Drücke „Enter”, um zum Inhalt zu springen.
Ausprobieren
Online Webseiten-Check
sofort das Ergebnis sehen
Auf meiner Webseite sind externe Links mit dem Symbol gekennzeichnet. Datenschutzhinweise · Wissensartikel

Google erklärt den Google Tag Manager für funktionsunfähig: Datenschutz wird bestmöglich eingehalten

8

Schlechte Nachrichten für Marketing-People: Der Google Tag Manager kann nicht weiter genutzt werden, wenn die Angaben von Google stimmen. Statt Daten zu verarbeiten, ignoriert der Tag Manager von Google diese. Ob Datenschutzgründe die Ursache sind?

Dies ist kein Aprilscherz, auch wenn sich die Einleitung so liest.

In der Datenschutzerklärung von Google sorgt Google für maximale Klarheit bezüglich des Google Tag Managers (GTM). Dort erklärt Google zum GTM:

Damit wir die Stabilität, Leistung und Installationsqualität des Systems beobachten können und Daten zur Diagnose erhalten, werden mit Google Tag Manager bestimmte aggregierte Daten zur Tag-Auslösung erhoben. Diese Daten enthalten keine IP-Adressen oder Mess-IDs, die mit einer bestimmten Person verknüpft sind.

Quelle: https://support.google.com/tagmanager/answer/9323295?hl=de, Stand: 25.10.2022

Das wichtige Wort in dieser Google-eigenen Angaben zum Google Tag Manager ist von mir fett gedruckt. In der Grundform heißt der Begriff als Substantiv:

Datenerhebung

Ein Blick in den Art. 4 Nr. 2 DSGVO verrät, dass die Datenerhebung eine Datenverarbeitungstätigkeit ist:

Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung

Art. 4 Nr. 2 DSGVO

Das Erheben kommt also vor dem Erfassen (wenn man anerkannt, was viele anerkennen, dass nämlich die Aufzählung eine zeitliche Reihenfolge vorweist). Auf jeden Fall ist das Erheben etwas anderes als das Erfassen, das Speichern, Anpassen, Verändern oder als eine sonstige Form der Datenverarbeitung.

Das Erheben von Daten beginnt bereits mit deren gewollten Erhalt. Es spielt keine Rolle, ob die Daten tatsächlich erhalten wurden. Vielmehr muss ein Angebot im weitesten Sinne vorliegen, aufgrund dessen ein Datenexporteur (oder spezieller: Dateninhaber) seine Daten auf einem vorgesehen Weg an den Datenverarbeiter schickt. Genauer untersucht habe ich die Datenerhebung in einem eigenen Beitrag. Siehe auch die Orientierungshilfe des BayLDA, etwa ab Rn. 78 (Daten werden zur Aufgabenerfüllung Übermittlung. Dort steht nicht, dass die Daten auch faktisch weiterverarbeitet werden müssen, was sich mit meiner Untersuchung deckt!). Diese Förmelei (Begriff habe ich bei Jens Ferner gelesen) tut hier aber nichts zur Sache, verzeihen Sie bitte diese Entgleisung.

Unstrittig ist, dass der Google Tag Manager Daten erhalten will, weil er ja von Google bereitgestellt wurde. Der Datenerhalt beginnt somit unstrittig, sobald der Google Tag Manager ordnungsgemäß eingebunden wurde, nämlich über eine Adresse wie googletagmanager.com.

Beim Laden des Google Tag Managers wiederum wird aus technisch notwendigen Gründen die IP-Adresse des Nutzers, der eine Webseite besucht, die den GTM einbindet, an Google bzw. den GTM geschickt.

Der GTM kann nur geladen werden, wenn die Netzwerkadresse des Nutzers zum GTM geschickt wird und der GTM diese entgegennimmt, damit das GTM-Script an die besuchte Webseite zurückgeschickt werden kann. Dieses Schicken der Netzwerkadresse kann nur stattfinden, wenn diese erhoben wird. Ohne Erhebung kein Empfang einer solchen Adresse.

Nun behauptet Google aber selbst (siehe ganz oben), dass der Google Tag Manager gar keine IP-Adresse erhebt. Somit kann der GTM gar nicht geladen werden. Somit kann der Google Tag Manager gar nicht genutzt werden.

Google erklärt also selbst, dass der Google Tag Manager nicht mehr funktioniert.

Kurzfassung der Logik, warum der GTM nicht mehr funktioniert:

  • Um den GTM zu laden, muss die IP-Adresse des Nutzers zum GTM übertragen werden.
  • Der GTM muss die IP-Adresse des Nutzers also zwangsläufig erheben, damit der GTM seinen Dienst verrichten kann.
  • Google erklärt aber, dass der GTM die IP-Adresse des Nutzers aber gerade nicht erhebt.
  • Somit kann laut Google der GTM gar nicht geladen werden.
  • Der GTM ist somit funktionsunfähig.

