Google Tag Manager und Datenschutz: Der Container ist kein leeres Gefäß
Viele Website-Betreiber gehen davon aus, dass Google Tag Manager selbst datenschutzrechtlich harmlos ist – schließlich setzt er keine eigenen Cookies und leitet keine Analysedaten weiter. Das stimmt aber nur halb: Bereits das Laden des GTM-Skripts überträgt die IP-Adresse deiner Besucher an Google-Server, die auch in den USA stehen. Ein deutsches Verwaltungsgericht hat 2025 entschieden, dass das eine Einwilligung erfordert. Es gibt also auch ohne Google Analytics einige Punkte, die du erledigen musst.
Überblick
Was ist Google Tag Manager?
Google Tag Manager ist ein Dienst von Google Ireland Limited, der es Website-Betreibern ermöglicht, Skripte und Tracking-Codes zentral zu verwalten und ohne direkten Eingriff in den Website-Code auf ihrer Seite auszuspielen. Statt jeden Code einzeln einzubauen, wird ein einziges GTM-Script eingebunden, über das alle weiteren Dienste gesteuert werden.
| Google Tag Manager – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟢 | Google Tag Manager setzt selbst keine Cookies. |
| Externe Verbindungen | 🔴 | Das GTM-Script wird von Google-Servern geladen, dabei wird die IP-Adresse übertragen – Cookie-Banner erforderlich. |
| Datenschutzerklärung | 🔴 | Wegen Datenübertragung an Google und US-Transfer erforderlich. |
| Drittlandtransfer | 🔴 | IP-Adresse wird beim Script-Abruf an Google-Server übertragen, die auch in den USA stehen. |
| Auftragsverarbeitung | 🔴 | Vertrag mit Google muss im GTM-Konto akzeptiert werden. |
| Benutzereingaben | 🟢 | Google Tag Manager selbst erfasst keine Formulardaten. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was passiert, wenn Google Tag Manager auf deiner Website läuft?
Jedes Mal, wenn jemand deine Website aufruft, lädt der Browser das GTM-Script von Google-Servern nach – genauer gesagt von www.googletagmanager.com. Dieser Abruf ist technisch unvermeidbar, weil das Skript direkt von Google kommt. Dabei landet zwingend die IP-Adresse des Besuchers bei Google. Die IP-Adresse gilt als persönliches Datum, weil sie einer Person zugeordnet werden kann.
Wichtig zu verstehen: Das passiert unabhängig davon, welche Tags du im GTM eingerichtet hast. Selbst ein leerer GTM-Container überträgt die IP-Adresse beim Laden. Ein Verwaltungsgericht hat 2025 entschieden, dass bereits dieser Vorgang eine Einwilligung des Besuchers erfordert. Das bedeutet: Dein Cookie-Banner muss das GTM-Script blockieren, bis der Besucher zustimmt.
GTM selbst speichert keine Daten und setzt keine eigenen Cookies. Er ist ein Verteiler – was tatsächlich mit den Besucherdaten passiert, hängt davon ab, welche Dienste du über GTM einbindest, zum Beispiel Google Analytics oder Werbepixel.
Cookies
Setzt Google Tag Manager Cookies?
Google Tag Manager setzt selbst keine Cookies. Cookies entstehen ausschließlich durch die Dienste, die du über GTM auf deiner Website einbindest – also zum Beispiel durch Google Analytics oder Google Ads. Diese Dienste brauchen eigene Einträge in deinem Cookie-Banner und deiner Datenschutzerklärung. GTM als Container ist in dieser Hinsicht neutral.
Externe Verbindungen
Baut Google Tag Manager externe Verbindungen auf?
Ja – und das ist der zentrale Datenschutzpunkt bei Google Tag Manager. Jedes Mal, wenn deine Website geladen wird, ruft der Browser das GTM-Script von www.googletagmanager.com ab. Dabei überträgt der Browser automatisch die IP-Adresse des Besuchers an Google.
Diese Verbindung entsteht beim Seitenaufruf und ist nicht zwingend für den Betrieb deiner Website notwendig. Dein Cookie-Banner muss das Laden von Google Tag Manager blockieren, bis der Besucher zugestimmt hat. Ohne diese Blockierung läuft GTM beim ersten Seitenaufruf automatisch – und das ist seit dem Gerichtsurteil von 2025 nicht mehr zulässig.
Achte in deinem Cookie-Banner darauf, dass GTM explizit als blockierter Dienst eingetragen ist und erst nach Zustimmung geladen wird.
Benutzereingaben
Verarbeitet Google Tag Manager Daten aus Formularen?
