Abmahn-Infos · Stand Oktober 2026

Google Analytics und Meta-Pixel DSGVO-konform: Vor der Einwilligung darf nichts feuern

§ 25 TDDDG ist eindeutig — Tracking braucht eine vorherige Einwilligung. Die meisten WordPress-Seiten mit Banner tracken trotzdem ab Sekunde eins. Wie Sie das in zwei Minuten selbst sehen.

Meta-Pixel und Google Analytics sind nach DSGVO und TDDDG nur zulässig, wenn die Einwilligung vor dem ersten Aufruf des Dienstes vorliegt. Ob Ihre Seite das einhält, sehen Sie selbst: privates Fenster, F12, Reiter „Netzwerk“, Banner nicht anklicken und nach Tracking-Domains filtern. Steht dort schon etwas, feuert ein Tracker zu früh. Das Entfernen der alten Einbindungen im Theme ist die Grenze des Selbermachens; wie es rechtlich zu werten ist, klärt eine Anwältin oder ein Anwalt. Die Gesamtsuche über alle Seitentypen übernimmt das Abmahnsicher-Komplettpaket.

Worum es geht

§ 25 TDDDG regelt seit Ende 2021, was vorher als Cookie-Richtlinie durch die Rechtsprechung geisterte: Wer Informationen auf dem Endgerät eines Besuchers speichert oder ausliest — Cookies, Local Storage, Fingerprinting —, braucht dafür vorher eine Einwilligung. Ausgenommen ist nur, was für den Betrieb der Seite technisch unbedingt erforderlich ist. Google Analytics, der Meta-Pixel, der TikTok-Pixel, Hotjar, LinkedIn Insight: alles nicht erforderlich, alles einwilligungspflichtig. Dazu kommt die DSGVO-Ebene, sobald die Daten an die Anbieter fließen.

Die Regel lässt sich in einem Satz zusammenfassen, und der ist zugleich der Prüfmaßstab jedes Abmahners: Vor dem Klick auf „Akzeptieren” darf nichts feuern. Nicht „weniger”, nicht „anonymisiert nachgeladen” — nichts. Und weil sich das von außen im Browser nachweisen lässt, ist vorzeitiges Tracking neben fehlerhaften Cookie-Bannern einer der am leichtesten belegbaren Verstöße — auch für abmahnwillige Mitbewerber.

Wortlaut: § 25 Abs. 1 und Abs. 2 Nr. 2 TDDDG (abgerufen am 11.10.2026)

Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.

— § 25 Abs. 1 TDDDG, gesetze-im-internet.de

[…] wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.

— § 25 Abs. 2 Nr. 2 TDDDG, gesetze-im-internet.de

Selbst prüfen: die Netzwerk-Tab-Anleitung

Der schnellste Weg: unser kostenloser Tracker-Check — er ruft Ihre Seite ohne jede Einwilligung auf und listet, welche Tracking-Dienste trotzdem laden. Von Hand geht es so:

  1. Öffnen Sie ein privates Fenster (damit keine alte Einwilligung gespeichert ist) in Chrome oder Firefox.
  2. F12 drücken, Reiter Netzwerk (Network) öffnen.
  3. Ihre Seite laden — und im Cookie-Banner nichts anklicken.
  4. Ins Filterfeld nacheinander eintippen: google-analytics, googletagmanager, facebook, tiktok, hotjar, linkedin, doubleclick.
  5. Jeder Treffer zu diesem Zeitpunkt ist Tracking vor der Einwilligung — ein Verstoß gegen § 25 TDDDG.
  6. Zusätzlich im Reiter Anwendung (Application) → Cookies nachsehen: Liegen dort schon _ga- oder _fbp-Cookies, bevor Sie irgendetwas bestätigt haben?

Wiederholen Sie den Test auf einer Unterseite und einer Landingpage — Tag-Manager und Pixel sind oft nicht überall gleich eingebunden.

Selbsttest: Feuert bei Ihnen etwas zu früh?

Haken Sie nur an, was Sie tatsächlich nachgesehen haben, nicht, was Sie vermuten.

Passiert vor dem Klick im Banner nichts?

Auswertung: Jeder Treffer ist ein Tracker, der vor der Einwilligung läuft. Notieren Sie Domain und Seite, das ist die Arbeitsliste für die Suche nach der Einbindung.

Gilt das für die ganze Seite?

Auswertung: Ein offener Haken heißt meist: Eine Einbindung ist noch nicht gefunden. Bei Treffern, die Sie nicht zuordnen können, hilft der Abschnitt zur Selbermach-Grenze weiter unten.

