Google Tag Manager nur mit Einwilligung: Urteil 2026

Das Urteil des VG Hannover im Klartext

Am 19.03.2025 wies das Verwaltungsgericht Hannover die Klage eines Website-Betreibers gegen eine Anordnung der Datenschutzaufsicht ab (Az. 10 A 5385/22). Die Behörde hatte zwei Dinge beanstandet: Erstens fehlte im Cookie-Banner auf der ersten Ebene eine gleichwertige Möglichkeit, alle nicht notwendigen Cookies abzulehnen. Zweitens wurde der Google Tag Manager eingebunden, ohne dass zuvor eine Einwilligung eingeholt wurde. Das Gericht bestätigte beide Beanstandungen und stellte die Rechtmäßigkeit der Anordnung fest (VG Hannover, 19.03.2025).

Die zentrale Aussage zum GTM: Bereits mit dem Einbinden des Managers wird auf das Endgerät des Nutzers zugegriffen, und es findet eine Datenübermittlung statt - nämlich durch das Laden des Skripts gtm.js von Google-Servern (VG Hannover, 19.03.2025). Dieser Zugriff fällt unter § 25 Abs. 1 TDDDG und ist ohne vorherige Einwilligung unzulässig, sofern der Tag Manager nicht ausschließlich technisch notwendige Funktionen bereitstellt. Zusätzlich verlangte das Gericht einen 'Alles ablehnen'-Button, der in Sichtbarkeit, Erreichbarkeit und Platzierung dem 'Akzeptieren'-Button gleichwertig ist (VG Hannover, 19.03.2025).

Warum schon der reine Skript-Abruf zählt

Viele Betreiber gehen davon aus, der Tag Manager sei nur ein 'leerer Behälter', der selbst nichts trackt und deshalb ohne Einwilligung laufen dürfe. Diese Sicht greift zu kurz. § 25 Abs. 1 TDDDG kennt zwei Tatbestände: das Speichern von Informationen im Endgerät und den Zugriff auf bereits im Endgerät gespeicherte Informationen (§ 25 TDDDG). Schon der Verbindungsaufbau zum Server googletagmanager.com, um gtm.js zu laden, löst einen solchen Zugriff aus und übermittelt technische Daten wie die IP-Adresse an einen Drittanbieter (VG Hannover, 19.03.2025).

Hinzu kommt die Drittlandproblematik: gtm.js wird von Google-Servern geladen, wodurch personenbezogene Daten in die USA übertragen werden können (VG Hannover, 19.03.2025). Für solche Übermittlungen gelten neben der Einwilligungspflicht zusätzliche Anforderungen aus Kapitel V DSGVO. Wer genau wissen will, welche Daten beim ersten Seitenaufruf abfließen, misst das am besten aktiv - der Beitrag zu Datenabfluss und Drittland-Transfer messen zeigt die Methode.

Wie verbreitet das Problem ist

Die Reichweite des Urteils ergibt sich aus der Marktstellung des Werkzeugs. Unter allen Websites, die überhaupt einen Tag-Manager einsetzen, entfallen 94,3 % auf den Google Tag Manager (W3Techs 2026). Nach Auswertungen von BuiltWith läuft GTM auf einem großen Teil der meistbesuchten Websites weltweit (BuiltWith 2026). Gleichzeitig ist der Umgang mit Einwilligungen in der Breite mangelhaft: Eine peer-reviewte Großuntersuchung aus dem Jahr 2025, die über eine Viertelmillion Websites analysierte, fand, dass nur etwa 15 % der Consent-Banner die Mindestanforderungen an eine wirksame Einwilligung erfüllen (Large-Scale-Web-Tracking-Studie 2025).

Noch deutlicher wird das Bild beim tatsächlichen Tracking-Verhalten: Über 50 % der Websites setzten Cookies, bevor der Nutzer überhaupt eine Auswahl getroffen hatte (Large-Scale-Web-Tracking-Studie 2025). Rund 67 % der untersuchten Seiten zeigten zwar ein Consent-Interface, doch ein großer Teil bot keine gleichwertige Ablehnung an (Large-Scale-Web-Tracking-Studie 2025). Genau dieses Muster - Skripte und Cookies vor dem Klick, kein echtes 'Ablehnen' - hat das VG Hannover beanstandet.