Google Tag Manager selbst verarbeitet keine Eingaben von Website-Besuchern. Er erfasst keine Formulardaten, keine Suchanfragen und keine anderen aktiven Eingaben. Was Besucher auf deiner Website eingeben, bleibt unberührt von GTM – sofern du über GTM keine Dienste einbindest, die Formulardaten erfassen.
Drittlandtransfer
Werden Daten durch Google Tag Manager in die USA übertragen?
Google Tag Manager überträgt die IP-Adresse deiner Besucher an Google-Server, die auch in den USA stehen. Das Mutterunternehmen Google LLC hat seinen Sitz in den USA.
Die Übertragung in die USA ist aktuell durch eine Vereinbarung zwischen der EU und den USA erlaubt – Google nimmt an diesem Programm teil. Das entbindet dich aber nicht davon, den Transfer in deiner Datenschutzerklärung zu erwähnen und einen Vertrag mit Google abzuschließen.
Auftragsverarbeitung
Brauche ich einen Vertrag mit Google für den Tag Manager?
Google Tag Manager erfordert einen Vertrag mit Google Ireland Limited, weil Google dabei IP-Adressen deiner Besucher in deinem Auftrag verarbeitet. Diesen Vertrag schließt du direkt in deinem GTM-Konto ab: Gehe dort auf Verwaltung, dann Kontoeinstellungen und suche den Punkt „Zusatz zur Datenverarbeitung“. Dort kannst du den Vertrag lesen und akzeptieren.
Alternativ findest du ihn unter business.safety.google/adsprocessorterms. Ohne diesen Vertrag betreibst du GTM ohne die nötige Rechtsgrundlage.
Datenschutzerklärung
Muss Google Tag Manager in der Datenschutzerklärung stehen?
Google Tag Manager muss in deine Datenschutzerklärung, weil dabei Daten deiner Besucher an Google übertragen werden und ein Drittlandtransfer in die USA stattfindet. Folgende Angaben gehören in den Eintrag:
- Zweck: Verwaltung und Einbindung von Skripten auf der Website
- Rechtsgrundlage: Einwilligung
- Empfänger: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
- Drittlandtransfer: Übertragung in die USA, Google nimmt am EU-US Data Privacy Framework teil
- Speicherdauer: Gemäß den Datenschutzbestimmungen von Google
Wir nutzen Google Tag Manager für Tag-Management-Systeme.
Google Tag Manager stellt beim Laden der Website eine Verbindung zu Servern von Google Ireland Limited her, die nicht technisch notwendig ist und für die deine Einwilligung erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Im Rahmen der Nutzung von Google Tag Manager werden Daten an Google Ireland Limited übermittelt. Soweit Google Ireland Limited diese Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Drittanbieter
Mit welchen Diensten lässt sich Google Tag Manager verbinden?
Google Tag Manager ist als Container konzipiert und kann praktisch beliebige Skripte und Dienste einbinden. Was du einbindest, bestimmst du selbst über das GTM-Interface. Typische Verbindungen sind Analysedienste wie Google Analytics oder andere Web-Analyse-Tools sowie Werbedienste wie Google Ads, Meta Pixel oder LinkedIn Insight Tag.
Daneben lassen sich über GTM auch Conversion-Tracking-Pixel, Heatmap-Dienste, Chat-Widgets und viele andere Skripte verwalten. Jeder dieser Dienste bringt eigene Datenschutzpflichten mit sich und muss separat in deinem Cookie-Banner und deiner Datenschutzerklärung berücksichtigt werden.
Fehler
Welche Fehler kommen bei Google Tag Manager in unseren DSGVO-Checks am häufigsten vor?
Google Tag Manager taucht bei 18 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Google Tag Manager gefunden wurde.
DSGVO-Check
Woran erkennst du, ob Google Tag Manager auf deiner Website aktiv ist?
Google Tag Manager verrät sich durch externe Verbindungen, nicht durch Cookies. Prüfe, ob deine Website beim Aufruf eine Verbindung zu www.googletagmanager.com aufbaut. Das kannst du im Browser über die Entwicklertools (Netzwerk-Tab) sehen, oder du nutzt einen Datenschutz-Scan, der diese Verbindungen automatisch erkennt.
Konkret: Wenn beim Laden deiner Seite Anfragen an www.googletagmanager.com/gtm.js oder www.googletagmanager.com/gtag/js auftauchen, ist Google Tag Manager aktiv. Wenn diese Verbindungen bereits vor einer Zustimmung im Cookie-Banner erscheinen, ist GTM nicht korrekt blockiert.
