Google Tag Manager (serverseitig proxied) – was ist das?

Wenn es vor der Einwilligung lädt Hoch

Tracking & Consent

So steht es dann im Bericht: «Google Tag Manager – Container-Ladevorgang vor erkannter Einwilligung aufgerufen; läuft über eine serverseitige Tag-Manager-Instanz (Server-Side-GTM) auf einer Subdomain der eigenen Seite statt direkt über googletagmanager.com, wirkt dadurch rein first-party und umgeht domainbasierte Tracking-Blocker.»

Erkennbar an: /gtm.js?id=gtm-

Rechtsgrundlage

Das VG Hannover (Urt. v. 19.03.2025, Az. 10 A 5385/22) hat den Google Tag Manager als einwilligungspflichtig nach § 25 TDDDG eingestuft, weil er per Cookie und Skript auf das Endgerät zugreift und für den Betrieb der Website technisch nicht notwendig ist. Das Google-Tag-Skript (gtag.js) greift auf dieselbe Weise auf das Endgerät zu: Es kann Cookies setzen und liest per Skript Geräteinformationen aus; zudem gehen schon beim Laden des Skripts Verbindungsdaten (u. a. IP-Adresse, Referrer) an Google, unabhängig davon, welche Messungen anschließend ausgelöst werden.

Empfehlung

Google-Tag-Skript (gtag.js) bzw. GTM-Container erst nach aktiver Einwilligung laden, z. B. per CMP-Gate vor dem jeweiligen Skript; das Consent-Management selbst braucht den Container nicht und kann außerhalb davon eingebunden werden. Enthaltene Tags feuern erst nach Einwilligung; echte Tracker erscheinen weiterhin separat als eigene Befunde.