Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Google Tag Manager (GTM) ist ein kostenloses Tag-Management-System von Google, das es Marketern und Entwicklern ermöglicht, JavaScript-Tags (Tracking-Code-Snippets) auf Websites zu verwalten und einzubinden, ohne den Quellcode direkt zu bearbeiten. GTM selbst erfasst keine personenbezogenen Daten, sondern ist ein Container, der andere Tags lädt. Er ist jedoch der Bereitstellungsmechanismus für Analyse-, Werbe- und Remarketing-Tags, die personenbezogene Daten erfassen. Eine ordnungsgemäße DSGVO-Konformität erfordert die Konfiguration von GTM mit Consent Mode v2 und einer Einwilligungsmanagement-Plattform, um Tags nur bei entsprechender Einwilligung auszulösen.
Google Tag Manager (GTM) ist das 2012 von Google eingeführte kostenlose Tag Management System, das von mehr als 30 Millionen Websites genutzt wird. Das Container Skript (gtm.js) wird einmal pro Seite geladen; der Publisher konfiguriert anschließend Trigger, Variablen und Tags über eine Weboberfläche, ohne den Quellcode für jedes neue Tag ändern zu müssen. GTM ist der Standard Verteilmechanismus für Google Analytics 4, Google Ads Conversion, Floodlight, Meta Pixel, TikTok Pixel, LinkedIn Insight Tag, benutzerdefinierte HTML Tags und viele Drittanbieter.
Der GTM Container setzt standardmäßig keine persistenten Cookies auf der Publisher Domain; er kann _gcl_au und _gcl_aw schreiben, wenn der Google Ads Conversion Linker aktiviert ist. Alle weiteren Cookies stammen aus von GTM ausgelösten Drittanbieter Tags (Google Analytics, Google Ads, Meta Pixel etc.). Das bloße Laden von gtm.js von googletagmanager.com offenbart Google jedoch bereits IP Adresse, User Agent und Referer vor jeder Einwilligung.
Die CNIL stellte 2020 klar, dass GTM nicht per se unbedingt erforderlich ist und daher nicht von der Einwilligungspflicht ausgenommen ist, wenn nicht ausgenommene Anbieter Tags geladen werden. Google Consent Mode v2 (für EWR, Schweiz und Vereinigtes Königreich seit März 2024 verpflichtend) übermittelt den Einwilligungsstatus an die Google Tags und passt deren Verhalten an: im Basic Modus wird das Tag bis zur Einwilligung blockiert, im Advanced Modus überträgt das Tag weiterhin cookielose aggregierte Daten. Vor Aktivierung des Advanced Modus ist eine ausdrückliche Einwilligung einzuholen und die Datenschutzerklärung anzupassen.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Vertragspartner für EU Kunden ist Google Ireland Limited; Google LLC in den USA ist der wichtigste Unterauftragsverarbeiter. Das Laden von gtm.js offenbart Google IP und User Agent. Die GTM Bedingungen enthalten die EU SCC (Modul 3) und Google LLC ist seit dem 10. Juli 2023 unter dem EU US Data Privacy Framework zertifiziert. Ein server side GTM Container kann auf Google Cloud Run in der europäischen Region bereitgestellt werden, um IP Adresse und Request Body innerhalb des EWR zu halten.
Verbinden Sie GTM über den Einwilligungsstatus von Google Consent Mode v2 mit Ihrer CMP. Kennzeichnen Sie jedes nicht ausgenommene Tag mit dem passenden Consent Typ (ad_storage, analytics_storage etc.). Deaktivieren Sie Preview und Debug Mode in der Produktion. Vermeiden Sie das Laden von gtm.js für Nutzer, die alle Kategorien ablehnen; ziehen Sie einen server side Container im EWR in Betracht. Dokumentieren Sie Google Ireland Limited und Google LLC im Verarbeitungsverzeichnis (Art. 30 DSGVO) und in der Datenschutzerklärung. Erneuern Sie die Einwilligung alle 6 Monate in Anlehnung an die CNIL Beratung 2020 091.