Danke, Google. Jetzt können sich zahlreiche Marketing-Mitarbeiter endlich nach einer sinnvollen Beschäftigung umsehen. Wem langweilig ist, der kann sich ja mal überlegen, was an der folgenden Aussage falsch ist (diese Aussage ist Teil zahlreicher Datenschutzerklärungen).

Der falsche Satz lautet: Der Google Tag Manager ist keine cookielose Domäne.

Wer in diesem Satz nicht mindestens einen Fehler findet, weiß wenigstens, dass er/sie keine Ahnung von Technik hat. Dieses Wissen muss ja auch nicht jeder haben. Ich kann auch nicht alles. Wenn aber jemand nicht weiß, dass der GTM keine Domäne ist, dann sollte dieser jemand wenigstens nicht andere durch seinen Vortrag auf einer Datenschutzveranstaltung belästigen (kürzlich so geschehen und trotz Hinweis auf die Fehlleitung, dass der Google Tag Manager keine Domäne ist, erfolglos hinsichtlich der Einsicht des Verursachers dieser unsinnigen Aussage; wäre nicht so schlimm, wenn der Unsinnsverursacher nicht auch noch ein Produkt angepriesen hätte, was er als DSGVO-konform bezeichnet hat).

Nebenbei bemerkt, ist der Google Tag Manager auch nicht cookielos. Google gibt dies sogar selber zu.

Fazit

Der Google Tag Manager funktioniert nicht. Jedenfalls ist das die Konsequenz aus dem, was Google schreibt. Oder meint Google etwa, IP-Adressen hätten keinen Personenbezug? Diese Frage hatten EuGH und BGH doch schon beantwortet (siehe Urteile „Breyer“: EuGH-Urteil vom 19.10.2016 – C-582/14, BGH-Urteil vom 16.05.2017 – VI ZR 135/13). Selbst die Facebook-freundliche irische Datenschutzaufsicht hat schriftlich festgehalten, dass es ausreicht, einen Datenwert nur eine sehr kurze Zeit lang zu kennen, damit ein Personenbezug vorliegen kann. Google kann übrigens mindestens dann direkt einen Personenbezug herstellen, wenn ein Nutzer in seinem Google Konto angemeldet ist, während er eine Webseite besucht.

Alle, die den GTM immer noch einsetzen wollen, obwohl dieses Tool funktionsuntüchtig ist, sollten wenigstens die rechtlich relevanten Ausführungen von Google zum Tag Manager lesen. Dann nämlich besteht die Chance, dass der GTM nie wieder eingesetzt wird. Wer bis zu Ende lesen will, was Google da alles erklärt, wird einige Tage lang beschäftigt sein (sofern der Leser versucht, alles zu lesen und das auch alles zu verstehen).

Wer dann immer noch beim Google Tag Manager bleiben will, sollte ihn erst nach Einwilligung laden. Die Gründe dafür sind vielfältig.

Alle Bilder in diesem Beitrag wurden von einem Computer-Programm und ohne meine kreative Mitarbeit erzeugt. Verwendet wurde ein KI-Programm, was ähnlich zu Dall-E ist. Die Bilder dürfen auf Webseiten frei verwendet werden, sofern eine üblich sichtbare dofollow-Verlinkung auf diesen Blog gegeben ist.
Bullshit Basics
Dies war ein Beitrag aus der Kategorie Bullshit Basics.
In dieser Kategorie werden weit verbreitete Unwahrheiten oder Falschwissen thematisiert und durch Fakten aufbereitet.
Wer schreibt hier?
Mein Name ist Klaus Meffert. Ich bin promovierter Informatiker und beschäftige mich seit über 30 Jahren professionell und praxisbezogen mit Informationstechnologie. In IT und Datenschutz bin ich auch als Sachverständiger tätig. Mir sind juristische Gegebenheiten nicht fremd. Meine Ergebnisse gewinne ich durch Betrachtung von Technik und Recht. Das scheint mir absolut notwendig, wenn es um digitalen Datenschutz geht. Über neue Beiträge werden Sie informiert, wenn Sie meinen Newsletter abonnieren. Über Ihre Unterstützung für meine Arbeit würde ich mich besonders freuen.
Bitte nutzen Sie bei Verwendung meiner Ergebnisse die Quellenangabe oder verlinken Sie gut wahrnehmbar auf diesen Artikel:
Einen Kurzlink oder eine Bestätigung für Ihre Quellenangabe erhalten Sie kurzfristig auf Anfrage. Ein Teilen oder Verteilen dieses Beitrags ist natürlich ohne weiteres möglich und gewünscht.

