Die Vorteile des Google Tag Managers sind bekannt, er erleichtert massiv die Implementierung von Tracking- oder Statistik-Tools auf der eigenen Website. Diskutiert wird nicht erst seit der neuen BGH-Entscheidung zur Cookie-Einwilligung, wie der Tag-Manager beim Einwilligungs-Management behandelt wird. Diese Frage kann dabei nicht pauschal bewertet werden, sie hängt viel mehr von der tatsächlichen Nutzung des Tag-Managers ab.
Funktionsweise von Tag-Managern
Durch den Google Tag Manager werden Tags, wie Code Snippets oder auch Pixel, auf der eigenen Website oder in einer App eingebaut. Der Vorteil des Tag-Managers ist dabei, dass er die jeweiligen Snippets einbaut, ohne dass man selbst in den Quellcode der Website eingreifen muss. Die Einbindung erfolgt stattdessen durch einen Container, der eine Art „Platzhalter“-Code in den Quellcode setzt. Dadurch bietet der Tag-Manager auch für Nutzer ohne gute IT-Kenntnisse die Möglichkeit, komplexe Tools auf der Website zu installieren. Es muss nur einmalig der Code des Tag-Managers eingebaut werden.
Der Tag-Manager funktioniert, indem ein Container mit einer einmaligen Container-ID auf der Website eingebaut wird. Der Tag-Manager kann mehrere Container verwalten. Für jede Website oder App kann aber nur ein Container angelegt werden. In diesem Container werden dann alle Snippets der genutzten Tools abgelegt.
Die weitere Implementierung von Tools erfolgt dann über die Benutzeroberfläche des Tag-Managers. Google biete eine Liste von Tools an, die standardmäßig unterstützt werden. Über einen Pixel können jedoch auch Tools eingebaut werden, die durch Google noch keinen standardmäßigen Support erfahren. Durch den Tag Manager wird damit ein zentraler Ort geschaffen, über den alle Tools gestartet und auch wieder ausgeschaltet werden können.
Tracking über einen Tag-Manager
Wenn ein Tool über den Google Tag-Manager auf der Website oder in der App eingebaut wird, muss im Tag-Manager ein Trigger festgelegt werden. Immer wenn ein definiertes Verhalten eines Besuchers auf der Website den Trigger auslöst, wird ein Tag für das Tool ausgespielt. Der Tag ist dabei ein Code-Snippet, welches ein Pixel-Tag, ein web-beacon oder auch ein kurz html-code sein kann.
Der Tag-Manager erfasst dabei die relevanten Infos für die eingebauten Tools. Eine Aufarbeitung der erhobenen Daten findet aber nicht durch den Tag-Manager statt, vielmehr werden diese an das jeweilige Tool weitergeleitet. Mantra-ähnlich wird dabei wiederholt, dass der Google Tag Manager keine Daten speichert oder erfasst, sondern nur an die jeweiligen Tools sendet. Der Tag-Manager sei eine cookielose Domain, die nur das Auslösen von Tags bewirkt und nicht auf die erfassten Daten selbst zugreift.
Der Tag-Manager als unbedingt erforderliches Tool?
Nach der neuen EuGH- und BGH-Rechtsprechung wird verlangt, dass über die Nutzung von Cookies oder anderen Technologien informiert und vor der Setzung eine Einwilligung von den Nutzern verlangt wird. Eine Einwilligung ist notwendig, soweit der Cookie unter § 15 Abs. 3 TMG iVm Art. 5 Abs. 3 ePrivacy-VO fällt. Die Einwilligung muss, bevor die Cookies oder Codes auf die Website gesetzt, eingeholt werden.
Etwas anderes gilt nur, wenn die Cookies oder Codes als unbedingt erforderlich für das Angebot des Dienstes klassifiziert werden. In diesem Fall greift eine Ausnahme nach Art. 5 Abs. 3 Satz 2 ePrivacy-VO. Soweit der Cookie für die Bereitstellung des Services technisch erforderlich ist – wie zum Beispiel Session-Cookies, oder Cookies für den Warenkorb – kann er ohne die Einwilligung gesetzt werden.
