Google Analytics, Meta-Pixel & Co.: Vor der Einwilligung darf nichts feuern

Worum es geht

§ 25 TDDDG regelt seit Ende 2021, was vorher als Cookie-Richtlinie durch die Rechtsprechung geisterte: Wer Informationen auf dem Endgerät eines Besuchers speichert oder ausliest — Cookies, Local Storage, Fingerprinting —, braucht dafür vorher eine Einwilligung. Ausgenommen ist nur, was für den Betrieb der Seite technisch unbedingt erforderlich ist. Google Analytics, der Meta-Pixel, der TikTok-Pixel, Hotjar, LinkedIn Insight: alles nicht erforderlich, alles einwilligungspflichtig. Dazu kommt die DSGVO-Ebene, sobald die Daten an die Anbieter fließen.

Die Regel lässt sich in einem Satz zusammenfassen, und der ist zugleich der Prüfmaßstab jedes Abmahners: Vor dem Klick auf „Akzeptieren” darf nichts feuern. Nicht „weniger”, nicht „anonymisiert nachgeladen” — nichts. Und weil sich das von außen im Browser nachweisen lässt, ist vorzeitiges Tracking neben fehlerhaften Cookie-Bannern einer der am leichtesten belegbaren Verstöße — auch für abmahnwillige Mitbewerber.

Selbst prüfen: die Netzwerk-Tab-Anleitung

Der schnellste Weg: unser kostenloser Tracker-Check — er ruft Ihre Seite ohne jede Einwilligung auf und listet, welche Tracking-Dienste trotzdem laden. Von Hand geht es so:

1. Öffnen Sie ein privates Fenster (damit keine alte Einwilligung gespeichert ist) in Chrome oder Firefox.
2. F12 drücken, Reiter Netzwerk (Network) öffnen.
3. Ihre Seite laden — und im Cookie-Banner nichts anklicken.
4. Ins Filterfeld nacheinander eintippen: google-analytics, googletagmanager, facebook, tiktok, hotjar, linkedin, doubleclick.
5. Jeder Treffer zu diesem Zeitpunkt ist Tracking vor der Einwilligung — ein Verstoß gegen § 25 TDDDG.
6. Zusätzlich im Reiter Anwendung (Application) → Cookies nachsehen: Liegen dort schon _ga- oder _fbp-Cookies, bevor Sie irgendetwas bestätigt haben?

Wiederholen Sie den Test auf einer Unterseite und einer Landingpage — Tag-Manager und Pixel sind oft nicht überall gleich eingebunden.

Warum WordPress hier besonders anfällig ist

Der Klassiker ist die Doppel-Einbindung: Der Google-Tag wurde vor Jahren fest ins Theme oder per Snippet-Plugin eingebaut, später kam ein Consent-Tool dazu, das Analytics ebenfalls (korrekt, nach Einwilligung) lädt. Das Consent-Tool wartet brav — die alte Einbindung feuert weiter ab Sekunde eins. Weitere Einfallstore:

• Google Tag Manager, der ohne Consent-Mode-Anbindung alle Tags sofort auslöst
• SEO- und Statistik-Plugins, die eigene Analytics-Einbindungen mitbringen
• Theme-Optionen mit einem simplen „Analytics-ID”-Feld, das am Banner vorbeigeht
• Pixel-Plugins für WooCommerce, die Meta- und TikTok-Pixel direkt einbinden

Das Consent-Tool kann nur blockieren, was es kennt. Jede Einbindung daran vorbei macht den Banner zur Attrappe — und die Attrappe dokumentiert den Verstoß.

Was Sie sofort selbst tun können

1. Alle Einbindungen finden: Theme-Optionen, Snippet-Plugins, Tag Manager, Pixel-Plugins durchsehen — wo ist überall eine Tracking-ID eingetragen?
2. Auf einen Weg konsolidieren: Tracking ausschließlich über das Consent-Tool bzw. dessen Blockierfunktion laden lassen, alle Parallel-Einbindungen entfernen.
3. Nachmessen mit privatem Fenster und Netzwerk-Tab (siehe oben) — vorher wie nachher, mit Screenshot samt Datum als Dokumentation.
4. Grundsatzfrage stellen: Brauchen Sie die Daten wirklich? Eine cookielose Statistik (etwa Matomo ohne Cookies konfiguriert) kommt je nach Konfiguration ohne Einwilligung aus und macht den Banner deutlich kürzer — ob Ihre konkrete Konfiguration einwilligungsfrei ist, prüft im Zweifel eine Anwältin oder ein Anwalt.

Unser Angebot

Der Abmahnsicher-Komplettcheck für 349 € Festpreis findet alle Tracking-Einbindungen über alle Seitentypen — auch die vergessenen im Theme —, konsolidiert sie hinter Ihrem Consent-Tool und weist per Netzwerkanalyse nach, dass vor der Einwilligung nichts mehr feuert. Zusammen mit der Prüfung von Einbettungen und externen Schriften ist danach dokumentiert, was Ihre Seite lädt — und wann.