Europäische Alternativen sind Matomo Tag Manager (Open Source, Frankreich und EU Hosting), Piano Tag Manager (vormals AT Internet, Frankreich), Commanders Act (Frankreich) und Tealium iQ (USA, EU Hosting möglich). Für server side: Stape.io, Addingwell (Frankreich) und selbst gehosteter server side GTM auf Cloud Run, AWS Fargate oder Hetzner.
Websites using Google Tag Manager must obtain user consent under GDPR regulations.
DPIA considerations
GTM selbst erfordert keine DSFA. Die ausgelösten Tags hingegen: bewerten Sie jedes Tag einzeln und pflegen Sie ein zentrales Tag Inventar.
Sample consent text
Wir setzen Google Tag Manager (GTM) ein, ein kostenloses Tag Management der Google Ireland Limited, um Mess und Werbeskripte erst nach Einholung der entsprechenden Einwilligung zu laden. Der GTM Container wird von googletagmanager.com geladen; dabei werden Ihre IP Adresse, Ihr User Agent und die URL an Google übermittelt. Wir kombinieren GTM mit Google Consent Mode v2, sodass jedes Tag (Google Analytics, Google Ads, Meta Pixel etc.) nur aktiviert wird, wenn Sie die entsprechende Kategorie in unseren Cookie Einstellungen akzeptieren. Die Daten werden in den USA auf Grundlage des EU US Data Privacy Framework und der EU Standardvertragsklauseln verarbeitet.
Third-party domains contacted
googletagmanager.comgoogletagmanager.comwww.googletagmanager.comwww.googletagmanager.comtagmanager.google.comtagassistant.google.comgstatic.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| gtm_none | session | Session | Google Tag Manager does not set cookies itself — cookies are set by individual tags loaded within the GTM container |
| _gtm_id | First party (Google Tag Manager, optional) | Session | Optional internal session marker used in some advanced server side GTM setups. The base GTM container itself does not set cookies. |
| cookieConsent | First party (managed by your CMP) | 12 months | Stores the consent state communicated to GTM Consent Mode v2 by the integrated CMP. |
Google Tag Manager erhebt Analyse-Daten — Sie benötigen rechtlich ein Cookie-Banner. Testen Sie FlowConsent kostenlos.
GTM selbst benötigt keine Einwilligung, da es keine personenbezogenen Daten erfasst. Es muss jedoch so konfiguriert werden, dass nicht wesentliche Tags (Analyse, Werbung, Remarketing) erst nach entsprechender Einwilligung ausgelöst werden. Ohne CMP-Integration und korrekte Auslöserkonfiguration lädt GTM alle Tags unabhängig vom Einwilligungsstatus, was einen DSGVO-Verstoß darstellt.
Consent Mode v2 ermöglicht Google-Tags, ihr Verhalten basierend auf Einwilligungssignalen Ihrer CMP anzupassen. Er wurde im März 2024 für EU/EWR-Werbetreibende verpflichtend für den Zugang zu Googles Mess-, Remarketing- und Conversion-Modelling-Funktionen. Ohne Consent Mode v2 verlieren EU-Werbetreibende Zugang zu Conversion-Daten. Die Implementierung erfolgt über das GTM-Template Ihrer CMP oder direkt per gtag-API.
Nein. GTM selbst setzt keine Cookies. Cookies werden von den einzelnen Tags gesetzt, die im GTM-Container geladen werden. Das GTM-Containerscript selbst erstellt keinen persistenten Browser-Speicher. Die Cookie-Compliance-Pflichten betreffen daher jeden Tag, der über GTM geladen wird, nicht GTM als solches.
Serverseitiges GTM (sGTM) verlagert die Datenverarbeitung vom Browser auf Ihren Server und reduziert so die clientseitige Exposition. Auf EU-Infrastruktur betrieben, kann sGTM Daten verarbeiten und filtern, bevor sie an Dritte weitergegeben werden. Dies reduziert den Browser-Cookie-Einsatz erheblich. sGTM ist keine DSGVO-Pflicht, bietet aber deutliche Datenschutzvorteile, insbesondere für Organisationen, die Datenminimierung anstreben.
