Server-Side Tracking klingt für viele Datenschutzbeauftragte zunächst nach mehr Tracking, nicht weniger. Das ist ein Missverständnis — und ein gefährliches. Richtig implementiert ist Server-Side Tracking nicht nur DSGVO-konform, sondern datenschutzfreundlicher als klassisches Client-Side Tracking.
Wo Client-Side Tracking datenschutzrechtlich scheitert
Das klassische Browser-Pixel schickt Nutzerdaten direkt aus dem Browser an US-amerikanische Infrastruktur. Meta, Google, TikTok — alle haben ihre Tracking-Server in den USA oder betreiben Infrastruktur unter US-Recht.
Das Problem: Datentransfers in die USA unterliegen seit dem Schrems-II-Urteil des EuGH (2020) strengen Anforderungen. Standard Contractual Clauses (SCCs) allein reichen nicht aus, wenn US-Behörden über den CLOUD Act auf die Daten zugreifen können. Und das können sie — bei US-amerikanischen Unternehmen immer.
Das Ergebnis: Viele Browser-Pixel-Implementierungen verstoßen strukturell gegen die DSGVO, auch wenn das in der Praxis selten verfolgt wird.
Was Server-Side Tracking hier ändert
Bei Server-Side Tracking entscheidest du, welche Daten an wen geschickt werden. Der Browser des Nutzers kommuniziert nicht mehr direkt mit Meta oder Google. Dein Server ist der einzige Datenpunkt.
Das ermöglicht:
- Datenpseudonymisierung vor dem Weiterschicken — IP-Adressen werden vor der Übertragung entfernt oder gehasht
- Kontrolle über den Datentransfer — du entscheidest, welche Felder übermittelt werden
- Keine direkte Browser-zu-USA-Verbindung mehr
Deutsche Server: Was das konkret bedeutet
Wir betreiben unsere Event-Pipeline ausschließlich auf deutschen Servern. Das ist kein Marketing-Punkt — das ist eine technische und rechtliche Entscheidung.
Was das bedeutet:
- Die Daten verlassen Deutschland nicht, bevor sie verarbeitet wurden
- Kein US-Cloud-Anbieter (AWS, GCP, Azure) ist in der Verarbeitungskette
- Der Serverstandort ist nachweisbar — relevant für Auftragsverarbeitungsverträge (AVV)
- Zugriff durch US-Behörden über den CLOUD Act ist nicht möglich
Unsere Infrastruktur läuft auf einem Kubernetes-Cluster auf Proxmox-Basis, vollständig self-hosted. Das ist kein SaaS, bei dem wir selbst in einer US-Cloud-Infrastruktur sitzen.
Die Latenz liegt bei unter 40ms — also keine Kompromisse bei der Performance.
Welche Daten der Tracking-Server verarbeitet
Der Serverstandort ist relevant, weil dein Tracking-Server genau die heiklen Daten empfängt: IP-Adressen, User-Agents, gclid (Google Click ID) und fbclid (Facebook Click ID), alles personenbezogen oder zumindest personenbeziehbar. Läuft dieser Server auf einer US-Cloud, findet ein Drittlandtransfer statt, sobald der Anbieter Zugriff auf die Verarbeitung hat.
Warum die Region "Frankfurt" nicht reicht
Viele bekannte Server-Side-Lösungen mieten Container bei großen Cloud-Anbietern, die ihre Rechenzentren über US-Muttergesellschaften betreiben. Selbst wenn die Region "Frankfurt" ausgewählt ist, kann der Mutterkonzern nach dem CLOUD Act zum Zugriff verpflichtet werden. Der physische Standort schützt dich nicht, wenn die kontrollierende Gesellschaft US-Recht unterliegt. Genau hier liegt der blinde Fleck vieler Setups: Sie gelten als "server-side" und damit als datenschutzfreundlich, obwohl der eigentliche Datenverarbeiter weiterhin ein US-Konzern ist.
Ist Server-Side Tracking auf US-Cloud automatisch rechtswidrig?
Nein, aber es verlagert das Risiko auf dich. Server-Side Tracking auf US-Cloud-Infrastruktur ist rechtlich möglich, verlangt aber eine belastbare Absicherung des Drittlandtransfers:
- Du brauchst Standardvertragsklauseln mit dem Anbieter.
- Du musst ein Transfer Impact Assessment dokumentieren.
- Du musst den US-Zugriff in deiner Datenschutzerklärung transparent machen.
- Bei einer Prüfung durch die Aufsichtsbehörde trägst du die Beweislast, dass der Transfer abgesichert ist.
Das EU-US Data Privacy Framework hat die Lage seit 2023 etwas entspannt, ist aber politisch angreifbar und wurde bereits mehrfach juristisch in Frage gestellt, so wie zuvor Safe Harbor und Privacy Shield. Wie schnell reale Bußgelder drohen, zeigt der Beitrag zum CNIL-Bußgeld beim Consent. Mit einem Server in Deutschland fällt diese Kette weg: kein Drittland, keine Standardvertragsklauseln, kein Transfer Impact Assessment.
So sieht ein sauberes Setup ohne US-Cloud aus
- Datenerfassung im Browser über First-Party-Kontext, kein direkter Abfluss an Dritte.
- Verarbeitung auf dem deutschen Server: Consent prüfen, IP kürzen bzw. pseudonymisieren, Events strukturieren.
- Kontrollierte Weitergabe an die Werbenetzwerke, erst nach Einwilligung, mit sauberer Event-ID gegen Doppelzählung.
