Der Moment, den niemand sieht
Ein Besucher ruft eine Preisseite auf. Er hat den Consent-Banner noch nicht einmal angeklickt, geschweige denn zugestimmt. Trotzdem ist im Hintergrund oft schon etwas passiert: Der Browser hat eine Datei namens gtm.js von googletagmanager.com geladen. Das ist der Google Tag Manager (GTM), ein Verwaltungssystem, mit dem Webseiten zentral Tracking-, Marketing- und Analyse-Skripte einbinden, ohne jedes Mal den Seitencode anfassen zu müssen.
Das Problem: Damit der Browser diese Datei überhaupt laden kann, muss er eine Verbindung zu einem Google-Server aufbauen. Und diese Verbindung ist kein Nebeneffekt, sondern der eigentliche Vorgang, um den es rechtlich geht.
Warum schon der Abruf zählt
Ein HTTP-Request funktioniert nicht ohne Absenderadresse. Wer gtm.js lädt, überträgt an Google zwangsläufig mindestens:
- die IP-Adresse des Besuchers
- Zeitstempel des Aufrufs
- Browser- und Geräteinformationen (User-Agent)
- den Kontext der aufgerufenen Seite (Referrer/URL)
Eine IP-Adresse gilt nach ständiger EuGH- und BGH-Rechtsprechung regelmäßig als personenbeziehbar. Die Datenschutz-Grundverordnung ist damit eröffnet, sobald dieser Request abgeht, nicht erst, wenn später ein Analytics-Tag feuert. Der Bundesbeauftragte für den Datenschutz (BfDI) beschreibt das Grundprinzip der DSGVO als Verbotsprinzip: Eine Verarbeitung personenbezogener Daten ist nur erlaubt, wenn eine Rechtsgrundlage dafür existiert, nicht umgekehrt.
Der naheliegende Einwand lautet oft: „Jeder Webserver bekommt eine IP-Adresse, sonst kann er nicht antworten.“ Das stimmt für den eigenen Webserver, der die angeforderte Seite ausliefert. Es gilt aber nicht automatisch für einen zusätzlichen, externen Dienst. Der Besucher hat die Webseite aufgerufen, nicht den Google Tag Manager. Dass Google dabei überhaupt kontaktiert wird, ist eine Entscheidung des Seitenbetreibers, keine technische Notwendigkeit der angeforderten Seite.
Kein neutraler Subdienstleister
Bei einem gewöhnlichen technischen Dienstleister ließe sich die Übertragung von IP-Adresse und Zeitstempel vielleicht noch als reine Betriebsnotwendigkeit einordnen. Bei Google ist dieses Argument deutlich schwächer. Google betreibt eines der größten Werbe-, Analyse- und Identitäts-Ökosysteme überhaupt und ist wirtschaftlich darauf ausgerichtet, Signale aus unterschiedlichen Quellen zu verknüpfen. Ein Request an einen solchen Akteur lässt sich kaum noch als „bloß anonyme technische Übermittlung“ verteidigen.
Das heißt nicht, dass der Websitebetreiber selbst schon trackt, nur weil der Container lädt. Es bedeutet, dass ein kommerziell interessierter Dritter über den Seitenbesuch informiert wird, bevor der Besucher überhaupt entschieden hat, ob er das möchte.
Der Preis-Gedanke: ein Risiko-Szenario, keine Tatsachenbehauptung
Ein Beispiel macht den Punkt greifbar, ohne ihn zu überziehen: Ein Besucher möchte eigentlich unbeobachtet den Preis eines Produkts oder einer Dienstleistung ansehen. Wird dabei bereits vor jeder Einwilligung der Google Tag Manager geladen, erhält Google zumindest technische Nutzungs- und Kontextdaten über genau diesen Seitenaufruf.
Was daraus wird, lässt sich ohne konkreten Einzelfall nicht seriös behaupten. Nicht tragfähig ist die Aussage, Google verändere dadurch aktiv den angezeigten Preis auf Folgeseiten, dafür fehlt im Regelfall der Nachweis. Tragfähig ist dagegen die vorsichtigere Formulierung: Solche frühen Signale können in datengetriebenen Werbe- und Angebotsökosystemen mittelbar für Profiling, Zielgruppenbildung, Attribution oder Remarketing relevant werden. Der Nutzer verliert damit ein Stück Kontrolle darüber, dass sein Besuch einer bestimmten Preis- oder Produktseite überhaupt gegenüber einem großen Werbeakteur offengelegt wird, unabhängig davon, was konkret damit geschieht.