Was ein Verstoß rechtlich und wirtschaftlich kostet

Die Sanktionen liegen auf zwei Ebenen. Der Zugriff ohne Einwilligung erfüllt den Bußgeldtatbestand des § 28 Abs. 1 Nr. 13 TDDDG und kann mit bis zu 300.000 Euro geahndet werden (§ 28 TDDDG). Zuständig für die Durchsetzung sind je nach Konstellation die Bundesnetzagentur oder die Datenschutzaufsicht (§ 28 TDDDG). Kommt es zusätzlich zu einer unrechtmäßigen Verarbeitung personenbezogener Daten, greift der Bußgeldrahmen der DSGVO mit bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO).

Neben Bußgeldern droht die zweite, oft schnellere Gefahr: Abmahnungen durch Wettbewerber oder spezialisierte Kanzleien. Fehlende oder mangelhafte Consent-Lösungen werden als Wettbewerbsverstoß geltend gemacht, ähnlich wie es der Beitrag zur BFSG-Abmahnwelle bei fehlender Barrierefreiheit für den Bereich der digitalen Zugänglichkeit beschreibt. Erfahrungsgemäß sind es diese zivilrechtlichen Schreiben, die Betreiber am schnellsten erreichen - lange bevor eine Aufsichtsbehörde tätig wird.

Die typischen Consent-Fehler im Überblick

Vier Fehlerbilder tauchen in der Praxis immer wieder auf. Sie haben eines gemeinsam: Der Nutzer wird getrackt, bevor er wirksam zugestimmt hat.

So prüfen Sie, ob Tags vor der Einwilligung feuern

Ob Ihre Website betroffen ist, lässt sich mit einer Simulation des ersten Seitenbesuchs feststellen - also des Zustands, bevor irgendein Consent erteilt wurde. Der praktische Ablauf:

1. Erstbesuch simulieren: Rufen Sie die Seite in einem frischen Zustand ohne gesetzte Einwilligung auf, damit Sie exakt das sehen, was ein Neubesucher auslöst.
2. Netzwerk-Requests beobachten: Prüfen Sie, ob eine Anfrage an googletagmanager.com (gtm.js) ausgeht, bevor der Banner beantwortet wurde - dieser Abruf ist der entscheidende Punkt (VG Hannover, 19.03.2025).
3. Cookies und Speicherzugriffe protokollieren: Erfassen Sie jedes Cookie und jeden Zugriff auf den Endgerätespeicher, der vor dem Klick entsteht (§ 25 TDDDG).
4. Drittanbieter-Verbindungen aufschlüsseln: Halten Sie fest, an welche Domains und in welche Länder Daten fließen, um die Drittlandfrage zu bewerten (Art. 83 DSGVO).
5. Regelmäßig wiederholen: Ein Deploy, ein neues Marketing-Tag oder eine geänderte Container-Konfiguration kann den Zustand jederzeit kippen - eine einmalige Prüfung reicht nicht.

Consent sauber aufsetzen - die richtige Reihenfolge

Die technische Lösung ist geradlinig: Nichts, was einwilligungspflichtig ist, lädt vor der Einwilligung. Das gilt für den GTM-Container genauso wie für jeden einzelnen Tag. Bewährt hat sich diese Reihenfolge:

• Blocker zuerst: Das Consent-Tool lädt als Erstes und blockiert alle nicht notwendigen Skripte, bis eine Entscheidung vorliegt.
• GTM erst nach 'Akzeptieren': Der Container wird ausschließlich dann nachgeladen, wenn der Nutzer aktiv zugestimmt hat - technisch über ein Event, nicht über ein bereits eingebettetes Snippet.
• Gleichwertiges Ablehnen: 'Akzeptieren' und 'Ablehnen' stehen auf der ersten Ebene gleichrangig nebeneinander (VG Hannover, 19.03.2025).
• Einwilligung dokumentieren: Zeitpunkt, Umfang und Version des Consents werden nachvollziehbar gespeichert, um die Einwilligung belegen zu können (Art. 6 Abs. 1 lit. a DSGVO).
• Widerruf ermöglichen: Der Nutzer muss seine Entscheidung so leicht widerrufen können, wie er sie getroffen hat.

