (Datenschutz-Grundverordnung) ist das umfassende Datenschutzgesetz der EU. Sie verlangt für die Verarbeitung personenbezogener Daten eine Rechtsgrundlage, gibt Personen Rechte über ihre Daten und sieht Bußgelder bis zu 4 % des weltweiten Umsatzes oder 20 Mio. € vor.

Gilt die DSGVO für mein Business, wenn ich nicht in der EU sitze?

Ja. Die DSGVO gilt für jedes Business, das personenbezogene Daten von EU-Bürgern verarbeitet, unabhängig davon, wo das Business eingetragen ist.

Was gilt unter der DSGVO als personenbezogene Daten?

Alles, was eine Person identifiziert, Name, E-Mail, Telefon, IP-Adresse, Geräte-ID, Cookie-ID, gehashte Identifier. Selbst pseudonymisierte Daten sind weiterhin personenbezogen. Nur wirklich aggregierte Daten sind ausgenommen.

Ist immer eine Einwilligung nötig?

Nein. Die Einwilligung ist eine von mehreren Rechtsgrundlagen. Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigtes Interesse sind weitere. Fürs Marketing-Tracking ist die Einwilligung fast immer die passende Grundlage.