Gerade bei Preis-, Produkt-, Gesundheits-, Finanz- oder Bewerbungsseiten wiegt dieser Kontrollverlust schwerer als bei einer rein statischen Informationsseite.
Ist das strafbar, abmahnfähig, unterlassungsfähig?
Diese drei Fragen haben unterschiedliche Antworten:
Strafrechtlich ist der gewöhnliche GTM-vor-Consent-Fall in der Regel kein Thema. Strafnormen wie § 42 BDSG verlangen mehr als einen Datenschutzverstoß, etwa Vorsatz, Unbefugtheit oder eine bereicherungsbezogene Absicht. Der typische Fall ist Datenschutz-, TDDDG- und Wettbewerbsrecht, kein Strafrecht.
Abmahn- und unterlassungsfähig ist die Konstellation dagegen grundsätzlich sehr wohl. Der Bundesgerichtshof hat am 27. März 2025 bestätigt, dass Verbraucherschutzverbände und Mitbewerber Datenschutzverstöße wettbewerbsrechtlich verfolgen können (der Fall betraf Gesundheitsdaten nach Art. 9 DSGVO). Das erhöht das reale Risiko für Webseitenbetreiber spürbar, auch wenn nicht jeder Scanner-Fund automatisch vor Gericht gewinnt, entscheidend bleibt der konkret nachweisbare Datenfluss.
Rechtlich ergänzend zu beachten: § 25 TDDDG verlangt für den Zugriff auf oder die Speicherung von Informationen in Endeinrichtungen grundsätzlich eine vorherige Einwilligung, soweit keine gesetzliche Ausnahme greift. Die Datenschutzkonferenz (DSK) stellt in ihrer Orientierungshilfe Digitale Dienste vom November 2024 ausdrücklich klar, dass eine erforderliche Einwilligung vor dem einwilligungsbedürftigen Zugriff vorliegen muss, nicht danach.
Was das für die Einstufung bedeutet
Wichtig für eine saubere Einordnung: „GTM vor Consent ist immer und in jedem Fall ein glasklarer Verstoß“ wäre zu absolut formuliert. Belastbarer ist die differenzierte Aussage: Bereits vor Einwilligung wird eine Verbindung zu Google Tag Manager hergestellt und dabei werden personenbezogene beziehungsweise personenbeziehbare Nutzungsdaten, insbesondere die IP-Adresse, übertragen. Eine technische Erforderlichkeit für die vom Nutzer angeforderte Webseite ist dabei regelmäßig nicht ersichtlich. Soweit der Container Analyse-, Marketing- oder Drittanbieter-Tags steuert, ist die Einbindung vor Consent rechtlich regelmäßig nicht tragfähig.
Was Betreiber jetzt prüfen sollten
- Netzwerkprüfung vor Consent: Welche Requests verlässt die Seite, bevor der Besucher überhaupt reagiert hat, und an welche Domains gehen sie?
- Consent Mode Default: Steht der Google Consent Mode nachweisbar auf
denied, bevor GTM überhaupt lädt? - Tag-Inventar: Welche Tags stecken im Container, welchem Zweck dienen sie, und feuern sie erst nach Zustimmung?
- CMP-Integration: Ist das Consent-Management-Tool tatsächlich technisch mit GTM verbunden, oder läuft der Banner nur optisch mit?
- Dokumentation: Lässt sich im Zweifel nachweisen, dass vor Consent keine einwilligungspflichtigen Vorgänge stattgefunden haben?
Ein vollständiger Verzicht auf den Google Tag Manager ist dabei nicht zwingend erforderlich. Sauber eingebunden, erst nach Einwilligung geladen oder mit korrekt vorinitialisiertem Consent Mode, lässt sich GTM durchaus rechtssicher betreiben. Unkontrolliert vor Consent zu funken, ist dagegen kaum noch zu rechtfertigen und heute vermeidbar.
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 14.07.2026.
Quellen
- BGH, Pressemitteilung Nr. 059/2025 vom 27. März 2025: https://www.bundesgerichtshof.de/SharedDocs/Pressemitteilungen/DE/2025/2025059.html
- § 25 TDDDG, Gesetze im Internet: https://www.gesetze-im-internet.de/ttdsg/__25.html
- DSK, Orientierungshilfe Digitale Dienste, November 2024: https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf
- BfDI, Grundlagen des Datenschutzrechts: https://www.bfdi.bund.de/DE/Buerger/Inhalte/Allgemein/Datenschutz/GrundlagenDatenschutzrecht.html