Der Google Tag Manager ist ein Container, kein Messwerkzeug. Rechtlich entscheidend sind die Tags, die er auslöst: Ein Analytics-Tag, ein Werbepixel oder ein Zählpixel eines Drittanbieters unterliegen jeweils den Regeln für Cookies und Einwilligung, ob sie im Quelltext stehen oder im Container. Der Tag Manager macht es nur leichter, sie ohne Entwickler zu ändern, und damit auch leichter, eine Einwilligung zu umgehen.

Dieser Artikel zeigt, wie Sie Einwilligung im Container umsetzen, welche Fehler am häufigsten vorkommen und was zur Datenschutzerklärung gehört. Er setzt auf dem Google Consent Mode auf und ist keine Rechtsberatung.

Nach den Angaben von Google erhebt, speichert und teilt der Tag Manager keine Informationen über Besucher der Seiten seiner Kunden, auch keine besuchten URLs. Erhoben werden nur aggregierte Diagnosedaten darüber, wann Tags auslösen, und gewöhnliche HTTP-Protokolle werden nach Google-Angaben innerhalb von 14 Tagen gelöscht.

Das beantwortet nicht, ob schon das Laden des Containers eine Einwilligung braucht. In der Orientierungshilfe Digitale Dienste der DSK (Version 1.2, November 2024) haben wir dazu keine ausdrückliche Aussage gefunden. Zwei Wege sind in der Praxis üblich:

• Die CMP lädt den Container erst nach der Einwilligung. Das ist die vorsichtigste Variante, hat aber den Preis, dass auch die Standardwerte des Consent Mode erst spät gesetzt werden.
• Der Container lädt sofort, setzt aber über den Consent Mode alle Einwilligungstypen zunächst auf denied, und jedes Tag prüft den Status.

Welchen Weg Sie wählen, ist eine Entscheidung für Ihre Datenschutzbeauftragte oder Ihre Rechtsberatung, die Sie dokumentieren sollten.

Die Dokumentation des Tag Managers beschreibt die Bausteine, auf denen die Umsetzung aufbaut.

Dieser Auslöser feuert vor allen anderen Tags, auch vor den Initialisierungs-Auslösern. Er ist für Tags gedacht, die den Einwilligungsstatus setzen, also für das Tag Ihrer CMP. Hängt die CMP an einem anderen Auslöser, läuft sie womöglich nach den Tags, die sie steuern soll.

Der Tag Manager kennt die Typen ad_storage, ad_user_data, ad_personalization, analytics_storage und functionality_storage, dazu personalization_storage und security_storage. Tags von Google Ads, Analytics und Floodlight haben eingebaute Einwilligungsprüfungen und passen ihr Verhalten an den Status an.

Für alle anderen Tags gibt es unter den erweiterten Einstellungen die zusätzlichen Einwilligungsprüfungen. Sie legen fest, welche Typen granted sein müssen, bevor das Tag feuert. Ein Tag ohne diese Prüfung feuert, wann immer sein Auslöser es sagt.

In den Container-Einstellungen lässt sich eine Übersicht aktivieren, die die Tags in "Einwilligung nicht konfiguriert" und "Einwilligung konfiguriert" einteilt und mehrere Tags auf einmal bearbeiten lässt. Sie ist der schnellste Weg, die Lücken zu finden.

1. Tags von Dritten ohne Prüfung. Ein Pixel, das als eigenes HTML-Tag angelegt wurde, hat keine eingebaute Prüfung. Ohne zusätzliche Einwilligungsprüfung feuert es immer. Ein Beispiel dafür ist der Meta Pixel.
2. Die CMP am falschen Auslöser. Läuft sie nach den Tags, sind die Standardwerte zu spät gesetzt.
3. Ein Tag für mehrere Zwecke. Dient ein Cookie mehreren Zwecken, ist es nach der Orientierungshilfe nur dann von der Einwilligungspflicht ausgenommen, wenn die Ausnahme für jeden einzelnen Zweck greift.
4. Tags direkt im Quelltext. Alte Kampagnenpixel im HTML laufen am Container vorbei. Nur ein Scan findet sie.
5. Änderungen ohne Nachtest. Jede Veröffentlichung im Container kann das Verhalten ändern.

Öffnen Sie den Vorschaumodus des Tag Managers und laden Sie die Seite in einem sauberen Fenster. Prüfen Sie, welche Tags vor der Entscheidung gefeuert haben. Keines, das eine Einwilligung braucht, darf dabei sein. Lehnen Sie dann im Banner ab, laden Sie neu und prüfen Sie dasselbe. Wiederholen Sie den Test mit Zustimmung und bestätigen Sie, dass die erwarteten Tags erscheinen. Im Consent Log der AdOpt sehen Sie außerdem, welche Entscheidung zu welchem Zeitpunkt vorlag.

Ergänzen Sie den Test im Netzwerk-Tab des Browsers. Die Vorschau zeigt, was der Container tut. Sie zeigt nicht, was Tags im Quelltext tun oder was Tags nachladen.

Nennen Sie den Tag Manager als Dienst und listen Sie die Tags, die über ihn laufen, mit Anbieter und Zweck. Die Orientierungshilfe verlangt, eingebundene Drittdienste einzeln zu benennen, ein Hinweis auf "Partner" genügt nicht (Rn. 120). Wie die DSGVO insgesamt zu Ihrem Auftritt passt, erklärt der DSGVO-Leitfaden für Deutschland.

• Google Analytics 4 und DSGVO: Einwilligung und Consent Mode
• Meta Pixel und DSGVO: Einwilligung ohne Umwege

Das hängt von den Tags ab, die er auslöst. Tags für Analyse oder Werbung brauchen die Einwilligung, bevor sie feuern. Ob schon das Laden des Containers eine braucht, haben wir in der Orientierungshilfe der DSK nicht ausdrücklich geregelt gefunden. Entscheiden Sie das mit Ihrer Datenschutzbeauftragten und dokumentieren Sie den Grund.

Nein. Tags von Google Ads, Analytics und Floodlight haben eingebaute Einwilligungsprüfungen. Für alle anderen Tags legen Sie die Prüfung selbst fest. Ein Tag ohne zusätzliche Prüfung feuert immer, auch wenn der Nutzer abgelehnt hat. Die Übersicht der Einwilligungseinstellungen zeigt, welche Tags noch fehlen.

Der Auslöser "Consent Initialization – All Pages". Er feuert nach der Dokumentation von Google vor allen anderen Tags, auch vor den Initialisierungs-Auslösern. So sind die Standardwerte gesetzt, bevor ein anderes Tag den Status liest. Hängt die CMP an einem anderen Auslöser, kann sie zu spät laufen.

Nach jeder Veröffentlichung im Container und nach jeder Änderung am Banner. Zusätzlich lohnt ein fester Termin, etwa monatlich, an dem Sie die Tags im Container mit einem Scan der Website abgleichen. Dort tauchen Tags auf, die jemand direkt im Quelltext oder über Dritte eingebaut hat.

Wollen Sie wissen, ob jedes Tag in Ihrem Container die Einwilligung respektiert? Sprechen Sie mit dem AdOpt-Team und wir sehen es uns gemeinsam an.