Die Weitergabe an Meta oder Google in Schritt 3 ist datenschutzrechtlich weiterhin ein Transfer, aber ein bewusster, dokumentierter und einwilligungsbasierter, kein unkontrollierter Abfluss durch den Browser. Wie das Consent-Signal dabei bis zum Server gelangt, zeigt der Beitrag zu Consent Mode v2 im Server-Side Tracking.
Was tatsächlich an Werbenetzwerke übertragen wird
Wenn wir ein Conversion-Event an Meta CAPI oder Google Enhanced Conversions schicken, übertragen wir gehashte Nutzerdaten. Das ist technisch notwendig, damit die Werbenetzwerke das Event einem Nutzer in ihrem System zuordnen können.
Konkret: Wir hashen E-Mail-Adressen, Telefonnummern und Namen mit SHA-256, bevor sie übertragen werden. Der Klartext verlässt nie unser System.
Was nicht übertragen wird:
- Rohe IP-Adressen
- Browser-Fingerprinting-Daten
- Standortdaten jenseits des Landes
- Sonstige nicht relevante Nutzerdaten
Diese Datensparsamkeit ist nicht nur DSGVO-Pflicht — sie ist auch technisch sinnvoll. Die Werbenetzwerke brauchen nur das Hash-Signal zur Zuordnung.
Wie viele Conversions verlierst du gerade?
Kostenlose Demo — 30 Min. Teams-Call, kein Sales-Pitch.
Was in die Datenschutzerklärung muss
Wenn du Server-Side Tracking einsetzt, muss deine Datenschutzerklärung das abbilden. Ausführlich behandelt das der Beitrag zur Datenschutzerklärung beim Server-Side Tracking. Die konkreten Punkte:
Auftragsverarbeitung
Du benötigst einen Auftragsverarbeitungsvertrag (AVV) mit uns als Dienstleister. Wir stellen diesen standardmäßig bereit. Der AVV dokumentiert, dass wir als Auftragsverarbeiter nach Art. 28 DSGVO handeln.
Zweck und Rechtsgrundlage
Der Zweck der Datenverarbeitung ist Conversion-Tracking zur Optimierung von Werbekampagnen. Die Rechtsgrundlage ist in der Regel berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) oder — bei vorhandenem Consent-Management — Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
Drittempfänger
Auch wenn die Daten server-seitig weitergegeben werden, müssen die Werbenetzwerke (Meta, Google etc.) als Drittempfänger in der Datenschutzerklärung genannt werden. Der Kanal ist technisch anders, aber die Empfänger sind dieselben.
Kein "Server-Side = unsichtbar für den Nutzer"
Ein verbreiteter Fehler: Server-Side Tracking wird als "unsichtbar" behandelt und gar nicht dokumentiert. Das ist falsch. Die Verarbeitung findet statt — sie muss dokumentiert werden, unabhängig vom technischen Kanal.
ePrivacy-Konformität
Die ePrivacy-Richtlinie (und das noch nicht verabschiedete ePrivacy-Verordnung) regelt, wann Cookies und ähnliche Tracking-Technologien Einwilligung benötigen.
Server-Side Tracking ohne Cookie-Setzen im Browser ist ePrivacy-konform ohne Opt-in-Pflicht — wenn es auf berechtigtes Interesse gestützt ist und keine geräteindividuellen Informationen aus dem Browser ausgelesen werden.
Konkret: Wenn kein Cookie im Browser des Nutzers gesetzt wird und kein Browser-Fingerprinting stattfindet, greift die ePrivacy-Pflicht nicht. Der Event kommt von unserem Server — nicht aus dem Browser des Nutzers.
Das bedeutet: Funktioniert auch für Nutzer, die Cookies abgelehnt haben, solange das Tracking auf berechtigtes Interesse gestützt ist. Was in der Praxis der Normalfall ist.
FAQ
Warum ist der Serverstandort beim Tracking überhaupt relevant?
Weil personenbezogene Daten wie IP-Adresse und Klick-IDs beim Tracking-Server verarbeitet werden. Steht der auf US-Cloud-Infrastruktur, greift das US-Recht mit — und du landest im Drittlandtransfer, der zusätzliche Rechtsgrundlagen wie Standardvertragsklauseln erfordert.
Reicht die Region "Frankfurt" bei einem US-Cloud-Anbieter aus?
Nein, der physische Standort allein schützt nicht. Entscheidend ist, wer den Anbieter rechtlich kontrolliert. Steht die Muttergesellschaft unter US-Recht, kann sie zum Zugriff verpflichtet werden — auch bei Rechenzentren in Deutschland.
Ist Server-Side Tracking auf US-Cloud automatisch illegal?
Nein, aber es ist aufwändiger abzusichern. Du brauchst Standardvertragsklauseln, ein Transfer Impact Assessment und musst den US-Zugriff transparent machen. Deutsche Server ersparen dir diese Kette komplett.
Verliere ich Datenqualität, wenn ich auf deutsche Server umstelle?
Nein. ADS-Tracking liefert 99,8 % Datenvollständigkeit über eigene deutsche Server bei unter 40 ms Latenz. Der Serverstandort hat keinen Nachteil für die Datenmenge — er senkt nur das Rechtsrisiko.
Muss ich für die Umstellung selbst etwas programmieren?
Nein. ADS-Tracking übernimmt die komplette Implementierung auf eigener deutscher Infrastruktur. Dein Aufwand ist ein 30-minütiges Onboarding-Gespräch, ein eigenes Dev-Team ist nicht nötig.
Wenn du Fragen zur datenschutzrechtlichen Einordnung deines konkreten Setups hast, spreche ich das gerne in einer Demo durch. Nicht als Rechtsberatung — aber als technische Grundlage für das Gespräch mit deinem Datenschutzbeauftragten.