Im Code bedeutet das: Das Standard-GTM-Snippet im <head> wird durch eine Funktion ersetzt, die erst nach dokumentierter Einwilligung feuert. Ein schematisches Beispiel:

<!-- Falsch: GTM lädt sofort im <head>, noch bevor eine Einwilligung vorliegt -->
<script>(function(w,d,s,l,i){/* gtm.js wird direkt geladen */})(window,document,'script','dataLayer','GTM-XXXX');</script>

<!-- Richtig: GTM erst nach dokumentierter Einwilligung nachladen -->
<script>
  function ladeTagManager(){
    var s = document.createElement('script');
    s.src = 'https://www.googletagmanager.com/gtm.js?id=GTM-XXXX';
    document.head.appendChild(s);
  }
  // Consent-Tool ruft diese Funktion NUR nach Klick auf 'Akzeptieren' auf
  window.addEventListener('consent:granted', ladeTagManager);
</script>

Wer bereits ohne einwilligungspflichtige Cookies auskommen möchte, findet im Beitrag zu cookieloser Analyse ohne Consent-Banner einen alternativen Weg, und die grundsätzliche Umsetzung eines rechtssicheren Banners beschreibt der Leitfaden zur korrekten Cookie-Consent-Implementierung.

Kontinuierlich überwachen statt einmal prüfen

Eine saubere Consent-Konfiguration ist kein Dauerzustand. Sie kippt genau dann, wenn niemand hinschaut: Ein Marketing-Team baut ein neues Pixel ein, ein Update ändert die Container-Logik, ein Entwickler kommentiert das Consent-Gate 'kurz zum Testen' aus. Solche Regressionen bleiben ohne fortlaufende Kontrolle unbemerkt, bis eine Abmahnung sie sichtbar macht.

Weil Tags oft über den Container nachgeladen werden, gehört die Überwachung des Consent-Verhaltens mit der Kontrolle eingebundener Skripte zusammen. Der Beitrag zum Überwachen von Consent-Tag-Drift vertieft das Muster, und das Monitoring der Skript-Integrität schlägt an, wenn ein Drittanbieter-Skript sein Verhalten unbemerkt ändert. Ergänzt um Alerting über mehrere Kanäle wird aus der Momentaufnahme ein Frühwarnsystem.

Pre-Consent-Tracking mit XICTRAQ aufdecken

Nach dem Urteil des VG Hannover ist die Frage nicht mehr, ob der Google Tag Manager einwilligungspflichtig ist, sondern ob Ihr Container die Regel einhält. Das lässt sich nicht einmalig abhaken - jeder Deploy, jedes neue Tag und jede geänderte Consent-Konfiguration kann den Zustand verändern. Deshalb gehört die Prüfung in denselben Werkzeugkasten wie die laufende cookielose Analyse, die von vornherein ohne einwilligungspflichtige Cookies arbeitet.

XICTRAQ stellt einen Erstbesuch ohne Consent nach, erkennt jeden Tracker und jeden gtm.js-Abruf vor der Einwilligung und meldet Abweichungen automatisch. Kombiniert mit dem DSGVO-Scanner für Pflichtseiten und Pre-Consent-Tracker sehen Sie an einem Ort, ob Banner, Skripte und Datenflüsse zusammenpassen. Wer statt eines Trackers eine datenschutzfreundliche Analyse-Alternative sucht, umgeht das Einwilligungsproblem an der Wurzel.

Starten Sie mit dem kostenlosen Test und prüfen Sie, was Ihre Startseite beim ersten Aufruf wirklich lädt. Oder sehen Sie sich in einer persönlichen Demo an, wie Pre-Consent-Erkennung und Alerting im Alltag zusammenspielen.