Häufig wird der Google Tag Manager als erforderlich klassifiziert. Dies wird damit begründet, dass der Tag-Manager nicht selbst Daten erhebt und keine Daten verarbeitet. Der Tag-Manager „mache daher ja nichts“, sondern ist für das Ausspielen von anderen Tools erforderlich. Problematisch an dieser Argumentation ist aber, dass sobald der Google Tag Manager als erforderlich eingestuft wird, er auch mit Laden der Website ausgespielt wird. Gleichzeitig werden damit auch die jeweiligen Trigger-Punkte gesetzt. Wenn ein Trigger ausgelöst wird, wird auch das entsprechende Tag gestartet. Das heißt, dass auch ohne die Einwilligung der Besucher Tracking-Tools genutzt werden.
Dies ist unproblematisch, soweit nur Cookies über den Tag-Manager gesetzt werden, die ebenfalls erforderlich sind. Dies ist der Fall, wenn etwa ein Cookie-Management-Tool über den Tag Manager ausgespielt wird. Werden aber einwilligungspflichtige Tools eingesetzt, wird die Einwilligung erst nach ausspielen des Tools eingeholt. Dies ist zu spät und erfüllt nicht die Voraussetzungen des BGHs.
Kategorisierung des Tag-Managers
Soweit der Tag-Manager als nicht erforderlich eingestuft wird, stellt sich die Frage, in welche Kategorie er dann einsortiert werden muss. Diese Frage ist unproblematisch, soweit nur Statistik-Tools oder ausschließlich Marketing-Tools über den Tag-Manager eingebunden werden. In diesen Fällen kann der Tag-Manager ebenfalls als Statistik-Tool bzw. als Marketing-Tool klassifiziert werden.
Problematisch wird es, wenn Tools aus verschiedenen Kategorien über den Tag-Manager eingebunden werden. Strenggenommen, muss der Tag-Manager in die Kategorie einsortiert werden, deren Tools er in die Website einbindet. Sobald die Tools aus Kategorien gemischt werden, kann der Tag-Manager nicht mehr sauber klassifiziert werden. Eine korrekte Einsortierung ist dann nicht mehr möglich.
Hier kann sich die Situation ergeben, dass ein Nutzer Tools für Statistik-Zwecke erlaubt, aber keine Einwilligung für die Verarbeitung von Marketing-Tools erteilt. In diesem Fall darf das Marketing-Tool nicht über den Tag-Manager Container ausgespielt werden, sondern muss gestoppt werden. Ebenfalls denkbar ist hier auch, dass dem Tag-Manager keine Erlaubnis erteilt wird, aber bestimmten Tools. Hier muss dann das Tool über den Code eingebaut werden, da der Container des Tag-Managers nicht verwendet werden darf.
In diesen Fällen kann der Tag-Manager nur genutzt werden, soweit es technisch möglich ist, den Tag-Manager mit einem Cookie-Management Tool zu kombinieren. Nur wenn gewährleistet wird, dass der Nutzer bestimmen kann, welche Tools bzw. Tags durch den Tag-Manager gesetzt werden und insbesondere einzelne Kategorien ausschließen kann, entspricht der Tag-Manager den rechtlichen Anforderungen
Fazit
Die Kategorisierung des Tag-Managers hängt von seiner Nutzung ab. Er kann als unbedingt erforderlich gelten, soweit er nur technisch notwendige Cookies triggert – wie etwa ein Cookie-Management Tool.
Der Tag-Manager kann aber nicht mehr sauber kategorisiert werden, soweit nicht verhindert werden kann, dass mit Einbindung des Containers alle Trigger-Punkte oder Tags gesetzt werden. Es muss gewährleistet werden, dass, wenn der Tag-Manager Tracking-Tools auf der Website einbindet, er die Tags auch nur mit vorheriger Einwilligung des Besuchers ausspielt.
Unproblematisch ist dies, wenn über den Tag-Manager nur eine bestimmte Art von Tool eingebunden wird. Werden zum Beispiel nur Statistik-Tools eingebunden, kann der Tag-Manager ohne weiteres auch in die Kategories Statistik einsortiert werden. Eine saubere Lösung ist aber nicht mehr möglich, soweit der Tag-Manager weitreichende Tools aus verschiedenen Kategorien ausspielt.