Integrieren Sie Ihre CMP mit GTM, um Einwilligungssignale als GTM-Variablen bereitzustellen. Verwenden Sie GTM-Auslöser, die Einwilligungskategorie-Variablen prüfen, bevor Tags ausgelöst werden. Für Google-Tags implementieren Sie Consent Mode v2. Für Nicht-Google-Tags erstellen Sie benutzerdefinierte Einwilligungsauslöser. Testen Sie im GTM-Vorschaumodus, dass keine nicht eingewilligten Tags aktiviert werden.
Erwähnen Sie GTM als Mechanismus zur Verwaltung von Tracking-Skripten. Wichtiger ist es, jede Tracking-Kategorie und die spezifischen geladenen Tools zu beschreiben. Die Datenschutzerklärung sollte erläutern, welche Tags je nach Einwilligungsstatus geladen werden, welche Daten erfasst werden und wie Nutzer widersprechen können.
Nicht konform auf EU-ausgerichteten Websites, auf denen nicht wesentliche Tags eingesetzt werden. Ohne CMP gibt es keinen Mechanismus zum Einholen oder Übermitteln von Einwilligungssignalen an GTM, was dazu führt, dass alle Tags ohne Einwilligung ausgelöst werden. Dies stellt einen klaren DSGVO- und ePrivacy-Verstoß dar. Eine CMP ist für jede Website mit Tracking-Tags und EU-Besuchern verpflichtend.
Die meisten führenden CMPs integrieren sich mit GTM: Cookiebot (Usercentrics), OneTrust, Axeptio, Didomi, CookieYes und Tarteaucitron bieten native GTM-Integrationen oder GTM-Vorlagen-Tags. Im IAB TCF 2.2 zertifizierte CMPs können Einwilligungssignale direkt an Google Consent Mode v2 über GTM weitergeben. Wählen Sie eine CMP, die von der CNIL oder Ihrer lokalen DPA anerkannt ist.
Der GTM Container selbst setzt keine Tracking Cookies. Cookies entstehen erst durch ausgelöste Tags (Google Analytics _ga, Google Ads _gcl_au, Meta Pixel _fbp etc.). Jedes Tag braucht einen eigenen Eintrag in der Cookie Richtlinie.
Das Laden des leeren GTM Containers vor der Einwilligung ist zulässig, wenn kein einwilligungspflichtiges Tag feuert. Koppeln Sie GTM mit einer CMP und Consent Mode v2, sodass Marketing/Analytics Tags erst nach Einwilligung laufen.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für den leeren Container (technischer Dispatcher). Einwilligung (Art. 6 Abs. 1 lit. a + § 25 TDDDG) für jedes nicht erforderliche, aus GTM ausgelöste Tag.
Ja. gtm.js wird von Google LLC (USA) über das globale Google CDN ausgeliefert. Server Side GTM in einer EU Google Cloud Region hält Payloads in Europa. Transfers sind durch das EU US Data Privacy Framework abgedeckt.
Für GTM selbst nicht. Für die ausgelösten Tags ggf. doch: Analytics, Ads, Pixel separat bewerten und im DSFA Inventar aggregieren.
CMP anbinden, Google Consent Mode v2 aktivieren, consent_types pro Tag setzen, Veröffentlichungsrechte beschränken, GTM als Auftragsverarbeiter im Verzeichnis nach Art. 30 DSGVO eintragen und Server Side GTM in EU Region prüfen.
Matomo Tag Manager (EU, Open Source), Piwik PRO Tag Manager (EU), Tealium iQ (USA), Adobe Experience Platform Launch (USA), Commanders Act TagCommander (Frankreich), Tag Manager Plus (Open Source).
GTM Container nicht als Cookie listen (er setzt keinen). Jedes ausgelöste Tag separat eintragen. Google LLC als Auftragsverarbeiter mit Verweis auf das EU US Data Privacy Framework nennen.