Warum WordPress hier besonders anfällig ist

Der Klassiker ist die Doppel-Einbindung: Der Google-Tag wurde vor Jahren fest ins Theme oder per Snippet-Plugin eingebaut, später kam ein Consent-Tool dazu, das Analytics ebenfalls (korrekt, nach Einwilligung) lädt. Das Consent-Tool wartet brav — die alte Einbindung feuert weiter ab Sekunde eins. Weitere Einfallstore:

  • Google Tag Manager, der ohne Consent-Mode-Anbindung alle Tags sofort auslöst
  • SEO- und Statistik-Plugins, die eigene Analytics-Einbindungen mitbringen
  • Theme-Optionen mit einem simplen „Analytics-ID”-Feld, das am Banner vorbeigeht
  • Pixel-Plugins für WooCommerce, die Meta- und TikTok-Pixel direkt einbinden

Das Consent-Tool kann nur blockieren, was es kennt. Jede Einbindung daran vorbei macht den Banner zur Attrappe — und die Attrappe dokumentiert den Verstoß.

Was Sie sofort selbst tun können

  1. Alle Einbindungen finden: Theme-Optionen, Snippet-Plugins, Tag Manager, Pixel-Plugins durchsehen — wo ist überall eine Tracking-ID eingetragen?
  2. Auf einen Weg konsolidieren: Tracking ausschließlich über das Consent-Tool bzw. dessen Blockierfunktion laden lassen, alle Parallel-Einbindungen entfernen.
  3. Nachmessen mit privatem Fenster und Netzwerk-Tab (siehe oben) — vorher wie nachher, mit Screenshot samt Datum als Dokumentation.
  4. Grundsatzfrage stellen: Brauchen Sie die Daten wirklich? Eine cookielose Statistik (etwa Matomo ohne Cookies konfiguriert) kommt je nach Konfiguration ohne Einwilligung aus und macht den Banner deutlich kürzer — ob Ihre konkrete Konfiguration einwilligungsfrei ist, prüft im Zweifel eine Anwältin oder ein Anwalt.

Wo Selbermachen aufhört

Sie schaffen allein: Treffer im Netzwerk-Reiter finden, Plugins und Theme-Optionen nach Tracking-IDs durchsehen und die Parallel-Einbindung abschalten, wenn sie in einem Plugin oder in den Theme-Einstellungen steht. Es hört auf, wenn der Code fest im Theme steckt oder ein Tag Manager viele Tags auslöst: Dann müssen Dateien oder Container geändert werden, und ein Fehler kann die Seite oder die Messung stören. Auch die Prüfung aller Seitentypen kostet Zeit, die viele auslassen. Ob ein bestimmter Fund rechtlich abgemahnt werden kann, beurteilt keine Technik, sondern eine Anwältin oder ein Anwalt. Wie es ganz ohne Banner geht, steht im Blog Website ohne Cookie-Banner, den Gesamtüberblick liefert Website prüfen.

Unser Angebot

Der Abmahnsicher-Komplettpaket für 349 € Festpreis findet alle Tracking-Einbindungen über alle Seitentypen — auch die vergessenen im Theme —, konsolidiert sie hinter Ihrem Consent-Tool und weist per Netzwerkanalyse nach, dass vor der Einwilligung nichts mehr feuert. Zusammen mit der Prüfung von Einbettungen und externen Schriften ist danach dokumentiert, was Ihre Seite lädt — und wann.

Häufige Fragen

Im Netzwerk-Reiter stehen nur Treffer von „doubleclick“. Ist das auch Tracking?

Der Domainname allein sagt es nicht, er gehört zum Werbenetzwerk von Google. Klicken Sie den Eintrag an und sehen Sie unter „Initiator“ nach, welches Skript ihn ausgelöst hat. Kommt er vom Tag Manager oder von einem Pixel-Plugin, ist es ein Kandidat für die Konsolidierung. Kommt er von einem eingebetteten Video oder einer Karte, gehört der Fund zu den [Einbettungen](/infos/embed-abmahnung/).

Reicht der Blick in die Cookie-Liste, wenn dort kein _ga oder _fbp steht?

Nein. Der Netzwerk-Reiter zeigt auch Verbindungen zu Tracking-Servern, die gar kein Cookie setzen. Prüfen Sie deshalb beides: Anfragen im Reiter „Netzwerk“ und Cookies im Reiter „Anwendung“. Die Cookie-Liste allein ist nur die halbe Messung.

Mein Consent-Tool zeigt Analytics als „aus“. Warum feuert es trotzdem?

Meist läuft ein zweiter Weg am Tool vorbei: ein fest ins Theme geschriebener Google-Tag, eine ID in den Theme-Optionen oder ein Statistik-Plugin mit eigener Einbindung. Das Consent-Tool steuert nur, was es selbst lädt. Der Abschnitt „Warum WordPress hier besonders anfällig ist“ listet die häufigsten Stellen, die Sie der Reihe nach durchsehen können.

Muss ich nach der Korrektur etwas dokumentieren?

Vorgeschrieben ist uns dafür keine Form bekannt. Praktisch hilft ein Screenshot des leeren Netzwerk-Reiters mit sichtbarem Datum, aufgenommen im privaten Fenster vor dem Klick im Banner. Er zeigt, in welchem Zustand Ihre Seite an dem Tag war, und Sie sehen bei einer späteren Änderung, was sich verschoben hat.

Zum Weiterlesen

Ihre Seite jetzt auf Tracker checken →kostenlos, ohne Anmeldung