Kommentare von Lesern

Die Kommentare drücken die Meinungen der jeweiligen Kommentargeber aus
  1. Jane Doe

    Der Artikel kommt mir wie ein Denksportaufgabe vor. Funktioniert der GTM nun wirklich nicht mehr, oder ist das nur eine polemische Art und Weise, zu beschreiben, dass der GTM nach juristischer Sicht nicht funktionieren dürfte.

    Funktioniert der GTM techisch nicht mehr, oder juristisch?

    • Dr. DSGVO

      Danke für Ihre Rückmeldung. Daraufhin habe ich eine Kurzfassung der Argumentation in den Beitrag eingebaut.
      Zu Ihrer Frage:
      Der GTM funktioniert erklärtermaßen nicht mehr. Wenn Sie so wollen, wird aus juristischen Gründen ausgeschlossen, dass er technisch funktionieren kann.

      Jedenfalls kann sich niemand mehr auf die Aussage von Google berufen, der Tag Manager würde ja gar keine personenbezogenen Daten verarbeiten. Das ist nämlich grundsätzlich (objektiv) falsch.

  2. Jane Doe

    Okay verstanden, vielen Dank für die schnelle Klarstellung. Und vielen Dank auch für die vielen nützlichen Artikel.

  3. Jan Dö

    Ganz klarer Fall für die Aufsichtsbehörden, schöne Bußgelder winken 😁

  4. Anonymous

    Die Haarspaltereien sind nicht so wichtig. Es ist festzustellen, dass Google mit dem Tagmanager (Gibt es auch einen Nacht-Manager?) mindestens vorübergehend die IP-Adresse als personenbezogenes Datum verarbeitet; damit er im Zusammenspiel mit dem Browser wirken kann. Das Einbinden, irgendwas Machen und an Google zurückschicken haben sich nicht die Benutzer ausgedacht, sondern es ist Googles Idee und Verantwortung. + evtl. die der Auftrittsbetreiber, die so was einbinden und bitte mal erklären sollen, für welche Zwecke. Der Erlaubnistatbestand dafür… Hm…Für die Zulässigkeitsprüfung “berechtiger Interssen” müsste man Zwecke und Interessen kennen; §-25-TTDSG-Zugriffe bräuchten informierte Einwilligungen. Viel Spaß!

    Behaupten sie jetzt, dass sie dafür keine IP-Adresse nutzen ist das entweder richtig (dann müssten sie eine bisher unerkannte Paralleldimension im Internet gefunden haben; vielleicht Oberwellenfax, optische Achsen…); ohne Absender-IP können sie mit Browser-Technik schwer was zugeschickt bekommen.

    …oder es ist gelogen, weil’s die IP ja technisch braucht, um irgendwas in bzw. aus dem Browser zu kriegen. Wenn sie das veranlassen verarbeiten sie mindestens kurz personenbezogene Daten, sind dafür verantwortlich und bräuchten eine passable Rechtsgrundlage.

    D., der die Google-Aussage für unscharf formuliert hält; absichtlich, Nebelkerze, Lost in Translation, kommtunsheutnichtsogenaudraufan o. ä.

    • Dr. DSGVO

      Ja, Google scheint die Annahme und somit Verarbeitung einer IP-Adresse bezüglich des Google Tag Managers in Abrede zu stellen. Paralleluniversum trifft es ganz gut. Auch Nebelkerze ist ein Begriff, der die Situation gut beschreibt, die Google versucht, herbeizuführen.

  5. Anonymous

    Sollte ich den Google Tag Manager serverseitig einbinden, müsste das mit der IP aber eigentlich kein Problem mehr sein, oder?

    • Dr. DSGVO

      Es kommt darauf an. Grundsätzlich können serverseitig dieselben problematischen Daten übermittelt werden. Die IP des Users sollte nicht übermittelt werden (anonymize IP). Ebenso sollten Dinge wie der Viewport oder eine eigene ClientID (UserID) ebenso NICHT übermittelt werden.
      Man muss für jeden einzelnen Datenwert feststellen, ob er einen a) möglichen (!) Personenbezug und b) einen Zugriff auf das Endgerät des Nutzers darstellt. Beides wäre einwilligungspflichtig.

Schreiben Sie einen Kommentar

Ihre Mail-Adresse wird nicht veröffentlicht.

Nächster Beitrag

Google Analytics ist auch ohne Cookies einwilligungspflichtig wegen eines Endgerätezugriffs